在 Microsoft Foundry 中配置用于评估的虚拟网络支持

使用虚拟网络（VNet）隔离Microsoft Foundry 中的评估流量。 本文可帮助你选择适当的网络设置指南，配置评估特定的要求，并解决常见的与网络相关的评估错误。

先决条件

• 位于支持 VNet 评估的区域中的 Foundry 项目。
• 配置网络隔离并分配 Azure 基于角色的访问控制 (RBAC) 角色的权限。
• 可以委托用于网络注入的 VNet 和子网，或使用仅评估设置模板来部署它们的权限。

选择网络设置指南

使用下表查找适用于您的场景的网络指导。 有关特定于评估的要求和故障排除，请返回到本文。

目标	Guidance
了解网络隔离选项并配置专用终结点、DNS、防火墙允许列表和公共网络访问。	为 Microsoft Foundry 配置网络隔离
使用Microsoft托管的 VNet 解决方案进行出站网络隔离。	为 Foundry 项目配置托管 VNet
将托管虚拟网络连接到本地资源或非 Azure 资源。	从 Foundry 托管网络访问本地资源
配置包括 Foundry 代理服务的完整专用网络设置。	为 Foundry 代理服务设置专用网络
了解代理服务网络体系结构、流量流、子网大小调整和 IP 分配。	深入了解 Foundry 代理服务网络
使用编码代理来帮助规划和配置 Foundry 资源和网络。	在编码代理中使用 Microsoft Foundry 技能

配置评估网络要求

评估场景中的虚拟网络支持需要通过子网委派来实现网络注入。 如果只需要评估功能，并且不需要完整的代理支持（例如Azure Cosmos DB、Azure AI 搜索或项目功能主机），请使用简化的仅评估设置模板（15a）。 该模板为评估方案部署最少的网络保护环境。

重要说明

为防止评估和红队测试运行失败，请在项目初始设置期间，在 Foundry 资源范围内为项目的托管标识分配 Foundry User 角色。

重要说明

Foundry RBAC 角色最近已更名。 Foundry 用户、Foundry 所有者、Foundry 帐户所有者和 Foundry 项目经理之前的名称分别为“Azure AI 用户”、“Azure AI 所有者”、“Azure AI 帐户所有者”和“Azure AI 项目经理”。 在重命名推出时，你仍可能会在某些位置看到以前的名称。重命名后，角色 ID 和核心权限保持不变。

如果连接 Application Insights，则会将评估数据发送到它。

虚拟网络区域支持

可以在以下区域自带 VNet 进行评估：

美洲	欧洲	亚太	中东和非洲
Brazil South	法国中部	澳大利亚东部	南非北部
加拿大中部	德国中西部	日本东部	阿拉伯联合酋长国北部
加拿大东部	意大利北部	韩国中部
美国东部	挪威东部	印度南部
美国东部 2	波兰中部	东南亚
美国中北部	西班牙中部
美国中南部	瑞典中部
美国西部	瑞士北部
美国西部 2	英国南部
美国西部 3	西欧

为生成数据配置虚拟网络支持

合成数据生成和从跟踪到数据集的生成都使用与评估相同的、通过子网委派实现的网络注入。 使用 仅限评估的设置模板（15a） 部署所需的网络保护环境。

有关数据生成区域的可用性，请参阅 支持的数据生成区域。

排查虚拟网络评估错误

诊断虚拟网络配置

在一台可专用访问你的虚拟网络的计算机上运行 VNet 项目设置诊断。 该脚本检查现有的 Foundry 项目配置及其网络连接，而无需运行评估或更改Azure资源。

按照使用指南准备先决条件，运行相应的诊断检查，并查看生成的 diagnostics.md 报告。 报告提供可操作的发现、支持证据、已知限制和修正指南，以帮助解决配置问题。

评估运行将一直处于进行中，直至超时

评估运行可能仍在 进行 中，因为网络隔离设置不完整，在禁用公共网络访问时未配置所需的专用终结点，或者项目的托管标识无权更新运行状态。

若要解决该问题：

1. 验证网络注入和子网委派已按照 配置 Microsoft Foundry 的网络隔离 中的说明完成配置。 如果您只需要评估能力，请将您的部署与 仅评估设置模板（15a）进行比较。
2. 如果已禁用公共网络访问，请确认是否已配置并批准所需的专用终端节点，以及专用 DNS 是否能够在注入到 Foundry 项目的网络中正确解析资源终端节点。
3. 确保 Foundry 项目具有功能主机设置。 我们确实需要在 Foundry 账户和项目级别都配置该功能主机。 如果未设置 Foundry 项目级别功能主机，请使用 bicep 模板 add-project-capability-host 进行设置。
4. 验证项目的托管标识在 Foundry 资源作用域上是否具有 Foundry 用户 角色。
5. 对于大型数据集，针对较小的代表性子集运行评估。 如果较小的运行完成，请减小数据集大小，或在多个评估运行之间拆分数据集。

评估运行因 403 错误而无法启动

错误指出网络访问已禁用，公共网络访问已禁用，但评估服务无法通过 VNet 访问一个或多个所需资源。

Error: Public access is disabled. Please configure private endpoint.

若要解决该问题：

1. 在错误详细信息或评估诊断中标识资源主机名。
2. 验证是否已配置网络注入和子网委派以供评估。
3. 验证受影响的资源的专用终结点是否已配置和批准。
4. 验证专用 DNS 是否解析主机名，并且网络规则允许从 VNet 中访问。
5. 在网络配置更改生效后重试评估运行。

对于其他 403 错误，请验证启动运行的用户和项目的托管标识的 RBAC 分配。 有关更多与评估相关的问题，请参阅 排查评估和可观测性问题。

自定义 DNS 无法解析专用终结点

如果为虚拟网络定义 自定义 DNS 服务器 ，则系统不会自动查询链接到该虚拟网络的专用 DNS 区域。 自定义 DNS 设置将替代名称解析顺序。

若要使自定义 DNS 能够解析专用区域，请在链接到专用区域的虚拟网络中使用Azure DNS专用解析程序。 有关配置指南，请参阅 集中式 DNS 体系结构。

如果自定义 DNS 服务器在Azure虚拟机上运行，请为专用区域配置条件转发器。 将转发器的目标设置为Azure DNS IP 地址168.63.129.16。