Beheerd virtueel netwerk configureren voor Microsoft Foundry-projecten

In dit artikel wordt uitgelegd hoe u een beheerd virtueel netwerk instelt voor uw Foundry-resource. Het beheerde virtuele netwerk stroomlijnt en automatiseert netwerkisolatie voor uw Foundry-resource door een Microsoft beheerd virtueel netwerk in te richten waarmee de Agents-service onderliggende rekenkracht binnen uw Foundry-projecten wordt beveiligd. Wanneer dit is ingeschakeld, wordt uitgaand netwerkverkeer van agents beveiligd door deze beheerde netwerkgrens en bepaalt de isolatiemodus die u kiest al het verkeer. U kunt de vereiste privé-eindpunten maken voor afhankelijke Azure-services en de benodigde netwerkregels toepassen, zodat u een veilige standaardwaarde krijgt zonder dat u uw eigen virtuele netwerk hoeft te bouwen of te onderhouden. Dit beheerde netwerk beperkt waartoe uw agents toegang hebben, waardoor exfiltratie van gegevens wordt voorkomen terwijl er nog steeds verbinding is met goedgekeurde Azure resources.

Beheerd virtueel netwerk ondersteunt nu Prompt- en Hosted Agent-services met de nieuwe Responses API en in de nieuwe Foundry Portal. De huidige ondersteunde regio's voor een beheerd virtueel netwerk met de nieuwe agentservice en de nieuwe Foundry-portal zijn: VS - oost , VS - oost2, Japan - oost, Frankrijk - centraal, UAE - noord, Brazilië - zuid, Spanje - centraal, Duitsland - west- centraal, Italië - noord, VS - zuid-centraal, Australië - oost, Zweden - centraal, Canada - oost, Zuid-Afrika - noord, VS - west, VS - west 3, India - zuid en VK - zuid. Aanvullende ondersteuning voor regio's om binnenkort te volgen.

Voordat u verdergaat, moet u rekening houden met de beperkingen van het aanbod en de vereisten bekijken.

Isolatiemodi begrijpen

Wanneer u isolatie van beheerde virtuele netwerken inschakelt, maakt u een beheerd virtueel netwerk voor het Foundry-account dat is gemaakt in de Microsoft-tenant. Elke nieuwe agent die u in uw projecten bouwt, maakt automatisch gebruik van het beheerde virtuele netwerk voor uitgaand verkeer. Het beheerde virtuele netwerk kan privé-eindpunten gebruiken voor Azure resources die uw agents gebruiken, zoals Azure Storage, Azure Cosmos DB en Azure AI Zoeken.

Er bestaan twee verschillende configuratiemodi voor uitgaand verkeer van het beheerde virtuele netwerk:

In het volgende architectuurdiagram ziet u een beheerd netwerk in allow internet outbound de modus.

In het volgende architectuurdiagram ziet u een beheerd netwerk in allow only approved outbound de modus.

Nadat u een beheerd virtueel netwerk Foundry hebt geconfigureerd om uitgaand internet toe te staan, kunt u de resource niet opnieuw configureren om deze uit te schakelen. Zodra u een beheerde virtuele netwerkresource hebt geconfigureerd om alleen goedgekeurde uitgaande verbindingen toe te staan, kunt u de resource niet opnieuw configureren om uitgaand internet toe te staan.

Voorwaarden

Voordat u de stappen in dit artikel volgt, moet u ervoor zorgen dat u over de volgende vereisten beschikt:

• Een Azure-abonnement. Als u geen Azure-abonnement hebt, maakt u een gratis account voordat u begint.
• Azure CLI geïnstalleerd. Vereist voor het maken van uitgaande regels van het beheerde netwerk.
• De Microsoft.Network, Microsoft.KeyVault, Microsoft.CognitiveServices, Microsoft.Storage, Microsoft.Search en Microsoft.ContainerService-resourceproviders die zijn geregistreerd voor uw Azure-abonnement. Zie Resourceprovider registreren voor meer informatie.
• Machtigingen voor het implementeren van een beheerde netwerkresource. Azure AI Account Owner binnen het Foundry-bronbereik is nodig voor het aanmaken van een Foundry-account en -project. Owner of Role Based Access Administrator is nodig om RBAC toe te wijzen aan de vereiste bronnen. Azure AI User voor projectomvang is vereist voor het creëren en bouwen van agents.
• Voldoende quotum voor alle resources in uw doelregio Azure. Als er geen parameters worden doorgegeven, maakt deze sjabloon een Foundry-resource, Foundry-project, Azure Cosmos DB voor NoSQL, Azure AI Zoeken en Azure Storage account.

