Microsoft. Espacios de trabajo de MachineLearningServices 01-03-2026

Definición de recurso Bicep

El tipo de recurso workspaces se puede implementar con operaciones destinadas a:

Grupos de recursos - Véase grupos de recursos c1

Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.

Ejemplos de uso

Ejemplos de Bicep

Un ejemplo básico de despliegue de Azure Machine Learning Workspace.

param resourceName string = 'acctest0001'
param location string = 'westeurope'

resource storageAccount 'Microsoft.Storage/storageAccounts@2021-09-01' = {
  name: resourceName
  location: location
  sku: {
    name: 'Standard_LRS'
  }
  kind: 'StorageV2'
  properties: {
    accessTier: 'Hot'
    allowBlobPublicAccess: true
    allowCrossTenantReplication: true
    allowSharedKeyAccess: true
    defaultToOAuthAuthentication: false
    encryption: {
      keySource: 'Microsoft.Storage'
      services: {
        queue: {
          keyType: 'Service'
        }
        table: {
          keyType: 'Service'
        }
      }
    }
    isHnsEnabled: false
    isNfsV3Enabled: false
    isSftpEnabled: false
    minimumTlsVersion: 'TLS1_2'
    networkAcls: {
      defaultAction: 'Allow'
    }
    publicNetworkAccess: 'Enabled'
    supportsHttpsTrafficOnly: true
  }
}

resource vault 'Microsoft.KeyVault/vaults@2021-10-01' = {
  name: resourceName
  location: location
  properties: {
    accessPolicies: [
      {
        objectId: '45a2d1ea-488a-44b0-bb2e-3cd8e485ebef'
        permissions: {
          certificates: [
            'all'
          ]
          keys: [
            'all'
          ]
          secrets: [
            'all'
          ]
          storage: []
        }
        tenantId: tenant().tenantId
      }
    ]
    createMode: 'default'
    enablePurgeProtection: true
    enableRbacAuthorization: false
    enableSoftDelete: true
    enabledForDeployment: false
    enabledForDiskEncryption: false
    enabledForTemplateDeployment: false
    publicNetworkAccess: 'Enabled'
    sku: {
      family: 'A'
      name: 'standard'
    }
    tenantId: tenant().tenantId
  }
}

resource workspace 'Microsoft.MachineLearningServices/workspaces@2022-05-01' = {
  name: resourceName
  location: location
  sku: {
    name: 'Basic'
    tier: 'Basic'
  }
  properties: {
    applicationInsights: component.id
    keyVault: vault.id
    publicNetworkAccess: 'Disabled'
    storageAccount: storageAccount.id
    v1LegacyMode: false
  }
}

resource component 'Microsoft.Insights/components@2020-02-02' = {
  name: resourceName
  location: location
  kind: 'web'
  properties: {
    Application_Type: 'web'
    DisableIpMasking: false
    DisableLocalAuth: false
    ForceCustomerStorageForProfiler: false
    RetentionInDays: 90
    SamplingPercentage: 100
    publicNetworkAccessForIngestion: 'Enabled'
    publicNetworkAccessForQuery: 'Enabled'
  }
}

Módulos comprobados de Azure

Los siguientes módulos verificados Azure pueden usarse para desplegar este tipo de recurso.

Módulo	Descripción
Machine Learning Espacio de Trabajo de Servicios	Módulo de Recursos AVM para el espacio de trabajo de Machine Learning Services

Ejemplos de inicio rápido de Azure

Las siguientes plantillas de inicio rápido Azure contienen Bicep ejemplos para desplegar este tipo de recurso.

Archivo Bicep	Descripción
Fundición de IA de Azure configuración básica	Este conjunto de plantillas demuestra cómo configurar Fundición de IA de Azure con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
Fundición de IA de Azure configuración básica	Este conjunto de plantillas demuestra cómo configurar Fundición de IA de Azure con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
Red de Fundición de IA de Azure restringida	En este conjunto de plantillas se muestra cómo configurar Fundición de IA de Azure con el vínculo privado y la salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
Fundición de IA de Azure con autenticación Microsoft Entra ID	Este conjunto de plantillas demuestra cómo configurar Fundición de IA de Azure con autenticación Microsoft Entra ID para recursos dependientes, como Azure AI Services y Azure Storage.
Azure AI Studio configuración básica	Este conjunto de plantillas demuestra cómo configurar Azure AI Studio con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
red restringida de Azure AI Studio Network	Este conjunto de plantillas muestra cómo configurar Azure AI Studio con vínculo privado y salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
configuración segura de un extremo a otro de Azure Machine Learning	Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
configuración segura de un extremo a otro de Azure Machine Learning (heredado)	Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración básica usando la autenticación de claves API para la conexión AI Service/AOAI. Los agentes utilizan recursos de búsqueda y almacenamiento multiinquilino gestionados completamente por Microsoft. No tendrás visibilidad ni control sobre estos recursos subyacentes de Azure.
Identidad básica de configuración de agente	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración básica usando la autenticación de identidad gestionada para la conexión AI Service/AOAI. Los agentes utilizan recursos de búsqueda y almacenamiento multiinquilino gestionados completamente por Microsoft. No tendrás visibilidad ni control sobre estos recursos subyacentes de Azure.
Crea un destino de cómputo AKS con una dirección IP privada	Esta plantilla crea un objetivo de cómputo AKS en un espacio de trabajo de servicio de Azure Machine Learning dado con una dirección IP privada.
Crear un espacio de trabajo de Azure Machine Learning servicios	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. Esta configuración describe el conjunto mínimo de recursos que necesitas para empezar con Azure Machine Learning.
Crear un espacio de trabajo de Azure Machine Learning servicios (CMK)	Esta plantilla de despliegue especifica cómo crear un espacio de trabajo de Azure Machine Learning con cifrado en el lado del servicio utilizando tus claves de cifrado.
Crear un espacio de trabajo de Azure Machine Learning servicios (CMK)	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. El ejemplo muestra cómo configurar Azure Machine Learning para cifrado con una clave de cifrado gestionada por el cliente.
Creación de un área de trabajo de Azure Machine Learning Service (heredada)	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
Creación de un área de trabajo de Azure Machine Learning Service (vnet)	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
Implemente Secure AI Foundry con una red virtual administrada	Esta plantilla crea un entorno seguro de Fundición de IA de Azure con sólidas restricciones de seguridad de red e identidad.
Agente protegido por red con identidad administrada de usuario	Este conjunto de plantillas muestra cómo configurar el servicio agente de Azure AI con aislamiento de red virtual mediante autenticación de identidad administrada de usuario para la conexión del servicio de IA/AOAI y vínculos de red privada para conectar el agente a los datos seguros.
Agente Estándar	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración estándar, es decir, con autenticación de identidad gestionada para conexiones proyecto/hub y acceso público a internet habilitado. Los agentes usan recursos de almacenamiento y búsqueda de un solo inquilino propiedad del cliente. Con esta configuración, tiene control total y visibilidad sobre estos recursos, pero incurrirá en costos en función del uso.

