Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
En este inicio rápido, implementará un recurso y un proyecto Microsoft Foundry mediante una plantilla Microsoft Bicep. Bicep le ayuda a crear recursos relacionados en una implementación coordinada y reutilizar la misma configuración entre entornos.
Si ya configuró un recurso Foundry en el portal de Azure, puede exportar esa configuración como un archivo Bicep en lugar de crear una plantilla desde cero.
Sugerencia
Para obtener plantillas de Bicep listas para producción que abarcan escenarios comunes de implementación de Foundry, consulte la carpeta infrastructure-setup-bicep en el repositorio de ejemplos de Foundry. Clone el repositorio y personalice las plantillas en lugar de empezar desde cero.
Requisitos previos
Una cuenta de Azure con una suscripción activa. Si no tiene una, cree una cuenta de free Azure, que incluye una suscripción de evaluación gratuita.
- Acceso a una función que le permite completar las asignaciones de funciones, como por ejemplo Propietario. Para obtener más información sobre los permisos, consulte Control de acceso basado en roles para Microsoft Foundry.
- Instale la CLI de Bicep.
Obtenga los archivos de ejemplo:
git clone https://github.com/microsoft-foundry/foundry-samples
cd foundry-samples/infrastructure/infrastructure-setup-bicep/00-basic
Desplegar el archivo Bicep
Implemente el archivo Bicep mediante CLI de Azure o Azure PowerShell:
az group create --name exampleRG --location eastus
az deployment group create --resource-group exampleRG --template-file main.bicep --parameters aiFoundryName=myai aiProjectName=myai-proj
Referencia: az group create, az deployment group create.
Nota
Reemplace myai por el nombre del recurso.
exampleRG es el nombre del grupo de recursos y eastus es la región Azure donde se implementan los recursos.
Cuando finalice la implementación, verá un mensaje que indica que la implementación se realizó correctamente (la salida muestra: "provisioningState": "Succeeded"). Esto confirma que se han creado su recurso y proyecto de Foundry.
Exportación de un recurso existente a un archivo de Bicep
Si ya configuró un recurso Foundry en el portal de Azure, puede exportar esa configuración como un archivo Bicep. El archivo exportado captura la configuración actual del recurso, incluidas las reglas de red, la configuración de identidad y las asociaciones de proyecto. Úselo como punto de partida para las implementaciones repetibles entre entornos.
En el portal Azure, vaya al recurso Foundry.
En el menú de la izquierda, expanda Automatización y, a continuación, seleccione Exportar plantilla.
Seleccione la pestaña Bicep para ver el código de Bicep generado.
Seleccione Descargar para guardar el archivo localmente o Copiar para copiar el código en el Portapapeles.
Nota
La exportación puede completarse con advertencias si algunos tipos de recursos no admiten la exportación completa. Revise la salida y rellene las propiedades que faltan manualmente.
Personalización de la plantilla exportada
El archivo Bicep exportado contiene valores codificados de forma rígida específicos de la suscripción y del grupo de recursos. Antes de reutilizar la plantilla, revise y actualice lo siguiente:
- Reemplace los identificadores de suscripción codificados de forma dura, los nombres de grupo de recursos y los identificadores de recursos por parámetros Bicep.
- Quite las propiedades que no necesite o que hagan referencia a recursos fuera del ámbito de implementación.
- Agregue o ajuste las configuraciones de seguridad para que coincidan con los requisitos de la organización.
Para obtener plantillas de Bicep listas para producción con configuraciones de seguridad empresariales ya integradas, consulte la carpeta infrastructure-setup-bicep en el repositorio de ejemplos de Foundry.
Configuraciones de seguridad relacionadas
Al personalizar la plantilla, considere la posibilidad de agregar las siguientes configuraciones de seguridad. Elija en función de los requisitos de gobernanza:
| Supervisión | Cuándo agregarlo | Aprende más |
|---|---|---|
| Puntos de conexión privados (aislamiento de red) | Su organización prohíbe los puntos de conexión públicos o debe mantener el tráfico en la red virtual para el cumplimiento (HIPAA, PCI, FedRAMP). | Configuración del aislamiento de red con puntos de conexión privados |
| Claves administradas por el cliente (CMK) para el cifrado | Debe controlar el ciclo de vida de las claves de cifrado, la frecuencia de rotación o la revocación, o bien porque la clasificación de sus datos requiere el uso de claves propias. | Configuración de claves administradas por el cliente para el cifrado |
| Control de acceso basado en roles (RBAC) | Necesitas acceso de privilegio mínimo para los desarrolladores frente a los administradores, o concedes acceso a varios equipos que comparten un recurso de Foundry. | Configuración del control de acceso basado en rol para Foundry |
| Configuración de la funcionalidad del agente | Los agentes deben almacenar el estado, los datos vectoriales y los archivos en recursos de Azure de su propiedad en lugar de en recursos administrados por la plataforma. | Configuración de las opciones de funcionalidad del agente |
| Definiciones personalizadas de Azure Policy | El equipo de la plataforma aplica una línea de base de seguridad (regiones permitidas, etiquetas necesarias, SKU permitidas, CMK obligatoria o vínculo privado) en todos los recursos de Foundry que crea la organización. | Crear definiciones de Azure Policy personalizadas |
Comprobación de los permisos de implementación antes de implementar
Si la plantilla establece la configuración de funcionalidad del agente, la identidad que ejecuta la implementación necesita más que el permiso para crear el recurso Foundry. Confirma cada uno de los siguientes puntos antes de implementar, porque la falta de una asignación hace que la implementación falle a mitad del proceso:
- La identidad de implementación tiene asignado el rol Storage Blob Data Contributor en cada cuenta de Azure Storage a la que hace referencia la plantilla.
