Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Usare una rete virtuale per isolare il traffico di valutazione in Microsoft Foundry. Questo articolo illustra come scegliere le linee guida appropriate per la configurazione della rete, configurare i requisiti specifici della valutazione e risolvere gli errori di valutazione comuni correlati alla rete.
Prerequisiti
- Un progetto Foundry in un'area geografica che supporta la valutazione di VNet.
- Autorizzazioni per configurare l'isolamento di rete e assegnare ruoli RBAC di Azure.
- Una rete virtuale (VNet) e una subnet che è possibile delegare per l'iniezione di rete, oppure l'autorizzazione a distribuirle usando il modello di configurazione solo per la valutazione.
Scegliere le linee guida per la configurazione di rete
Usare la tabella seguente per trovare le indicazioni sulla rete per lo scenario in uso. Tornare a questo articolo per i requisiti e la risoluzione dei problemi specifici per la valutazione.
| Obiettivo | Guidance |
|---|---|
| Comprendere le opzioni di isolamento della rete e configurare endpoint privati, DNS, elenchi di indirizzi consentiti del firewall e accesso alla rete pubblica. | Configurare l'isolamento di rete per Microsoft Foundry |
| Usare la soluzione di rete virtuale gestita Microsoft per l'isolamento della rete in uscita. | Configurare una rete virtuale gestita per i progetti Foundry |
| Connettere una rete virtuale gestita a risorse locali o non Azure. | Accedere alle risorse on-premises da una rete gestita da Foundry |
| Configurare una configurazione di rete privata completa che include il servizio agente Foundry. | Configurare la rete privata per il Foundry Agent Service |
| Informazioni sull'architettura di rete del servizio Agent, sul flusso del traffico, sul ridimensionamento delle subnet e sull'allocazione IP. | Approfondimento sulla rete del servizio Foundry Agent |
| Usare un agente di codifica per pianificare e configurare le risorse e la rete di Foundry. | Usa Microsoft Foundry Skill negli agenti di codifica |
Configurare i requisiti di rete di valutazione
Il supporto della rete virtuale per la valutazione richiede l'inserimento di rete tramite la delega della subnet. Se sono necessarie solo funzionalità di valutazione e non è necessario il supporto completo dell'agente, ad esempio Azure Cosmos DB, Azure AI Search o un host di funzionalità di progetto, usare il modello di installazione semplificato di sola valutazione (15a). Il modello distribuisce un ambiente minimo protetto dalla rete per gli scenari di valutazione.
Importante
Per evitare errori durante l'esecuzione delle valutazioni e del red teaming, assegna il ruolo Foundry User all'identità gestita del progetto a livello della risorsa Foundry durante la configurazione iniziale del progetto.
Importante
I ruoli di Controllo degli accessi in base al ruolo di Foundry sono stati recentemente rinominati. Foundry User, Foundry Owner, Foundry Account Owner e Foundry Project Manager erano precedentemente denominati Azure AI User, Azure AI Owner, Azure AI Account Owner e Azure AI Project Manager. È possibile che i nomi precedenti vengano visualizzati in alcune posizioni durante l'esecuzione della ridenominazione. Gli ID ruolo e le autorizzazioni di base sono invariati dalla ridenominazione.
Se si connette Application Insights, i dati di valutazione vengono inviati ad esso.
Supporto dell'area di rete virtuale
È possibile usare la propria rete virtuale per la valutazione nelle aree seguenti:
| Americhe | Europa | Asia Pacifico | Medio Oriente e Africa |
|---|---|---|---|
| Brasile meridionale | Francia centrale | Australia orientale | Sudafrica settentrionale |
| Canada Central | Germania centro-occidentale | Japan East | Emirati Arabi Uniti settentrionali |
| Canada East | Italia settentrionale | Corea centrale | |
| East US | Norway East | South India | |
| Stati Uniti orientali 2 | Polonia centrale | Sud-est asiatico | |
| Stati Uniti centro-settentrionali | Spain Central | ||
| Stati Uniti centro-meridionali | Sweden Central | ||
| West US | Svizzera settentrionale | ||
| West US 2 (Regione Ovest degli Stati Uniti 2) | Regno Unito meridionale | ||
| Stati Uniti occidentali 3 | Europa occidentale |
Configurare il supporto della rete virtuale per la generazione di dati
La generazione di dati sintetici e la generazione da traccia a set di dati usano la stessa funzionalità di inserimento di rete tramite la delega della subnet come valutazione. Usare il modello di installazione di sola valutazione (15a) per distribuire l'ambiente protetto dalla rete richiesto.
