Microsoft Foundry ハブ (クラシック) のマネージドネットワークを設定する方法

適用対象:Foundry (クラシック) ポータル。この記事は、新しい Foundry ポータルでは使用できません。新しいポータルの詳細を確認します。

メモ

この記事のリンクは、現在表示している Foundry (クラシック) ドキュメントではなく、新しい Microsoft Foundry ドキュメントのコンテンツを開く場合があります。

重要

この記事では、ハブベースのプロジェクトのレガシサポートを提供します。 Foundry プロジェクトでは機能しません。「自分が持っているプロジェクトの種類を確認する方法」を参照してください。

SDK 互換性に関するメモ: コード例では、特定のMicrosoft Foundry SDK バージョンが必要です。互換性の問題が発生した場合は、ハブベースから Foundry プロジェクトへの移行を検討してください。

ハブベースのプロジェクトのネットワーク分離には、Microsoft Foundry ハブへのアクセスと、ハブとプロジェクト内のコンピューティングリソース (コンピューティングインスタンス、サーバーレス、マネージドオンラインエンドポイントなど) の分離という 2 つの部分があります。この記事では、後者について説明します。図によって強調表示されます。ハブの組み込みのネットワーク分離を使用して、コンピューティングリソースを保護します。

次のネットワーク分離設定を設定します。

ネットワーク分離モードを選択します。インターネット送信を許可するか、承認された送信のみを許可します。
"Visual Studio Code 統合を承認された送信のみを許可するモードで使用する場合は、Visual Studio Code セクションの説明に従って FQDN 送信規則を作成します。"
承認された送信モードのみを許可する Hugging Face モデルを使用する場合は、「Hugging Face モデルの使用」セクションの説明に従って FQDN 送信規則を作成します。
承認されたアウトバウンドのみを許可 モードでオープンソースモデルのいずれかを使用する場合は、Azure で提供される Foundry Models セクションで説明されているように、FQDN アウトバウンド規則を作成してください。

前提条件

開始する前に、次の前提条件があることを確認します。

Azure サブスクリプション。 Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。
Azure サブスクリプションの Microsoft.Network リソースプロバイダーを登録します。ハブはこのプロバイダーを使用して、マネージド仮想ネットワークのプライベートエンドポイントを作成します。

リソースプロバイダーの登録の詳細については、「リソースプロバイダーの登録のエラーを解決する」を参照してください。
次のAzureロールベースのアクセス制御 (Azure RBAC) アクションでAzure ID を使用して、マネージド仮想ネットワークのプライベートエンドポイントを作成します。
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
ヒント

Azure AI Enterprise ネットワーク接続承認者組み込みロールには、これらのアクセス許可が含まれます。このロールをハブのマネージド ID に割り当てて、プライベートエンドポイント接続を承認します。

Azure サブスクリプション。 Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。
Microsoft。ネットワークリソースプロバイダーは、Azure サブスクリプションに登録する必要があります。ハブは、マネージド仮想ネットワークのプライベートエンドポイントを作成するときに、このリソースプロバイダーを使用します。

リソースプロバイダーの登録の詳細については、「リソースプロバイダーの登録のエラーを解決する」を参照してください。
次のAzureロールベースのアクセス制御 (Azure RBAC) アクションでAzure ID を使用して、マネージド仮想ネットワークのプライベートエンドポイントを作成します。
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
ヒント

Azure AI Enterprise ネットワーク接続承認者組み込みロールには、これらのアクセス許可が含まれます。このロールをハブのマネージド ID に割り当てて、プライベートエンドポイント接続を承認します。
Azure CLIの Azure CLI および ml 拡張機能をインストールします。詳細については、 CLI (v2) のインストール、セットアップ、および使用を参照してください。
この記事の CLI の例を実行するための Bash 互換シェル。たとえば、Linux システムまたは Linux 用 Windows サブシステムを使用します。
この記事のAzure CLI例では、ハブ名に ws、リソースグループ名に rg を使用します。 Azure サブスクリプションでコマンドを実行するときに、必要に応じてこれらの値を変更します。

Azure サブスクリプション。 Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。無料版または有料版をお試しください。
Microsoft。ネットワークリソースプロバイダーは、Azure サブスクリプションに登録する必要があります。ハブは、マネージド仮想ネットワークのプライベートエンドポイントを作成するときに、このリソースプロバイダーを使用します。

リソースプロバイダーの登録の詳細については、「リソースプロバイダーの登録のエラーを解決する」を参照してください。
マネージドネットワークのデプロイ時に使用するAzure ID には、プライベートエンドポイントを作成するために、次のAzureロールベースのアクセス制御 (Azure RBAC) アクションが必要です。
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
ヒント

Azure AI Enterprise ネットワーク接続承認者組み込みロールには、これらのアクセス許可が含まれます。このロールをハブのマネージド ID に割り当てて、プライベートエンドポイント接続を承認します。
Azure Machine Learning Python SDK v2。 SDK の詳細については、「install the Python SDK v2 for Azure Machine Learning」を参照してください。

