Microsoft Foundry projeleri için yönetilen sanal ağı yapılandırın

Bu makalede, Foundry kaynağınız için yönetilen sanal ağın nasıl ayarlanacağı açıklanmaktadır. Yönetilen bir sanal ağ, Foundry projelerinizdeki Aracılar hizmetinin temelindeki işlem kaynaklarını güvence altına alan Microsoft tarafından yönetilen bir sanal ağ sağlayarak ağ yalıtımını kolaylaştırır ve otomatikleştirir.

Etkinleştirdiğinizde, bu yönetilen ağ sınırı Aracıların giden ağ trafiğinin güvenliğini sağlar ve seçtiğiniz yalıtım modu tüm trafiği yönetir. Bağımlı Azure hizmetlerine gerekli özel uç noktaları oluşturabilir ve gerekli ağ kurallarını uygulayabilirsiniz.

Kendi sanal ağınızı oluşturmanıza veya sürdürmenize gerek kalmadan güvenli bir varsayılan değer elde edersiniz. Bu yönetilen ağ, Aracılarınızın erişebileceklerini kısıtlayarak veri sızdırmayı önlemeye yardımcı olurken onaylı Azure kaynaklarına da bağlantı sağlar.

Yönetilen sanal ağ artık yeni Yanıtlar API'siyle ve yeni Foundry portalında Prompt ve Hosted Agent hizmetlerini destekliyor. Yeni Aracı hizmeti ve yeni Foundry portalı ile yönetilen sanal ağ için şu anda desteklenen bölgeler şunlardır: Doğu ABD, Doğu ABD 2, Doğu Japonya, Orta Fransa, BAE Kuzey, Brezilya Güney, İspanya Orta, Orta Almanya Orta Batı, İtalya Kuzey, Orta Güney ABD, Avustralya Doğu, İsveç Orta, Doğu Kanada, Güney Afrika Kuzey, Batı ABD, Batı ABD 3, Güney Hindistan ve Güney Birleşik Krallık.

Devam etmeden önce teklifin sınırlamalarını göz önünde bulundurun ve önkoşulları gözden geçirin.

Yalıtım modlarını anlama

Yönetilen sanal ağ yalıtımını etkinleştirdiğinizde, Microsoft kiracısında oluşturulan Foundry hesabı için bir yönetilen sanal ağ oluşturursunuz. Projelerinizde oluşturduğunuz tüm yeni Aracılar, giden trafik için otomatik olarak yönetilen sanal ağı kullanır. Yönetilen sanal ağ, aracılarınızın kullandığı Azure kaynakları, örneğin Azure Depolama, Azure Cosmos DB ve Azure Yapay Zeka Arama için özel uç noktaları kullanabilir.

Not

Bu makaledeki diyagramlar yalnızca mantıksal bağlantıyı temsil eder. Dökümhane tarafından yönetilen sanal ağdaki yönetilen özel uç noktalar müşteri tarafından görünür ağ arabirimleri (NIC) oluşturmaz. Alt ağınızda özel IP ile NIC oluşturan standart sanal ağ özel uç noktalarının aksine, yönetilen özel uç noktalar tamamen Microsoft tarafından yönetilir ve müşterinin sanal ağ kaynaklarından soyutlanır. Aboneliğinizde bu uç noktaları veya ilişkili NIC'leri görmezsiniz.

Yönetilen sanal ağdan giden trafik için üç yapılandırma modu vardır:

Giden modu	Açıklama	Senaryo
Giden internet trafiğine izin ver	İnternet'e giden tüm trafiğe izin verir.	Sınırsız giden erişim kabul edilebilir; geniş bağlantı gereklidir.
Yalnızca onaylanan giden trafiğe izin ver	Azure Güvenlik Duvarı aracılığıyla uygulanan hizmet etiketlerini, özel uç noktaları ve isteğe bağlı FQDN kurallarını (bağlantı noktası 80, 443) kullanarak giden trafiği kısıtlar.	Veri sızdırma riskini en aza indirme; seçilen hedeflerin listesini gerektirir.
Devre dışı	Özel sanal ağ kullanılmadığı sürece yönetilen sanal ağ yalıtımı etkinleştirilmez.	Genel bir giden bağlantıya ihtiyaç duyun veya kendi sanal ağınızı sağlamayı planlayın.