Formato de los recursos

Para crear un Microsoft. MachineLearningServices/recursos de espacios de trabajo, añade el siguiente Bicep a tu plantilla.

resource symbolicname 'Microsoft.MachineLearningServices/workspaces@2026-03-01' = {
  identity: {
    type: 'string'
    userAssignedIdentities: {
      {customized property}: {}
    }
  }
  kind: 'string'
  location: 'string'
  name: 'string'
  properties: {
    allowPublicAccessWhenBehindVnet: bool
    applicationInsights: 'string'
    associatedWorkspaces: [
      'string'
    ]
    containerRegistry: 'string'
    description: 'string'
    discoveryUrl: 'string'
    enableDataIsolation: bool
    enableServiceSideCMKEncryption: bool
    encryption: {
      cosmosDbResourceId: 'string'
      identity: {
        userAssignedIdentity: 'string'
      }
      keyVaultProperties: {
        identityClientId: 'string'
        keyIdentifier: 'string'
        keyVaultArmId: 'string'
      }
      searchAccountResourceId: 'string'
      status: 'string'
      storageAccountResourceId: 'string'
    }
    featureStoreSettings: {
      computeRuntime: {
        sparkRuntimeVersion: 'string'
      }
      offlineStoreConnectionName: 'string'
      onlineStoreConnectionName: 'string'
    }
    friendlyName: 'string'
    hbiWorkspace: bool
    hubResourceId: 'string'
    imageBuildCompute: 'string'
    keyVault: 'string'
    managedNetwork: {
      enableNetworkMonitor: bool
      firewallSku: 'string'
      isolationMode: 'string'
      managedNetworkKind: 'string'
      outboundRules: {
        {customized property}: {
          category: 'string'
          status: 'string'
          type: 'string'
          // For remaining properties, see OutboundRule objects
        }
      }
      status: {
        sparkReady: bool
        status: 'string'
      }
    }
    primaryUserAssignedIdentity: 'string'
    provisionNetworkNow: bool
    publicNetworkAccess: 'string'
    serverlessComputeSettings: {
      serverlessComputeCustomSubnet: 'string'
      serverlessComputeNoPublicIP: bool
    }
    serviceManagedResourcesSettings: {
      cosmosDb: {
        collectionsThroughput: int
      }
    }
    sharedPrivateLinkResources: [
      {
        name: 'string'
        properties: {
          groupId: 'string'
          privateLinkResourceId: 'string'
          requestMessage: 'string'
          status: 'string'
        }
      }
    ]
    storageAccount: 'string'
    systemDatastoresAuthMode: 'string'
    v1LegacyMode: bool
    workspaceHubConfig: {
      additionalWorkspaceStorageAccounts: [
        'string'
      ]
      defaultWorkspaceResourceGroup: 'string'
    }
  }
  sku: {
    capacity: int
    family: 'string'
    name: 'string'
    size: 'string'
    tier: 'string'
  }
  tags: {
    {customized property}: 'string'
  }
}

Objetos OutboundRule

Establezca el tipo propiedad para especificar el tipo de objeto.

Para FQDN, use:

{
  destination: 'string'
  type: 'FQDN'
}

Para PrivateEndpoint, use:

{
  destination: {
    serviceResourceId: 'string'
    sparkEnabled: bool
    sparkStatus: 'string'
    subresourceTarget: 'string'
  }
  fqdns: [
    'string'
  ]
  type: 'PrivateEndpoint'
}

Para ServiceTag, use:

{
  destination: {
    action: 'string'
    addressPrefixes: [
      'string'
    ]
    portRanges: 'string'
    protocol: 'string'
    serviceTag: 'string'
  }
  type: 'ServiceTag'
}

Valores de propiedad

Microsoft.MachineLearningServices/workspaces

Nombre	Descripción	Value
identity	Identidades de servicio administradas asignadas a este recurso.	ManagedServiceIdentity
amable		string
location		string
nombre	El nombre del recurso	string Restricciones: Patrón = `^[a-zA-Z0-9][a-zA-Z0-9_-]{2,32}$` (obligatorio)
Propiedades	Atributos adicionales de la entidad.	WorkspaceProperties (obligatorio)
código SKU	Optional. Este campo es necesario que el RP implemente este campo porque AML admite más de un nivel.	Sku
tags	Etiquetas de recursos	Diccionario de nombres y valores de etiqueta. Consulta c0 en las plantillas

ComputeRuntimeDto

Nombre	Descripción	Value
sparkRuntimeVersion		string

CosmosDbSettings

Nombre	Descripción	Value
collectionsThroughput		int

EncryptionProperty

Nombre	Descripción	Value
cosmosDbResourceId	La cuenta de cosmosdb byok que el cliente lleva a los datos del cliente con cifrado	string
identity	Identidad que se va a usar con keyVault	IdentityForCmk
keyVaultProperties	Detalles de KeyVault para realizar el cifrado	keyVaultProperties (obligatorio)
searchAccountResourceId	La cuenta de búsqueda byok que el cliente trae para almacenar los datos del cliente con cifrado	string
status	Indica si el cifrado está habilitado para el área de trabajo.	'Deshabilitado' 'Habilitado' (obligatorio)
storageAccountResourceId	La cuenta de almacenamiento byok que el cliente trae para almacenar los datos del cliente con cifrado	string

FeatureStoreSettings

Nombre	Descripción	Value
computeRuntime		ComputeRuntimeDto
offlineStoreConnectionName		string
onlineStoreConnectionName		string

FqdnOutboundRule

Nombre	Descripción	Value
destino		string
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'FQDN' (obligatorio)

IdentityForCmk

Nombre	Descripción	Value
userAssignedIdentity	UserAssignedIdentity que se va a usar para capturar la clave de cifrado de keyVault	string

KeyVaultProperties

Nombre	Descripción	Value
identityClientId	Actualmente, solo se admite MSI SystemAssigned. Lo necesitamos cuando se admite UserAssignedIdentities	string
keyIdentifier	Identificador de clave de KeyVault para cifrar los datos	string Restricciones: Longitud mínima = 1 Patrón = `[a-zA-Z0-9_]` (obligatorio)
keyVaultArmId	Id. de Arm de KeyVault que contiene la clave de cifrado de datos	string Restricciones: Longitud mínima = 1 Patrón = `[a-zA-Z0-9_]` (obligatorio)

ManagedNetworkProvisionStatus

Nombre	Descripción	Value
sparkReady		bool
status	Estado de la red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Inactive'

ManagedNetworkSettings

Nombre	Descripción	Value
enableNetworkMonitor	Marca para indicar si es necesario habilitar la supervisión para la red administrada.	bool
firewallSku	SKU de firewall usada para las reglas de FQDN	"Básico" 'Estándar'
isolationMode	Modo de aislamiento para la red administrada de un área de trabajo de Aprendizaje automático.	'Permitir salida de Internet' 'AllowOnlyApprovedOutbound' 'Deshabilitado'
managedNetworkKind	El tipo de red administrada. Los usuarios pueden cambiar de V1 a V2 para controles de acceso granulares, pero no pueden volver a V1 una vez que V2 está habilitado.	'V1' 'V2'
outboundRules	Diccionario de <OutboundRule>	ManagedNetworkSettingsOutboundRules
status	Estado del aprovisionamiento de la red administrada de un área de trabajo de Machine Learning.	managedNetworkProvisionStatus

ManagedNetworkSettingsOutboundRules

Nombre	Descripción	Value

ManagedServiceIdentity

Nombre	Descripción	Value
type	Tipo de identidad de servicio administrada (donde se permiten los tipos SystemAssigned y UserAssigned).	'None' 'SystemAssigned' 'SystemAssigned,UserAssigned' 'UserAssigned' (obligatorio)
userAssignedIdentities	Conjunto de identidades asignadas por el usuario asociadas al recurso. Las claves del diccionario usuariAsignedIdentities serán los identificadores de recursos ARM en el formulario: '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. ManagedIdentity/userAssignedIdentities/{identityName}. Los valores del diccionario pueden ser objetos vacíos ({}) en las solicitudes.	UserAssignedIdentities

OutboundRule

Nombre	Descripción	Value
categoría	Categoría de una regla de salida de red administrada de un área de trabajo de Machine Learning.	'Dependencia' 'Recommended' 'Obligatorio' 'Definido por el usuario'
status	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Deleting' 'Failed' 'Inactive' 'Provisioning'
type	Establezca en "FQDN" para el tipo FqdnOutboundRule. Establezca en "PrivateEndpoint" para el tipo PrivateEndpointOutboundRule. Establezca en "ServiceTag" para el tipo ServiceTagOutboundRule.	'FQDN' 'Punto de conexión privado' 'ServiceTag' (obligatorio)

PrivateEndpointDestination

Nombre	Descripción	Value
serviceResourceId	Una definición de tipo que se refiere al id a un recurso de Azure Resource Manager.	string
sparkEnabled		bool
sparkStatus	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Deleting' 'Failed' 'Inactive' 'Provisioning'
subresourceTarget		string