この記事の例では、コードが次のPython コードで始まるものとします。マネージド仮想ネットワークを使用してハブを作成するために必要なクラスをインポートし、Azure サブスクリプションとリソースグループの変数を設定して、ml_clientを作成します。次の例では、プレースホルダーテキストの <SUBSCRIPTION_ID> と <RESOURCE_GROUP> を独自の値に置き換えます。

from azure.ai.ml import MLClient
from azure.ai.ml.entities import (
    Hub,
    ManagedNetwork,
    IsolationMode,
    ServiceTagDestination,
    PrivateEndpointDestination,
    FqdnDestination
)
from azure.identity import DefaultAzureCredential

# Replace with the values for your Azure subscription and resource group.
subscription_id = "<SUBSCRIPTION_ID>"
resource_group = "<RESOURCE_GROUP>"

# get a handle to the subscription
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)

インターネット送信を許可するようにマネージド仮想ネットワークを構成する

ヒント

Foundry は、コンピューティングリソースを作成するか、手動でプロビジョニングを開始するまで、マネージド仮想ネットワークの作成を延期します。自動作成では、ネットワークもプロビジョニングされるため、最初のコンピューティングリソースの作成には約 30 分 かかることがあります。

新しいハブを作成します。
1. Azure portal にサインインし、リソースの作成 メニューから Foundry を選択します。
2. [+ New Azure AI を選択します。
3. [ 基本 ] タブに必要な情報を入力します。
4. ネットワーク タブで、インターネットのアウトバウンド付きプライベート を選択します。
5. 送信規則を追加するには、[ネットワーク] タブから [ユーザー定義の送信規則の追加] を選択します。送信ルールサイドバーから、次の情報を入力します。
  - ルール名: ルールの名前。このハブの名前は一意である必要があります。
  - 宛先の種類: ネットワーク分離がインターネット送信でプライベートである場合、プライベートエンドポイントのみが選択されます。ハブマネージド仮想ネットワークでは、すべてのAzureリソースの種類に対するプライベートエンドポイントの作成はサポートされていません。サポートされているリソースの一覧については、「プライベートエンドポイント」セクションを参照してください。
  - Subscription: プライベートエンドポイントを追加するAzure リソースを含むサブスクリプション。
  - リソースグループ: プライベートエンドポイントを追加するAzure リソースを含むリソースグループ。
  - Resource type: Azure リソースの型。
  - リソース名: Azure リソースの名前。
  - Sub Resource: Azure リソースの種類のサブリソース。
  [保存] を選択します。さらにルールを追加するには、[ ユーザー定義の送信規則の追加] を選択します。
6. ハブの作成を続行します。
既存のハブを更新します。
1. Azure ポータルにサインインし、ハブを選択してマネージド仮想ネットワークの分離を有効にします。
2. [ネットワーク]>[インターネット送信で非公開] を選択します。
  - 送信規則を追加するには、[ネットワーク] タブから [ユーザー定義の送信規則の追加] を選択します。[送信ルール] サイドバーの [新しいハブの作成] セクションで、ハブの作成時と同じ情報を指定します。
  - 送信ルールを削除するには、ルールの [削除 ] を選択します。
3. ページの上部にある [保存] を 選択して、マネージド仮想ネットワークに変更を適用します。

インターネットの送信を許可するマネージド仮想ネットワークを構成するには、 --managed-network allow_internet_outbound パラメーターまたは YAML 構成ファイルを次のエントリと共に使用します。

managed_network:
  isolation_mode: allow_internet_outbound

ハブが依存する他のAzureサービスに対するアウトバウンドルールを定義します。これらの規則は、Azure リソースがマネージド仮想ネットワークと安全に通信できるようにするprivate エンドポイントを定義します。次の規則は、Azure Blob Storage アカウントにプライベートエンドポイントを追加する方法を示しています。次の例では、プレースホルダーテキストの <SUBSCRIPTION_ID>、 <RESOURCE_GROUP>、 <STORAGE_ACCOUNT_NAME> を独自の値に置き換えます。

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

az ml workspace createコマンドまたはaz ml workspace update コマンドを使用して、マネージド仮想ネットワークを構成します。