Beperkingen

Houd rekening met de volgende beperkingen voordat u beheerde netwerkisolatie inschakelt voor uw Foundry-resource.

1. U kunt een beheerde netwerk foundry-resource op drie manieren implementeren.
2. Bicep sjabloon in de map 18-managed-virtual-network in foundry-samples
3. Terraform-sjabloon in de map 18-managed-virtual-network in foundry-samples
4. az rest en Azure CLI opdrachten az cognitiveservices. Meer informatie over Azure CLI ondersteuning in dit artikel hieronder.
5. Er is nog geen Azure Portal ui-ondersteuning voor het maken van het beheerde netwerk. Ondersteuning komt binnenkort beschikbaar.
6. Zodra uw Foundry-resource is gemaakt, moet u ervoor zorgen dat u de beheerde identiteit van de Foundry-resource hebt toegewezen aan de ingebouwde rol van Azure AI Enterprise Network Connection Approver (rol-id: b556d68e-0be0-4f35-a333-ad7ee1ce17ea) om ervoor te zorgen dat het vereiste privé-eindpunt voor de Foundry-resource wordt gemaakt en goedgekeurd.
7. U kunt beheerde isolatie van virtuele netwerken niet uitschakelen nadat u deze hebt ingeschakeld. Er is geen upgradepad van een aangepast virtueel netwerk dat is ingesteld op een beheerd virtueel netwerk. Het opnieuw implementeren van Foundry-resources is vereist. Als u de Foundry-resource verwijdert, wordt het beheerde virtuele netwerk verwijderd.
8. Ondersteuning voor beheerd virtueel netwerk bevindt zich alleen in de volgende regio's: VS - oost , VS - oost2, Japan - oost, Frankrijk - centraal, UAE - noord, Brazilië - zuid, Spanje - centraal, Duitsland - west- centraal, Italië - noord, VS - zuid, Australië - oost, Zweden - centraal, Canada - oost, Zuid-Afrika - noord, VS - west, VS - west 3, India - zuid en VK - zuid. Aanvullende ondersteuning voor regio's om binnenkort te volgen.
9. Als u persoonlijke toegang tot on-premises resources voor uw Foundry-resource nodig hebt, gebruikt u Application Gateway om on-premises toegang te configureren. Dezelfde instelling met een privé-eindpunt voor Application Gateway en het instellen van back-endpools wordt ondersteund. Zowel L4- als L7-verkeer worden nu ondersteund met de Application Gateway in GA.
10. Als u FQDN-uitgaanderegels maakt wanneer het beheerde virtuele netwerk zich in de modus Alleen goedgekeurde uitgaande verbindingen toestaan bevindt, wordt er een beheerde Azure Firewall gemaakt, waarbij bijbehorende firewallkosten worden toegepast. Zie Prijzen voor meer informatie over prijzen. De uitgaande FQDN-regels ondersteunen alleen poorten 80 en 443.
11. U kunt uw eigen Azure Firewall niet meenemen naar het beheerde virtuele netwerk. Er wordt automatisch een beheerde firewall gemaakt voor uw Foundry-account wanneer u alleen goedgekeurde uitgaande modus toestaan gebruikt.
12. U kunt dezelfde beheerde firewall niet opnieuw gebruiken voor meerdere Foundry-accounts. Elk Foundry-account maakt een eigen beheerde firewall wanneer u de modus alleen goedgekeurd uitgaand verkeer toestaan gebruikt.
13. Als u nieuwe projecten maakt in uw Foundry-resource waarvoor een beheerd virtueel netwerk is ingeschakeld, moet u de host voor projectfunctionaliteit opnieuw maken om ervoor te zorgen dat het project gebruikmaakt van de BYO-resources en het beheerde netwerk. Meer instructies vindt u in de README voor het instellen van beheerde netwerken in de opslagplaats foundry-samples.

Isolatiemodus voor beheerde virtuele netwerken implementeren

Volg de onderstaande stappen om aan de slag te gaan met het implementeren van een beheerde virtuele netwerk Foundry-resource.