PrivateEndpointOutboundRule

Nombre	Descripción	Value
destino	Destino de punto de conexión privado para una regla de salida de punto de conexión privado para la red administrada de un área de trabajo de Machine Learning.	PrivateEndpointDestination
FQDNS		string[]
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'PrivateEndpoint' (obligatorio)

ServerlessComputeSettings

Nombre	Descripción	Value
serverlessComputeCustomSubnet	Identificador de recurso de una subred de red virtual existente en la que se deben implementar nodos de proceso sin servidor.	string
serverlessComputeNoPublicIP	Marca que se indica si los nodos de proceso sin servidor implementados en la red virtual personalizada no tendría ninguna dirección IP pública para un área de trabajo con un punto de conexión privado.	bool

ServiceManagedResourcesSettings

Nombre	Descripción	Value
cosmosDb		CosmosDbSettings

ServiceTagDestination

Nombre	Descripción	Value
acción	Enumeración de acción para la regla de red.	'Permitir' 'Denegar'
addressPrefixes	Opcional, si se proporciona, se omitirá la propiedad ServiceTag.	string[]
portRanges		string
protocol		string
serviceTag		string

ServiceTagOutboundRule

Nombre	Descripción	Value
destino	Destino de etiqueta de servicio para una regla de salida de etiqueta de servicio para la red administrada de un área de trabajo de Machine Learning.	ServiceTagDestination
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'ServiceTag' (obligatorio)

SharedPrivateLinkResource

Nombre	Descripción	Value
nombre	Nombre único del vínculo privado	string
Propiedades	Propiedades de un recurso de vínculo privado compartido.	SharedPrivateLinkResourceProperty

SharedPrivateLinkResourceProperty

Nombre	Descripción	Value
groupId	id. de grupo del vínculo privado	string
privateLinkResourceId	el identificador de recurso al que se vincula el vínculo privado	string
mensajeDeSolicitud	Mensaje de solicitud	string
status	Estado de la conexión del consumidor de servicio con el proveedor de servicios\r\nPosibles transiciones de estado\r\nPendientes -> Aprobadas (El proveedor de servicios aprueba la solicitud de conexión)\r\nPendientes -> Rechazadas (El proveedor de servicios rechaza la solicitud de conexión)\r\nPendientes -> Desconectadas (el proveedor de servicios elimina la conexión)\r\nAprobadas -> Rechazadas (el proveedor de servicios rechaza la conexión aprobada)\r\nAprobadas -> Desconectadas (el proveedor de servicios elimina la conexión)\r\nRechazadas - > Pendiente (El consumidor de servicio reinicia la solicitud de conexión que fue rechazada)\r\nRechazada -> Desconectado (el proveedor de servicio elimina la conexión)	'Aprobado' 'Desconectado' 'Pendiente' 'Rechazado' 'Tiempo de espera'

SKU

Nombre	Descripción	Value
capacity	Si la SKU admite el escalado horizontal o horizontal, se debe incluir el entero de capacidad. Si no es posible escalar horizontalmente o reducir horizontalmente el recurso, se puede omitir.	int
familia	Si el servicio tiene diferentes generaciones de hardware, para la misma SKU, se puede capturar aquí.	string
nombre	Nombre de la SKU. Por ejemplo, P3. Normalmente es un código de letra y número	string (obligatorio)
size	Tamaño de la SKU. Cuando el campo de nombre es la combinación de nivel y otro valor, este sería el código independiente.	string
nivel	El proveedor de recursos necesita implementar este campo si el servicio tiene más de un nivel, pero no es necesario en put.	"Básico" 'Free' 'Premium' 'Estándar'

UserAssignedIdentities

Nombre	Descripción	Value

UserAssignedIdentity

Nombre	Descripción	Value

WorkspaceHubConfig

Nombre	Descripción	Value
additionalWorkspaceStorageAccounts		string[]
defaultWorkspaceResourceGroup		string

WorkspaceProperties (Propiedades del espacio de trabajo)

Nombre	Descripción	Value
allowPublicAccessWhenBehindVnet	Marca que indica si se va a permitir el acceso público cuando se encuentra detrás de la red virtual.	bool
PerspectivasDeAplicación	Id. de ARM de Application Insights asociado a esta área de trabajo.	string
associatedWorkspaces		string[]
containerRegistry	Id. de ARM del registro de contenedor asociado a esta área de trabajo.	string
descripción	Descripción de esta área de trabajo.	string
discoveryUrl	Dirección URL del servicio de detección para identificar puntos de conexión regionales para los servicios de experimentación de aprendizaje automático	string
enableDataIsolation		bool
enableServiceSideCMKEncryption		bool
encryption		EncryptionProperty
featureStoreSettings	Configuración del área de trabajo de tipo de almacén de características.	featureStoreSettings
friendlyName	Nombre descriptivo de esta área de trabajo. Este nombre en mutable	string
hbiWorkspace	Marca para indicar los datos de HBI en el área de trabajo y reducir los datos de diagnóstico recopilados por el servicio.	bool
hubResourceId		string
imageBuildCompute	Nombre de proceso para la compilación de imágenes	string
keyVault	Identificador de ARM del almacén de claves asociado a esta área de trabajo. No se puede cambiar una vez que se ha creado el área de trabajo.	string
managedNetwork	Configuración de red administrada para un área de trabajo de Aprendizaje automático.	ManagedNetworkSettings
primaryUserAssignedIdentity	Identificador de recurso de identidad asignado por el usuario que representa la identidad del área de trabajo.	string
provisionNetworkNow	Establézcalo para desencadenar el aprovisionamiento de la red virtual administrada con las opciones predeterminadas al crear un área de trabajo con la red virtual administrada habilitada o, de lo contrario, no hace nada.	bool
publicNetworkAccess	Indica si se permiten las solicitudes de la red pública.	'Deshabilitado' 'Enabled'
serverlessComputeSettings	Configuración del proceso sin servidor en un área de trabajo	ServerlessComputeSettings
serviceManagedResourcesSettings	Configuración del recurso administrado por el servicio.	ServiceManagedResourcesSettings
sharedPrivateLinkResources	Lista de recursos de vínculo privado compartidos en esta área de trabajo.	sharedPrivateLinkResource[]
storageAccount	Id. de ARM de la cuenta de almacenamiento asociada a este área de trabajo. No se puede cambiar una vez que se ha creado el área de trabajo.	string
systemDatastoresAuthMode	Modo de autenticación que se usa para acceder a los almacenes de datos del sistema del área de trabajo.	'Clave de acceso' 'Identidad' "UserDelegationSAS"
v1LegacyMode	Habilitar v1_legacy_mode puede impedir que use características proporcionadas por la API v2.	bool
workspaceHubConfig	Objeto de configuración de WorkspaceHub.	WorkspaceHubConfig

Etiquetas de espacio de trabajo

Nombre	Descripción	Value

Definición de recursos de plantilla de ARM

El tipo de recurso workspaces se puede implementar con operaciones destinadas a:

Grupos de recursos - Véase comandos de despliegue de grupos de recursos Para una lista de propiedades modificadas en cada versión de la API, consulte registro de cambios.

Ejemplos de uso

Plantillas de inicio rápido de Azure

Las siguientes plantillas Azure Quickstart despliegan este tipo de recurso.

