Private Netzwerke für AI-Gateway-Tier konfigurieren (Vorschau)

GILT FÜR: KI-Gateway-Ebene (Vorschau)

Important

Die AI Gateway-Stufe befindet sich derzeit in der öffentlichen Vorschau. Während der öffentlichen Vorschau ist die AI-Gateway-Stufe in den folgenden Regionen verfügbar:

  • USA - Osten der US-Region 2
  • Europa – Schweden Zentral

Nutze private Netzwerke, wenn der Gateway-Verkehr das öffentliche Internet nicht nutzen sollte. Private Vernetzung hat zwei Richtungen:

  • Eingehender privater Link und privater Endpunkt: Ermöglicht Clients in Ihrem virtuellen Netzwerk, in gekoppelten Netzwerken oder in verbundenen On-Premises-Netzwerken den Zugriff auf das Gateway über eine private IP-Adresse.
  • Outbound Virtual Network Integration: Ermöglicht es dem Gateway, private Backends, Modellends, APIs und MCP-Server aufzurufen, die nur von Ihrem virtuellen Netzwerk aus erreichbar sind.

Screenshot der Netzwerkseite, der eingehende Einstellungen (private Endpunkte und öffentlicher Netzwerkzugang) und ausgehende Einstellungen (öffentliches oder privates Routing) für das Gateway zeigt.

Eingehende und ausgehende Netzwerke lösen unterschiedliche Probleme. Das Erstellen eines privaten Endpunkts, an den Clients das Gateway aufrufen können, ermöglicht es nicht automatisch, dass das Gateway private Backends erreicht. Konfigurieren Sie die Integration des ausgehenden virtuellen Netzwerks separat, wenn das Gateway Ressourcen in Ihrem Netzwerk erreichen muss.

Du konfigurierst beide Richtungen über die Netzwerkseite des Gateways , die einen eingehenden Abschnitt (private Endpunkte und öffentlicher Netzwerkzugang) und einen ausgehenden Bereich (öffentliches oder privates Routing) hat.

Voraussetzungen

Bevor Sie privates Netzwerk konfigurieren, bereiten Sie folgende Elemente vor:

  • Eine AI-Gateway-Tier-Ressource in einer unterstützten Vorschauregion.
  • Ein virtuelles Netzwerk mit nicht überlappendem Adressraum, im selben Bereich wie das Gateway. Die ausgehende Integration erfordert, dass sich das virtuelle Netzwerk in derselben Region befindet; Ein virtuelles Netzwerk in einer anderen Region erzeugt eine Vorauswarnung.
  • Separate Subnetze für eingehende private Endpunkte und für ausgehende Integration (das ausgehende Subnetz kann nicht mit den privaten Endpunkten geteilt werden):
    • Subnetz für private Endpunkte (im virtuellen Clientnetzwerk), um den privaten Endpunkt des Gateways zu beherbergen.
    • Subnetz für die Outbound-Integration, das ausschließlich diesem Gateway zugeordnet ist (keine anderen Ressourcen), mindestens als /27 ausgelegt ist (ein /24 wird empfohlen, um Spielraum für die Skalierung zu lassen), und an Microsoft.Web/serverFarms delegiert.
  • Eine Netzwerksicherheitsgruppe (NSG) im Outbound-Integrationssubnetz, die Outbound-HTTPS (TCP 443) zu den Storage und AzureKeyVault Service-Tags ermöglicht. Das Gateway nutzt diese Abhängigkeiten während der Integration virtueller Netzwerke.
  • Berechtigungen zur Erstellung privater Endpunkte und privater DNS-Ressourcen (siehe Berechtigungen).
  • Backend-Ressourcen (Modell-Endpunkte, APIs, MCP-Server), die vom Integrationssubnetz aus erreichbar sind, deren Ports, Protokolle und Hostnamen bestätigt sind.

Note

Das Portal führt die Outbound-Subnetz-Prüfungen (Region, dediziertes Subnetz, Größe, Delegation und NSG-Regeln) nur als Warnungen durch. Sie blockieren das Speichern nicht, und Azure Resource Manager bleibt die Autorität darüber, ob eine Konfiguration erfolgreich ist. Erwähne etwaige Warnungen, bevor du dich auf privates Routing in der Produktion verlässt.

Erlaubnisse

Weisen Sie diese Berechtigungen zu, bevor Sie privates Netzwerk konfigurieren:

Aufgabe Erforderliche Erlaubnis (oder eingebaute Rolle)
Sehen Sie sich die Netzwerkkonfiguration des Gateways an und ändern Sie sie Schreibzugriff auf die Gateway-Ressource (eine Rolle, mit der das Gateway konfiguriert werden kann, z. B. Contributor für das Gateway)
Genehmigung, Ablehnung oder Entferne private Endpunktverbindungen Schreib- und Löschzugriff auf die privaten Endpunktverbindungen des Gateways
Erstellen des privaten Endpunkts Microsoft.Network/privateEndpoints/write in der Zielressourcengruppe sowie Genehmigungsrechte auf dem Gateway
Integration des ausgehenden Subnetzes Microsoft.Network/virtualNetworks/subnets/join/action auf dem Subnetz sowie Lesezugriff auf die virtuellen Netzwerke und Subnetze (zum Beispiel Network Contributor)
Erstelle und verknüpfe private DNS-Zonen Microsoft.Network/privateDnsZones/write und Microsoft.Network/privateDnsZones/virtualNetworkLinks/write

Important

Wenn Sie auf der Netzwerkseite'Speichern' auswählen, validiert Azure die erforderlichen Rollen und Berechtigungen, während es die Änderung anwendet. Wenn du (oder die Plattform-Identität, die das Subnetz integriert) keine erforderliche Rolle oder Berechtigung hat, schlägt das Update fehl und die Seite zeigt den Fehler an, sodass du den fehlenden Zugriff gewähren und es erneut versuchen kannst. Weise die Rollen in dieser Tabelle zu, bevor du speicherst.