Aşağıdaki mimari diyagramında allow internet outbound modda yönetilen bir ağ gösterilmektedir.

Aşağıdaki mimari diyagramında allow only approved outbound modda yönetilen bir ağ gösterilmektedir.

Yönetilen bir sanal ağ Foundry'yi internet çıkışına izin verecek şekilde yapılandırdıktan sonra, kaynağı devre dışı bırakacak şekilde yeniden yapılandıramazsınız. Benzer şekilde, yönetilen bir sanal ağ kaynağını yalnızca onaylanan çıkışa izin verecek şekilde yapılandırdıktan sonra, kaynağı İnternet çıkışına izin verecek şekilde yeniden yapılandıramazsınız.

Önkoşullar

Bu makaledeki adımları takip etmeden önce aşağıdaki önkoşullara sahip olduğunuzdan emin olun:

Azure aboneliği. Azure aboneliğiniz yoksa başlamadan önce ücretsiz bir hesap oluşturun.
Azure CLI sürüm 2.86.0 veya üzeri. Yönetilen ağdan giden kuralları oluşturmak için gereklidir.

Not

az cognitiveservices account managed-network Komut grubu önizleme aşamasındadır ve değişebilir.
Azure aboneliğiniz için kaydedilen Microsoft.Network, Microsoft.KeyVault, Microsoft.CognitiveServices, Microsoft.Storage, Microsoft.Search ve Microsoft.ContainerService kaynak sağlayıcıları. Daha fazla bilgi için Kaynak sağlayıcısını kaydet bölümüne bakın.
Yönetilen ağ kaynağını dağıtma izinleri. Foundry hesabı ve projesi oluşturmak için Foundry kaynak kapsamındaki Foundry Account Owner gereklidir. Owner veya Role Based Access Administrator gerekli kaynaklara RBAC atamak için gereklidir. Foundry User proje kapsamı, Aracı tasarlamak ve inşa etmek için gereklidir.

Önemli

Foundry RBAC rolleri yakın zamanda yeniden adlandırıldı. Foundry User, Foundry Owner, Foundry Hesabı Sahibi ve Foundry Project Manager daha önce Azure Yapay Zeka Kullanıcısı, Azure Yapay Zeka Sahibi, Azure Yapay Zeka Hesabı Sahibi ve Azure Yapay Zeka Project Yöneticisi olarak adlandırıldı. Yeniden adlandırma kullanıma sunulmaya devam ederken bazı yerlerde önceki adları görmeye devam edebilirsiniz. Rol kimlikleri ve temel izinler yeniden adlandırma ile değiştirilmez.
Hedef Azure bölgenizdeki tüm kaynaklar için yeterli kota. Herhangi bir parametre belirtmezseniz bu şablon bir Foundry kaynağı, bir Foundry projesi, NoSQL için Azure Cosmos DB, Azure Yapay Zeka Arama ve bir Azure Depolama hesabı oluşturur.

Sınırlama

Foundry kaynağınız için yönetilen ağ yalıtımını etkinleştirmeden önce aşağıdaki sınırlamaları göz önünde bulundurun.