新しいハブを作成します。

次の例では、新しいハブを作成します。 --managed-network allow_internet_outbound パラメーターは、ハブのマネージド仮想ネットワークを構成します。
```
az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
YAML ファイルを使用してハブを作成するには、 --file パラメーターを使用し、構成設定を含む YAML ファイルを指定します。
```
az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
```
次の YAML の例では、マネージド仮想ネットワークを持つハブを定義します。
```
name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_internet_outbound
```
既存のハブを更新します。

警告

マネージド仮想ネットワークを使用するように既存のワークスペースを更新する前に、ワークスペースのすべてのコンピューティングリソースを削除する必要があります。これには、コンピューティングインスタンス、コンピューティングクラスター、マネージドオンラインエンドポイントが含まれます。

次の例では、既存のハブを更新します。 --managed-network allow_internet_outbound パラメーターは、ハブのマネージド仮想ネットワークを構成します。
```
az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
YAML ファイルを使用して既存のハブを更新するには、 --file パラメーターを使用し、構成設定を含む YAML ファイルを指定します。
```
az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
```
次の YAML の例では、ハブのマネージド仮想ネットワークを定義します。また、ハブが使用するリソースにプライベートエンドポイント接続を追加する方法も示します。この例では、Azure Blob Storage アカウントのプライベートエンドポイントを追加します。次の例では、プレースホルダーテキストの <SUBSCRIPTION_ID>、 <RESOURCE_GROUP>、および <STORAGE_ACCOUNT_NAME> を独自の値に置き換えます。
```
name: myhub
managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint
```

参照

インターネット送信を許可するマネージド仮想ネットワークを構成するには、ManagedNetworkで IsolationMode.ALLOW_INTERNET_OUTBOUND クラスを使用します。次に、 ManagedNetwork オブジェクトを使用して新しいハブを作成するか、既存のハブを更新します。ハブが依存するAzureサービスの送信規則を定義するには、PrivateEndpointDestination クラスを使用して、そのサービスに対する新しいプライベートエンドポイントを定義します。

新しいハブを作成します。

次の例では、myhub という名前の新しいハブを作成し、Azure Blob Storage アカウントのプライベートエンドポイントを追加する myrule というアウトバウンド規則を使用します。次の例では、プレースホルダーテキストの <SUBSCRIPTION_ID>、 <RESOURCE_GROUP>、および <STORAGE_ACCOUNT_NAME> を独自の値に置き換えます。

from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Example private endpoint to Azure Blob Storage
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound rule
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

参照

既存のハブを更新します。

次の例では、 myhubという名前の既存のハブのマネージド仮想ネットワークを作成する方法を示します。

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential
from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get(name="myhub")

# Basic managed VNet configuration
ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound rule
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Update the hub
ml_client.workspaces.begin_update(ws)

参照

承認された送信のみを許可するようにマネージド仮想ネットワークを構成する

ヒント

Azureコンピューティングリソースを作成するときに、マネージド VNet を自動的に設定します。自動作成を許可する場合、ネットワークも設定する必要があるため、最初のコンピューティングリソースの作成には約 30 分かかることがあります。 FQDN 送信規則を構成する場合、最初の FQDN 規則はセットアップ時間に約 10 分を追加します。

新しいハブを作成します。
1. Azure ポータルにサインインし、[リソースの作成] メニューから Foundry を選択します。
2. [+ New Azure AI を選択します。
3. [ 基本 ] タブで必要な情報を入力します。
4. [ ネットワーク ] タブで、[ 承認済みの送信でプライベート] を選択します。
5. 送信規則を追加するには、[ネットワーク] タブから [ユーザー定義の送信規則の追加] を選択します。送信ルールサイドバーから、次の情報を指定します。
  - ルール名: ルールの名前。このハブの名前は一意である必要があります。
  - 宛先の種類: プライベートエンドポイント、サービスタグ、または FQDN。サービスタグと FQDN は、ネットワーク分離が承認された送信でプライベートである場合にのみ使用できます。
  宛先の種類が プライベートエンドポイントの場合は、次の情報を入力します。
  - Subscription: プライベートエンドポイントを追加するAzure リソースを含むサブスクリプション。
  - リソースグループ: プライベートエンドポイントを追加するAzure リソースを含むリソースグループ。
  - Resource type: Azure リソースの型。
  - リソース名: Azure リソースの名前。
- Sub Resource: Azure リソースの種類のサブリソース。
ヒント

ハブのマネージド VNet では、すべてのAzureリソースの種類のプライベートエンドポイントはサポートされていません。サポートされているリソースの一覧については、「プライベートエンドポイント」セクションを参照してください。

宛先の種類が サービスタグの場合は、次の情報を入力します。
- サービスタグ: 承認された送信規則に追加するサービスタグ。
- プロトコル: サービスタグを許可するプロトコル。
- ポート範囲: サービスタグを許可するポート範囲。
宛先の種類が FQDN の場合は、次の情報を入力します。
- FQDN 宛先: 承認済みの送信規則に追加する完全修飾ドメイン名。
  
  [ 保存] を 選択してルールを保存します。さらにルールを追加するには、[ ユーザー定義の送信規則の追加] をもう一度選択します。
1. 通常どおりハブの作成を続行します。
既存のハブを更新します。
1. Azure ポータルにサインインし、マネージド仮想ネットワークの分離を有効にするハブを選択します。
2. [ネットワーク]>[インターネット送信で非公開] を選択します。
  - 送信規則を追加するには、[ネットワーク] タブから [ユーザー定義の送信規則の追加] を選択します。送信ルールサイドバーから、前の「新しいハブの作成」セクションでハブを作成する場合と同じ情報を入力します。
  - 送信ルールを削除するには、ルールの [削除 ] を選択します。
3. ページの上部にある [保存] を選択して、マネージド仮想ネットワークへの変更を保存します。

