快速啟動：部署 Microsoft Discovery 基礎架構

在這個快速入門中，你將建立 Microsoft Discovery 環境，以便執行你的第一個 AI 驅動科學調查。 你可以用兩種方式完成設定：

• Azure 入口網站 – 透過有導覽的逐步體驗手動建立每個資源。 如果你想了解每個元件，或偏好以使用者介面為驅動的工作流程，可以選擇這條路徑。
• Bicep – 用單一基礎設施即程式碼範本部署全端。 如果你想要一個可重複、自動化的部署，就選擇這條路徑。

這兩條路徑都配置相同的核心資源：網路、身份、儲存、帶有節點池的超級電腦、部署聊天模型的工作空間、儲存容器，以及專案。

在「部署 Microsoft Discovery 基礎架構」中，選擇與您偏好體驗相符的分頁。

Prerequisites

以下先決條件適用於 Azure 入口網站與 Bicep 體驗：

• 已啟用 Microsoft Discovery 存取權（已列入允許清單）的有效 Azure 訂閱。 如果您的訂閱尚未啟用，請聯絡您的 Microsoft 帳戶 代表申請存取權限。

• 在您的 Azure 訂閱中，有足夠的權限來註冊資源提供者、指派角色及建立資源：

  • 必須具備 擁有者、角色型存取控制管理員 或 使用者存取管理員 角色，才能為管理和使用 Discovery 資源的系統管理員（平台管理員、科學家和工程師）指派角色。 完整的所需角色清單，請參見「角色對應的所需身份」。

  • 註冊資源提供者並建立資源群組時，需要一個貢獻者或較高的權限角色（例如擁有者）。

    Tip

    若要在單一冪固指令中指派完整的 平台管理員 角色集，請使用開源 Set-DiscoveryRoleAssignments.ps1 的 PowerShell 腳本。 請參考「使用 PowerShell 指令碼指派 Microsoft Discovery 角色」。 此方法是多用戶上線的推薦路徑。

• 請在您的訂閱中註冊所需的資源提供者 。 欲了解更多資訊，請參閱 資源提供者註冊。 若要註冊 Microsoft.Discovery：

  1. 登入 Azure 入口網站。
  2. 前往 [訂用帳戶]，然後選取您的訂用帳戶。
  3. 在左側選單中，選擇 資源提供者。
  4. 搜尋 Microsoft.Discovery。
  5. 選擇提供者名稱並選擇 註冊。

  Note

  請確保您的訂閱中也註冊了以下資源提供者。 若未登記，請登記：Microsoft.Network、Microsoft.Compute、Microsoft.Storage、Microsoft.ManagedIdentity、Microsoft.AlertsManagement、Microsoft.Authorization、Microsoft.CognitiveServices、Microsoft.ContainerInstance、Microsoft.ContainerRegistry、Microsoft.ContainerService、Microsoft.DocumentDB、Microsoft.Features、Microsoft.KeyVault、Microsoft.MachineLearningServices、Microsoft.OperationalInsights、Microsoft.ResourceGraph、Microsoft.Search、Microsoft.Web， Microsoft.Insights，Microsoft.Resources，Microsoft.Sql，Microsoft.App，Microsoft.Bing

• 指派探索 NSP 邊界聯結者角色。 Microsoft Discovery 的工作空間、書架和超級電腦預設採用網路安全邊界（NSP）規則進行網路強化。 在建立第一個工作區、書架或超級電腦之前，您必須建立 Discovery NSP Perimeter Joiner 自訂角色。 建立後，請將 Discovery NSP Perimeter Joiner 自訂角色和 Reader 角色指派給 Discovery 控制平面服務應用程式（第一方服務主體），讓控制平面能夠在您的訂用帳戶中設定網路安全周邊。 有關詳細的操作步驟，請參閱 指派 NSP 範圍連接角色。

• Microsoft Foundry、Azure OpenAI 配額，以及 VM SKU/quotas 在你選擇的區域內提供。 請參閱配額保留。

• 現有 資源群組，或建立 新資源群組的權限。 建立資源群組需要在訂閱中具有貢獻者角色。

Important

Microsoft Discovery 資源支援三個生產區域：東美國、瑞典中部，以及英國南部。 為了化繁為簡，請將單一部署的所有資源建立在相同的區域、訂閱與資源群組中。

Note

你可以將虛擬網路與一個 Microsoft Discovery 工作空間關聯。 如果你需要多個工作區，為每個工作區建立獨立的虛擬網路和子網。

Important

如果你將網路資源部署到與其他 Discovery 資源不同的資源群組，務必為自己在虛擬網路資源群組中分配適當的權限，讓超級電腦資源能成功部署。 需要考慮的權限包括 Network Contributor 和 Microsoft Discovery Platform Administrator（預覽版）。 如果你使用 Bicep 範本，請更新它，在該獨立資源群組中建立虛擬網路。

Tip

你可以部署 Discovery 資源，並且完全隔離網路。 啟用後 networkIsolation ，所有資源皆在私有網路內被保護，且僅能透過私有端點及網路安全邊界（NSP）存取。 你仍然可以透過 Discovery Studio 和 REST API 透過公共網路存取工作區。 若要鎖定只存取你的私人網路，請關閉工作區的公共網路存取，並為工作空間資源建立私有端點。 如需指引，請參閱「為 Microsoft Discovery 工作空間設定網路安全」。

