你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

快速启动：部署Microsoft Discovery基础设施

在这个快速入门中，你将搭建Microsoft Discovery环境，以便运行你的第一个AI驱动的科学调查。你可以通过两种方式完成设置：

Azure 门户：通过引导式的分步体验手动创建每个资源。如果你想了解每个组件，或者更喜欢基于界面的工作流程，可以选择这条路径。
Bicep——用单一基础设施即代码模板部署全栈。如果你想要一个可重复、自动化的部署，选择这条路径。

这两条路径都配置相同的核心资源：网络、身份、存储、带节点池的超级计算机、部署聊天模型的工作空间、存储容器和项目。

在“部署 Microsoft 发现基础设施”中选择与您偏好体验相符的标签页。

Prerequisites

以下先决条件适用于 Azure 门户和 Bicep 使用方式：

一个有效的Azure 订阅，该订阅已启用（已列入允许列表），可访问 Microsoft Discovery。如果尚未启用订阅，请联系Microsoft 帐户代表请求访问权限。
在您的 Azure 订阅中，是否拥有足够的权限来注册资源提供者、分配角色和创建资源：
- 必须拥有所有者、基于角色的访问控制管理员或用户访问管理员角色之一，才能向管理和使用 Discovery 资源的管理员（平台管理员、科学家和工程师）分配角色。有关所需角色的完整列表，请参阅按用户角色区分的所需角色。
- 需要具备 参与者 或更高权限级别的角色（例如 所有者），才能注册资源提供程序并创建资源组。
  
  Tip
  
  要在一个幂等元命令中分配完整的 平台管理员 角色集，可以使用开源 Set-DiscoveryRoleAssignments.ps1 的PowerShell脚本。请参阅使用 PowerShell 脚本分配 Microsoft Discovery 人物角色。这种方法是推荐的多用户入职路径。
在订阅中注册所需的资源提供程序。有关详细信息，请参阅资源提供程序注册。注册 Microsoft.Discovery：
1. 登录到 Azure 门户。
2. 导航到“订阅”并选择订阅。
3. 在左侧菜单中，选择 “资源提供程序”。
4. 搜索 Microsoft.Discovery。
5. 选择提供程序名称，然后选择 “注册”。
注释

确保您的订阅中也已注册以下资源提供者。如果不是，请注册它们：Microsoft.Network、Microsoft.Compute、Microsoft.Storage、Microsoft.ManagedIdentity、Microsoft.AlertsManagement、Microsoft.Authorization、Microsoft.CognitiveServices、Microsoft.ContainerInstance、Microsoft.ContainerRegistry、Microsoft.ContainerService、Microsoft.DocumentDB、Microsoft.Features、Microsoft.KeyVault、Microsoft.MachineLearningServices、Microsoft.OperationalInsights、Microsoft.ResourceGraph、Microsoft.Search、Microsoft.Web、Microsoft.Insights、Microsoft.Resources、Microsoft.Sql、Microsoft.App、Microsoft.Bing
分配 Discovery NSP 边界加入者角色。 Microsoft Discovery 工作区、书架和超级计算机默认通过网络安全边界 (NSP) 规则进行了网络加固。在创建第一个工作区、书架或超级计算机之前，您必须创建 Discovery NSP Perimeter Joiner 自定义角色。创建后，将 Discovery NSP Perimeter Joiner 自定义角色和 Reader 角色分配给 Discovery 控制平面服务应用（第一方服务主体），以便控制平面能够在你的订阅中配置网络安全外围。有关分步说明，请参阅分配 NSP 外围联接器角色。
Microsoft Foundry、Azure OpenAI 配额和 VM SKU/quotas在所选区域中可用。请参阅配额预留。
现有资源组或创建新资源组的权限。创建资源组需要订阅中具有 贡献者 角色。

Important

Microsoft Discovery 资源支持在三个生产区域中部署：美国东部、瑞典中部和英国南部。为简单起见，在同一区域、订阅和资源组中为单个部署创建所有资源。

注释

你可以将虚拟网络与一个 Microsoft Discovery 工作空间关联。如果需要多个工作区，请为每个工作区创建单独的虚拟网络和子网。

Important

如果你将网络资源部署到与其他发现资源不同的资源组，确保为自己分配虚拟网络资源组的适当权限，以确保超级计算机资源成功部署。需要考虑的权限包括Network Contributor和Microsoft发现平台管理员（预览版）。 如果你使用 Bicep 模板，请将其更新为在该独立资源组中创建虚拟网络。

Tip

你可以以完全网络隔离的方式部署 Discovery 资源。启用后 networkIsolation ，所有资源都被私有网络内屏蔽，只能通过私有终端和网络安全边界（NSP）访问。你仍然可以通过Discovery Studio和REST API通过公共网络访问工作区。若要将访问限制为仅可通过专用网络进行，请禁用工作区的公共网络访问，并为工作区资源创建专用终结点。有关指导，请参见“配置 Microsoft Discovery 工作空间的网络安全”。