承認された送信通信のみを許可するマネージド仮想ネットワークを構成するには、 --managed-network allow_only_approved_outbound パラメーターまたは次のエントリを含む YAML 構成ファイルを使用します。

managed_network:
  isolation_mode: allow_only_approved_outbound

承認された送信通信の 送信規則 を定義することもできます。 service_tag、fqdn、またはprivate_endpointの種類のアウトバウンド規則を作成します。次の例では、Azure BLOB リソース、Azure Data Factoryのサービスタグ、および pypi.org の FQDN にプライベートエンドポイントを追加します。次の例では、プレースホルダーテキストの <SUBSCRIPTION_ID>、 <RESOURCE_GROUP>、 <STORAGE_ACCOUNT_NAME> を実際の値に置き換えます。

重要

サービスタグまたは FQDN の送信規則の追加は、マネージド VNet が allow_only_approved_outboundするように構成されている場合にのみ有効です。
送信規則を追加した場合、Microsoftはデータ流出に対する保護を保証できません。

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

マネージド仮想ネットワークは、 az ml workspace create コマンドまたは az ml workspace update コマンドを使用して構成できます。

新しいハブを作成します。

次の例では、 --managed-network allow_only_approved_outbound パラメーターを使用してマネージド仮想ネットワークを構成します。
```
az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
```
次の YAML ファイルは、マネージド仮想ネットワークを持つハブを定義します。
```
name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_only_approved_outbound
```
YAML ファイルを使用してハブを作成するには、 --file パラメーターを使用します。
```
az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
```
既存のハブを更新する

警告

マネージド仮想ネットワークを使用するように既存のワークスペースを更新する前に、ワークスペースのすべてのコンピューティングリソースを削除する必要があります。これには、コンピューティングインスタンス、コンピューティングクラスター、マネージドオンラインエンドポイントが含まれます。

次の例では、 --managed-network allow_only_approved_outbound パラメーターを使用して、既存のハブのマネージド仮想ネットワークを構成します。
```
az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
```
次の YAML ファイルは、ハブのマネージド仮想ネットワークを定義し、承認された送信規則を追加する方法を示しています。この例では、サービスタグ、FQDN、プライベートエンドポイントの送信規則が追加されています。
```
name: myhub_dep
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint
```

参照

承認された送信通信のみを許可するマネージド仮想ネットワークを構成するには、 ManagedNetwork クラスを使用して、 IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUNDを持つネットワークを定義します。 ManagedNetwork オブジェクトを使用して、新しいハブを作成するか、既存のハブを更新します。 送信規則を定義するには、次のクラスを使用します。

宛先	クラス
ハブが依存するサービスAzure	`PrivateEndpointDestination`
Azure サービスタグ	`ServiceTagDestination`
完全修飾ドメイン名 (FQDN)	`FqdnDestination`

新しいハブを作成します。

次の例では、いくつかの送信規則を使用して、 myhubという名前の新しいハブを作成します。

myrule - Azure BLOB ストアのプライベートエンドポイントを追加します。
datafactory - Azure Data Factoryと通信するサービスタグルールを追加します。

重要

マネージド VNet を IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUNDするように構成した場合にのみ、サービスタグまたは FQDN の送信規則を追加します。
送信規則を追加した場合、Microsoftはデータ流出に対する保護を保証できません。

from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

参照

既存のハブを更新します。

次の例では、 myhubという名前の既存のハブのマネージド仮想ネットワークを構成する方法を示します。また、いくつかの送信規則も追加されます。

myrule - Azure BLOB ストアのプライベートエンドポイントを追加します。
datafactory - Azure Data Factoryと通信するサービスタグルールを追加します。

ヒント

IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUNDを使用するようにマネージド VNet を構成する場合にのみ、サービスタグまたは FQDN の送信規則を追加できます。

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential
from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Update the hub
ml_client.workspaces.begin_update(ws)

参照

マネージド VNet を手動でプロビジョニングする

マネージド仮想ネットワークは、コンピューティングインスタンスの作成時に自動的にプロビジョニングされます。自動プロビジョニングに依存する場合、ネットワークもプロビジョニングするため、最初のコンピューティングインスタンスの作成には約 30 分 かかることがあります。 FQDN 送信規則 (許可のみ承認モードでのみ使用可能) を構成した場合、最初の FQDN 規則はプロビジョニング時間に約 10 分 かかります。マネージドネットワークに多数の送信規則をプロビジョニングする場合、プロビジョニングが完了するまでに時間がかかる場合があります。プロビジョニング時間が長くなると、最初のコンピューティングインスタンスの作成がタイムアウトする可能性があります。

待機時間を短縮し、タイムアウトを回避するには、マネージドネットワークを手動で設定します。コンピューティングインスタンスを作成する前に、プロビジョニングが完了するまで待ちます。