Yönetilen ağ Foundry kaynağını üç yolla dağıtabilirsiniz:
Bicep şablonu, foundry-samples içindeki 18-managed-virtual-network klasöründe
Foundry-samples klasöründeki 18-managed-virtual-network klasöründeki Terraform şablonu
az rest ve Azure CLI komutları az cognitiveservices. Aşağıdaki makaledeki Azure CLI desteği hakkında daha fazla bilgi edinin.
Azure portalı kullanıcı arabirimi şu anda yönetilen ağın oluşturulmasını desteklemez. Bunun yerine Azure CLI, az restveya Bicep ya da Terraform şablonlarını kullanın.
Foundry kaynağınızı oluşturduktan sonra, Foundry kaynağına yönelik gerekli özel uç noktanın oluşturulup onaylanmasını sağlamak için Foundry kaynağının yönetilen kimliğine Azure AI Enterprise Network Connection Approver yerleşik rolünü atayın (rol kimliği: b556d68e-0be0-4f35-a333-ad7ee1ce17ea).
Etkinleştirdikten sonra yönetilen sanal ağ yalıtımını devre dışı bırakamazsınız. Özel sanal ağ kurulumundan yönetilen sanal ağa yükseltme yolu yoktur. Dökümhane kaynağı yeniden dağıtımı gereklidir. Foundry kaynağınızı sildiğinizde yönetilen sanal ağ silinir.
Yönetilen sanal ağ desteği yalnızca şu bölgelerdedir: Doğu ABD, Doğu ABD 2, Doğu Japonya, Orta Fransa, Bae Kuzey, Güney Brezilya, İspanya Orta, Orta Almanya Orta, İtalya Kuzey, Orta Güney ABD, Doğu Avustralya, Orta İsveç, Doğu Kanada, Güney Afrika Kuzey, Batı ABD, Batı ABD 3, Güney Hindistan ve Güney Birleşik Krallık. Yakında izleyebileceğiniz ek bölge desteği.
Foundry kaynağınız için şirket içi kaynaklara özel erişime ihtiyacınız varsa, şirket içi erişimi yapılandırmak için Application Gateway'i kullanın. Aynı kurulum, Application Gateway'e özel bir uç nokta ve arka uç havuzlarının ayarlanması ile desteklenir. Hem L4 hem de L7 trafiği artık GA'da Application Gateway ile destekleniyor.
Yönetilen sanal ağ Allow Only Approved Outbound modundayken FQDN giden kuralları oluşturursanız, ilişkili Güvenlik Duvarı maliyetleriyle birlikte gelen bir yönetilen Azure Güvenlik Duvarı oluşturulacaktır. Fiyatlandırma hakkında daha fazla bilgi için bkz . Fiyatlandırma. FQDN giden kuralları yalnızca 80 ve 443 bağlantı noktalarını destekler.
Yönetilen sanal ağa kendi Azure Güvenlik Duvarı'unuzu getiremezsiniz. Yalnızca Onaylı Gidene İzin Ver modunu kullandığınızda, Foundry hesabınız için otomatik olarak bir yönetilen güvenlik duvarı oluşturulur.
Aynı yönetilen güvenlik duvarını birden çok Dökümhane hesabı için yeniden kullanamazsınız. Yalnızca Onaylı Giden moduna izin ver seçeneğini kullandığınızda her Foundry hesabı kendi yönetilen güvenlik duvarını oluşturur.
Foundry kaynağınızda yönetilen sanal ağ etkinleştirilmişken yeni projeler oluşturursanız, projenin BYO kaynaklarını ve yönetilen ağı kullandığından emin olmak için proje özellik ana bilgisayarını da yeniden oluşturmanız gerekir. Foundry-samples deposundaki yönetilen ağ kurulumu için README'de daha fazla yönerge bulunur.

Yönetilen sanal ağ yalıtım modunu dağıtma

Yönetilen sanal ağ Dökümhanesi kaynağını dağıtmaya başlamak için aşağıdaki bölümdeki adımları izleyin.

Azure CLI
Bicep / Terraform

Ağ eklemeleri ile AI Services hesabını oluşturma

Hesabı, customSubDomainName, allowProjectManagement ve networkInjections ayarlarını oluşturma sırasında yaparak oluşturun. Hesabı oluşturduktan sonra bu özellikleri ekleyemezsiniz.

Önemli

Hesabı ağ enjeksiyonlarıyla oluşturmak için az rest komutlarını kullanın. Azure CLI henüz ağ ekleme ile Bir Dökümhane kaynağı oluşturmayı desteklemez.