Template	Descripción
Fundición de IA de Azure configuración básica	Este conjunto de plantillas demuestra cómo configurar Fundición de IA de Azure con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
Fundición de IA de Azure configuración básica	Este conjunto de plantillas demuestra cómo configurar Fundición de IA de Azure con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
Red de Fundición de IA de Azure restringida	En este conjunto de plantillas se muestra cómo configurar Fundición de IA de Azure con el vínculo privado y la salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
Fundición de IA de Azure con autenticación Microsoft Entra ID	Este conjunto de plantillas demuestra cómo configurar Fundición de IA de Azure con autenticación Microsoft Entra ID para recursos dependientes, como Azure AI Services y Azure Storage.
Azure AI Studio configuración básica	Este conjunto de plantillas demuestra cómo configurar Azure AI Studio con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
red restringida de Azure AI Studio Network	Este conjunto de plantillas muestra cómo configurar Azure AI Studio con vínculo privado y salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
configuración segura de un extremo a otro de Azure Machine Learning	Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
configuración segura de un extremo a otro de Azure Machine Learning (heredado)	Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
Azure Machine Learning Espacio de trabajo	Esta plantilla crea un nuevo Azure Machine Learning Workspace, junto con una cuenta de almacenamiento cifrada, KeyVault y Applications Insights Logging
	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración básica usando la autenticación de claves API para la conexión AI Service/AOAI. Los agentes utilizan recursos de búsqueda y almacenamiento multiinquilino gestionados completamente por Microsoft. No tendrás visibilidad ni control sobre estos recursos subyacentes de Azure.
Identidad básica de configuración de agente	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración básica usando la autenticación de identidad gestionada para la conexión AI Service/AOAI. Los agentes utilizan recursos de búsqueda y almacenamiento multiinquilino gestionados completamente por Microsoft. No tendrás visibilidad ni control sobre estos recursos subyacentes de Azure.
Crear espacio de trabajo AML con múltiples conjuntos de datos y conjuntos de datos Datastores	Esta plantilla crea un espacio de trabajo de Azure Machine Learning con múltiples conjuntos de datos y almacenes de datos.
Crea un destino de cómputo AKS con una dirección IP privada	Esta plantilla crea un objetivo de cómputo AKS en un espacio de trabajo de servicio de Azure Machine Learning dado con una dirección IP privada.
Crear un espacio de trabajo de Azure Machine Learning servicios	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. Esta configuración describe el conjunto mínimo de recursos que necesitas para empezar con Azure Machine Learning.
Crear un espacio de trabajo de Azure Machine Learning servicios (CMK)	Esta plantilla de despliegue especifica cómo crear un espacio de trabajo de Azure Machine Learning con cifrado en el lado del servicio utilizando tus claves de cifrado.
Crear un espacio de trabajo de Azure Machine Learning servicios (CMK)	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. El ejemplo muestra cómo configurar Azure Machine Learning para cifrado con una clave de cifrado gestionada por el cliente.
Creación de un área de trabajo de Azure Machine Learning Service (heredada)	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
Creación de un área de trabajo de Azure Machine Learning Service (vnet)	Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Aplicación de Azure Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
Implemente Secure AI Foundry con una red virtual administrada	Esta plantilla crea un entorno seguro de Fundición de IA de Azure con sólidas restricciones de seguridad de red e identidad.
Agente protegido por red con identidad administrada de usuario	Este conjunto de plantillas muestra cómo configurar el servicio agente de Azure AI con aislamiento de red virtual mediante autenticación de identidad administrada de usuario para la conexión del servicio de IA/AOAI y vínculos de red privada para conectar el agente a los datos seguros.
Agente Estándar	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración estándar, es decir, con autenticación de identidad gestionada para conexiones proyecto/hub y acceso público a internet habilitado. Los agentes usan recursos de almacenamiento y búsqueda de un solo inquilino propiedad del cliente. Con esta configuración, tiene control total y visibilidad sobre estos recursos, pero incurrirá en costos en función del uso.

Formato de los recursos

Para crear un Microsoft. MachineLearningServices/recursos de espacios de trabajo, añade el siguiente JSON a tu plantilla.

{
  "type": "Microsoft.MachineLearningServices/workspaces",
  "apiVersion": "2026-03-01",
  "name": "string",
  "identity": {
    "type": "string",
    "userAssignedIdentities": {
      "{customized property}": {
      }
    }
  },
  "kind": "string",
  "location": "string",
  "properties": {
    "allowPublicAccessWhenBehindVnet": "bool",
    "applicationInsights": "string",
    "associatedWorkspaces": [ "string" ],
    "containerRegistry": "string",
    "description": "string",
    "discoveryUrl": "string",
    "enableDataIsolation": "bool",
    "enableServiceSideCMKEncryption": "bool",
    "encryption": {
      "cosmosDbResourceId": "string",
      "identity": {
        "userAssignedIdentity": "string"
      },
      "keyVaultProperties": {
        "identityClientId": "string",
        "keyIdentifier": "string",
        "keyVaultArmId": "string"
      },
      "searchAccountResourceId": "string",
      "status": "string",
      "storageAccountResourceId": "string"
    },
    "featureStoreSettings": {
      "computeRuntime": {
        "sparkRuntimeVersion": "string"
      },
      "offlineStoreConnectionName": "string",
      "onlineStoreConnectionName": "string"
    },
    "friendlyName": "string",
    "hbiWorkspace": "bool",
    "hubResourceId": "string",
    "imageBuildCompute": "string",
    "keyVault": "string",
    "managedNetwork": {
      "enableNetworkMonitor": "bool",
      "firewallSku": "string",
      "isolationMode": "string",
      "managedNetworkKind": "string",
      "outboundRules": {
        "{customized property}": {
          "category": "string",
          "status": "string",
          "type": "string"
          // For remaining properties, see OutboundRule objects
        }
      },
      "status": {
        "sparkReady": "bool",
        "status": "string"
      }
    },
    "primaryUserAssignedIdentity": "string",
    "provisionNetworkNow": "bool",
    "publicNetworkAccess": "string",
    "serverlessComputeSettings": {
      "serverlessComputeCustomSubnet": "string",
      "serverlessComputeNoPublicIP": "bool"
    },
    "serviceManagedResourcesSettings": {
      "cosmosDb": {
        "collectionsThroughput": "int"
      }
    },
    "sharedPrivateLinkResources": [
      {
        "name": "string",
        "properties": {
          "groupId": "string",
          "privateLinkResourceId": "string",
          "requestMessage": "string",
          "status": "string"
        }
      }
    ],
    "storageAccount": "string",
    "systemDatastoresAuthMode": "string",
    "v1LegacyMode": "bool",
    "workspaceHubConfig": {
      "additionalWorkspaceStorageAccounts": [ "string" ],
      "defaultWorkspaceResourceGroup": "string"
    }
  },
  "sku": {
    "capacity": "int",
    "family": "string",
    "name": "string",
    "size": "string",
    "tier": "string"
  },
  "tags": {
    "{customized property}": "string"
  }
}

Objetos OutboundRule

Establezca el tipo propiedad para especificar el tipo de objeto.

Para FQDN, use:

{
  "destination": "string",
  "type": "FQDN"
}

Para PrivateEndpoint, use:

{
  "destination": {
    "serviceResourceId": "string",
    "sparkEnabled": "bool",
    "sparkStatus": "string",
    "subresourceTarget": "string"
  },
  "fqdns": [ "string" ],
  "type": "PrivateEndpoint"
}

Para ServiceTag, use:

{
  "destination": {
    "action": "string",
    "addressPrefixes": [ "string" ],
    "portRanges": "string",
    "protocol": "string",
    "serviceTag": "string"
  },
  "type": "ServiceTag"
}

Valores de propiedad

Microsoft.MachineLearningServices/workspaces

Nombre	Descripción	Value
apiVersion	La versión de api	'2026-03-01'
identity	Identidades de servicio administradas asignadas a este recurso.	ManagedServiceIdentity
amable		string
location		string
nombre	El nombre del recurso	string Restricciones: Patrón = `^[a-zA-Z0-9][a-zA-Z0-9_-]{2,32}$` (obligatorio)
Propiedades	Atributos adicionales de la entidad.	WorkspaceProperties (obligatorio)
código SKU	Optional. Este campo es necesario que el RP implemente este campo porque AML admite más de un nivel.	Sku
tags	Etiquetas de recursos	Diccionario de nombres y valores de etiqueta. Consulta c0 en las plantillas
type	El tipo de recurso	'Microsoft. Servicios de Aprendizaje Automático/espacios de trabajo