Per la disponibilità dell'area di generazione dei dati, vedere Aree supportate per la generazione di dati.
Risolvere gli errori di valutazione della rete virtuale
Diagnosticare la configurazione della rete virtuale
Eseguire la diagnostica di configurazione del progetto di rete virtuale da un computer con connettività privata alla rete virtuale. Lo script esamina una configurazione del progetto Foundry esistente e la relativa connettività di rete senza eseguire una valutazione o modificare le risorse Azure.
Seguire la guida all'utilizzo per preparare i prerequisiti, eseguire i controlli di diagnostica appropriati ed esaminare il report generato diagnostics.md . Il report fornisce risultati interattivi, prove di supporto, limitazioni note e linee guida per la correzione per risolvere i problemi di configurazione.
L'esecuzione della valutazione rimane in corso fino al timeout
Un'esecuzione di valutazione può rimanere in corso perché l'installazione dell'isolamento di rete è incompleta, gli endpoint privati necessari non sono configurati mentre l'accesso alla rete pubblica è disabilitato o l'identità gestita del progetto non dispone dell'autorizzazione per aggiornare lo stato di esecuzione.
Per risolvere il problema:
- Verificare che l'inserimento della rete e la delega della subnet siano configurati come descritto in Configurare l'isolamento di rete per Microsoft Foundry. Se sono necessarie solo funzionalità di valutazione, confrontare la distribuzione con il modello di installazione di sola valutazione (15a).If you need only evaluation capabilities, compare your deployment with the evaluation-only setup template (15a).
- Se l'accesso alla rete pubblica è disabilitato, verificare che gli endpoint privati necessari siano configurati e approvati e che il DNS privato risolva gli endpoint delle risorse dalla rete che è stata iniettata nel progetto Foundry.
- Assicurarsi che il progetto Foundry sia configurato come host della funzionalità. Abbiamo bisogno della capacità di ospitare sia a livello di account Foundry sia a livello di progetto. Se l'host delle funzionalità a livello di progetto di Foundry non è stato configurato, usa il modello Bicep add-project-capability-host per configurarlo.
- Verificare che l'identità gestita del progetto abbia il ruolo Utente Foundry nell'ambito della risorsa Foundry.
- Per un set di dati di grandi dimensioni, eseguire una valutazione su un subset rappresentativo più piccolo. Se l'esecuzione più piccola viene completata, ridurre le dimensioni del set di dati o suddividere il set di dati tra più esecuzioni di valutazione.
L'esecuzione della valutazione non si avvia e restituisce un errore 403
L'errore indica che l'accesso alla rete è disabilitato, l'accesso alla rete pubblica è disabilitato, ma il servizio di valutazione non può raggiungere una o più risorse necessarie tramite la rete virtuale.
Error: Public access is disabled. Please configure private endpoint.
Per risolvere il problema:
- Identificare il nome host della risorsa nei dettagli dell'errore o nella diagnostica di valutazione.
- Verificare che l'inserimento di rete e la delega della subnet siano configurati per la valutazione.
- Verificare che l'endpoint privato per la risorsa interessata sia configurato e approvato.
- Verificare che DNS privato risolva il nome host e che le regole di rete consentano l'accesso dall'interno della rete virtuale.
- Ritentare l'esecuzione della valutazione dopo l'applicazione delle modifiche alla configurazione di rete.
Per altri 403 errori, verificare le assegnazioni RBAC per l'utente che avvia l'esecuzione e per l'identità gestita del progetto. Per altri problemi specifici della valutazione, vedere Risolvere i problemi di valutazione e osservabilità.
IL DNS personalizzato non risolve gli endpoint privati
Se si definisce un server DNS personalizzato per una rete virtuale, il sistema non esegue automaticamente query sulle zone DNS private collegate alla rete virtuale. Le impostazioni DNS personalizzate sostituiscono l'ordine di risoluzione dei nomi.
Per abilitare il DNS personalizzato per risolvere la zona privata, usare un sistema di risoluzione privato DNS di Azure in una rete virtuale collegata alla zona privata. Per indicazioni sulla configurazione, vedere Architettura DNS centralizzata.
Se il server DNS personalizzato viene eseguito in una macchina virtuale Azure, configurare un server d'inoltro condizionale per la zona privata. Impostare la destinazione del server d'inoltro sull'indirizzo IP DNS di Azure, 168.63.129.16.