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2025-10-01-preview" \
  --body '{
    "location": "{region}",
    "kind": "AIServices",
    "sku": { "name": "S0" },
    "identity": { "type": "SystemAssigned" },
    "properties": {
      "allowProjectManagement": true,
      "customSubDomainName": "{account-name}",
      "networkInjections": [
        {
          "scenario": "agent",
          "subnetArmId": "",
          "useMicrosoftManagedNetwork": true
        }
      ],
      "disableLocalAuth": false
    }
  }' \
  --headers "Content-Type=application/json"

az rest --method GET \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2025-10-01-preview" \
  --query "properties.provisioningState" -o tsv

az cognitiveservices account show \
  --resource-group {resource-group} \
  --name {account-name} \
  --query identity.principalId -o tsv

az role assignment create \
  --assignee-object-id {principal-id} \
  --assignee-principal-type ServicePrincipal \
  --role "b556d68e-0be0-4f35-a333-ad7ee1ce17ea" \
  --scope /subscriptions/{subscription-id}/resourceGroups/{resource-group}

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_internet_outbound

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_only_approved_outbound \
  --firewall-sku Standard

Zie Microsoft voor meer informatie over de parameters die vereist zijn voor de implementatie van een beheerd virtueel netwerk. CognitiveServices/accounts/managedNetworks.

Implementatie van beheerd virtueel netwerk controleren

Nadat de implementatie is voltooid, controleert u of het beheerde virtuele netwerk juist is geconfigureerd.

Regels voor uitgaand verkeer beheren

Na de implementatie kunt u uitgaande regels toevoegen, bijwerken, weergeven en verwijderen om te bepalen welke bestemmingen uw beheerde netwerk kan bereiken. De volgende typen uitgaande regels worden ondersteund:

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type fqdn \
  --destination "*.openai.azure.com"

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type servicetag \
  --destination '{"serviceTag":"Storage","protocol":"TCP","portRanges":"443"}'

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type privateendpoint \
  --destination '{"serviceResourceId":"/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.Storage/storageAccounts/{storage-name}","subresourceTarget":"blob"}'

az cognitiveservices account managed-network outbound-rule list \
  --resource-group {resource-group} \
  --name {account-name}

az cognitiveservices account managed-network outbound-rule show \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

az cognitiveservices account managed-network outbound-rule bulk-set \
  --resource-group {resource-group} \
  --name {account-name} \
  --file rules.yaml

az cognitiveservices account managed-network outbound-rule remove \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules/{rule-name}?api-version=2025-10-01-preview" \
  --body '{
    "properties": {
      "type": "PrivateEndpoint",
      "destination": {
        "serviceResourceId": "/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.DocumentDB/databaseAccounts/{cosmosdb-account-name}",
        "subresourceTarget": "Sql",
        "sparkEnabled": false
      }
    }
  }'

Zie voor meer informatie over de parameters die vereist zijn voor uitgaande regels van beheerde virtuele netwerken Microsoft.CognitiveServices/accounts/managedNetworks/outboundRules.

Selecteer Azure Firewall versie

Voor het beheerde virtuele netwerk wordt automatisch een Azure Firewall ingericht wanneer u een uitgaande FQDN-regel toevoegt in Alleen goedgekeurde uitgaandemodus.

De standaard-SKU is Standaard voor de firewall. U kunt in plaats daarvan de Basic-SKU selecteren voor lagere kosten als geavanceerde functies niet vereist zijn. Zie Prijzen voor meer informatie over prijzen. Zodra u een firewall-SKU bij de implementatie selecteert, kunt u deze niet meer wijzigen na de implementatie. Omdat dit een beheerde firewall is, bevindt de firewall zich niet in uw tenant of in uw beheer. De enige instelling die u kunt beheren, is de firewall-SKU.

Privé-eindpunten

Wanneer u een beheerd virtueel netwerk inschakelt, kunt u beheerde privé-eindpunten maken, zodat agents veilig vereiste Azure resources kunnen bereiken zonder het openbare internet te gebruiken. Deze privé-eindpunten bieden een geïsoleerde, privé-IP-verbinding van het beheerde netwerk met services zoals Storage, AI Search en andere afhankelijkheden die worden gebruikt in uw Foundry-projecten. In tegenstelling tot door de klant beheerde virtuele netwerken, maken beheerde privé-eindpunten in Foundry geen netwerkinterface of subnetconfiguratie beschikbaar voor de klant. De privé-IP-connectiviteit wordt volledig beheerd door Microsoft en wordt niet weergegeven als een NIC in het abonnement van de klant.

De volgende resources ondersteunen privé-eindpunten vanuit het beheerde netwerk. U moet de CLI gebruiken om privé-eindpunten te maken.