部署 Microsoft Discovery 基础设施

选择 Azure 门户标签手动创建每个资源，或选择 Bicep 标签，使用基础设施即代码模板部署全栈。

Azure 门户
Bicep

通过引导体验，使用 Azure 门户创建每个 Microsoft Discovery 资源。

1.设置网络、标识和存储

在继续部署Microsoft发现基础结构组件之前，请使用现有资源组或创建新的资源组。

a. 向管理员分配角色

Tip

可以使用开源 PowerShell 脚本，通过一条幂等命令一次性分配完整的Set-DiscoveryRoleAssignments.ps1角色集，而不必通过 Azure 门户逐一分配下面列出的角色。请参阅使用 PowerShell 脚本分配 Microsoft Discovery 人物角色。这是用于加入多个用户的建议路径。

将以下内置角色分配给所需范围内的用户（订阅或资源组）：

Microsoft发现平台管理员（预览版）
托管标识参与者
托管的标识操作员
存储帐户贡献者
Storage Blob 数据贡献者
网络参与者
ACRPush
Foundry 用户
Microsoft Discovery 书架索引数据阅读器 - 预览版

注释

如果要在订阅级别分配所有角色，则可以跳过此说明。如果要在资源组级别分配角色，请暂时跳过 Foundry 用户 角色。继续执行后续步骤，并在工作区资源创建完成后重新处理此角色分配。必须在工作区托管资源组级别将此角色分配给每个平台管理员或科学家用户。

分配角色的步骤：

登录到 Azure 门户。
导航到“订阅”并选择订阅。
在左侧菜单中，选择“访问控制”（IAM）。
选择添加，然后选择添加角色分配。
在 “添加角色分配 ”窗格中，一次搜索每个角色，然后选择“ 下一步”。
在“ 成员 ”选项卡上，确保将 “分配访问权限 ”设置为 “用户”、“组”或服务主体。
选择 “+ 选择成员”，选择要向其分配此权限的成员，然后选择“ 下一步”。
在“ 条件 ”选项卡上，选择 “允许用户分配除特权管理员角色所有者、UAA、RBAC（建议）之外的所有角色”，然后选择“ 下一步”。
在 “分配类型 ”选项卡上，选择最适合组织的配置，然后选择“ 下一步”。
在 “审阅 + 分配 ”选项卡上，验证信息，然后选择“ 审阅 + 分配”。

对所有必需的角色重复此过程。

b. 创建虚拟网络和子网

登录到 Azure 门户。
搜索 虚拟网络 并从结果中选择它。
选择“ 创建 ”以开始创建新的虚拟网络。
输入订阅、资源组、名称和区域等详细信息，然后选择“ 下一步”。
配置 IP 地址：
- IPv4 地址空间：输入所选的 CIDR（无分类 Inter-Domain 路由）块（例如 10.0.0.0/16）。
- 添加以下子网：
  - supercomputerNodepoolSubnet: 10.0.1.0/24
  - aksSubnet: 10.0.2.0/24
  - workspaceSubnet: 10.0.3.0/24
  - privateEndpointSubnet: 10.0.4.0/24
  - agentSubnet: 10.0.5.0/24
  - searchSubnet: 10.0.6.0/24
对于 workspaceSubnet、agentSubnet 和 searchSubnet，请在 SubnetDelegation 下选择 Microsoft.App/environments。
对于 workspaceSubnet、agentSubnet、supercomputerNodepoolSubnet 和 aksSubnet，请在 Service Endpoints 下添加 Microsoft.Storage。
（可选）可以从列表中删除 default 子网。
查看并创建虚拟网络。

注释

此步骤中未提及网络安全组（NSG），但根据组织的策略，为虚拟网络中的每个子网实施 NSG 是一般最佳做法。

c. 创建用户分配的托管标识（UAMI）

可以创建不同的 UMI，每个 UMI 都具有其自己的特定资源访问所需的权限，也可以创建具有平台所有必要权限的单个 UAMI。对于本练习，请按照以下步骤创建单个 UAMI：

登录到 Azure 门户。
搜索 托管身份 并从列表中选择它。
选择“创建”。
填写所需的详细信息，例如订阅、资源组、区域和名称。
选择“审核 + 创建”，然后选择“创建”。

d. 向 UAMI 分配 Azure 基于角色的访问控制 (RBAC) 角色

在资源组级别向新的用户分配托管标识分配以下内置角色：

Microsoft 发现平台贡献者（预览版）
Storage Blob 数据贡献者
ACRPull

导航到“订阅”并选择订阅。
选择用于本练习的 资源组 。
在左侧菜单中，选择“访问控制”（IAM）。
选择添加，然后选择添加角色分配。
在 “添加角色分配 ”窗格中，一次搜索每个角色，然后选择“ 下一步”。
在“ 成员 ”选项卡上，确保 将“分配访问权限 ”设置为 “托管标识”。
选择 + 选择成员。在“ 选择托管标识 ”窗格中，选择订阅，选择 用户分配的托管标识 类型，选择在上一步中创建的托管标识，然后选择“ 选择”。
在“ 审阅 + 分配 ”选项卡上，验证所有信息，然后选择“ 审阅 + 分配”。

Azure门户的

e. 创建 Azure Blob 存储帐户

若要存储调查的输入和输出数据，请创建一个Azure blob 存储帐户以与存储容器相关联，或者使用以下要求的现有存储帐户：

在存储 discoveryoutputs 输出文件的存储帐户中创建容器。
存储帐户必须允许从用于创建超级计算机和工作区的虚拟网络进行访问。
存储帐户必须允许从客户端公共 IP 或本地网络进行访问，以便可以访问输出数据。
存储帐户必须具有正确的 CORS 设置。必须允许以下来源： https://studio.discovery.microsoft.com、 https://vscode.dev和 https://*.vscode-cdn.net。将允许的操作设置为包括GET、HEAD、DELETE和PUT，并将Allowed Headers和Exposed Headers设置为*，Max Age设置为200。此设置位于“设置”选项卡下的“资源共享”页下。
确保存储帐户有权 Storage Blob Data Contributor 访问在上一步中创建的 UAMI。