部署 Microsoft Discovery 基礎架構

選擇 Azure 入口網站標籤來手動建立每個資源，或選擇 Bicep 標籤，使用基礎設施即程式碼範本部署全端。

Azure portal

使用 Azure 入口網站，透過引導式體驗建立每個 Microsoft Discovery 資源。

1. 建立網路、身份與儲存

在部署 Microsoft Discovery 基礎架構元件前，請先使用現有資源群組或建立新資源群組。

a. 將角色分配給管理員

Tip

你不必透過 Azure 入口網站逐一指派下列角色，而是可以使用開放原始碼的 PowerShell 指令碼，透過單一等冪命令指派完整的 Set-DiscoveryRoleAssignments.ps1 角色集合。 請參考「使用 PowerShell 指令碼指派 Microsoft Discovery 角色」。 這是推薦的多用戶入門路徑。

在所需範圍（訂閱或資源群組）為使用者指派以下內建角色：

• Microsoft Discovery Platform Administrator （預覽版）
• 受控識別參與者
• 受控識別操作員
• 儲存帳戶貢獻者
• Storage Blob 資料貢獻者
• 網路參與者
• ACRPush
• Foundry 使用者
• Microsoft Discovery 書架索引資料閱讀器 - 預覽版

Note

如果您在訂閱層級指派所有角色，您可以跳過此段說明。 如果你是在資源群組層級指派角色，暫時可以跳過 Foundry User 角色。 在建立工作區資源後，繼續下一步並重新檢視這個角色指派。 此角色必須在工作區管理的資源群組層級指派給每位平台管理員或科學家。

分配角色的步驟：

1. 登入 Azure 入口網站。
2. 前往 [訂用帳戶]，然後選取您的訂用帳戶。
3. 在左側選單中，選擇存取控制（IAM）。
4. 選取 [新增]，然後選取 [新增角色指派]。
5. 在 「新增角色指派 」面板中，一次搜尋每個角色，然後選擇 「下一步」。
6. 在 「成員 」標籤中，確保 「存取權分配」 設定為 使用者、群組或服務主體。
7. 選擇 + 選擇成員，選擇要指派此權限的成員，然後選擇 下一步。
8. 在 條件 標籤中，選擇 允許使用者指派除擁有者、UAA、RBAC（推薦）以外的所有角色，然後選擇 「下一步」。
9. 在 「任務類型 」標籤中，選擇最適合你組織的配置，然後選擇 「下一步」。
10. 在 「Review + assign 」標籤中，驗證資訊，選擇 Review + assign。

對所有必要職位重複這個流程。

b. 建立虛擬網路和子網路

1. 登入 Azure 入口網站。
2. 搜尋 虛擬網路 ，從結果中選擇。
3. 選擇 建立 以開始建立新的虛擬網路。
4. 輸入訂閱、資源群組、名稱和區域等細節，然後選擇 「下一步」。
5. 設定 IP 位址：
   • IPv4 位址空間：輸入你選擇的 CIDR（無類別 Inter-Domain 路由）區塊（例如 10.0.0.0/16）。
   • 新增以下子網：
     • supercomputerNodepoolSubnet: 10.0.1.0/24
     • aksSubnet: 10.0.2.0/24
     • workspaceSubnet: 10.0.3.0/24
     • privateEndpointSubnet: 10.0.4.0/24
     • agentSubnet: 10.0.5.0/24
     • searchSubnet: 10.0.6.0/24
6. 對於 workspaceSubnet、agentSubnet 和 searchSubnet，在 SubnetDelegation 下，選擇 Microsoft.App/environments。
7. 對於 workspaceSubnet、agentSubnet、supercomputerNodepoolSubnet 和 aksSubnet，在 Service Endpoints 下，新增 Microsoft.Storage。
8. 你可以選擇將子網路從列表中移除 default 。
9. 檢視並建立虛擬網絡。

Note

此步驟未提及網路安全群組（NSG），但一般最佳實務是根據你組織的政策，為虛擬網路中的每個子網實施 NSG。

c. 建立使用者指派的管理身份（UAMI）

你可以建立不同的 UAMI，每個 UAMI 都有各自的資源存取權限，或者建立一個擁有該平台所有必要權限的 UAMI。 在此練習中，請依照以下步驟建立單一 UAMI：

1. 登入 Azure 入口網站。
2. 搜尋 「受管理身份 」並從列表中選擇。
3. 選取 ，創建。
4. 填寫所需資料，如訂閱、資源群組、地區及名稱。
5. 選取 [檢閱 + 建立],然後選取 [建立]。

d. 將 Azure 角色型存取控制 (RBAC) 角色指派給 UAMI

在資源群組層級，將以下內建角色指派給新的使用者指派管理身份：

• Microsoft Discovery Platform Contributor（預覽版）
• Storage Blob 資料貢獻者
• ACRPull

1. 前往 [訂用帳戶]，然後選取您的訂用帳戶。
2. 選擇你正在進行這個練習的 資源群組 。
3. 在左側選單中，選擇存取控制（IAM）。
4. 選取 [新增]，然後選取 [新增角色指派]。
5. 在 「新增角色指派 」面板中，一次搜尋每個角色，然後選擇 「下一步」。
6. 在 「成員 」標籤中，確保 「指派存取權」 設定為 「受管理身份」。
7. 選擇 + 選取成員。 在 「選擇受管理身份 」選區，選擇您的訂閱，選擇 使用者指派的管理身份 類型，再選擇您上一步建立的管理身份，然後選擇 「選擇」。
8. 在 「Review + assign 」標籤中，驗證所有資訊，然後選擇 Review + assign。