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2026-05-01" \
  --body '{
    "location": "{region}",
    "kind": "AIServices",
    "sku": { "name": "S0" },
    "identity": { "type": "SystemAssigned" },
    "properties": {
      "allowProjectManagement": true,
      "customSubDomainName": "{account-name}",
      "networkInjections": [
        {
          "scenario": "agent",
          "subnetArmId": "",
          "useMicrosoftManagedNetwork": true
        }
      ],
      "disableLocalAuth": false
    }
  }' \
  --headers "Content-Type=application/json"

provisioningState Succeeded ulaşmayı bekleyin ve sonra devam edin:

az rest --method GET \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2026-05-01" \
  --query "properties.provisioningState" -o tsv

Yönetilen kimlik sorumlusu kimliğini alma

Hesaptan sistem tarafından atanan yönetilen kimlik sorumlusu kimliğini alın:

az cognitiveservices account show \
  --resource-group {resource-group} \
  --name {account-name} \
  --query identity.principalId -o tsv

Ağ Bağlantısı Onaylayıcısı rolünü atama

Azure AI Enterprise Network Connection Approver rolünü (rol kimliği: b556d68e-0be0-4f35-a333-ad7ee1ce17ea) Foundry hesabının yönetilen kimliğine atayın. Bu rol, yönetilen ağ özel uç noktalarını otomatik olarak onaylar.

az role assignment create \
  --assignee-object-id {principal-id} \
  --assignee-principal-type ServicePrincipal \
  --role "b556d68e-0be0-4f35-a333-ad7ee1ce17ea" \
  --scope /subscriptions/{subscription-id}/resourceGroups/{resource-group}

Not

Hedef kaynaklarınız (Depolama, Cosmos DB, AI Search) farklı bir kaynak grubundaysa, rol atamasını bu kaynak grubuna veya aboneliğe kapsam olarak belirleyin.

Yönetilen ağı oluşturma

Hesapta yönetilen ağ alt kaynağını oluşturun. Bu kaynak, ağ yalıtım modunu oluşturur ve ağ altyapısını sağlar.

İnternet Gidenine İzin Ver ile yönetilen ağ oluşturmak için:

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_internet_outbound

Yalnızca Onaylanan Gidene İzin Ver ile yönetilen ağ oluşturmak için:

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_only_approved_outbound \
  --firewall-sku Standard

Çözümü, depodaki Bicep veya Terraform şablonlarını foundry-samples kullanarak dağıtabilirsiniz:

Bicep: 18-managed-virtual-network
Terraform: 18-managed-virtual-network

Bicep için:

Depoyu foundry-samples kopyalayın veya indirin.
modules-network-secured klasöründeki managed-network.bicep şablonunu açın.
Seçtiğiniz yalıtım moduna bağlı olarak yalıtım modu parametresini IsolationMode ayarlayın: AllowInternetOutbound veya AllowOnlyApprovedOutbound.
README.md dosyasında, "Azure’a Dağıt" düğmesini seçin. Bu eylem, hızlı dağıtım için şablonu Azure portalında açar.
Dağıtmadan önce bölge, kaynak grubu, sanal ağ adı ve diğerleri gibi tüm parametrelerinizi tamamlayın. Kendi Cosmos DB' nizi, Depolama alanınızı veya Aramanızı getiriyorsanız kaynak kimliklerinin de dahil olduğundan emin olun.
Son olarak şablonu dağıtın. Şablon dağıtımı yaklaşık 30 dakika sürmelidir.

Terraform için:

Depoyu foundry-samples kopyalayın veya indirin.
Dizine infrastructure/infrastructure-setup-terraform/18-managed-virtual-network gidin.
Ortamınız için gerekli değişkenleri yapılandırın (bölge, kaynak grubu, yalıtım modu ve mevcut kaynak kimlikleri).
Dağıtmak için terraform init, terraform plan ve terraform apply komutlarını çalıştırın.

Şablon tamamlandıktan sonra Yönetilen sanal ağ dağıtımını doğrulama bölümünde yer alan adımları izleyerek yapılandırmayı onaylayın.