创建Azure blob 存储帐户：

登录到 Azure 门户。
搜索 存储帐户 并从结果中选择它。
选择“ 创建 ”以开始创建新的存储帐户。
输入订阅、资源组、名称和区域等详细信息。
选择Azure Blob 存储作为主要服务，然后选择“Networking选项卡。
在“公用网络访问”下，选择“ 从所选虚拟网络和 IP 地址启用公共访问”。
选择步骤 1 中创建的虚拟网络及其所有子网。
如果要通过 Internet 访问数据，请选择 “添加客户端 IP 地址 ”，或者确保客户端可以通过专用链接、站点到站点 VPN 或 ExpressRoute 访问存储帐户和虚拟网络。
选择 “查看 + 创建”，然后选择 “创建”。

注释

若要查看和下载输出文件，客户端或浏览器需要对 Blob 存储进行网络访问。可以通过打开对所有网络的公共访问来允许公共 Internet 访问。还可以在存储网络和防火墙设置中允许客户端的公共 IP 地址。或者，通过 Azure VPN 或 ExpressRoute 配置专用访问。

创建 Blob 容器

创建存储帐户后，导航到存储帐户概述页。
在左侧导航窗格中的 “数据存储”下，选择“ 容器”。
选择添加容器。
输入 discoveryoutputs 为名称，然后选择“ 创建”。

启用 CORS 和 UAMI 访问

打开我们在上一步中创建的存储帐户。
在“设置”选项卡下，选择“资源共享”（CORS）。
在“允许的源”列中的Blob 服务下，输入https://studio.discovery.microsoft.com、https://vscode.dev和https://*.vscode-cdn.net。对于这三项，请将允许的操作设置为包括GET、HEAD、DELETE和OPTIONSPUT。将 Allowed Headers 和 Exposed Headers 设置为 *，将 Max Age 设置为 200。
选择“保存”。

2. 创建超级计算机

需要使用具有关联节点池的超级计算机来部署和运行科学工具，并在 Bookshelf 知识库中为数据编制索引。超级计算机还执行 GPU 和 CPU 密集型工作负荷进行模拟和建模。它在订阅中的特定虚拟网络上提供计算资源。

登录到 Azure 门户。
搜索 Microsoft Discovery Supercomputers。
选择“ 创建 ”并输入订阅 ID、资源组名称、位置和名称等详细信息，然后选择“ 下一步”。
在“网络”标签页中，选择你在aksSubnet创建的虚拟网络，然后选择下一步。
在“系统 SKU”选项卡中，选择Standard_D4s_v6作为此部署的系统 SKU，然后选择“ 下一步”。
在身份标签中，添加你在第一步创建的用户指定管理身份（UAMI），分别用于集群身份、Kubelet 身份和工作负载身份。超级计算机实例使用此托管标识访问Azure资源中的数据。当您完成时，选择下一步。
在 Encryption 选项卡中，由于我们在本练习中使用Microsoft管理的密钥，因此uncheck“启用客户托管密钥”选项并选择 Next。
根据需要添加标记，然后移动到下一个选项卡。
查看条款和条件，然后选择“ 下一步”。
验证成功后，选择“ 创建”。

3.创建节点池

创建超级计算机后，请按照以下步骤创建节点池：

打开我们在上一步中创建的超级计算机。
在左窗格中，选择“设置”下的“节点池”，然后选择“创建”。
输入节点池的名称和位置，然后选择“ 下一步”。

注释

节点池名称必须全部小写，最多 12 个字符，必须以字母开头，并且只能包含字母和数字。
在网络标签页，选择你在supercomputerNodepoolSubnet创建的虚拟网络，然后选择下一步。 注意： 在步骤 2 中使用为超级计算机选择的同一虚拟网络。
在 “VM 配置 ”选项卡上，选择要用于节点池的虚拟机（VM）SKU，然后选择“ 下一步”。所选 SKU 和配额必须在部署节点池的区域可用。
在 “缩放 ”部分中，输入节点池可缩放到的最大节点计数，例如：5，然后选择“ 下一步”。
选择“查看 + 创建”，然后选择“创建”。

4.创建工作区

工作区是一个协作环境，团队管理大规模科学计划。工作平台将超级计算机、代理、工具和知识库（Bookshelves）等基础设施资源组合到一个安全边界内。可以在工作区下创建项目，使研究人员能够在共享空间内组织试验、分析数据并使用 AI 代理。