または、 provision_network_now フラグを使用して、ハブの作成時にマネージドネットワークを設定します。

メモ

マネージドコンピューティングにモデルをデプロイするには、マネージドネットワークを手動でプロビジョニングするか、最初にコンピューティングインスタンスを作成する必要があります。コンピューティングインスタンスを作成すると、マネージドネットワークが自動的にプロビジョニングされます。

ワークスペースの作成時に、 作成時に [マネージドネットワークを事前にプロビジョニング する] を選択して、マネージドネットワークを設定します。仮想ネットワークが設定された後、プライベートエンドポイントなどのネットワークリソースの課金が開始されます。このオプションは、ワークスペースの作成時にのみ使用できます。

次の例は、ハブの作成時にマネージド仮想ネットワークをプロビジョニングする方法を示しています。

az ml workspace create -n my_ai_hub_name -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now true

次の例は、マネージド仮想ネットワークをプロビジョニングする方法を示しています。

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

プロビジョニングが完了したことを確認するには、次のコマンドを実行します。

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

参照

SDK を使用してマネージド仮想ネットワークをプロビジョニングし、その状態を確認します。

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

subscription_id = "00000000-0000-0000-0000-000000000000"
resource_group = "my_resource_group"
workspace_name = "my_ai_hub_name"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=workspace_name)

# Start provisioning the managed network for the workspace.
provision_result = ml_client.workspaces.begin_provision_network(workspace_name=workspace_name).result()

# Check the managed network status.
ws = ml_client.workspaces.get(name=workspace_name)
print(ws.managed_network.status)

参照

送信ルールを管理する

Azure ポータルにサインインし、マネージド仮想ネットワークの分離を有効にするハブを選択します。
[ ネットワーク] を選択します。 Foundry アウトバウンドアクセスセクションでは、外部接続規則を管理できます。

送信規則を追加するには、Networking タブからユーザー定義送信規則> を選択します。Azure AI 送信ルールサイドバーから、必要な値を入力します。
ルールを有効または無効にするには、[ アクティブ] 列のトグルを使用します。
送信ルールを削除するには、ルールの [削除 ] を選択します。

次のコマンドで、プレースホルダーテキストの <workspace-name>、 <resource-group>、 <rule-name> を実際の値に置き換えます。ハブのマネージド仮想ネットワーク送信規則を一覧表示するには、次を実行します。

az ml workspace outbound-rule list --workspace-name <workspace-name> --resource-group <resource-group>

マネージド仮想ネットワークの送信規則の詳細を表示するには、次のコマンドを実行します。

az ml workspace outbound-rule show --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

マネージド仮想ネットワークから送信規則を削除するには、次のコマンドを実行します。

az ml workspace outbound-rule remove --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

参照

az ml workspace outbound-rule list コマンドは、Azure Machine Learning ワークスペースのアウトバウンドルールを一覧表示します。
az ml workspace outbound-rule show コマンドは、ワークスペースの外向きルールを表示するためのものです。
Azure Machine Learning ワークスペースのアウトバウンドルールを削除するコマンド: az ml workspace outbound-rule remove

次の例は、 myhubという名前のハブの送信規則を管理する方法を示しています。この例では、プレースホルダーテキスト <some-rule-name> をルール名に置き換えます。

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

# Connect to the hub
ws_name = "myhub"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=ws_name)

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

参照

MLClient

ネットワーク分離アーキテクチャと分離モード

マネージド仮想ネットワークの分離を有効にすると、ハブのマネージド仮想ネットワークが作成されます。ハブ用に作成したマネージドコンピューティングリソースでは、このマネージド仮想ネットワークが自動的に使用されます。マネージド仮想ネットワークでは、Azure Storage、Azure Key Vault、Azure Container Registryなど、ハブが使用するAzure リソースにプライベートエンドポイントを使用できます。

マネージド仮想ネットワークの 3 つの送信モードのいずれかを選択します。

送信モード	説明	シナリオ
インターネットへのアウトバウンド通信を許可する	マネージド仮想ネットワークからのすべてのインターネット送信トラフィックを許可します。	Python パッケージや事前トレーニング済みモデルなど、インターネット上の機械学習リソースに無制限にアクセスする必要があります。¹
承認された送信のみを許可する	送信トラフィックを許可するには、サービスタグを使用します。	* データ流出のリスクを最小限に抑えたいが、必要なすべての機械学習成果物をプライベート環境で準備する必要があります。 * サービス、サービスタグ、または完全修飾ドメイン名 (FQDN) の承認済みリストへの送信アクセスを構成する場合。
無効	受信トラフィックと送信トラフィックは制限されません。	ハブからの送受信はパブリックであるべきです。

¹ 承認済みの送信のみを許可するモードで送信ルールを使用することで、許可インターネット送信を実行する場合と同じ結果を得ることができます。違いは次のとおりです。

常にプライベートエンドポイントを使用して、Azureリソースにアクセスします。
許可する必要がある送信接続ごとに規則を追加する必要があります。
完全修飾ドメイン名 (FQDN) 送信規則を追加すると、この規則の種類でAzure Firewallが使用されるため、コストが増加します。 FQDN 送信規則を使用する場合は、Azure Firewallの料金が課金に含まれます。詳細については、「価格」を参照してください。
承認された送信のみを許可する既定の規則は、データ流出のリスクを最小限に抑えるように設計されています。追加する送信ルールは、リスクを高めるおそれがあります。