Yönetilen sanal ağ dağıtımı için gereken parametreler hakkında daha fazla bilgi için bkz. Microsoft. CognitiveServices/accounts/managedNetworks.

Yönetilen sanal ağ dağıtımlarını doğrulama

Dağıtım tamamlandıktan sonra yönetilen sanal ağın doğru yapılandırıldığını doğrulayın.

Azure CLI
Bicep / Terraform

Dökümhane kaynağının mevcut olduğunu ve yönetilen ağın etkinleştirildiğini onaylayın:
```
az cognitiveservices account managed-network show \
  --resource-group {resource-group} \
  --name {account-name}
```
Yanıt, isolationMode seçtiğiniz moda (AllowInternetOutbound veya AllowOnlyApprovedOutbound) ayarlanmış olarak gösterilir.

Tüm giden kuralları ve bunların durumunu listeleyin:

az cognitiveservices account managed-network outbound-rule list \
  --resource-group {resource-group} \
  --name {account-name}

Belirli bir giden kuralını göster:

az cognitiveservices account managed-network outbound-rule show \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

Foundry projenizde temel bir Aracı oluşturup çalıştırarak bağlantıyı test edin. Aracı başarıyla tamamlarsa, denetim altındaki ağ düzgün çalışıyor demektir.

Dökümhane kaynağının mevcut olduğunu ve yönetilen ağın etkinleştirildiğini onaylayın:

az rest --method GET \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default?api-version=2026-05-01" \
  --query "properties.managedNetwork"

Yanıt, isolationMode seçtiğiniz moda (AllowInternetOutbound veya AllowOnlyApprovedOutbound) ayarlanmış olarak gösterilir.

Oluşturulduklarını doğrulamak için çıkış kurallarını listeleyin:

az rest --method GET \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules?api-version=2026-05-01" \
  --query "value[].{name:name, type:properties.type, status:properties.status}"

Foundry projenizde temel bir Aracı oluşturup çalıştırarak bağlantıyı test edin. Aracı başarıyla tamamlarsa, denetim altındaki ağ düzgün çalışıyor demektir.

Giden kuralları yönet

Dağıtımdan sonra, yönetilen ağınızın hangi hedeflere ulaşabileceğini denetlemek için giden kuralları ekleyebilir, güncelleştirebilir, listeleyebilir ve kaldırabilirsiniz. Aşağıdaki giden kural türleri desteklenir:

Türü	Açıklama	Örnek hedef
`fqdn`	FQDN'ye (Tam Etki Alanı Adı) giden trafiğe izin verir.	`"*.openai.azure.com"`
`privateendpoint`	Özel bir uç nokta kuralı aracılığıyla giden trafiğe izin verir.	Alt kaynak hedefi olan hizmet kaynağı kimliği
`servicetag`	Azure hizmet etiketi, protokol ve bağlantı noktası aralığı için dışa giden trafiğe izin verir.	`'{"serviceTag":"Storage","protocol":"TCP","portRanges":"443"}'`

Azure CLI
Bicep / Terraform

FQDN (Tam Nitelikli Alan Adı) giden kuralı oluşturma veya güncelleştirme

Bir etki alanı adına veya joker karakterli etki alanına giden trafiğe izin vermek için FQDN kuralı kullanın.

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type fqdn \
  --destination "*.openai.azure.com"

Hizmet etiketi giden kuralını oluşturun veya güncelleyin

Belirli bir protokol ve bağlantı noktası aralığı üzerinden bir Azure hizmet etiketine giden trafiğe izin vermek için hizmet etiketi kuralı kullanın.

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type servicetag \
  --category UserDefined \
  --destination '{"serviceTag":"Storage","protocol":"TCP","portRanges":"443"}'

Özel ağ uç noktası çıkış kuralı oluşturma veya güncelleme

Özel uç nokta üzerinden bir Azure kaynağına giden trafiğe izin vermek için özel uç nokta kuralı kullanın.