Important

请确保工作区名称全局唯一，并且仅使用小写字母。

登录到 Azure 门户。
搜索 Microsoft Discovery 工作区。
选择 “+ 创建 ”并输入订阅、资源组、名称和区域等详细信息，然后选择“ 下一步”。
在本练习中，在 “网络” 选项卡上，将 “公共网络访问” 设置为 “启用”。之后，输入私有终端子网、代理子网和工作区子网的详细信息，以及你在第一步创建的子网，然后选择 “下一步”。
在 “加密 ”选项卡上，将“启用客户管理的密钥”（CMK）保留为未选中状态。在本练习中，我们将使用由微软管理的密钥（MMK），只需选择‘Next’按钮进入下一个选项卡。
在 “超级计算机 ”选项卡上，选择“ 添加超级计算机 ”，然后选择在步骤 2 中创建的订阅、资源组和超级计算机，然后选择“ 下一步”。
在工作区身份标签下，选择用户分配的管理身份（UAMI）中的添加，选择你在第一步创建的身份以提供工作区访问权限。
在“ 标记 ”选项卡上，根据需要添加标记。（可选）若要启用GitHub Copilot和配置工作区访问权限，请添加以下标记。有关详细信息，请参阅在 Microsoft Discovery 中使用 GitHub Copilot。
- discovery.workbench.enableGhcpAiFeatures 设置为 true — 为工作区启用 GitHub Copilot 和 AI 功能。
- 将 discovery.workbench.enableExtensions 设置为 true — 在预览体验中启用 VS Code 扩展市场。
- NetworkIsolation 设置为 false — 可启用对预览体验（Workbench）和其他托管资源组（MRG）资源的公共访问。如果保持启用网络隔离（默认设置），则需要通过 VPN 或 ExpressRoute 连接到部署了该工作区的虚拟网络，才能通过专用网络进行访问。
Tip

你可以以完全网络隔离的方式部署 Discovery 资源。启用后 networkIsolation ，所有资源都被私有网络内屏蔽，只能通过私有终端和网络安全边界（NSP）访问。你仍然可以通过Discovery Studio和REST API通过公共网络访问工作区。若要将访问限制为仅可通过专用网络进行，请禁用工作区的公共网络访问，并为工作区资源创建专用终结点。有关指导，请参见“配置 Microsoft Discovery 工作空间的网络安全”。

注释

Microsoft Discovery 资源类型（包括工作空间、超级计算机、节点池和书架）的标签是不可变的。资源创建后，你无法添加、更改或移除其标签。任何标签修改，包括添加标签，都需要重新部署资源。
查看条款和条件，然后选择“ 查看 + 创建”。
验证成功后，选择“ 创建”。

5. 在托管资源组上分配 Foundry 用户角色

创建工作区时，会自动预配托管资源组。若要允许用户直接在 Foundry 门户中修改项目中的代理和工作流以实现高级设置，必须在此托管资源组上为其分配 Foundry 用户 角色。

登录到 Azure 门户。
进入你在第4步创建的工作区，在工作区概览页面找到 “受管理资源组 ”名称。
导航到该托管资源组。
在左侧菜单中，选择“访问控制”（IAM）。
选择添加，然后选择添加角色分配。
在 “添加角色分配 ”窗格中，搜索 Foundry 用户 并选择它，然后选择“ 下一步”。
在“ 成员 ”选项卡上，确保将 “分配访问权限 ”设置为 “用户”、“组”或服务主体。
选择“ + 选择成员”，选择需要修改代理和工作流的用户，然后选择“ 选择”。
选择 “审阅 + 分配”，验证信息，然后选择“ 审阅 + 分配”。

对需要访问工作区中的代理和工作流的所有用户重复此过程。 Foundry 门户中所做的任何更改都会自动反映在 Discovery 代理配置中。

6. 创建聊天模型部署

聊天模型部署可提供基础语言模型（如 GPT-5.4），供在 Microsoft Discovery Workspace 中使用。在项目中创建的代理可以使用这些聊天模型部署。

转到在上一步中创建的Microsoft发现工作区的概述页。
在左侧导航窗格的 “设置 ”选项卡下，选择 “聊天模型部署”。
选择顶部的 “+ 创建 ”选项。
将名称输入为 gpt-5-4。
在下拉菜单中选择型号格式OpenAI，选择型号名称gpt-5.4。
然后选择底部的“ 查看 + 创建 ”按钮，然后选择“ 创建”。

Important

若要在会话中使用 Discovery Engine 和任务，您必须使用名称为 gpt-5-4、模型名称为 gpt-5.4 的特定部署。不过，你可以为代理部署额外的聊天模型。

您可以在资源组级别通过角色基于访问控制（RBAC）为用户提供访问权限。 Microsoft发现管理员（预览版）角色需要在工作区中创建项目。

Microsoft Discovery Studio 是一个安全的 AI 驱动的研究环境。它使科学家和工程师能够通过统一接口内的自主代理、模拟工作流和集成数据工具加速创新。

设置基础结构后，可以直接通过 URL 登录到 Microsoft Discovery Studio，或在 Azure 门户中的“工作区概述”页中找到 URL。

您必须使用您的 Microsoft Entra ID 登录工作或学校账户。 Studio 支持使用 Microsoft Entra ID 的单点登录。如果你已经在同一个浏览器里用 Microsoft Entra ID 登录了其他服务，就不必明确提供凭证。

注释

如果有权访问多个Microsoft Entra租户，请通过选择页面右上角的个人资料图标来选择正确的租户。

8. （可选）创建一个独立的存储容器

每个项目都需要一个存储容器。推荐的配置方式是在项目创建时于第9步选择“为我创建存储容器”。只有在你想创建和管理独立存储容器时，才遵循此步骤——例如，在多个项目之间复用同一个容器。