マネージド仮想ネットワークは、必要な既定の規則で事前構成されています。また、ハブは、ハブ、ハブの既定のストレージアカウント、コンテナーレジストリ、およびキーコンテナーへのプライベートエンドポイント接続も構成します(これらのリソースがプライベートに設定されている場合、または分離モードが承認された送信のみを許可するように設定されている場合)。分離モードを選択したら、必要な他の送信規則を追加します。

次の図は、 インターネット送信を許可するように構成されたマネージド仮想ネットワークを示しています。

次の図は、 承認された送信のみを許可するように構成されたマネージド仮想ネットワークを示しています。

メモ

この構成では、ハブが使用するストレージ、キーコンテナー、コンテナーレジストリがプライベートに設定されます。これらはプライベートであるため、ハブはプライベートエンドポイントを使用してアクセスします。

メモ

パブリック Foundry ハブからプライベートストレージアカウントにアクセスするには、ストレージアカウントの仮想ネットワーク内から Foundry を使用します。仮想ネットワーク内から Foundry にアクセスすると、プライベートストレージアカウントにファイルをアップロードするなどのアクションを実行できます。プライベートストレージアカウントは、Foundry ハブのネットワーク設定に依存しません。ファイアウォールと仮想ネットワークAzure Storage構成を参照してください。

必要なルールの一覧

ヒント

これらの規則は、マネージド仮想ネットワーク (VNet) に自動的に追加されます。

プライベートエンドポイント:

マネージド仮想ネットワークの分離モードを Allow internet outbound に設定すると、Foundry は、パブリックネットワークアクセスが無効になっているハブと関連リソース (Azure Key Vault、ストレージアカウント、Azure Container Registry、ハブ) に対して、マネージド仮想ネットワークから必要なプライベートエンドポイント送信規則を自動的に作成します。
マネージド仮想ネットワークの分離モードを Allow only approved outbound に設定すると、Foundry は、それらのリソース (Azure Key Vault、ストレージアカウント、Azure Container Registry、ハブ) のパブリックネットワークアクセス設定に関係なく、ハブと関連リソースのマネージド仮想ネットワークから必要なプライベートエンドポイント送信規則を自動的に作成します。

Foundry には、プライベートネットワーク用の一連のサービスタグが必要です。必要なサービスタグを置き換えないでください。次の表では、Foundry 内で必要な各サービスタグとその目的について説明します。

サービスタグルール	受信または送信	目的
`AzureMachineLearning`	受信	Foundry コンピューティングインスタンスとクラスターを作成、更新、削除します。
`AzureMachineLearning`	送信	Azure Machine Learning サービスの使用。ノートブックPython IntelliSense ではポート 18881 が使用されます。 Azure Machine Learning コンピューティングインスタンスの作成、更新、および削除には、ポート 5831 が使用されます。
`AzureActiveDirectory`	送信	Microsoft Entra IDを使用した認証。
`BatchNodeManagement.region`	送信	Foundry コンピューティングインスタンスとクラスターのAzure Batch バックエンドとの通信。
`AzureResourceManager`	送信	Foundry、Azure CLI、および Microsoft Foundry SDK を使用して、Azure リソースを作成します。
`AzureFrontDoor.FirstParty`	送信	Microsoftによって提供される Docker イメージにアクセスします。
`MicrosoftContainerRegistry`	送信	Microsoftによって提供される Docker イメージにアクセスします。 Azure Kubernetes Service用の Foundry ルーターを設定します。
`AzureMonitor`	送信	ログとメトリックをAzure Monitorに送信します。ワークスペースのAzure Monitorをセキュリティで保護していない場合にのみ必要です。この送信規則では、サポートインシデントの情報もログに記録されます。
`VirtualNetwork`	送信	仮想ネットワークまたはピアリングされた仮想ネットワークにプライベートエンドポイントが存在する場合に必要です。

シナリオ固有の送信規則の一覧

シナリオ: パブリック機械学習パッケージにアクセスする

トレーニングと展開用Pythonパッケージをインストールするには、送信 FQDN 規則を追加して、次のホスト名へのトラフィックを許可します。

メモ

この一覧では、インターネット上のPython リソースの一般的なホストについて説明します。 GitHub リポジトリまたは別のホストにアクセスする必要がある場合は、シナリオに必要なホストを特定して追加します。

ホスト名	目的
`anaconda.com` `*.anaconda.com`	既定のパッケージをインストールするために使用されます。
`*.anaconda.org`	リポジトリデータを取得するために使用されます。
`pypi.org`	ユーザー設定によって上書きされない場合は、既定のインデックスから依存関係を一覧表示します。インデックスを上書きする場合は、 `*.pythonhosted.org`も許可します。
`pytorch.org` `*.pytorch.org`	PyTorch に基づくいくつかの例で使用されます。
`*.tensorflow.org`	TensorFlow に基づくいくつかの例で使用されます。

