使用虛擬網路（VNet）來隔離 Microsoft Foundry 中的評估流量。 本文將協助您選擇適當的網路設定指引、設定評估特定需求，並解決常見的網路相關評估錯誤。
先決條件
- 位於支援 VNet 評估的區域中的 Foundry 專案。
- 設定網路隔離及指派 Azure 角色型存取控制（RBAC）角色的權限。
- 一個可委派用於網路插入的 VNet 和子網路，或是使用僅供評估的設定範本來部署這些資源的權限。
選擇網路設定指引
請參考下表，找到適合你情境的網路指引。 請回本文章了解針對評估的需求與故障排除。
| 目標 | Guidance |
|---|---|
| 了解網路隔離選項，並設定私有端點、DNS、防火牆允許清單及公共網路存取。 | 為 Microsoft Foundry 設定網路隔離 |
| 使用 Microsoft 管理的 VNet 解決方案來進行外撥網路隔離。 | 為 Foundry 專案設定受管理的 VNet |
| 將受管理的 VNet 連接到本地或非 Azure 資源。 | 從 Foundry 管理的網路存取本地資源 |
| 配置完整的私有網路設定，包含 Foundry 代理服務。 | 為 Foundry 代理服務建立私有網路 |
| 了解代理服務的網路架構、流量、子網大小及 IP 分配。 | 深入探討 Foundry Agent Service 的網絡 |
| 使用程式代理程式協助規劃與配置 Foundry 資源與網路。 | 在程式碼代理程式中使用 Microsoft Foundry 技能 |
配置評估網路需求
虛擬網路的評估支援需要透過子網路委派進行網路注入。 如果你只需要評估功能，且不需要完整的代理支援，例如 Azure Cosmos DB、Azure AI 搜尋服務 或專案能力主機，請使用簡化版的僅評估設定範本（15a）。 該範本部署一個最低限度的網路安全環境，用於評估情境。
這很重要
為避免評估和紅隊測試執行失敗，請在專案初始設定期間，於 Foundry 資源範圍內將 Foundry User 角色指派給專案的受控識別。
這很重要
Foundry RBAC 角色最近已重新命名。 Foundry 用戶、Foundry 擁有者、Foundry Account Owner 以及 Foundry Project Manager 先前分別被稱為 Azure AI 使用者、Azure AI 擁有者、Azure AI 帳戶擁有者及 Azure AI Project 管理者。 在更名期間，你可能還會在某些地方看到之前的名字。角色 ID 與核心權限不會因命名而改變。
如果你連接 Application Insights，評估資料會被傳送到它。
虛擬網路區域支援
你可以帶著自己的VNet在以下地區進行評估：
| 美洲 | 歐洲 | 亞太地區 | 中東與非洲 |
|---|---|---|---|
| 巴西南部 | 法國中部 | 澳大利亞東部 | 南非北部 |
| 加拿大中部 | 德國中西部 | 日本東部 | 阿拉伯聯合大公國北部 |
| 加拿大東部 | 義大利北部 | 南韓中部 | |
| 美國東部 | 挪威東部 | 印度南部 | |
| 美國東部 2 | 波蘭中部 | 東南亞 | |
| 美國中北部 | 西班牙中部 | ||
| 美國中南部 | 瑞典中部 | ||
| 美國西部 | 瑞士北部 | ||
| 美國西部 2 | 英國南部 | ||
| 美國西部 3 | 西歐 |
配置虛擬網路支援以產生資料
綜合資料產生與從追蹤產生資料集所使用的網路插入方式，與評估相同，都是透過子網路委派來完成。 使用僅評估的設定範本（15a）來部署所需的網路安全環境。
關於資料產生區域的可用性，請參見 支援的資料產生區域。
排除虛擬網路評估錯誤
診斷你的虛擬網路配置
從一台有私有連線的虛擬網路機器執行 VNet 專案設定診斷 。 該腳本檢查現有的 Foundry 專案設定及其網路連線，無需執行評估或更改 Azure 資源。
依照使用指南準備前置條件，執行適當的診斷檢查，並檢視產生 diagnostics.md 的報告。 報告提供可行的發現、支持證據、已知限制及修復指引，協助您解決設定問題。
評估執行作業會持續進行，直到逾時為止
評估執行可能持續處於 進行 中，原因包括網路隔離設定未完成、必須的私有端點未設定且公共網路存取被停用，或專案的管理身份沒有權限更新執行狀態。
若要解決此問題：
- 請確認網路注入和子網路委派已依照 設定 Microsoft Foundry 的網路隔離 中的說明完成設定。 如果你只需要評估功能，可以將你的部署與 僅評估的設定範本（15a）做比較。
- 如果公共網路存取被停用，請確認所需的私有端點已設定並核准，且私有 DNS 是否解決了注入到 Foundry 專案的網路資源端點。
- 確保 Foundry 專案已完成功能主機設定。 我們確實需要具備在 Foundry 帳戶層級和專案層級進行託管的能力。 如果您尚未設定 Foundry 專案層級功能主機，請使用 Bicep 範本 add-project-capability-host 進行設定。
- 確認專案的管理身份在 Foundry 資源範圍內是否擁有 Foundry 使用者 角色。
- 對於大型資料集，則以較小的代表性子集進行評估。 如果較小的測試完成，請縮小資料集大小或將資料集拆分成多個評估跑。
評估執行無法開始，並顯示 403 錯誤
錯誤顯示網路存取已被停用，公共網路存取也被停用，但評估服務無法透過 VNet 存取一個或多個所需資源。
Error: Public access is disabled. Please configure private endpoint.
若要解決此問題：
- 在錯誤細節或評估診斷中標示資源主機名稱。
- 確認網路注入與子網路委派是否已設定為評估功能。
- 確認受影響資源的私有端點已設定並核准。
- 確認私有 DNS 是否解析主機名稱，且網路規則是否允許從 VNet 內部存取。
- 網路設定變更生效後，請重試評估執行。
對於其他 403 錯誤，請確認啟動執行者的 RBAC 指派及專案的管理身份。 關於更具體的評估問題，請參見 故障排除、評估與可觀察性問題。
自訂 DNS 無法解析私有端點
如果你為虛擬網路定義 自訂 DNS 伺服器 ，系統不會自動查詢與該虛擬網路連結的私有 DNS 區域。 自訂 DNS 設定會覆蓋名稱解析順序。
要啟用自訂 DNS 來解析私有區域，請在與該私有區域連結的虛擬網路中使用 Azure DNS 私人解析器。 關於配置指引，請參見 集中式 DNS 架構。
如果你的自訂 DNS 伺服器是在 Azure 虛擬機器上運行，請為私有區域設定條件轉發器。 將轉發者的目的地設為 Azure DNS 的 IP 位址。 168.63.129.16