存储容器将输入和输出数据存储为存储资产。输入和输出都使用 Azure 存储 Blob 类型的存储容器，该容器由 step 1 中创建的存储帐户提供支持。

在 Microsoft Discovery Studio 中，在左侧导航窗格的资源下，选择数据。
选择“ 创建容器”。
输入名称、订阅、资源组和位置等详细信息。
选择在步骤 1 中创建的存储帐户。截图显示 Microsoft Discovery Studio 中的存储容器创建页面。
选择“创建”。
创建项目时，你可以选择这个存储容器。

注释

选择 “创建”后，资源最初处于 “接受 ”状态。刷新页面，等待 预配状态 更改为 “成功 ”，然后再继续。此操作通常需要几分钟时间。

9. 创建项目

项目有助于在工作区中组织和管理科学调查。每个项目定义用于访问代理、工具和存储容器的功能边界。在项目中，可以运行试验、分析数据、应用 AI 模型以及跟踪协作环境中的研究进度。

Important

项目名称必须为小写且长度不超过 12 个字符。另外，创建项目前一定要刷新页面。你可以通过在工作室打开工作区来创建项目。

在 Microsoft Discovery Studio 左侧导航面板中，选择工作区。这会列出你 Azure 订阅中所有现有的工作空间。
选择你在第4步创建的工作区。这个操作会打开你在工作室的工作空间。
选择“ 创建项目”。
输入项目的名称。
保持“为我创建一个存储容器”选项处于选中状态。
在 选择存储账户中，选择你在第一步创建的存储账户。为该项目创建了一个新的存储容器。

注释

“ 为我创建存储容器 ”选项，在与你的工作区和项目相同的资源组中创建一个新的存储容器资源。这种方法是项目所需的存储容器配置的推荐方式。要创建和管理其他场景的独立存储容器，请使用第8步。
选择“创建”。

注释

选择“ 创建”后，项目最初处于 “接受 ”状态。刷新页面，等待 预配状态 更改为 “成功 ”，然后再继续。

使用 Bicep 部署 Microsoft Discovery 的前置基础设施。部署创建了使用 Discovery 工作空间、超级计算机和项目所需的基础 Azure 资源。

Bicep 是一种特定于域的语言 (DSL)，使用声明性语法来部署 Azure 资源。它提供简明的语法、可靠的类型安全性以及对代码重用的支持。 Bicep 为 Azure 中的基础结构即代码解决方案提供最佳的编写体验。

查阅 Bicep 文件

本快速入门使用 Azure 快速入门模板中的 Bicep 文件。

在本快速入门中，你将完整的Microsoft发现堆栈部署到 Sweden Central。部署会创建一个具有 10.0.0.0/16 地址空间的虚拟网络，并为超级计算机节点池、AKS、工作区、专用终结点和代理配置五个子网。部署时为 Discovery Studio 和 VS Code 提供了启用 CORS 规则的 Standard_LRS 存储账户。它创建一个由用户指定的托管身份，包含 存储块数据贡献者、 发现平台贡献者和 AcrPull 角色分配。核心发现资源包括一台拥有 Standard_D4s_v6 节点池（从 0 到 3 节点扩展）的超级计算机、一个带有聊天模型部署的工作区、一个存储容器和一个项目。

注释

启用统一的工作台（预览）。 统一的工作台（Workbench）包含 GitHub Copilot 和 AI 功能，目前处于预览阶段。要启用它，部署带有标签 discovery.workbench.enableGhcpAiFeatures: true 和 discovery.workbench.enableExtensions: true的工作区。你如何访问工作台取决于工作区 networkIsolation 的设置：

当 networkIsolation 设置为 false时，工作台开箱即用。
当 networkIsolation 设置为 true时，你必须与部署工作区的虚拟网络建立 VPN（或 ExpressRoute）连接。

更多信息请参见 Microsoft Discovery 中使用 GitHub Copilot。

注释

Microsoft Discovery 资源类型（包括工作空间、超级计算机、节点池和书架）的标签是不可变的。资源创建后，你无法添加、更改或移除其标签。在部署前，在模板中定义所有必需标签;任何标签修改，包括添加标签，都需要重新部署资源。

@description('Azure region for all resources. Must be a Discovery-supported region.')
@allowed([
  'eastus'
  'swedencentral'
  'uksouth'
])
param location string = 'uksouth'

@description('Azure region for all dataplane resources. Defaults to location when not specified.')
param overridemrgregion string = location

@description('Name of the Microsoft Discovery Supercomputer. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param supercomputerName string = 'sc-${uniqueString(resourceGroup().id)}'

@description('Name of the Node Pool created under the Supercomputer. Must be 1-12 lowercase alphanumeric characters, starting with a letter.')
@minLength(1)
@maxLength(12)
param nodePoolName string = 'nodepool1'

@description('Name of the Microsoft Discovery Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param workspaceName string = 'ws-${uniqueString(resourceGroup().id)}'

@description('Name of the Chat Model Deployment created under the Workspace.')
@minLength(3)
@maxLength(24)
param chatModelDeploymentName string = 'gpt-5-4'

@description('Name of the Microsoft Discovery Storage Container resource. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param storageContainerName string = 'stc-${uniqueString(resourceGroup().id)}'