e. 建立 Azure Blob 儲存帳戶

若要儲存調查的輸入與輸出資料，請建立一個 Azure blob 儲存帳號來與你的儲存容器綁定，或使用已有的帳號，並具備以下需求：

• 在儲存體帳戶內建立一個名為 discoveryoutputs 的容器，用來儲存輸出檔案。
• 儲存體帳戶必須允許從用於建立超級電腦和工作區的虛擬網路進行存取。
• 儲存帳號必須允許你的客戶端公共 IP 或本地網路存取，這樣你才能存取輸出資料。
• 儲存帳號必須有正確的 CORS 設定。 你必須允許這些來源：https://studio.discovery.microsoft.com、https://vscode.dev和https://*.vscode-cdn.net。 將允許的運算設為包含 GET、HEAD、DELETE 和 PUT，並將 Allowed Headers 設為 Exposed Headers，* 設為 Max Age。 此設定可在設定標籤下的資源共享（CORS）頁面中找到。
• 確保儲存帳號能 Storage Blob Data Contributor 存取 前一步建立的 UAMI。

建立 Azure Blob 存儲帳戶：

1. 登入 Azure 入口網站。
2. 搜尋 儲存帳號 ，從結果中選擇。
3. 選擇 建立 以開始建立新的儲存帳號。
4. 輸入訂閱、資源群組、名稱和區域等細節。
5. 選擇 Azure Blob 儲存體 作為主要服務，然後選擇 Networking 標籤。
6. 在公共網路存取中，選擇 啟用從特定虛擬網路和 IP 位址的公共存取。
7. 選擇虛擬網路及在 step 1 中建立的所有子網。
8. 如果你是透過網際網路存取資料，選擇 新增您的客戶端 IP 位址 ，或確保您的客戶能透過私有連結、站對站 VPN 或 ExpressRoute 存取儲存帳號和虛擬網路。
9. 選取 [檢閱 + 建立]，然後選取 [建立]。

Note

要查看和下載輸出檔案，你的客戶端或瀏覽器需要對 blob 儲存的網路存取。 你可以透過開放所有網路的公共接入來允許公共網際網路存取。 你也可以在儲存網路和防火牆設定中允許客戶的公共 IP 位址。 或者，也可以透過 Azure VPN 或 ExpressRoute 設定私人存取。

建立 Blob 容器

1. 儲存帳號建立後，請前往儲存帳號總覽頁面。
2. 在左側導覽窗格，資料 儲存選項中選擇 容器。
3. 選擇 新增容器。
4. 輸入 discoveryoutputs 名稱並選擇 「建立」。

啟用 CORS 與 UAMI 存取

1. 打開我們在前一步建立的儲存帳戶。
2. 在設定標籤中，選擇資源共享（CORS）。
3. 在 Blob 服務 的「 允許來源」 欄位中，輸入 https://studio.discovery.microsoft.com、 https://vscode.dev、 https://*.vscode-cdn.net。 對於這三者，將允許的運算設定為包括 GET、HEAD、DELETE、OPTIONS 和 PUT。 設定 Allowed Headers 和 Exposed Headers 為 *，並將 Max Age 為 200。
4. 選取 [儲存]。

2. 創建超級電腦

你需要一台超級電腦和相關的節點池來部署和執行科學工具，並將資料索引到 Bookshelf 的知識庫。 超級電腦同時執行 GPU 與 CPU 密集型工作負載，進行模擬與建模。 它會在你的訂閱內提供特定虛擬網路上的運算資源。

1. 登入 Azure 入口網站。
2. 搜尋 Microsoft Discovery Supercomputers。
3. 選擇 建立 並輸入詳細資訊，例如訂閱ID、資源群組名稱、地點和名稱，然後選擇 下一步。
4. 在網路標籤中，選擇你在aksSubnet 中建立的虛擬網路，然後選擇下一步。
5. 在系統 SKU 標籤中，選擇 Standard_D4s_v6 作為本次部署的系統 SKU，並選擇 下一步。
6. 在 「身份」 標籤中，新增你在 第一步 建立的使用者指派管理身份（UAMI），分別用於叢集身份、Kubelet 身份和工作負載身份。 超級電腦實例會使用這種受管理身份來存取 Azure 資源中的資料。 完成後，選取下一步。
7. 在 Encryption 標籤中，由於這次練習使用 Microsoft 管理的金鑰，請取消選中「啟用客戶管理金鑰」選項，然後選擇下一步。
8. 需要時新增標籤，然後移到下一個分頁。
9. 請檢視條款與條件，選擇 「下一步」。
10. 驗證成功後，選擇 「建立」。