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type privateendpoint \
  --destination "/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.Storage/storageAccounts/{storage-name}" \
  --subresource-target blob

Yaygın alt kaynak hedefleri arasında Azure Depolama için blob, Azure Yapay Zeka Arama için searchService, Azure Cosmos DB için Sql ve Azure Key Vault için vault bulunur.

Giden kuralları listele

az cognitiveservices account managed-network outbound-rule list \
  --resource-group {resource-group} \
  --name {account-name}

Giden kuralını göster

az cognitiveservices account managed-network outbound-rule show \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

Giden kurallarını toplu oluşturma veya güncelleme

YAML veya JSON dosyasından birden çok giden kuralı oluşturmak veya güncelleştirmek için kullanın bulk-set .

az cognitiveservices account managed-network outbound-rule bulk-set \
  --resource-group {resource-group} \
  --name {account-name} \
  --file rules.yaml

Giden kuralı kaldır

az cognitiveservices account managed-network outbound-rule remove \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

ARM REST API'sini kullanarak giden kuralları güncelleştirmek için komutunu kullanın az rest . Aşağıdaki örnek, bir Azure Cosmos DB kaynağına özel uç nokta giden kuralı oluşturur:

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules/{rule-name}?api-version=2026-05-01" \
  --body '{
    "properties": {
      "type": "PrivateEndpoint",
      "destination": {
        "serviceResourceId": "/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.DocumentDB/databaseAccounts/{cosmosdb-account-name}",
        "subresourceTarget": "Sql",
        "sparkEnabled": false
      }
    }
  }'

Yer tutucuları ortamınızın değerleriyle değiştirin. Diğer kaynak türleri için, serviceResourceId ve subresourceTarget değerlerini buna göre değiştirin. Yaygın alt kaynak hedefleri arasında Azure Depolama için blob, Azure Yapay Zeka Arama için searchService ve Azure Key Vault için vault bulunur.

Daha fazla bilgi için foundry-samples deposundaki outbound rules CLI dosyasına bakın.

Yönetilen sanal ağ giden kuralları için gereken parametreler hakkında daha fazla bilgi için bkz. Microsoft.CognitiveServices/accounts/managedNetworks/outboundRules.

Azure Güvenlik Duvarı sürümü seçin

Yönetilen sanal ağ için, Sadece onaylanan gidenlere izin ver modunda giden FQDN kuralı eklediğinizde otomatik olarak bir Azure Güvenlik Duvarı sağlanır.

Varsayılan SKU, Güvenlik Duvarı için Standart'tır. Gelişmiş özellikler gerekmiyorsa daha düşük maliyet için bunun yerine Temel SKU'yu seçebilirsiniz. Fiyatlandırma hakkında daha fazla bilgi için bkz . Fiyatlandırma. Dağıtımda bir güvenlik duvarı SKU'su seçtiğinizde, dağıtımdan sonra bunu değiştiremezsiniz. Bu yönetilen bir güvenlik duvarı olduğundan, güvenlik duvarı kiracınızda veya denetiminizde değildir. Denetleyebileceğiniz tek ayar güvenlik duvarı SKU'sudur.

Özel uç noktalar

Yönetilen bir sanal ağı etkinleştirdiğinizde, aracıların genel İnternet'i kullanmadan gerekli Azure kaynaklarına güvenli bir şekilde ulaşabilmesi için yönetilen özel uç noktalar oluşturabilirsiniz. Bu özel uç noktalar yönetilen ağdan Depolama, AI Arama ve Dökümhane projelerinizde kullanılan diğer bağımlılıklar gibi hizmetlere yalıtılmış, özel IP tabanlı bir bağlantı sağlar. Müşteri tarafından yönetilen sanal ağlardan farklı olarak, Foundry'deki yönetilen özel uç noktalar bir ağ arabirimini veya alt ağ yapılandırmasını müşteriye sunmaz. Microsoft özel IP tabanlı bağlantıyı tam olarak yönetir ve müşterinin aboneliğinde NIC olarak temsil etmez.