@description('Name of the Project created under the Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param projectName string = 'prj-${uniqueString(resourceGroup().id)}'

@description('Name of the Virtual Network. Must be 2-64 characters: letters, numbers, underscores, periods, or hyphens; must start with a letter or number and end with a letter, number, or underscore.')
@minLength(2)
@maxLength(64)
param vnetName string = 'discovery-vnet'

@description('Name of the NAT gateway providing explicit outbound connectivity for the workload subnets.')
param natGatewayName string = 'nat-${uniqueString(resourceGroup().id)}'

@description('Name of the static Standard IPv4 public IP used by the NAT gateway.')
param natGatewayPublicIpName string = 'pip-nat-${uniqueString(resourceGroup().id)}'

@description('Name of the User-Assigned Managed Identity.')
param managedIdentityName string = 'uami-${uniqueString(resourceGroup().id)}'

@description('Globally unique name of the Azure Storage Account (3-24 lowercase alphanumeric characters).')
@minLength(3)
@maxLength(24)
param storageAccountName string = 'stg${uniqueString(resourceGroup().id)}'

@description('Name of the blob container inside the Storage Account used for Discovery outputs.')
param blobContainerName string = 'discoveryoutputs'

@description('Replication SKU for the Storage Account. Zone/geo-redundant options are recommended over locally-redundant storage for resiliency.')
@allowed([
  'Standard_ZRS'
  'Standard_GRS'
  'Standard_GZRS'
  'Standard_RAGRS'
  'Standard_RAGZRS'
])
param storageAccountSku string = 'Standard_GRS'

@description('Address space for the Virtual Network.')
param vnetAddressPrefix string = '10.0.0.0/16'

@description('Address prefix for the Supercomputer Node Pool subnet.')
param supercomputerNodepoolSubnetPrefix string = '10.0.1.0/24'

@description('Address prefix for the AKS system subnet used by the Supercomputer.')
param aksSubnetPrefix string = '10.0.2.0/24'

@description('Address prefix for the Workspace subnet (delegated to Microsoft.App/environments).')
param workspaceSubnetPrefix string = '10.0.3.0/24'

@description('Address prefix for the Private Endpoint subnet.')
param privateEndpointSubnetPrefix string = '10.0.4.0/24'

@description('Address prefix for the Agent subnet.')
param agentSubnetPrefix string = '10.0.5.0/24'

@description('Address prefix for Search Subnet.')
param searchSubnetPrefix string = '10.0.6.0/24'

@description('Address prefix for the Supercomputer management subnet used by AKS API Server VNet Integration. Must be /28 or larger.')
param managementSubnetPrefix string = '10.0.7.0/28'

@description('VM SKU for the Node Pool.')
param nodePoolVmSize string = 'Standard_D4s_v6'

@description('Maximum number of nodes in the Node Pool.')
@minValue(1)
param nodePoolMaxNodeCount int = 3

@description('Minimum number of nodes in the Node Pool (0 allows scale-to-zero).')
@minValue(0)
param nodePoolMinNodeCount int = 0

@description('Scale set priority for the Node Pool.')
@allowed([
  'Regular'
  'Spot'
])
param nodePoolScaleSetPriority string = 'Regular'

@description('Chat model format.')
param chatModelFormat string = 'OpenAI'

@description('Chat model name to deploy.')
param chatModelName string = 'gpt-5.4'

@description('Enable GitHub Copilot and AI features in the Discovery workspace via the discovery.workbench.enableGhcpAiFeatures tag.')
param enableGhcpAiFeatures bool = true

@description('Enable the VS Code Extension Marketplace in the Discovery workspace via the discovery.workbench.enableExtensions tag.')
param enableExtensions bool = true

@description('Workspace network isolation mode via the NetworkIsolation tag. Set to false to enable public preview access as documented in the Infrastructure portal quickstart.')
param networkIsolation bool = true

// Built-in role definition IDs
var storageBlobDataContributorRoleId = 'ba92f5b4-2d11-453d-a403-e96b0029c9fe'
var discoveryPlatformContributorRoleId = '01288891-85ee-45a7-b367-9db3b752fc65'
var acrPullRoleId = '7f951dda-4ed3-4680-a7ca-43fe172d538d'

resource natGatewayPublicIp 'Microsoft.Network/publicIPAddresses@2024-05-01' = {
  name: natGatewayPublicIpName
  location: overridemrgregion
  sku: {
    name: 'Standard'
    tier: 'Regional'
  }
  properties: {
    publicIPAllocationMethod: 'Static'
    publicIPAddressVersion: 'IPv4'
  }
}

resource natGateway 'Microsoft.Network/natGateways@2024-05-01' = {
  name: natGatewayName
  location: overridemrgregion
  sku: {
    name: 'Standard'
  }
  properties: {
    publicIpAddresses: [
      {
        id: natGatewayPublicIp.id
      }
    ]
  }
}

