Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Use una red virtual (VNet) para aislar el tráfico de evaluación en Microsoft Foundry. Este artículo le ayuda a elegir las instrucciones de configuración de red adecuadas, configurar requisitos específicos de la evaluación y resolver errores comunes de evaluación relacionados con la red.
Prerequisites
- Un proyecto de Foundry en una región compatible con la evaluación de VNet.
- Permisos para configurar el aislamiento de red y asignar roles de control de acceso basado en roles de Azure (RBAC).
- Una red virtual (VNet) y una subred que pueda delegar para la inyección en la red, o permisos para implementarlas mediante la plantilla de configuración exclusiva para evaluación.
Elección de la guía de configuración de red
Use la tabla siguiente para buscar las instrucciones de red para su escenario. Vuelva a este artículo para conocer los requisitos y la solución de problemas específicos de la evaluación.
| Objetivo | Guidance |
|---|---|
| Comprenda las opciones de aislamiento de red y configure puntos de conexión privados, DNS, listas de permitidos de firewall y acceso a la red pública. | Configuración del aislamiento de red para Microsoft Foundry |
| Use la solución VNet administrada por Microsoft para el aislamiento de red saliente. | Configuración de una red virtual administrada para proyectos de Foundry |
| Conecte una red virtual administrada a recursos locales o a recursos que no son de Azure. | Acceso a los recursos locales desde una red administrada de Foundry |
| Configure una configuración de red privada completa que incluya foundry Agent Service. | Configuración de redes privadas para foundry Agent Service |
| Descripción de la arquitectura de red del servicio del agente, el flujo de tráfico, el ajuste de tamaño de subred y la asignación de IP. | Profundización en las redes del servicio Foundry Agent |
| Use un agente de codificación para ayudar a planear y configurar recursos y redes de Foundry. | Use la capacidad de Microsoft Foundry en agentes de codificación |
Configuración de los requisitos de red de evaluación
La compatibilidad con redes virtuales para la evaluación requiere la inyección de red mediante la delegación de subredes. Si solo necesita funcionalidades de evaluación y no requiere compatibilidad completa con el agente, como Azure Cosmos DB, Búsqueda de Azure AI o un host de funcionalidad del proyecto, use la plantilla de configuración de solo evaluación simplificada (15a). La plantilla implementa un entorno mínimo protegido por la red para escenarios de evaluación.
Important
Para evitar errores en las ejecuciones de evaluación y red teaming, asigne el rol Usuario de Foundry a la identidad administrada del proyecto en el ámbito del recurso de Foundry durante la configuración inicial del proyecto.
Important
Recientemente se cambió el nombre de los roles RBAC de Foundry. Foundry User, Foundry Owner, Foundry Account Owner y Foundry Project Manager se llamaban anteriormente Usuario de Azure AI, Propietario de Azure AI, Propietario de la cuenta de Azure AI y Administrador de proyectos de Azure AI. Es posible que siga viendo los nombres anteriores en algunos lugares mientras se implementa el cambio de nombre. El cambio de nombre no modifica los identificadores de rol y los permisos principales.
Si conecta Application Insights, los datos de evaluación se envían a él.
Compatibilidad con regiones de red virtual
Puede traer su propia red virtual para su evaluación en las siguientes regiones:
| Americas | Europe | Asia Pacífico | Oriente Medio y África |
|---|---|---|---|
| Brazil South | France Central | Australia East | Norte de Sudáfrica |
| Canada Central | Centro-oeste de Alemania | Japan East | UAE North |
| Canada East | Italy North | Centro de Corea del Sur | |
| East US | Norway East | South India | |
| Este de EE. UU. 2 | Poland Central | Southeast Asia | |
| Centro-Norte de EE. UU | Spain Central | ||
| Centro-sur de EE. UU. | Sweden Central | ||
| Oeste de EE. UU. | Switzerland North | ||
| Oeste de EE. UU. 2 | UK South | ||
| Oeste de EE. UU. 3 | West Europe |
Configurar la compatibilidad con redes virtuales para la generación de datos
La generación de datos sintéticos y la generación de conjuntos de datos a partir de trazas utilizan la misma inyección en la red mediante delegación de subred que la evaluación. Utilice la plantilla de configuración solo para evaluación (15a) para implementar el entorno protegido de red necesario.