3. 建立節點池

建立超級電腦後，請依照以下步驟建立節點池：

1. 打開我們在前一步建立的超級電腦。
2. 在左側窗格中，於設定下選擇節點池，然後選擇建立。
3. 輸入節點池的名稱和位置，然後選擇 「下一步」。

   Note

   節點池名稱必須全部為小寫，最多 12 個字元，必須以字母開頭，且只能包含字母和數字。

4. 在網路標籤中，選擇你在supercomputerNodepoolSubnet 中建立的虛擬網路，然後選擇下一步。 註： 使用步驟 2 中為超級電腦選擇的同一個虛擬網路。
5. 在 虛擬機設定 標籤中，選擇用於節點池的虛擬機（VM）SKU，然後選擇 下一步。 所選的 SKU 和配額必須在你部署節點池的區域內有貨。
6. 在 縮放 區，輸入你的節點池可擴展到的最大節點數，例如：5 並選擇 下一步。
7. 選取檢閱 + 建立，然後選取建立。

4. 建立工作區

工作空間是一種協作環境，團隊在此管理大型科學計畫。 工作空間將基礎設施資源如超級電腦、代理、工具及知識庫（書架）整合於單一安全邊界中。 你可以在工作空間下建立專案，讓研究人員能組織實驗、分析資料，並在共享空間中使用 AI 代理。

Important

確保你的工作區名稱是全球唯一且只使用小寫字母。

1. 登入 Azure 入口網站。

2. 搜尋 Microsoft Discovery Workspaces。

3. 選擇 + 建立 並輸入詳細資訊，如訂閱、資源群組、名稱和區域，然後選擇 「下一頁」。

4. 在「網路」標籤中，選擇「啟用公共網路存取」以進行此練習。 接著輸入你在 第一步建立的私有端點子網、代理子網和工作區子網的詳細資料，然後選擇 下一步。

5. 在 加密 索引標籤中，請勿勾選「啟用客戶管理金鑰 (CMK)」。 在這次練習中，我們會使用 Microsoft-Managed Keys (MMK)，只需選擇Next即可進入下一個標籤頁。

6. 在 超級電腦 標籤中，選擇 新增超級電腦 ，選擇你的訂閱、資源群組，以及 步驟 2 中建立的超級電腦，然後選擇 下一步。

7. 在 工作區身份標籤 中，選擇 「新增 」，選擇 使用者指派管理身份（UAMI） 中的新增，並選擇你在 步驟 1 中建立的身份，以提供工作區存取權。

8. 在 標籤 分頁中，視需要新增標籤。 （可選）要啟用 GitHub Copilot 並設定工作區存取權限，請新增以下標籤。 詳情請參閱 Microsoft Discovery 中的 GitHub Copilot。

   • discovery.workbench.enableGhcpAiFeatures 設定為 true — 啟用此工作區的 GitHub Copilot 和 AI 功能。
   • discovery.workbench.enableExtensions 設定為 true — 在預覽體驗中啟用 VS Code 擴充市集。
   • NetworkIsolation 設定為 false — 允許公開存取預覽體驗（工作台）及其他管理資源群組（MRG）資源。 如果你預設啟用網路隔離，就必須透過 VPN 或 ExpressRoute 連接到部署工作空間的虛擬網路，才能透過私有網路存取。

   Tip

   你可以部署 Discovery 資源，並且完全隔離網路。 啟用後 networkIsolation ，所有資源皆在私有網路內被保護，且僅能透過私有端點及網路安全邊界（NSP）存取。 你仍然可以透過 Discovery Studio 和 REST API 透過公共網路存取工作區。 若要鎖定只存取你的私人網路，請關閉工作區的公共網路存取，並為工作空間資源建立私有端點。 如需指引，請參閱「為 Microsoft Discovery 工作空間設定網路安全」。

   Note

   Microsoft Discovery 資源類型（包括工作空間、超級電腦、節點池及書架）的標籤是不可變的。 資源建立後，你無法新增、更改或移除它的標籤。 任何標籤修改，包括新增標籤，都需要重新部署資源。

9. 先檢視條款與條件，然後選擇 檢視 + 建立。

10. 驗證成功後，選擇 「建立」。

5. 在受管理資源群組中指派 Foundry 使用者角色

當工作區建立時，會自動與其一併配置一個受管理的資源群組。 若要讓使用者直接在 Foundry 入口網站修改專案中的代理程式與工作流程以進行進階設定，您必須在此管理資源群組中指派他們 Foundry 使用者 角色。

1. 登入 Azure 入口網站。
2. 前往你在 步驟 4 建立的工作區，並在工作區總覽頁面找到 受管理資源群組 名稱。
3. 導航到那個受管理的資源群組。
4. 在左側選單中，選擇存取控制（IAM）。
5. 選取 [新增]，然後選取 [新增角色指派]。
6. 在 「新增角色指派 」面板中，搜尋 Foundry 使用者 並選取它，然後選擇 「下一步」。
7. 在 「成員 」標籤中，確保 「存取權分配」 設定為 使用者、群組或服務主體。
8. 選取+ 選取成員，選擇需要修改代理人和工作流程的使用者，然後選取選取。
9. 選擇 Review + assign，驗證資訊，再選擇 Review + assign。

對所有需要存取工作空間代理與工作流程的使用者重複此流程。 在 Foundry 入口網站中直接進行的任何變更，都會自動反映到 Discovery 代理程式設定中。

6. 建立聊天模型部署

聊天模型部署 提供基礎語言模型，如 GPT-5.4，供 Microsoft Discovery Workspace 使用。 專案內建立的代理程式可以使用這些聊天模型部署。