ComputeRuntimeDto

Nombre	Descripción	Value
sparkRuntimeVersion		string

CosmosDbSettings

Nombre	Descripción	Value
collectionsThroughput		int

EncryptionProperty

Nombre	Descripción	Value
cosmosDbResourceId	La cuenta de cosmosdb byok que el cliente lleva a los datos del cliente con cifrado	string
identity	Identidad que se va a usar con keyVault	IdentityForCmk
keyVaultProperties	Detalles de KeyVault para realizar el cifrado	keyVaultProperties (obligatorio)
searchAccountResourceId	La cuenta de búsqueda byok que el cliente trae para almacenar los datos del cliente con cifrado	string
status	Indica si el cifrado está habilitado para el área de trabajo.	'Deshabilitado' 'Habilitado' (obligatorio)
storageAccountResourceId	La cuenta de almacenamiento byok que el cliente trae para almacenar los datos del cliente con cifrado	string

FeatureStoreSettings

Nombre	Descripción	Value
computeRuntime		ComputeRuntimeDto
offlineStoreConnectionName		string
onlineStoreConnectionName		string

FqdnOutboundRule

Nombre	Descripción	Value
destino		string
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'FQDN' (obligatorio)

IdentityForCmk

Nombre	Descripción	Value
userAssignedIdentity	UserAssignedIdentity que se va a usar para capturar la clave de cifrado de keyVault	string

KeyVaultProperties

Nombre	Descripción	Value
identityClientId	Actualmente, solo se admite MSI SystemAssigned. Lo necesitamos cuando se admite UserAssignedIdentities	string
keyIdentifier	Identificador de clave de KeyVault para cifrar los datos	string Restricciones: Longitud mínima = 1 Patrón = `[a-zA-Z0-9_]` (obligatorio)
keyVaultArmId	Id. de Arm de KeyVault que contiene la clave de cifrado de datos	string Restricciones: Longitud mínima = 1 Patrón = `[a-zA-Z0-9_]` (obligatorio)

ManagedNetworkProvisionStatus

Nombre	Descripción	Value
sparkReady		bool
status	Estado de la red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Inactive'

ManagedNetworkSettings

Nombre	Descripción	Value
enableNetworkMonitor	Marca para indicar si es necesario habilitar la supervisión para la red administrada.	bool
firewallSku	SKU de firewall usada para las reglas de FQDN	"Básico" 'Estándar'
isolationMode	Modo de aislamiento para la red administrada de un área de trabajo de Aprendizaje automático.	'Permitir salida de Internet' 'AllowOnlyApprovedOutbound' 'Deshabilitado'
managedNetworkKind	El tipo de red administrada. Los usuarios pueden cambiar de V1 a V2 para controles de acceso granulares, pero no pueden volver a V1 una vez que V2 está habilitado.	'V1' 'V2'
outboundRules	Diccionario de <OutboundRule>	ManagedNetworkSettingsOutboundRules
status	Estado del aprovisionamiento de la red administrada de un área de trabajo de Machine Learning.	managedNetworkProvisionStatus

ManagedNetworkSettingsOutboundRules

Nombre	Descripción	Value

ManagedServiceIdentity

Nombre	Descripción	Value
type	Tipo de identidad de servicio administrada (donde se permiten los tipos SystemAssigned y UserAssigned).	'None' 'SystemAssigned' 'SystemAssigned,UserAssigned' 'UserAssigned' (obligatorio)
userAssignedIdentities	Conjunto de identidades asignadas por el usuario asociadas al recurso. Las claves del diccionario usuariAsignedIdentities serán los identificadores de recursos ARM en el formulario: '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. ManagedIdentity/userAssignedIdentities/{identityName}. Los valores del diccionario pueden ser objetos vacíos ({}) en las solicitudes.	UserAssignedIdentities

OutboundRule

Nombre	Descripción	Value
categoría	Categoría de una regla de salida de red administrada de un área de trabajo de Machine Learning.	'Dependencia' 'Recommended' 'Obligatorio' 'Definido por el usuario'
status	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Deleting' 'Failed' 'Inactive' 'Provisioning'
type	Establezca en "FQDN" para el tipo FqdnOutboundRule. Establezca en "PrivateEndpoint" para el tipo PrivateEndpointOutboundRule. Establezca en "ServiceTag" para el tipo ServiceTagOutboundRule.	'FQDN' 'Punto de conexión privado' 'ServiceTag' (obligatorio)

PrivateEndpointDestination

Nombre	Descripción	Value
serviceResourceId	Una definición de tipo que se refiere al id a un recurso de Azure Resource Manager.	string
sparkEnabled		bool
sparkStatus	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Deleting' 'Failed' 'Inactive' 'Provisioning'
subresourceTarget		string

PrivateEndpointOutboundRule

Nombre	Descripción	Value
destino	Destino de punto de conexión privado para una regla de salida de punto de conexión privado para la red administrada de un área de trabajo de Machine Learning.	PrivateEndpointDestination
FQDNS		string[]
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'PrivateEndpoint' (obligatorio)

ServerlessComputeSettings

Nombre	Descripción	Value
serverlessComputeCustomSubnet	Identificador de recurso de una subred de red virtual existente en la que se deben implementar nodos de proceso sin servidor.	string
serverlessComputeNoPublicIP	Marca que se indica si los nodos de proceso sin servidor implementados en la red virtual personalizada no tendría ninguna dirección IP pública para un área de trabajo con un punto de conexión privado.	bool

ServiceManagedResourcesSettings

Nombre	Descripción	Value
cosmosDb		CosmosDbSettings

ServiceTagDestination

Nombre	Descripción	Value
acción	Enumeración de acción para la regla de red.	'Permitir' 'Denegar'
addressPrefixes	Opcional, si se proporciona, se omitirá la propiedad ServiceTag.	string[]
portRanges		string
protocol		string
serviceTag		string

ServiceTagOutboundRule

Nombre	Descripción	Value
destino	Destino de etiqueta de servicio para una regla de salida de etiqueta de servicio para la red administrada de un área de trabajo de Machine Learning.	ServiceTagDestination
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'ServiceTag' (obligatorio)

SharedPrivateLinkResource

Nombre	Descripción	Value
nombre	Nombre único del vínculo privado	string
Propiedades	Propiedades de un recurso de vínculo privado compartido.	SharedPrivateLinkResourceProperty

SharedPrivateLinkResourceProperty

Nombre	Descripción	Value
groupId	id. de grupo del vínculo privado	string
privateLinkResourceId	el identificador de recurso al que se vincula el vínculo privado	string
mensajeDeSolicitud	Mensaje de solicitud	string
status	Estado de la conexión del consumidor de servicio con el proveedor de servicios\r\nPosibles transiciones de estado\r\nPendientes -> Aprobadas (El proveedor de servicios aprueba la solicitud de conexión)\r\nPendientes -> Rechazadas (El proveedor de servicios rechaza la solicitud de conexión)\r\nPendientes -> Desconectadas (el proveedor de servicios elimina la conexión)\r\nAprobadas -> Rechazadas (el proveedor de servicios rechaza la conexión aprobada)\r\nAprobadas -> Desconectadas (el proveedor de servicios elimina la conexión)\r\nRechazadas - > Pendiente (El consumidor de servicio reinicia la solicitud de conexión que fue rechazada)\r\nRechazada -> Desconectado (el proveedor de servicio elimina la conexión)	'Aprobado' 'Desconectado' 'Pendiente' 'Rechazado' 'Tiempo de espera'

SKU

Nombre	Descripción	Value
capacity	Si la SKU admite el escalado horizontal o horizontal, se debe incluir el entero de capacidad. Si no es posible escalar horizontalmente o reducir horizontalmente el recurso, se puede omitir.	int
familia	Si el servicio tiene diferentes generaciones de hardware, para la misma SKU, se puede capturar aquí.	string
nombre	Nombre de la SKU. Por ejemplo, P3. Normalmente es un código de letra y número	string (obligatorio)
size	Tamaño de la SKU. Cuando el campo de nombre es la combinación de nivel y otro valor, este sería el código independiente.	string
nivel	El proveedor de recursos necesita implementar este campo si el servicio tiene más de un nivel, pero no es necesario en put.	"Básico" 'Free' 'Premium' 'Estándar'