resource vnet 'Microsoft.Network/virtualNetworks@2024-05-01' = {
  name: vnetName
  location: overridemrgregion
  properties: {
    addressSpace: {
      addressPrefixes: [
        vnetAddressPrefix
      ]
    }
    subnets: [
      {
        name: 'supercomputerNodepoolSubnet'
        properties: {
          addressPrefix: supercomputerNodepoolSubnetPrefix
          defaultOutboundAccess: false
          natGateway: {
            id: natGateway.id
          }
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'aksSubnet'
        properties: {
          addressPrefix: aksSubnetPrefix
          defaultOutboundAccess: false
          natGateway: {
            id: natGateway.id
          }
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'workspaceSubnet'
        properties: {
          addressPrefix: workspaceSubnetPrefix
          defaultOutboundAccess: false
          natGateway: {
            id: natGateway.id
          }
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'privateEndpointSubnet'
        properties: {
          addressPrefix: privateEndpointSubnetPrefix
          defaultOutboundAccess: false
        }
      }
      {
        name: 'agentSubnet'
        properties: {
          addressPrefix: agentSubnetPrefix
          defaultOutboundAccess: false
          natGateway: {
            id: natGateway.id
          }
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'searchSubnet'
        properties: {
          addressPrefix: searchSubnetPrefix
          defaultOutboundAccess: false
          natGateway: {
            id: natGateway.id
          }
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'sc-mgmt'
        properties: {
          addressPrefix: managementSubnetPrefix
          defaultOutboundAccess: false
          delegations: [
            {
              name: 'Microsoft.ContainerService.managedClusters'
              properties: {
                serviceName: 'Microsoft.ContainerService/managedClusters'
              }
            }
          ]
        }
      }
    ]
  }
}

resource managedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2024-11-30' = {
  name: managedIdentityName
  location: overridemrgregion
  properties: {
    isolationScope: 'Regional'
  }
}

resource storageAccount 'Microsoft.Storage/storageAccounts@2023-05-01' = {
  name: storageAccountName
  location: overridemrgregion
  kind: 'StorageV2'
  sku: {
    name: storageAccountSku
  }
  dependsOn: [
    vnet
  ]
  properties: {
    accessTier: 'Hot'
    allowBlobPublicAccess: false
    allowSharedKeyAccess: false
    minimumTlsVersion: 'TLS1_2'
    supportsHttpsTrafficOnly: true
    // NOTE: defaultAction is intentionally 'Allow'. 
    networkAcls: {
      defaultAction: 'Allow'
      bypass: 'AzureServices'
      virtualNetworkRules: [
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'searchSubnet')
          action: 'Allow'
        }
      ]
    }
  }
}

resource blobServices 'Microsoft.Storage/storageAccounts/blobServices@2023-05-01' = {
  parent: storageAccount
  name: 'default'
  properties: {
    cors: {
      corsRules: [
        {
          allowedOrigins: [
            'https://studio.discovery.microsoft.com'
            'https://*.vscode-cdn.net'
            'https://vscode.dev'
          ]
          allowedMethods: [
            'GET'
            'HEAD'
            'DELETE'
            'PUT'
          ]
          allowedHeaders: [
            '*'
          ]
          exposedHeaders: [
            '*'
          ]
          maxAgeInSeconds: 200
        }
      ]
    }
  }
}

resource blobContainer 'Microsoft.Storage/storageAccounts/blobServices/containers@2023-05-01' = {
  parent: blobServices
  name: blobContainerName
  properties: {
    publicAccess: 'None'
  }
}

resource storageBlobDataContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(storageAccount.id, managedIdentity.id, storageBlobDataContributorRoleId)
  scope: storageAccount
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', storageBlobDataContributorRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource discoveryPlatformContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, discoveryPlatformContributorRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId(
      'Microsoft.Authorization/roleDefinitions',
      discoveryPlatformContributorRoleId
    )
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource acrPullAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, acrPullRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', acrPullRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource supercomputer 'Microsoft.Discovery/supercomputers@2026-06-01' = {
  name: supercomputerName
  location: location
  tags: {
    version: 'v2'
    'discovery.overridemrgregion': string(overridemrgregion)
  }
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
    managementSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'sc-mgmt')
    identities: {
      clusterIdentity: {
        id: managedIdentity.id
      }
      kubeletIdentity: {
        id: managedIdentity.id
      }
      workloadIdentities: {
        '${managedIdentity.id}': {}
      }
    }
  }
}

resource nodePool 'Microsoft.Discovery/supercomputers/nodePools@2026-06-01' = {
  parent: supercomputer
  name: nodePoolName
  location: location
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
    vmSize: nodePoolVmSize
    maxNodeCount: nodePoolMaxNodeCount
    minNodeCount: nodePoolMinNodeCount
    scaleSetPriority: nodePoolScaleSetPriority
  }
}

resource workspace 'Microsoft.Discovery/workspaces@2026-06-01' = {
  name: workspaceName
  location: location
  tags: {
    version: 'v2'
    'discovery.workbench.enableGhcpAiFeatures': string(enableGhcpAiFeatures)
    'discovery.workbench.enableExtensions': string(enableExtensions)
    'discovery.overridemrgregion': string(overridemrgregion)
    NetworkIsolation: string(networkIsolation)
  }
  dependsOn: [
    vnet
  ]
  properties: {
    workspaceIdentity: {
      id: managedIdentity.id
    }
    supercomputerIds: [
      supercomputer.id
    ]
    agentSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
    privateEndpointSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'privateEndpointSubnet')
    workspaceSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
  }
}

resource chatModelDeployment 'Microsoft.Discovery/workspaces/chatModelDeployments@2026-06-01' = {
  parent: workspace
  name: chatModelDeploymentName
  location: location
  properties: {
    modelFormat: chatModelFormat
    modelName: chatModelName
  }
}

resource discoveryStorageContainer 'Microsoft.Discovery/storageContainers@2026-06-01' = {
  name: storageContainerName
  location: location
  properties: {
    storageStore: {
      kind: 'AzureStorageBlob'
      storageAccountId: storageAccount.id
    }
  }
}

resource project 'Microsoft.Discovery/workspaces/projects@2026-06-01' = {
  parent: workspace
  name: projectName
  location: location
  dependsOn: [
    chatModelDeployment
  ]
  properties: {
    storageContainerIds: [
      discoveryStorageContainer.id
    ]
  }
}