1. 請前往前一步建立的 Microsoft Discovery Workspace 的總覽頁面。

2. 在左側導覽窗格的設定標籤中，選擇「聊天模型部署」。

3. 請選擇頂部 的 + Create 選項。

4. 輸入 名稱 為 gpt-5-4。

5. 在下拉式選單中，將模型格式選為OpenAI，並將模型名稱選為gpt-5.4。

6. 然後選擇底部的 「Review + 建立 」按鈕，再選擇 「建立」。

   

Important

若要在您的工作階段中使用 Discovery Engine 和 task，您必須使用這個名稱為 gpt-5-4、模型名稱為 gpt-5.4 的特定部署。 不過，你也可以另外部署聊天模型，供代理程式使用。

你可以透過資源群組層級的 Role Based 存取控制（RBAC） 提供使用者存取權限。 Microsoft Discovery 系統管理員 (預覽版) 角色是在工作區內建立專案所必需。

7. 登入 Microsoft Discovery Studio

Microsoft Discovery Studio 是一個安全的、由 AI 驅動的研究環境。 它使科學家與工程師能透過自主代理、模擬工作流程及整合資料工具，在統一介面中加速創新。

基礎架構設置完成後，你可以直接透過網址登入 Microsoft Discovery Studio，或在Azure入口網站的工作區總覽頁面找到該網址。

您必須使用您的 Microsoft Entra ID 帳號登入工作或學校帳號。 Studio 支援使用 Microsoft Entra ID 的單一登入。 如果你已經在同一瀏覽器用 Microsoft Entra ID 登入其他服務，就不需要特別提供憑證。

Note

如果您有多個 Microsoft Entra 租戶，請在頁面右上角點選您的個人檔案圖示，選擇正確的租戶。

8. （可選）建立獨立的儲存容器

每個專案都需要一個儲存容器。 建議的配置方式是在 第 9 步的專案建立時選擇「為我建立儲存容器」。 只有在您想要建立及管理獨立儲存體容器時，才請遵循此步驟，例如要在多個專案之間重複使用同一個容器。

儲存容器將輸入與輸出資料作為儲存資產儲存。 輸入與輸出皆使用型別為 Azure 儲存體 Blob 的儲存容器，並由 step 1 建立的儲存帳號支援。

1. 在 Microsoft Discovery Studio 中，左側導覽窗格的資源區，選擇資料。
2. 選取 [建立容器]。
3. 輸入姓名、訂閱、資源群組和地點等細節。
4. 選擇步驟 1 中建立的儲存帳戶。
5. 選取 ，創建。
6. 建立專案時，你可以選擇這個儲存容器。

Note

選擇 建立後，資源初始處於 接受 狀態。 重新整理頁面，等到 配置狀態 變成 成功 後再繼續。 這項操作通常只需幾分鐘。

9. 建立專案

專案幫助你在工作空間內組織和管理科學研究。 每個專案都定義了存取代理、工具和儲存容器的功能邊界。 在專案中，你可以執行實驗、分析資料、應用 AI 模型，並在協作環境中追蹤研究進度。

Important

你的專案名稱必須全部為小寫，且不超過12個字元。 另外，建立專案前務必先刷新頁面。 你可以在工作室裡開啟工作區來建立專案。

1. 在 Microsoft Discovery Studio 左側導覽窗格，選擇「工作空間」。 這會列出你 Azure 訂閱中所有現有的工作空間。

2. 選擇你在 步驟 4 中建立的工作區。 此操作會在 Studio 中開啟你的工作區。

3. 選擇 建立專案。

4. 請輸入專案名稱。

5. 保持「為我建立儲存容器」選項為已選取狀態。

6. 在 選擇儲存帳戶時，選擇你在 步驟 1 中建立的儲存帳戶。 為此專案製作了一個新的儲存容器。

   Note

   「 為我建立儲存容器 」選項，會在與你的工作區和專案相同的資源群組中建立一個新的儲存容器資源。 此方法是佈建專案所需儲存容器的建議方法。 若要建立並管理其他情境的獨立儲存容器，請使用 步驟 8。

   

   

7. 選取 ，創建。

Note

選擇 建立後，專案初始處於 接受 狀態。 重新整理頁面，等到 配置狀態 變成 成功 後再繼續。

Bicep

使用 Bicep 部署 Microsoft Discovery 的前置基礎架構。 部署會先建立使用 Discovery 工作區、超級電腦和專案前所需的基礎 Azure 資源。

Bicep 是一種網域特定語言 （DSL），使用宣告式語法來部署 Azure 資源。 其提供簡潔的語法、可靠的類型安全，並支援程式碼重複使用。 Bicep 為你的 Azure 基礎設施即程式碼解決方案提供最佳的撰寫體驗。