Aşağıdaki kaynaklar yönetilen ağdan özel uç noktaları destekler. Özel uç noktalar oluşturmak için CLI'yi kullanmanız gerekir.

Microsoft Foundry (AI Services)
Azure Application Gateway (L4 veya L7 trafiğini kullanarak şirket içi kaynaklarınıza bağlanır)
Azure API Management (VNet ekleme olmadan yalnızca Klasik katmanı ve sanal ağ tümleştirmesi ile Standart V2 katmanını destekler)
Azure Yapay Zeka Arama
Azure Container Registry
Azure Cosmos DB
Azure Data Factory
MariaDB için Azure Veritabanı (MariaDB için Azure Veritabanı)
MySQL için Azure Veritabanı (MySQL için Azure Veritabanı)
PostgreSQL için Azure Veri Tabanı Tek Sunucu
esnek sunucu PostgreSQL için Azure Veri Tabanı
Azure Databricks
Azure Event Hubs
Azure Key Vault
Azure Machine Learning
Redis için Azure Önbellek (Redis için Azure Önbelleği)
Azure SQL Server
Azure Depolama
Azure Uygulaması Insights (Azure İzleyici Özel Bağlantı Scope aracılığıyla)

Foundry’nin yönetilen sanal ağından müşteriye ait bir hedef kaynağa yönetilen bir özel uç nokta oluşturduğunuzda, özel uç nokta bağlantılarını oluşturmak ve onaylamak için Foundry kaynağının yönetilen kimliğinin bu hedef kaynak üzerinde doğru izinlere sahip olması gerekir. Bu gereksinim, Foundry'nin kaynağa güvenli ve özel bir bağlantı kurma yetkisine sahip olmasını sağlar.

Bu gereksinimi basitleştirmek için Azure AI Enterprise Network Connection Approver rolünü (rol kimliği: b556d68e-0be0-4f35-a333-ad7ee1ce17ea) Dökümhane hesabının yönetilen kimliğine atayın. Bu rol, en yaygın kullanılan Azure hizmetleri için gerekli izinleri içerir ve genellikle Foundry'nin sizin adınıza özel uç noktalar oluşturup onaylaması için yeterli erişim sağlar. Bağlantıyı onayladıktan sonra, Foundry özel uç noktayı tamamen yönetir ve ek müşteri yapılandırması gerektirmez.

Giden gerekli kurallar

Yönetilen sanal ağın Yalnızca Onaylı Giden Trafiğe İzin Ver modunda sistem, Aracı Hizmeti gibi özellikler için gerekli birkaç giden kural oluşturur. Bu kurallar aşağıdaki hedefleri içerir:

Cosmos DB kaynağınıza özel uç nokta
Depolama hesabınıza özel uç nokta
Yapay Zeka Arama kaynağınıza özel uç nokta
AzureActiveDirectory'ye hizmet etiketi

Senaryo bazında giden kurallar

Foundry'yi Yönetilen sanal ağ ile Yalnızca Onaylı Giden Moduna İzin Ver modunda dağıtırsanız çıkış trafiğine izin verildiğinden emin olmak için aşağıdaki giden FQDN kurallarını eklemeniz gerekebilir. Aşağıdaki listede, Foundry'deki senaryoya veya özelliğe bağlı olarak giden kurallar oluşturmak için kullanılan güvenilir tam etki alanı adları (FQDN'ler) ve hizmet etiketleri gösterilmektedir.