UserAssignedIdentities

Nombre	Descripción	Value

UserAssignedIdentity

Nombre	Descripción	Value

WorkspaceHubConfig

Nombre	Descripción	Value
additionalWorkspaceStorageAccounts		string[]
defaultWorkspaceResourceGroup		string

WorkspaceProperties (Propiedades del espacio de trabajo)

Nombre	Descripción	Value
allowPublicAccessWhenBehindVnet	Marca que indica si se va a permitir el acceso público cuando se encuentra detrás de la red virtual.	bool
PerspectivasDeAplicación	Id. de ARM de Application Insights asociado a esta área de trabajo.	string
associatedWorkspaces		string[]
containerRegistry	Id. de ARM del registro de contenedor asociado a esta área de trabajo.	string
descripción	Descripción de esta área de trabajo.	string
discoveryUrl	Dirección URL del servicio de detección para identificar puntos de conexión regionales para los servicios de experimentación de aprendizaje automático	string
enableDataIsolation		bool
enableServiceSideCMKEncryption		bool
encryption		EncryptionProperty
featureStoreSettings	Configuración del área de trabajo de tipo de almacén de características.	featureStoreSettings
friendlyName	Nombre descriptivo de esta área de trabajo. Este nombre en mutable	string
hbiWorkspace	Marca para indicar los datos de HBI en el área de trabajo y reducir los datos de diagnóstico recopilados por el servicio.	bool
hubResourceId		string
imageBuildCompute	Nombre de proceso para la compilación de imágenes	string
keyVault	Identificador de ARM del almacén de claves asociado a esta área de trabajo. No se puede cambiar una vez que se ha creado el área de trabajo.	string
managedNetwork	Configuración de red administrada para un área de trabajo de Aprendizaje automático.	ManagedNetworkSettings
primaryUserAssignedIdentity	Identificador de recurso de identidad asignado por el usuario que representa la identidad del área de trabajo.	string
provisionNetworkNow	Establézcalo para desencadenar el aprovisionamiento de la red virtual administrada con las opciones predeterminadas al crear un área de trabajo con la red virtual administrada habilitada o, de lo contrario, no hace nada.	bool
publicNetworkAccess	Indica si se permiten las solicitudes de la red pública.	'Deshabilitado' 'Enabled'
serverlessComputeSettings	Configuración del proceso sin servidor en un área de trabajo	ServerlessComputeSettings
serviceManagedResourcesSettings	Configuración del recurso administrado por el servicio.	ServiceManagedResourcesSettings
sharedPrivateLinkResources	Lista de recursos de vínculo privado compartidos en esta área de trabajo.	sharedPrivateLinkResource[]
storageAccount	Id. de ARM de la cuenta de almacenamiento asociada a este área de trabajo. No se puede cambiar una vez que se ha creado el área de trabajo.	string
systemDatastoresAuthMode	Modo de autenticación que se usa para acceder a los almacenes de datos del sistema del área de trabajo.	'Clave de acceso' 'Identidad' "UserDelegationSAS"
v1LegacyMode	Habilitar v1_legacy_mode puede impedir que use características proporcionadas por la API v2.	bool
workspaceHubConfig	Objeto de configuración de WorkspaceHub.	WorkspaceHubConfig

Etiquetas de espacio de trabajo

Nombre	Descripción	Value

Definición de recursos de Terraform (proveedor AzAPI)

El tipo de recurso workspaces se puede implementar con operaciones destinadas a:

Grupos de recursos Para una lista de propiedades modificadas en cada versión de la API, consulte registro de cambios.

Ejemplos de uso

Ejemplos de Terraform

Un ejemplo básico de despliegue de Azure Machine Learning Workspace.

terraform {
  required_providers {
    azapi = {
      source = "Azure/azapi"
    }
    azurerm = {
      source = "hashicorp/azurerm"
    }
  }
}

provider "azurerm" {
  features {
  }
}

provider "azapi" {
  skip_provider_registration = false
}

variable "resource_name" {
  type    = string
  default = "acctest0001"
}

variable "location" {
  type    = string
  default = "westeurope"
}

data "azurerm_client_config" "current" {
}

resource "azapi_resource" "resourceGroup" {
  type     = "Microsoft.Resources/resourceGroups@2020-06-01"
  name     = var.resource_name
  location = var.location
  body = {
    tags = {
      stage = "test"
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

resource "azapi_resource" "storageAccount" {
  type      = "Microsoft.Storage/storageAccounts@2021-09-01"
  parent_id = azapi_resource.resourceGroup.id
  name      = var.resource_name
  location  = var.location
  body = {
    kind = "StorageV2"
    properties = {
      accessTier                   = "Hot"
      allowBlobPublicAccess        = true
      allowCrossTenantReplication  = true
      allowSharedKeyAccess         = true
      defaultToOAuthAuthentication = false
      encryption = {
        keySource = "Microsoft.Storage"
        services = {
          queue = {
            keyType = "Service"
          }
          table = {
            keyType = "Service"
          }
        }
      }
      isHnsEnabled      = false
      isNfsV3Enabled    = false
      isSftpEnabled     = false
      minimumTlsVersion = "TLS1_2"
      networkAcls = {
        defaultAction = "Allow"
      }
      publicNetworkAccess      = "Enabled"
      supportsHttpsTrafficOnly = true
    }
    sku = {
      name = "Standard_LRS"
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

resource "azapi_resource" "component" {
  type      = "Microsoft.Insights/components@2020-02-02"
  parent_id = azapi_resource.resourceGroup.id
  name      = var.resource_name
  location  = var.location
  body = {
    kind = "web"
    properties = {
      Application_Type                = "web"
      DisableIpMasking                = false
      DisableLocalAuth                = false
      ForceCustomerStorageForProfiler = false
      RetentionInDays                 = 90
      SamplingPercentage              = 100
      publicNetworkAccessForIngestion = "Enabled"
      publicNetworkAccessForQuery     = "Enabled"
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

resource "azapi_resource" "vault" {
  type      = "Microsoft.KeyVault/vaults@2021-10-01"
  parent_id = azapi_resource.resourceGroup.id
  name      = var.resource_name
  location  = var.location
  body = {
    properties = {
      accessPolicies = [
        {
          objectId = "45a2d1ea-488a-44b0-bb2e-3cd8e485ebef"
          permissions = {
            certificates = [
              "all",
            ]
            keys = [
              "all",
            ]
            secrets = [
              "all",
            ]
            storage = []
          }
          tenantId = data.azurerm_client_config.current.tenant_id
        }
      ]
      createMode                   = "default"
      enablePurgeProtection        = true
      enableRbacAuthorization      = false
      enableSoftDelete             = true
      enabledForDeployment         = false
      enabledForDiskEncryption     = false
      enabledForTemplateDeployment = false
      publicNetworkAccess          = "Enabled"
      sku = {
        family = "A"
        name   = "standard"
      }
      tenantId = data.azurerm_client_config.current.tenant_id
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

resource "azapi_resource" "workspace" {
  type      = "Microsoft.MachineLearningServices/workspaces@2022-05-01"
  parent_id = azapi_resource.resourceGroup.id
  name      = var.resource_name
  location  = var.location
  identity {
    type         = "SystemAssigned"
    identity_ids = []
  }
  body = {
    properties = {
      applicationInsights = azapi_resource.component.id
      keyVault            = azapi_resource.vault.id
      publicNetworkAccess = "Disabled"
      storageAccount      = azapi_resource.storageAccount.id
      v1LegacyMode        = false
    }
    sku = {
      name = "Basic"
      tier = "Basic"
    }
  }
  ignore_casing             = true
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

Módulos comprobados de Azure

Los siguientes módulos verificados Azure pueden usarse para desplegar este tipo de recurso.