檢閱 Bicep 檔案

這個快速入門指南使用 Azure 快速入門範本中的 Bicep 檔案。

在這個快速入門中，你會將完整的 Microsoft Discovery 平台部署到 Sweden Central。 部署建立一個虛擬網路，擁有 10.0.0.0/16 位址空間，並有五個子網用於超級電腦節點池、AKS、工作空間、私有端點與代理。 部署時會為 Discovery Studio 和 VS Code 提供啟用 CORS 規則的 Standard_LRS 儲存帳號。 這會建立使用者指派的受控識別，並具有 Storage Blob Data Contributor、Discovery Platform Contributor 和 AcrPull 角色指派。 核心的發現資源包括一台擁有 Standard_D4s_v6 節點池的超級電腦（節點可從 0 擴展到 3 節點）、一個帶有聊天模型部署的工作空間、一個儲存容器，以及一個專案。

Note

啟用統一的工作台（預覽）。 統一的 Workbench 包含 GitHub Copilot 與 AI 功能，目前處於預覽階段。 要啟用它，請部署帶有標籤 discovery.workbench.enableGhcpAiFeatures: true 和 discovery.workbench.enableExtensions: true的工作空間。 你如何存取工作台取決於工作區 networkIsolation 的設定：

• 當 networkIsolation 設為 false 時，Workbench 即可開箱即用。
• 當 networkIsolation 設定為 true時，您必須建立 VPN（或 ExpressRoute）連線至工作空間部署的虛擬網路。

欲了解更多資訊，請參閱 在 Microsoft Discovery 中使用 GitHub Copilot。

Note

Microsoft Discovery 資源類型（包括工作空間、超級電腦、節點池及書架）的標籤是不可變的。 資源建立後，你無法新增、更改或移除它的標籤。 部署前，先在範本中定義所有必要的標籤;任何標籤修改，包括新增標籤，都需要重新部署資源。

@description('Azure region for all resources. Must be a Discovery-supported region.')
@allowed([
  'eastus'
  'swedencentral'
  'uksouth'
])
param location string = 'uksouth'

@description('Azure region for all dataplane resources. Defaults to location when not specified.')
param overridemrgregion string = location

@description('Name of the Microsoft Discovery Supercomputer. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param supercomputerName string = 'sc-${uniqueString(resourceGroup().id)}'

@description('Name of the Node Pool created under the Supercomputer. Must be 1-12 lowercase alphanumeric characters, starting with a letter.')
@minLength(1)
@maxLength(12)
param nodePoolName string = 'nodepool1'

@description('Name of the Microsoft Discovery Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param workspaceName string = 'ws-${uniqueString(resourceGroup().id)}'

@description('Name of the Chat Model Deployment created under the Workspace.')
@minLength(3)
@maxLength(24)
param chatModelDeploymentName string = 'gpt-5-4'

@description('Name of the Microsoft Discovery Storage Container resource. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param storageContainerName string = 'stc-${uniqueString(resourceGroup().id)}'

@description('Name of the Project created under the Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param projectName string = 'prj-${uniqueString(resourceGroup().id)}'

@description('Name of the Virtual Network. Must be 2-64 characters: letters, numbers, underscores, periods, or hyphens; must start with a letter or number and end with a letter, number, or underscore.')
@minLength(2)
@maxLength(64)
param vnetName string = 'discovery-vnet'

@description('Name of the User-Assigned Managed Identity.')
param managedIdentityName string = 'uami-${uniqueString(resourceGroup().id)}'

@description('Globally unique name of the Azure Storage Account (3-24 lowercase alphanumeric characters).')
@minLength(3)
@maxLength(24)
param storageAccountName string = 'stg${uniqueString(resourceGroup().id)}'

@description('Name of the blob container inside the Storage Account used for Discovery outputs.')
param blobContainerName string = 'discoveryoutputs'

@description('Replication SKU for the Storage Account. Zone/geo-redundant options are recommended over locally-redundant storage for resiliency.')
@allowed([
  'Standard_ZRS'
  'Standard_GRS'
  'Standard_GZRS'
  'Standard_RAGRS'
  'Standard_RAGZRS'
])
param storageAccountSku string = 'Standard_GRS'

@description('Address space for the Virtual Network.')
param vnetAddressPrefix string = '10.0.0.0/16'

@description('Address prefix for the Supercomputer Node Pool subnet.')
param supercomputerNodepoolSubnetPrefix string = '10.0.1.0/24'

@description('Address prefix for the AKS system subnet used by the Supercomputer.')
param aksSubnetPrefix string = '10.0.2.0/24'

@description('Address prefix for the Workspace subnet (delegated to Microsoft.App/environments).')
param workspaceSubnetPrefix string = '10.0.3.0/24'

@description('Address prefix for the Private Endpoint subnet.')
param privateEndpointSubnetPrefix string = '10.0.4.0/24'

@description('Address prefix for the Agent subnet.')
param agentSubnetPrefix string = '10.0.5.0/24'

@description('Address prefix for Search Subnet.')
param searchSubnetPrefix string = '10.0.6.0/24'

@description('VM SKU for the Node Pool.')
param nodePoolVmSize string = 'Standard_D4s_v6'

@description('Maximum number of nodes in the Node Pool.')
@minValue(1)
param nodePoolMaxNodeCount int = 3

@description('Minimum number of nodes in the Node Pool (0 allows scale-to-zero).')
@minValue(0)
param nodePoolMinNodeCount int = 0

@description('Scale set priority for the Node Pool.')
@allowed([
  'Regular'
  'Spot'
])
param nodePoolScaleSetPriority string = 'Regular'

@description('Chat model format.')
param chatModelFormat string = 'OpenAI'