@description('Resource ID of the Supercomputer.')
output supercomputerId string = supercomputer.id

@description('Resource ID of the Node Pool.')
output nodePoolId string = nodePool.id

@description('Resource ID of the Workspace.')
output workspaceId string = workspace.id

@description('Resource ID of the Chat Model Deployment.')
output chatModelDeploymentId string = chatModelDeployment.id

@description('Resource ID of the Discovery Storage Container.')
output storageContainerId string = discoveryStorageContainer.id

@description('Resource ID of the Project.')
output projectId string = project.id

@description('Resource ID of the User-Assigned Managed Identity.')
output managedIdentityId string = managedIdentity.id

@description('Resource ID of the Storage Account.')
output storageAccountId string = storageAccount.id

@description('Resource ID of the Virtual Network.')
output vnetId string = vnet.id

Bicep 文件定义了多个 Azure 资源：

Microsoft。网络/virtualNetworks - 具有五个子网的虚拟网络，用于超级计算机节点池、AKS、工作区、专用终结点和代理工作负荷。
Microsoft.ManagedIdentity/userAssignedIdentities - 用于超算和工作区身份验证的用户分配的托管标识。
Microsoft。Storage/storageAccounts - Azure Blob 存储帐户，其中包含 Discovery Studio 和 VS Code 集成的 CORS 规则。
Microsoft.Authorization/roleAssignments - 为托管标识分配存储 BLOB 数据参与者、Discovery 平台参与者和 AcrPull 角色。
Microsoft/Discovery/supercomputers - 具有集群、kubelet 和工作负荷标识的超级计算机资源。
Microsoft.Discovery/超级计算机/nodePools - 可配置的节点池，具有 VM 大小、最小/最大节点数以及规模集优先级。
Microsoft.Discovery/workspaces - 链接到具有代理、专用终结点和工作区子网的超级计算机的工作区。
Microsoft/Discovery/workspaces/chatModelDeployments - 工作区下的聊天模型部署。
Microsoft。Discovery/storageContainers - Azure Blob 存储帐户支持的存储容器。
Microsoft.Discovery/工作区/项目 - 项目关联到存储容器。

部署 Bicep 文件

将 Bicep 文件在本地计算机上另存为 main.bicep。
将 <prescribedSCName> 和 <presecribedWSName> 占位符替换为您要使用的超级计算机和工作区名称。如果你部署到非 location的地区，请更新swedencentral参数。

使用 Azure CLI 或 Azure PowerShell 部署 Bicep 文件。

Azure CLI

az group create --name exampleRG --location swedencentral
az deployment group create --resource-group exampleRG --template-file main.bicep --parameters location=swedencentral supercomputerName=<prescribedSCName> workspaceName=<presecribedWSName>

Azure PowerShell

New-AzResourceGroup -Name exampleRG -Location swedencentral
New-AzResourceGroupDeployment -ResourceGroupName exampleRG -TemplateFile ./main.bicep -location swedencentral -supercomputerName <prescribedSCName> -workspaceName <presecribedWSName>

部署完成后，可看到一条指示部署成功的消息。

验证部署

使用 Azure 门户、Azure CLI 或 Azure PowerShell 列出资源组中已部署的资源。

Azure CLI

az resource list --resource-group exampleRG

Azure PowerShell

Get-AzResource -ResourceGroupName exampleRG

清理资源

当你不再需要这些资源时，可以使用 Azure 门户、Azure CLI 或 Azure PowerShell 删除资源组中的所有资源。

Azure CLI

az group delete --name exampleRG

Azure PowerShell

Remove-AzResourceGroup -Name exampleRG

后续步骤

在你搭建基础设施并创建项目后，请使用以下资源：

在 Microsoft Discovery Studio 中开始使用智能体和共享会话
请查看Microsoft Discovery常见问题解答，了解常见的部署、网络、安全、配额和清理问题。

反馈

此页面是否有帮助？

上次更新时间为 2026-10-01

快速启动：部署Microsoft Discovery基础设施

Prerequisites

部署 Microsoft Discovery 基础设施

1.设置网络、标识和存储

a. 向管理员分配角色

b. 创建虚拟网络和子网

c. 创建用户分配的托管标识（UAMI）

d. 向 UAMI 分配 Azure 基于角色的访问控制 (RBAC) 角色

e. 创建 Azure Blob 存储帐户

创建 Blob 容器

启用 CORS 和 UAMI 访问

2. 创建超级计算机

3.创建节点池

4.创建工作区

5. 在托管资源组上分配 Foundry 用户角色

6. 创建聊天模型部署

7. 登录 Microsoft Discovery Studio

8. （可选）创建一个独立的存储容器

9. 创建项目

后续步骤

反馈

其他资源