Inbound Private Link ermöglicht es Kunden, das Gateway über eine private IP-Adresse zu erreichen und blockiert optional den öffentlichen Zugang vollständig.

Zum Einrichten von eingehenden Private Links:

  1. Auf der Netzwerkseite des Gateways wählen Sie im Bereich Eingehende unter Private Endpunkte einen privaten Endpunkt erstellen. Dies öffnet das Azure-Portal. Erstellen Sie ein privates Endpunkt-Erlebnis, das vorab auf Ihr Gateway ausgerichtet ist. Wählen Sie die Ziel-Teilressource des Gateways aus.
  2. Wählen Sie das virtuelle Netzwerk des Clients und das Subnetz, das den privaten Endpunkt hostet.
  3. Aktivieren Sie die private DNS-Integration (oder planen Sie, DNS manuell zu konfigurieren), damit die Clients den Gateway-Hostnamen auf den privaten Endpunkt umleiten. Verbinden Sie die private DNS-Zone des Gateways mit den virtuellen Netzwerken, in denen die Clients laufen.
  4. Kehren Sie zur Seite Netzwerk des Gateways zurück und wählen Sie in der Liste Private EndpunkteAktualisieren aus. Neu erstellte Verbindungen erscheinen mit dem Status 'Ausstehend '.
  5. Verwenden Sie das Aktionsmenü der Zeile, um die Verbindung zu genehmigen (Sie können hier auch Verbindungen ablehnen oder löschen ). Nach der Genehmigung wird der Status als genehmigt.
  6. Überprüfen Sie von einem Testclient innerhalb des virtuellen Netzwerks, dass der Gateway-Hostname auf die private IP-Adresse des privaten Endpunkts übergeht und Anfragen erfolgreich sind.
  7. Nachdem die private Verbindung bestätigt ist, stellen Sie den öffentlichen Netzwerkzugang auf Deaktiviert, sodass das Gateway nur über private Endpunkte erreichbar ist. Lass es aktivieren , falls Clients weiterhin öffentlichen Zugriff benötigen. Wählen Sie Speichern aus, um die Änderung zu übernehmen.

DNS ist eine häufige Ursache für Probleme. Clients müssen den Gateway-Hostnamen auf die private Endpunkt-IP-Adresse umwandeln. Verknüpfen Sie die erforderlichen privaten DNS-Zonen mit den richtigen virtuellen Netzwerken oder konfigurieren Sie benutzerdefinierte DNS-Weiterleitung.

Integration ausgehender virtueller Netzwerke

Die Integration eines ausgehenden virtuellen Netzwerks ("private Routing") ermöglicht es dem Gateway, private Backends über ein delegiertes Subnetz anzurufen.

Um die Integration von ausgehenden virtuellen Netzwerken einzurichten:

  1. Identifizieren Sie jedes Backend, das das Gateway aufrufen muss, und bestätigen Sie Ports, Protokolle und Hostnamen.
  2. Auf der Netzwerkseite des Gateways , im Bereich Outbound , wählen Sie Private Routing ("Zugriff auf private Backends über sichere ausgehende Verbindungen erlauben"). Die Auswahl von Public Routing hält das Gateway nur auf öffentlichen Backends.
  3. Wählen Sie das virtuelle Netzwerk und Subnetz aus, mit denen Sie integriert werden möchten. Das Subnetz muss die Voraussetzungen erfüllen (gleiche Region, dediziert, mindestens /27 groß, delegiert an Microsoft.Web/serverFarms, und ausgehender Datenverkehr über Port 443, der durch das NSG für Storage und Key Vault zugelassen ist). Das Portal zeigt Warnhinweise für alle nicht erfüllten Prüfungen an.
  4. Wählen Sie Speichern aus. Die Anwendung der Outbound-Integration ist ein langwieriger Prozess, der nur wenige Minuten dauern kann. Wie es gilt, validiert Azure die erforderlichen Rollen und Berechtigungen (siehe Berechtigungen); fehlt eine erforderliche Rolle, schlägt das Update fehl und die Seite zeigt den Fehler an, sodass Sie Zugriff gewähren und erneut versuchen können. Die Netzwerkkonfiguration ist während des Updates gesperrt, aber du kannst das Portal weiterhin nutzen und von der Seite wegnavigieren; Eine Benachrichtigung bestätigt, wenn die Änderung abgeschlossen ist.
  5. Erlauben Sie den Datenverkehr vom Integrationssubnetz zu Ihren Backend-Ressourcen und konfigurieren Sie DNS so, dass private Backend-Hostnamen auf private IP-Adressen übergehen.
  6. Testen Sie, indem Sie eine Route, ein Modell, ein Werkzeug oder eine MCP-Serveroperation aufrufen, die auf ein privates Backend abzielt.

DNS ist eine häufige Ursache für Probleme. Das Gateway muss Backend-Hostnamen auf private IP-Adressen umsetzen. Verknüpfen Sie die erforderlichen privaten DNS-Zonen mit den richtigen virtuellen Netzwerken oder konfigurieren Sie benutzerdefinierte DNS-Weiterleitung.

Verwandte Inhalte

  • Last updated on