@description('Chat model name to deploy.')
param chatModelName string = 'gpt-5.4'

@description('Enable GitHub Copilot and AI features in the Discovery workspace via the discovery.workbench.enableGhcpAiFeatures tag.')
param enableGhcpAiFeatures bool = true

@description('Enable the VS Code Extension Marketplace in the Discovery workspace via the discovery.workbench.enableExtensions tag.')
param enableExtensions bool = true

@description('Workspace network isolation mode via the NetworkIsolation tag. Set to false to enable public preview access as documented in the Infrastructure portal quickstart.')
param networkIsolation bool = true

// Built-in role definition IDs
var storageBlobDataContributorRoleId = 'ba92f5b4-2d11-453d-a403-e96b0029c9fe'
var discoveryPlatformContributorRoleId = '01288891-85ee-45a7-b367-9db3b752fc65'
var acrPullRoleId = '7f951dda-4ed3-4680-a7ca-43fe172d538d'

resource vnet 'Microsoft.Network/virtualNetworks@2024-05-01' = {
  name: vnetName
  location: overridemrgregion
  properties: {
    addressSpace: {
      addressPrefixes: [
        vnetAddressPrefix
      ]
    }
    subnets: [
      {
        name: 'supercomputerNodepoolSubnet'
        properties: {
          addressPrefix: supercomputerNodepoolSubnetPrefix
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'aksSubnet'
        properties: {
          addressPrefix: aksSubnetPrefix
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'workspaceSubnet'
        properties: {
          addressPrefix: workspaceSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'privateEndpointSubnet'
        properties: {
          addressPrefix: privateEndpointSubnetPrefix
          defaultOutboundAccess: false
        }
      }
      {
        name: 'agentSubnet'
        properties: {
          addressPrefix: agentSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'searchSubnet'
        properties: {
          addressPrefix: searchSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
    ]
  }
}

resource managedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2024-11-30' = {
  name: managedIdentityName
  location: overridemrgregion
  properties: {
    isolationScope: 'Regional'
  }
}

resource storageAccount 'Microsoft.Storage/storageAccounts@2023-05-01' = {
  name: storageAccountName
  location: overridemrgregion
  kind: 'StorageV2'
  sku: {
    name: storageAccountSku
  }
  dependsOn: [
    vnet
  ]
  properties: {
    accessTier: 'Hot'
    allowBlobPublicAccess: false
    allowSharedKeyAccess: false
    minimumTlsVersion: 'TLS1_2'
    supportsHttpsTrafficOnly: true
    // NOTE: defaultAction is intentionally 'Allow'. 
    networkAcls: {
      defaultAction: 'Allow'
      bypass: 'AzureServices'
      virtualNetworkRules: [
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'searchSubnet')
          action: 'Allow'
        }
      ]
    }
  }
}

resource blobServices 'Microsoft.Storage/storageAccounts/blobServices@2023-05-01' = {
  parent: storageAccount
  name: 'default'
  properties: {
    cors: {
      corsRules: [
        {
          allowedOrigins: [
            'https://studio.discovery.microsoft.com'
            'https://*.vscode-cdn.net'
            'https://vscode.dev'
          ]
          allowedMethods: [
            'GET'
            'HEAD'
            'DELETE'
            'PUT'
          ]
          allowedHeaders: [
            '*'
          ]
          exposedHeaders: [
            '*'
          ]
          maxAgeInSeconds: 200
        }
      ]
    }
  }
}

resource blobContainer 'Microsoft.Storage/storageAccounts/blobServices/containers@2023-05-01' = {
  parent: blobServices
  name: blobContainerName
  properties: {
    publicAccess: 'None'
  }
}

resource storageBlobDataContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(storageAccount.id, managedIdentity.id, storageBlobDataContributorRoleId)
  scope: storageAccount
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', storageBlobDataContributorRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource discoveryPlatformContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, discoveryPlatformContributorRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId(
      'Microsoft.Authorization/roleDefinitions',
      discoveryPlatformContributorRoleId
    )
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource acrPullAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, acrPullRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', acrPullRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource supercomputer 'Microsoft.Discovery/supercomputers@2026-06-01' = {
  name: supercomputerName
  location: location
  tags: {
    version: 'v2'
    'discovery.overridemrgregion': string(overridemrgregion)
  }
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
    identities: {
      clusterIdentity: {
        id: managedIdentity.id
      }
      kubeletIdentity: {
        id: managedIdentity.id
      }
      workloadIdentities: {
        '${managedIdentity.id}': {}
      }
    }
  }
}

resource nodePool 'Microsoft.Discovery/supercomputers/nodePools@2026-06-01' = {
  parent: supercomputer
  name: nodePoolName
  location: location
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
    vmSize: nodePoolVmSize
    maxNodeCount: nodePoolMaxNodeCount
    minNodeCount: nodePoolMinNodeCount
    scaleSetPriority: nodePoolScaleSetPriority
  }
}