• Microsoft Foundry (AI Services)
• Azure Application Gateway (maakt verbinding met uw on-premises resources met behulp van L4- of L7-verkeer)
• Azure API Management (ondersteunt alleen de klassieke laag zonder VNet-injectie en de Standard V2-laag met integratie van virtuele netwerken)
• Azure AI Zoeken
• Azure Container Registry
• Azure Cosmos DB
• Azure Data Factory
• Azure Database for MariaDB
• Azure Database for MySQL
• Azure Database voor PostgreSQL een enkele server
• Azure Database for PostgreSQL Flexibele Server
• Azure Databricks
• Azure Event Hubs
• Azure Key Vault
• Azure Machine Learning
• Azure-cache voor Redis
• Azure SQL Server
• Azure Storage
• Azure-toepassing Insights (via Azure Monitor Private Link Scope)

Wanneer u een beheerd privé-eindpunt maakt van het beheerde virtuele netwerk foundry naar een doelresource die eigendom is van de klant, moet de beheerde identiteit van de Foundry-resource over de juiste machtigingen beschikken voor die doelresource om privé-eindpuntverbindingen te maken en goed te keuren. Deze vereiste zorgt ervoor dat Foundry expliciet is gemachtigd om een beveiligde, privékoppeling naar de resource tot stand te brengen.

Als u deze vereiste wilt vereenvoudigen, wijst u de rol Azure AI Enterprise Network Connection Approver (rol-id: b556d68e-0be0-4f35-a333-ad7ee1ce17ea) toe aan de beheerde identiteit van het Foundry-account. Deze rol omvat de benodigde machtigingen voor de meest gebruikte Azure services en biedt doorgaans voldoende toegang voor Foundry om namens u privé-eindpunten te maken en goed te keuren. Zodra u de verbinding goedkeurt, beheert Foundry het privé-eindpunt volledig en is er geen aanvullende klantconfiguratie vereist.

Vereiste regels voor uitgaand verkeer

In de modus Alleen goedgekeurd uitgaand verkeer van het beheerde virtuele netwerk worden enkele vereiste uitgaande regels gemaakt voor functies zoals de Agent-service. het bevat het volgende:

• Privé-eindpunt voor uw Microsoft Foundry-resource
• Privé-eindpunt voor uw Cosmos DB-resource
• Privé-eindpunt voor uw opslagaccount
• Privé-eindpunt voor uw AI Search-resource
• ServiceTag naar Azure Active Directory

Uitgaande regels per scenario

Als u Foundry implementeert met een beheerd virtueel netwerk in de modus Alleen goedgekeurd uitgaand verkeer toestaan, moet u mogelijk de volgende uitgaande FQDN-regels toevoegen om ervoor te zorgen dat uitgaand verkeer is toegestaan. Hieronder ziet u de lijst met vertrouwde FQDN's (Fully Qualified Domain Names) voor het maken van uitgaande regels, afhankelijk van het scenario of de functie in Foundry.

Prijzen

De functie Foundry managed virtual network is gratis. Er worden echter kosten in rekening gebracht voor de volgende resources die door het beheerde virtuele netwerk worden gebruikt:

• Azure Private Link: de oplossing is afhankelijk van Azure Private Link voor privé-eindpunten die de communicatie tussen het beheerde virtuele netwerk en Azure resources beveiligen. Zie Azure Private Link prijzen voor meer informatie over prijzen.

• Uitgaande FQDN-regels: u implementeert uitgaande FQDN-regels met behulp van Azure Firewall. Als u uitgaande FQDN-regels gebruikt, voegt u kosten voor Azure Firewall toe aan uw facturering. Een standaardversie van Azure Firewall wordt standaard gebruikt. U kunt de Basic-versie selecteren. De firewall wordt pas aangemaakt als u een uitgaande FQDN-regel toevoegt.

Zie Private Link-tarieven en Azure Firewall-tarieven voor meer informatie over Azure-prijzen.

Beheerd en aangepast (BYO)-netwerk vergelijken

Selecteer de juiste uitgaande netwerkisolatiemodus voor u, afhankelijk van uw netwerkbehoeften en beperkingen in uw onderneming.

Zie Een aangepast virtueel netwerk configureren voor agents voor meer informatie over het instellen van virtuele netwerken voor agents en de beperkingen.

Hulpmiddelen opschonen

Verwijder de Foundry-resource om deze op te schonen uit uw beheerde virtuele netwerk. Met deze actie wordt ook het beheerde virtuele netwerk verwijderd.

Probleemoplossing

1. Fout bij het maken van CapHost
   • Verwijder de defecte CapHost-resource en implementeer de sjabloon opnieuw.
2. FQDN-regel niet gehandhaafd
   • Controleer of de firewall-SKU is ingericht en controleer of poorten zijn beperkt tot 80 of 443.
3. Conflicten tussen privé-eindpunten
   • Verwijder alle configuraties van service-eindpunten en gebruik alleen privé-eindpunten.

Verwante inhoud

• Een aangepast virtueel netwerk configureren voor agents
• Netwerkisolatie configureren voor Microsoft Foundry