シナリオ: Visual Studio Codeを使用する

Visual Studio Codeは、特定のホストとポートに依存してリモート接続を確立します。

ホスト

これらのホストを使用して、Visual Studio Code パッケージをインストールし、プロジェクトのコンピューティングインスタンスへのリモート接続を確立します。

メモ

この一覧には、インターネット上のすべてのVisual Studio Code リソースに必要なすべてのホストが含まれているわけではありません。たとえば、GitHub リポジトリやその他のホストにアクセスする必要がある場合は、そのシナリオに必要なホストを特定して追加する必要があります。ホスト名の完全な一覧については、「network Connections in Visual Studio Code」を参照してください。

ホスト名	目的
`.vscode.dev` `.vscode-unpkg.net` `.vscode-cdn.net` `.vscodeexperiments.azureedge.net` `default.exp-tas.com`	Web (vscode.dev) の VS Code にアクセスするために必要です。
`code.visualstudio.com`	VS Code デスクトップをダウンロードしてインストールするために必要です。このホストは VS Code Web には必要ありません。
`update.code.visualstudio.com` `*.vo.msecnd.net`	セットアップスクリプト中に VS Code Server コンポーネントをコンピューティングインスタンスにダウンロードします。
`marketplace.visualstudio.com` `vscode.blob.core.windows.net` `*.gallerycdn.vsassets.io`	VS Code 拡張機能をダウンロードしてインストールするために必要です。これらのホストにより、コンピューティングインスタンスへのリモート接続が有効になります。詳細については、「 VS Code での Foundry プロジェクトの概要」を参照してください。
`vscode.download.prss.microsoft.com`	VISUAL STUDIO CODEダウンロード CDN として機能します。

ポート

ポート 8704 から 8710 へのネットワークトラフィックを許可します。 VS Code サーバーは、この範囲の最初の使用可能なポートを選択します。

シナリオ: Hugging Face モデルを使用する

ハブで Hugging Face モデルを使用するには、送信 FQDN 規則を追加して、次のホストへのトラフィックを許可します。

docker.io
*.docker.io
*.docker.com
production.cloudflare.docker.com
cdn.auth0.com
huggingface.co
cas-bridge.xethub.hf.co
cdn-lfs.huggingface.co

シナリオ: Azureによって販売されるモデル

これらのモデルでは、実行時に依存関係がインストールされます。次のホストへのトラフィックを許可する送信 FQDN 規則を追加します。

*.anaconda.org
*.anaconda.com
anaconda.com
pypi.org
*.pythonhosted.org
*.pytorch.org
pytorch.org

プライベートエンドポイント

Azure サービスは現在、次のサービスのプライベートエンドポイントをサポートしています。

Foundry ハブ
Azure AI 検索
鋳造ツール
Azure API Management
- VNet インジェクションのないクラシック層と、仮想ネットワーク統合を使用した Standard V2 レベルのみをサポートします。 API Management 仮想ネットワークの詳細については、「Virtual Network の概念を参照してください。
Azure Container Registry
Azure Cosmos DB (すべてのサブリソースの種類)
Azure Data Factory
Azure Database for MariaDB
Azure Database for MySQL
Azure Database for PostgreSQL 単一サーバー
Azure Database for PostgreSQL フレキシブルサーバー
Azure Databricks
Azure Event Hubs
Azure Key Vault
Azure Machine Learning
Azure Machine Learning レジストリ
Azure Cache for Redis
Azure SQL Server
Azure Storage (すべてのサブリソースの種類)
Application Insights ( PrivateLinkScopes を使用)

プライベートエンドポイントを作成するときは、エンドポイントが接続する リソースの種類 と サブリソース を指定します。一部のリソースには、複数の種類とサブリソースがあります。詳細については、プライベートエンドポイントの概要を参照してください。

Azure Storage、Azure Container Registry、Azure Key Vaultなど、ハブ依存関係リソースのプライベートエンドポイントを作成する場合、リソースは別のAzure サブスクリプションに存在できます。ただし、リソースはハブと同じテナントに存在する必要があります。

先ほどターゲットリソースとして一覧表示されているAzure リソースのいずれかを選択すると、サービスによって接続用のプライベートエンドポイントが自動的に作成されます。プライベートエンドポイントの有効なターゲット ID を指定します。接続の場合、ターゲット ID には親リソースのAzure Resource Manager ID を指定できます。接続のターゲットまたは metadata.resourceidにターゲット ID を含めます。接続の詳細については、「 Foundry ポータルで新しい接続を追加する方法」を参照してください。