resource workspace 'Microsoft.Discovery/workspaces@2026-06-01' = {
  name: workspaceName
  location: location
  tags: {
    version: 'v2'
    'discovery.workbench.enableGhcpAiFeatures': string(enableGhcpAiFeatures)
    'discovery.workbench.enableExtensions': string(enableExtensions)
    'discovery.overridemrgregion': string(overridemrgregion)
    NetworkIsolation: string(networkIsolation)
  }
  dependsOn: [
    vnet
  ]
  properties: {
    workspaceIdentity: {
      id: managedIdentity.id
    }
    supercomputerIds: [
      supercomputer.id
    ]
    agentSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
    privateEndpointSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'privateEndpointSubnet')
    workspaceSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
  }
}

resource chatModelDeployment 'Microsoft.Discovery/workspaces/chatModelDeployments@2026-06-01' = {
  parent: workspace
  name: chatModelDeploymentName
  location: location
  properties: {
    modelFormat: chatModelFormat
    modelName: chatModelName
  }
}

resource discoveryStorageContainer 'Microsoft.Discovery/storageContainers@2026-06-01' = {
  name: storageContainerName
  location: location
  properties: {
    storageStore: {
      kind: 'AzureStorageBlob'
      storageAccountId: storageAccount.id
    }
  }
}

resource project 'Microsoft.Discovery/workspaces/projects@2026-06-01' = {
  parent: workspace
  name: projectName
  location: location
  dependsOn: [
    chatModelDeployment
  ]
  properties: {
    storageContainerIds: [
      discoveryStorageContainer.id
    ]
  }
}

@description('Resource ID of the Supercomputer.')
output supercomputerId string = supercomputer.id

@description('Resource ID of the Node Pool.')
output nodePoolId string = nodePool.id

@description('Resource ID of the Workspace.')
output workspaceId string = workspace.id

@description('Resource ID of the Chat Model Deployment.')
output chatModelDeploymentId string = chatModelDeployment.id

@description('Resource ID of the Discovery Storage Container.')
output storageContainerId string = discoveryStorageContainer.id

@description('Resource ID of the Project.')
output projectId string = project.id

@description('Resource ID of the User-Assigned Managed Identity.')
output managedIdentityId string = managedIdentity.id

@description('Resource ID of the Storage Account.')
output storageAccountId string = storageAccount.id

@description('Resource ID of the Virtual Network.')
output vnetId string = vnet.id

Bicep 檔案會定義多個 Azure 資源：

• Microsoft。Network/virtualNetworks - 虛擬網路，包含五個子網路，用於超級電腦節點池、AKS、工作空間、私有端點及代理工作負載。
• Microsoft。ManagedIdentity/userAssignedIdentities - 用於超級電腦與工作空間認證的使用者指派管理身份。
• Microsoft.Storage/storageAccounts - 具有適用於 Discovery Studio 和 VS Code 整合之 CORS 規則的 Azure Blob 儲存體 帳戶。
• Microsoft.Authorization/roleAssignments- 受控身分識別的儲存體 Blob 資料參與者、Discovery 平台參與者及 AcrPull 角色指派。
• Microsoft。Discovery/supercomputers - 具有叢集、kubelet 與工作負載身份的超級電腦資源。
• Microsoft.Discovery/supercomputers/nodePools - 可配置的節點池，具備虛擬機大小、最小/最大節點數及規模組優先順序。
• Microsoft。Discovery/workspaces - 透過代理、私有端點及工作空間子網與超級電腦連結的工作區。
• Microsoft。Discovery/workspaces/chatModelDeployments - 在工作區下部署聊天模型。
• Microsoft。Discovery/storageContainers - 由Azure Blob 儲存體帳號支援的儲存容器。
• Microsoft/Discovery/workspaces/projects - 專案連結到儲存容器。

部署 Bicep 檔案

1. 將 Bicep 檔案儲存為 本機電腦上的 main.bicep 。

2. 將 <prescribedSCName> 和 <presecribedWSName> 佔位符替換為你想使用的超級電腦和工作區名稱。 如果您要部署到 swedencentral 以外的區域，請更新 location 參數。

3. 使用 Azure CLI 或 Azure PowerShell 部署 Bicep 檔案。

   Azure CLI

   az group create --name exampleRG --location swedencentral
   az deployment group create --resource-group exampleRG --template-file main.bicep --parameters location=swedencentral supercomputerName=<prescribedSCName> workspaceName=<presecribedWSName>
   

   Azure PowerShell

   New-AzResourceGroup -Name exampleRG -Location swedencentral
   New-AzResourceGroupDeployment -ResourceGroupName exampleRG -TemplateFile ./main.bicep -location swedencentral -supercomputerName <prescribedSCName> -workspaceName <presecribedWSName>
   

當部署完成時，您會看到指出部署成功的訊息。

驗證部署

使用 Azure 入口網站、Azure CLI 或 Azure PowerShell 來列出資源群組中已部署的資源。

Azure CLI

az resource list --resource-group exampleRG

Azure PowerShell

Get-AzResource -ResourceGroupName exampleRG

清理資源

當你不再需要資源時，可以使用 Azure 入口網站、Azure CLI 或 Azure PowerShell 刪除資源群組中的所有資源。

Azure CLI

az group delete --name exampleRG

Azure PowerShell

Remove-AzResourceGroup -Name exampleRG

下一步

在你建立基礎架構並建立專案後，請使用以下資源：

• 在 Microsoft Discovery Studio 中開始使用 Agent 和共用工作階段
• 請參閱 Microsoft Discovery 常見問題集，了解常見的部署、網路、安全、配額及清理問題。