Para obtener disponibilidad de regiones de generación de datos, consulte Regiones admitidas para la generación de datos.
Solucionar errores de evaluación de la red virtual
Diagnóstico de la configuración de la red virtual
Ejecute el diagnóstico de configuración del proyecto de red virtual desde una máquina que tenga conectividad privada a la red virtual. El script inspecciona una configuración de proyecto foundry existente y su conectividad de red sin ejecutar una evaluación ni cambiar Azure recursos.
Siga la guía de uso para preparar los requisitos previos, ejecutar las comprobaciones de diagnóstico adecuadas y revisar el informe generado diagnostics.md . El informe proporciona resultados accionables, evidencia de apoyo, limitaciones conocidas y instrucciones de corrección para ayudarle a resolver problemas de configuración.
La ejecución de la evaluación sigue en curso hasta que se agote el tiempo de espera.
Una ejecución de evaluación puede permanecer en curso porque la configuración del aislamiento de red está incompleta, los puntos de conexión privados necesarios no están configurados mientras el acceso a la red pública está deshabilitado o la identidad administrada del proyecto no tiene permiso para actualizar el estado de ejecución.
Para resolver el problema:
- Compruebe que la inserción de red y la delegación de subred están configuradas como se describe en Configuración del aislamiento de red para Microsoft Foundry. Si solo necesita capacidades de evaluación, compare su despliegue con la plantilla de configuración exclusiva para evaluación (15a).
- Si el acceso a la red pública está deshabilitado, compruebe que los puntos de conexión privados necesarios están configurados y aprobados, y que DNS privado resuelve los puntos de conexión de recursos de la red que se insertó en el proyecto Foundry.
- Asegúrese de que el proyecto Foundry tenga la configuración del host de capacidades. Necesitamos esta capacidad tanto a nivel de cuenta de Foundry como de proyecto. Si no ha configurado el host de funcionalidades a nivel de proyecto de Foundry, use la plantilla de Bicep add-project-capability-host para configurarlo.
- Compruebe que la identidad administrada del proyecto tiene el rol de Usuario de Foundry en el ámbito del recurso Foundry.
- Para un conjunto de datos grande, ejecute una evaluación en un subconjunto representativo más pequeño. Si se completa la ejecución más pequeña, reduzca el tamaño del conjunto de datos o divida el conjunto de datos en varias ejecuciones de evaluación.
La ejecución de evaluación no se inicia y muestra un error 403
El error indica que el acceso a la red está deshabilitado, el acceso a la red pública está deshabilitado, pero el servicio de evaluación no puede acceder a uno o varios recursos necesarios a través de la red virtual.
Error: Public access is disabled. Please configure private endpoint.
Para resolver el problema:
- Identifique el nombre de host del recurso en los detalles del error o los diagnósticos de evaluación.
- Compruebe que la inserción de red y la delegación de subred están configuradas para su evaluación.
- Compruebe que el punto de conexión privado del recurso afectado está configurado y aprobado.
- Compruebe que DNS privado resuelve el nombre de host y que las reglas de red permiten el acceso desde la red virtual.
- Vuelva a intentar la ejecución de evaluación después de que los cambios de configuración de red surtan efecto.
Para otros 403 errores, compruebe las asignaciones de RBAC para el usuario que inicia la ejecución y para la identidad administrada del proyecto. Para obtener más problemas específicos de la evaluación, consulte Solución de problemas de evaluación y observabilidad.
DNS personalizado no resuelve puntos de conexión privados
Si define un servidor DNS personalizado para una red virtual, el sistema no consulta automáticamente las zonas DNS privadas vinculadas a esa red virtual. La configuración de DNS personalizada invalida el orden de resolución de nombres.
Para habilitar DNS personalizado para resolver la zona privada, use un solucionador privado Azure DNS en una red virtual vinculada a la zona privada. Para obtener instrucciones de configuración, consulte Arquitectura DNS centralizada.
Si el servidor DNS personalizado se ejecuta en una máquina virtual Azure, configure un reenviador condicional para la zona privada. Establezca el destino del reenviador en la dirección IP del Azure DNS, 168.63.129.16.