Módulo	Descripción
Machine Learning Espacio de Trabajo de Servicios	Módulo de Recursos AVM para el espacio de trabajo de Machine Learning Services

Formato de los recursos

Para crear un Microsoft. MachineLearningServices/recursos de espacios de trabajo, añade el siguiente Terraform a tu plantilla.

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.MachineLearningServices/workspaces@2026-03-01"
  name = "string"
  parent_id = "string"
  identity {
    type = "string"
    identity_ids = [
      "string"
    ]
  }
  location = "string"
  tags = {
    {customized property} = "string"
  }
  body = {
    kind = "string"
    properties = {
      allowPublicAccessWhenBehindVnet = bool
      applicationInsights = "string"
      associatedWorkspaces = [
        "string"
      ]
      containerRegistry = "string"
      description = "string"
      discoveryUrl = "string"
      enableDataIsolation = bool
      enableServiceSideCMKEncryption = bool
      encryption = {
        cosmosDbResourceId = "string"
        identity = {
          userAssignedIdentity = "string"
        }
        keyVaultProperties = {
          identityClientId = "string"
          keyIdentifier = "string"
          keyVaultArmId = "string"
        }
        searchAccountResourceId = "string"
        status = "string"
        storageAccountResourceId = "string"
      }
      featureStoreSettings = {
        computeRuntime = {
          sparkRuntimeVersion = "string"
        }
        offlineStoreConnectionName = "string"
        onlineStoreConnectionName = "string"
      }
      friendlyName = "string"
      hbiWorkspace = bool
      hubResourceId = "string"
      imageBuildCompute = "string"
      keyVault = "string"
      managedNetwork = {
        enableNetworkMonitor = bool
        firewallSku = "string"
        isolationMode = "string"
        managedNetworkKind = "string"
        outboundRules = {
          {customized property} = {
            category = "string"
            status = "string"
            type = "string"
            // For remaining properties, see OutboundRule objects
          }
        }
        status = {
          sparkReady = bool
          status = "string"
        }
      }
      primaryUserAssignedIdentity = "string"
      provisionNetworkNow = bool
      publicNetworkAccess = "string"
      serverlessComputeSettings = {
        serverlessComputeCustomSubnet = "string"
        serverlessComputeNoPublicIP = bool
      }
      serviceManagedResourcesSettings = {
        cosmosDb = {
          collectionsThroughput = int
        }
      }
      sharedPrivateLinkResources = [
        {
          name = "string"
          properties = {
            groupId = "string"
            privateLinkResourceId = "string"
            requestMessage = "string"
            status = "string"
          }
        }
      ]
      storageAccount = "string"
      systemDatastoresAuthMode = "string"
      v1LegacyMode = bool
      workspaceHubConfig = {
        additionalWorkspaceStorageAccounts = [
          "string"
        ]
        defaultWorkspaceResourceGroup = "string"
      }
    }
    sku = {
      capacity = int
      family = "string"
      name = "string"
      size = "string"
      tier = "string"
    }
  }
}

Objetos OutboundRule

Establezca el tipo propiedad para especificar el tipo de objeto.

Para FQDN, use:

{
  destination = "string"
  type = "FQDN"
}

Para PrivateEndpoint, use:

{
  destination = {
    serviceResourceId = "string"
    sparkEnabled = bool
    sparkStatus = "string"
    subresourceTarget = "string"
  }
  fqdns = [
    "string"
  ]
  type = "PrivateEndpoint"
}

Para ServiceTag, use:

{
  destination = {
    action = "string"
    addressPrefixes = [
      "string"
    ]
    portRanges = "string"
    protocol = "string"
    serviceTag = "string"
  }
  type = "ServiceTag"
}

Valores de propiedad

Microsoft.MachineLearningServices/workspaces

Nombre	Descripción	Value
identity	Identidades de servicio administradas asignadas a este recurso.	ManagedServiceIdentity
amable		string
location		string
nombre	El nombre del recurso	string Restricciones: Patrón = `^[a-zA-Z0-9][a-zA-Z0-9_-]{2,32}$` (obligatorio)
Propiedades	Atributos adicionales de la entidad.	WorkspaceProperties (obligatorio)
código SKU	Optional. Este campo es necesario que el RP implemente este campo porque AML admite más de un nivel.	Sku
tags	Etiquetas de recursos	Diccionario de nombres y valores de etiqueta.
type	El tipo de recurso	"Microsoft. Servicios de Aprendizaje Automático/workspaces@2026-03-01"

ComputeRuntimeDto

Nombre	Descripción	Value
sparkRuntimeVersion		string

CosmosDbSettings

Nombre	Descripción	Value
collectionsThroughput		int

EncryptionProperty

Nombre	Descripción	Value
cosmosDbResourceId	La cuenta de cosmosdb byok que el cliente lleva a los datos del cliente con cifrado	string
identity	Identidad que se va a usar con keyVault	IdentityForCmk
keyVaultProperties	Detalles de KeyVault para realizar el cifrado	keyVaultProperties (obligatorio)
searchAccountResourceId	La cuenta de búsqueda byok que el cliente trae para almacenar los datos del cliente con cifrado	string
status	Indica si el cifrado está habilitado para el área de trabajo.	'Deshabilitado' 'Habilitado' (obligatorio)
storageAccountResourceId	La cuenta de almacenamiento byok que el cliente trae para almacenar los datos del cliente con cifrado	string

FeatureStoreSettings

Nombre	Descripción	Value
computeRuntime		ComputeRuntimeDto
offlineStoreConnectionName		string
onlineStoreConnectionName		string

FqdnOutboundRule

Nombre	Descripción	Value
destino		string
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'FQDN' (obligatorio)

IdentityForCmk

Nombre	Descripción	Value
userAssignedIdentity	UserAssignedIdentity que se va a usar para capturar la clave de cifrado de keyVault	string

KeyVaultProperties

Nombre	Descripción	Value
identityClientId	Actualmente, solo se admite MSI SystemAssigned. Lo necesitamos cuando se admite UserAssignedIdentities	string
keyIdentifier	Identificador de clave de KeyVault para cifrar los datos	string Restricciones: Longitud mínima = 1 Patrón = `[a-zA-Z0-9_]` (obligatorio)
keyVaultArmId	Id. de Arm de KeyVault que contiene la clave de cifrado de datos	string Restricciones: Longitud mínima = 1 Patrón = `[a-zA-Z0-9_]` (obligatorio)

ManagedNetworkProvisionStatus

Nombre	Descripción	Value
sparkReady		bool
status	Estado de la red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Inactive'

ManagedNetworkSettings

Nombre	Descripción	Value
enableNetworkMonitor	Marca para indicar si es necesario habilitar la supervisión para la red administrada.	bool
firewallSku	SKU de firewall usada para las reglas de FQDN	"Básico" 'Estándar'
isolationMode	Modo de aislamiento para la red administrada de un área de trabajo de Aprendizaje automático.	'Permitir salida de Internet' 'AllowOnlyApprovedOutbound' 'Deshabilitado'
managedNetworkKind	El tipo de red administrada. Los usuarios pueden cambiar de V1 a V2 para controles de acceso granulares, pero no pueden volver a V1 una vez que V2 está habilitado.	'V1' 'V2'
outboundRules	Diccionario de <OutboundRule>	ManagedNetworkSettingsOutboundRules
status	Estado del aprovisionamiento de la red administrada de un área de trabajo de Machine Learning.	managedNetworkProvisionStatus

ManagedNetworkSettingsOutboundRules

Nombre	Descripción	Value

ManagedServiceIdentity

Nombre	Descripción	Value
type	Tipo de identidad de servicio administrada (donde se permiten los tipos SystemAssigned y UserAssigned).	'None' 'SystemAssigned' 'SystemAssigned,UserAssigned' 'UserAssigned' (obligatorio)
userAssignedIdentities	Conjunto de identidades asignadas por el usuario asociadas al recurso. Las claves del diccionario usuariAsignedIdentities serán los identificadores de recursos ARM en el formulario: '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. ManagedIdentity/userAssignedIdentities/{identityName}. Los valores del diccionario pueden ser objetos vacíos ({}) en las solicitudes.	UserAssignedIdentities