Senaryo	FQDN'ler, hizmet etiketleri	Açıklama
Ajans	`.identity.azure.net`, `login.microsoftonline.com`, `.login.microsoftonline.com`, `*.login.microsoft.com`veya `mcr.microsoft.com` AAD hizmet etiketi	Aracı hizmeti için Azure Kapsayıcı Uygulama yetkilendirmesi gereklidir. Kapsayıcı görüntü çekme işlemleri için Microsoft Container Registry'yi içerir.
Application Insights kaynağıyla değerlendirmeler ve izlemeler	`settings.sdk.monitor.azure.com`, `.livediagnostics.monitor.azure.com`, `.in.applicationinsights.azure.com`, AzureMachineLearning hizmet etiketi	Sonuçları bağlı Application Insights kaynağına ve Değerlendiriciler Kataloğu'na göndermek için kullanılır.
İnce Ayarlama	`raw.githubusercontent.com`	Kullanıcı, Foundry portalında seçilmiş bir örnek veri kümesi seçtiğinde ince örnekleme için kullanılır.

Fiyatlandırma

Foundry tarafından yönetilen sanal ağ özelliği ücretsizdir. Ancak, yönetilen sanal ağın kullandığı aşağıdaki kaynaklar için ücretlendirilirsiniz:

Azure Özel Bağlantı - Çözüm, yönetilen sanal ağ ile Azure kaynakları arasındaki iletişimin güvenliğini sağlayan özel uç noktalar için Azure Özel Bağlantı dayanır. Fiyatlandırma hakkında daha fazla bilgi için bkz. Azure Özel Bağlantı pricing.
FQDN giden kuralları - Azure Güvenlik Duvarı kullanarak FQDN giden kuralları uygularsınız. Giden FQDN kurallarını kullanıyorsanız faturalamanıza Azure Güvenlik Duvarı ücretleri eklersiniz. Varsayılan olarak standart bir Azure Güvenlik Duvarı sürümü kullanılır. Temel sürümü seçebilirsiniz. Giden FQDN kuralı ekleyene kadar güvenlik duvarı oluşturulmaz.

Azure fiyatlandırma hakkında daha fazla bilgi için bkz. Özel Bağlantı Pricing ve Azure Güvenlik Duvarı Pricing.

Yönetilen ve özel (Kendi Cihazını Getir) ağların karşılaştırması

Kuruluşunuzdaki ağ ihtiyaçlarınız ve sınırlamalarınıza bağlı olarak uygun dışa dönük ağ izolasyon modunu seçin.

Özellik	Yönetilen ağ	Özel (BYO) ağ
Fayda -ları	Microsoft alt ağ aralığını, IP seçimini, temsilci seçmeyi işler.	Tam denetim: Özel güvenlik duvarı oluşturun, kullanıcı tanımlı yolları ayarlayın, ağ eşleştirme, alt ağı yetkilendirin.
Sınırlama	Onaylanmış giden trafiğe izin vermek için kendi güvenlik duvarınızı getirmeniz mümkün değil. Güvenli şirket içi için Application Gateway gerektirir (Application Gateway tarafından L7 ve L4 trafik desteği). Giden trafik kaydı desteği henüz yok.	Azure Container Apps alt ağ ataması gibi daha karmaşık bir yapılandırma. Doğru CapHost oluşturulmasını gerektirir. Genel veya CGNAT IP adresi aralıklarına izin verilmez, özel Sınıf A, B ve C gerektirir. En az /27 alt ağ yetkilendirmesi gerektirir.

Aracılar için sanal ağ ekleme kurulumu ve sınırlamaları hakkında daha fazla bilgi için bkz. Aracılar için özel bir sanal ağ yapılandırma.

Kaynakları temizleme

Yönetilen sanal ağınızdaki Foundry kaynağını temizlemek için Foundry kaynağını silin. Bu eylem yönetilen sanal ağı da siler.

Sorun giderme

CapHost oluşturma hatası
- Hatalı CapHost kaynağını silin ve şablonu yeniden dağıtın.
FQDN kuralı uygulanmadı
- Güvenlik duvarı SKU'sunun sağlandığından emin olun ve bağlantı noktalarının 80 veya 443 ile sınırlı olduğunu doğrulayın.
Özel uç nokta çakışmaları
- Tüm hizmet uç noktası yapılandırmasını kaldırın ve yalnızca özel uç nokta kullanın.

Aracılar için özel sanal ağ yapılandırma
Microsoft Foundry

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Last updated on 2026-08-18