- La entidad de servicio de la implementación tiene asignado Cosmos DB Operator en cada cuenta de Azure Cosmos DB a la que se hace referencia en la plantilla.
Búsqueda de Azure AI no requiere un rol de llamador para el aprovisionamiento de la configuración de capacidades. La entidad de servicio de la implementación sigue necesitando los permisos necesarios para crear o actualizar todos los recursos declarados en la plantilla.
Ejecute el siguiente comando para mostrar las asignaciones actuales de la entidad de la implementación:
az role assignment list --assignee <principal-id> --all --output table
Conceder acceso en tiempo de ejecución tras el aprovisionamiento
Los permisos de aprovisionamiento y los permisos de tiempo de ejecución son independientes. Una vez que la implementación se realiza correctamente, conceda a la identidad administrada del proyecto los roles del plano de datos que necesita en cada recurso al que se hace referencia y confirme que un agente puede leer y escribir. Los roles de llamador de la sección anterior no cumplen este requisito. Para obtener la lista de roles por recurso, consulte Configuración del agente estándar.
Revisar el archivo Bicep (opcional)
Opcionalmente, revise la plantilla de Bicep para comprender las definiciones de recursos.
Puede encontrar el archivo Bicep usado en este artículo en https://github.com/microsoft-foundry/foundry-samples/tree/main/infrastructure/infrastructure-setup-bicep/00-basic.
Esta plantilla crea los siguientes recursos:
Revisión de los recursos implementados
Use el portal de Foundry para ver los recursos creados. También puede usar CLI de Azure o Azure PowerShell para enumerar los recursos.
az resource list --resource-group exampleRG
Limpieza de recursos
Si tiene previsto seguir trabajando con los siguientes inicios rápidos y tutoriales, puede mantener los recursos que creó en este inicio rápido. Si desea quitar los recursos, use el siguiente comando.
az group delete --name exampleRG
Referencia: az group delete
Solución de problemas
| Síntoma | Causa | Resolution |
|---|---|---|
ServiceModelDeprecating error durante la implementación |
La plantilla de Bicep incluye una implementación de modelo que hace referencia a una versión de modelo retirada o en desuso. | Abre main.bicep, busca el bloque de recursos modelDeployment y, o bien lo comentas, o bien actualizas los modelos name y version a un modelo disponible actualmente. Ejecute az cognitiveservices model list --location <your-location> --query "[?model.lifecycleStatus=='GenerallyAvailable']" para buscar modelos disponibles. |
The content for this response was already consumed |
CLI de Azure versiones 2.74–2.75 tienen un error conocido que enmascara el error de implementación real. | Vuelva a ejecutar el comando con --debug y busque Exception Details: en la salida para encontrar el error real. |
Error en la implementación con AccountNameInvalid |
El valor aiFoundryName debe ser globalmente único, tener entre 2 y 64 caracteres y solo puede contener letras minúsculas, números y guiones medios. |
Elija otro nombre, como <your-name>-foundry-<random-suffix>. |
| Los recursos se implementan en una región diferente a la del grupo de recursos | El parámetro de la plantilla de Bicep location tiene como valor predeterminado eastus2, pero el grupo de recursos podría estar en otra región. |
Pase el location parámetro explícitamente. Por ejemplo, agregue location=eastus a la --parameters lista. |
Contenido relacionado
- Introducción al SDK
- Configuración del aislamiento de red con puntos de conexión privados
- Configuración de claves administradas por el cliente para el cifrado
- Configuración del control de acceso basado en rol para Foundry
- Ejemplos de configuraciones de seguridad: consulte las configuraciones de plantilla de ejemplo Bicep para las configuraciones de seguridad empresarial, incluido el aislamiento de red, el cifrado de claves administradas por el cliente, las opciones de identidad avanzadas y la configuración estándar de agentes.