OutboundRule

Nombre	Descripción	Value
categoría	Categoría de una regla de salida de red administrada de un área de trabajo de Machine Learning.	'Dependencia' 'Recommended' 'Obligatorio' 'Definido por el usuario'
status	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Deleting' 'Failed' 'Inactive' 'Provisioning'
type	Establezca en "FQDN" para el tipo FqdnOutboundRule. Establezca en "PrivateEndpoint" para el tipo PrivateEndpointOutboundRule. Establezca en "ServiceTag" para el tipo ServiceTagOutboundRule.	'FQDN' 'Punto de conexión privado' 'ServiceTag' (obligatorio)

PrivateEndpointDestination

Nombre	Descripción	Value
serviceResourceId	Una definición de tipo que se refiere al id a un recurso de Azure Resource Manager.	string
sparkEnabled		bool
sparkStatus	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'Active' 'Deleting' 'Failed' 'Inactive' 'Provisioning'
subresourceTarget		string

PrivateEndpointOutboundRule

Nombre	Descripción	Value
destino	Destino de punto de conexión privado para una regla de salida de punto de conexión privado para la red administrada de un área de trabajo de Machine Learning.	PrivateEndpointDestination
FQDNS		string[]
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'PrivateEndpoint' (obligatorio)

ServerlessComputeSettings

Nombre	Descripción	Value
serverlessComputeCustomSubnet	Identificador de recurso de una subred de red virtual existente en la que se deben implementar nodos de proceso sin servidor.	string
serverlessComputeNoPublicIP	Marca que se indica si los nodos de proceso sin servidor implementados en la red virtual personalizada no tendría ninguna dirección IP pública para un área de trabajo con un punto de conexión privado.	bool

ServiceManagedResourcesSettings

Nombre	Descripción	Value
cosmosDb		CosmosDbSettings

ServiceTagDestination

Nombre	Descripción	Value
acción	Enumeración de acción para la regla de red.	'Permitir' 'Denegar'
addressPrefixes	Opcional, si se proporciona, se omitirá la propiedad ServiceTag.	string[]
portRanges		string
protocol		string
serviceTag		string

ServiceTagOutboundRule

Nombre	Descripción	Value
destino	Destino de etiqueta de servicio para una regla de salida de etiqueta de servicio para la red administrada de un área de trabajo de Machine Learning.	ServiceTagDestination
type	Tipo de una regla de salida de red administrada de un área de trabajo de Aprendizaje automático.	'ServiceTag' (obligatorio)

SharedPrivateLinkResource

Nombre	Descripción	Value
nombre	Nombre único del vínculo privado	string
Propiedades	Propiedades de un recurso de vínculo privado compartido.	SharedPrivateLinkResourceProperty

SharedPrivateLinkResourceProperty

Nombre	Descripción	Value
groupId	id. de grupo del vínculo privado	string
privateLinkResourceId	el identificador de recurso al que se vincula el vínculo privado	string
mensajeDeSolicitud	Mensaje de solicitud	string
status	Estado de la conexión del consumidor de servicio con el proveedor de servicios\r\nPosibles transiciones de estado\r\nPendientes -> Aprobadas (El proveedor de servicios aprueba la solicitud de conexión)\r\nPendientes -> Rechazadas (El proveedor de servicios rechaza la solicitud de conexión)\r\nPendientes -> Desconectadas (el proveedor de servicios elimina la conexión)\r\nAprobadas -> Rechazadas (el proveedor de servicios rechaza la conexión aprobada)\r\nAprobadas -> Desconectadas (el proveedor de servicios elimina la conexión)\r\nRechazadas - > Pendiente (El consumidor de servicio reinicia la solicitud de conexión que fue rechazada)\r\nRechazada -> Desconectado (el proveedor de servicio elimina la conexión)	'Aprobado' 'Desconectado' 'Pendiente' 'Rechazado' 'Tiempo de espera'

SKU

Nombre	Descripción	Value
capacity	Si la SKU admite el escalado horizontal o horizontal, se debe incluir el entero de capacidad. Si no es posible escalar horizontalmente o reducir horizontalmente el recurso, se puede omitir.	int
familia	Si el servicio tiene diferentes generaciones de hardware, para la misma SKU, se puede capturar aquí.	string
nombre	Nombre de la SKU. Por ejemplo, P3. Normalmente es un código de letra y número	string (obligatorio)
size	Tamaño de la SKU. Cuando el campo de nombre es la combinación de nivel y otro valor, este sería el código independiente.	string
nivel	El proveedor de recursos necesita implementar este campo si el servicio tiene más de un nivel, pero no es necesario en put.	"Básico" 'Free' 'Premium' 'Estándar'

UserAssignedIdentities

Nombre	Descripción	Value

UserAssignedIdentity

Nombre	Descripción	Value

WorkspaceHubConfig

Nombre	Descripción	Value
additionalWorkspaceStorageAccounts		string[]
defaultWorkspaceResourceGroup		string

WorkspaceProperties (Propiedades del espacio de trabajo)

Nombre	Descripción	Value
allowPublicAccessWhenBehindVnet	Marca que indica si se va a permitir el acceso público cuando se encuentra detrás de la red virtual.	bool
PerspectivasDeAplicación	Id. de ARM de Application Insights asociado a esta área de trabajo.	string
associatedWorkspaces		string[]
containerRegistry	Id. de ARM del registro de contenedor asociado a esta área de trabajo.	string
descripción	Descripción de esta área de trabajo.	string
discoveryUrl	Dirección URL del servicio de detección para identificar puntos de conexión regionales para los servicios de experimentación de aprendizaje automático	string
enableDataIsolation		bool
enableServiceSideCMKEncryption		bool
encryption		EncryptionProperty
featureStoreSettings	Configuración del área de trabajo de tipo de almacén de características.	featureStoreSettings
friendlyName	Nombre descriptivo de esta área de trabajo. Este nombre en mutable	string
hbiWorkspace	Marca para indicar los datos de HBI en el área de trabajo y reducir los datos de diagnóstico recopilados por el servicio.	bool
hubResourceId		string
imageBuildCompute	Nombre de proceso para la compilación de imágenes	string
keyVault	Identificador de ARM del almacén de claves asociado a esta área de trabajo. No se puede cambiar una vez que se ha creado el área de trabajo.	string
managedNetwork	Configuración de red administrada para un área de trabajo de Aprendizaje automático.	ManagedNetworkSettings
primaryUserAssignedIdentity	Identificador de recurso de identidad asignado por el usuario que representa la identidad del área de trabajo.	string
provisionNetworkNow	Establézcalo para desencadenar el aprovisionamiento de la red virtual administrada con las opciones predeterminadas al crear un área de trabajo con la red virtual administrada habilitada o, de lo contrario, no hace nada.	bool
publicNetworkAccess	Indica si se permiten las solicitudes de la red pública.	'Deshabilitado' 'Enabled'
serverlessComputeSettings	Configuración del proceso sin servidor en un área de trabajo	ServerlessComputeSettings
serviceManagedResourcesSettings	Configuración del recurso administrado por el servicio.	ServiceManagedResourcesSettings
sharedPrivateLinkResources	Lista de recursos de vínculo privado compartidos en esta área de trabajo.	sharedPrivateLinkResource[]
storageAccount	Id. de ARM de la cuenta de almacenamiento asociada a este área de trabajo. No se puede cambiar una vez que se ha creado el área de trabajo.	string
systemDatastoresAuthMode	Modo de autenticación que se usa para acceder a los almacenes de datos del sistema del área de trabajo.	'Clave de acceso' 'Identidad' "UserDelegationSAS"
v1LegacyMode	Habilitar v1_legacy_mode puede impedir que use características proporcionadas por la API v2.	bool
workspaceHubConfig	Objeto de configuración de WorkspaceHub.	WorkspaceHubConfig

Etiquetas de espacio de trabajo

Nombre	Descripción	Value

Comentarios

¿Le ha resultado útil esta página?

Last updated on 2026-05-19