プライベートエンドポイントの承認

Foundry を使用してマネージド仮想ネットワークでプライベートエンドポイント接続を確立するには、ワークスペースのマネージド ID (システム割り当てまたはユーザー割り当て) と、プライベートエンドポイントを作成するユーザー ID に、ターゲットリソースのプライベートエンドポイント接続を承認するアクセス許可が必要です。以前は、Foundry サービスは、ロールの自動割り当てを通じてこのアクセス許可を付与しました。 2025 年 4 月 30 日から、ロールの自動割り当てに関するセキュリティ上の懸念があるため、このサービスは、この自動アクセス許可付与ロジックを中止します。 Azure AI Enterprise Network Connection Approver ロールまたはカスタムロールをターゲットリソースの種類に対して必要なプライベートエンドポイント接続アクセス許可を割り当て、Foundry ハブのマネージド ID にこのロールを付与して、Foundry がターゲット Azure リソースへのプライベートエンドポイント接続を承認できるようにします。

Azure AI Enterprise Network Connection Approver ロールの対象となるプライベートエンドポイントターゲットリソースの種類の一覧を次に示します。

Azure Application Gateway
Azure Monitor
Azure AI 検索
Azure Event Hubs
Azure SQL Database
Azure Storage
Azure Machine Learning ワークスペース
Azure Machine Learning レジストリ
鋳造
Azure Key Vault
Azure Cosmos DB
Azure Database for MySQL
Azure Database for PostgreSQL
鋳造ツール
Azure Cache for Redis
Azure Container Registry
Azure API Management

Azure Data Factory、Azure Databricks、Azureなど、Azure AI Enterprise ネットワーク接続承認者ロールでカバーされていないターゲットリソースの種類に対するプライベートエンドポイント送信規則を作成するにはFunction Apps では、ターゲットリソースの種類に対するプライベートエンドポイント接続を承認するために必要なアクションによってのみ定義される、カスタムのスコープダウンロールを使用します。

既定のワークスペースリソースのプライベートエンドポイント送信規則を作成するには、ワークスペースの作成によってロールの割り当てを通じて必要なアクセス許可が付与されるため、追加のアクションを実行する必要はありません。

承認された送信のみを許可するAzure Firewall バージョンを選択する

Azure Firewall は、「承認された送信のみを許可する」モードで送信 FQDN 規則を追加した際に展開されます。 Azure Firewall料金が請求書に追加されます。既定では、Standard バージョンのAzure Firewallが作成されます。または、基本バージョンを選択します。ファイアウォールのバージョンはいつでも変更できます。ニーズに合ったバージョンを確認するには、適切なAzure Firewallバージョンを選択してください。

重要

Azure Firewallは、送信 FQDN 規則を追加するまで作成されません。価格の詳細については、Azure Firewall 価格を参照し、Standard バージョンの価格を確認してください。

これらのタブを使用して、マネージド仮想ネットワークのファイアウォールバージョンを選択する方法を確認します。

承認された送信 モードのみを選択すると、Azure Firewall バージョン (SKU) を選択するオプションが表示されます。 [標準] または [基本] を選択します。 [保存] を選択します。

Azure CLIを使用してファイアウォールのバージョンを設定するには、YAML ファイルを使用し、firewall_skuを指定します。次の例では、ファイアウォール SKU を basicに設定します。

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Python SDK を使用してファイアウォールのバージョンを設定するには、firewall_sku オブジェクトの ManagedNetwork プロパティを設定します。次の例では、ファイアウォール SKU を basicに設定します。

from azure.ai.ml.entities import ManagedNetwork, IsolationMode

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND,
                         firewall_sku='basic')

参照

価格

ハブマネージド仮想ネットワーク機能は無料ですが、マネージド仮想ネットワークが使用する次のリソースに対して料金が課金されます。

Azure Private Link - マネージド仮想ネットワークとAzure リソース間の通信をセキュリティで保護するプライベートエンドポイントは、Azure Private Linkを使用します。価格については、Azure Private Link の価格を参照してください。
FQDN 送信規則 - Azure Firewallはこれらの規則を適用します。送信 FQDN 規則を使用する場合は、請求書にAzure Firewall料金が表示されます。既定では、Azure Firewallの Standard バージョンが使用されます。基本バージョンを選択するには、「Azure Firewall バージョンの選択を参照してください。 Azure Firewallはハブごとにプロビジョニングされます。

重要

Azure Firewallは、送信 FQDN 規則を追加するまで作成されません。 FQDN 規則を使用しない場合は、Azure Firewallに対して課金されません。価格については、Azure Firewall価格を参照してください。

制限

Foundry では、コンピューティングリソースのマネージド仮想ネットワーク分離がサポートされています。 Foundry では、コンピューティングの分離のために独自の仮想ネットワークを使用することはできません。このシナリオは、オンプレミスネットワークから Foundry にアクセスするために必要なAzure Virtual Networkとは異なります。
マネージド仮想ネットワークの分離を有効にした後は、無効にすることはできません。
マネージド仮想ネットワークは、プライベートエンドポイントを使用してプライベートリソースに接続します。ストレージアカウントなど、同じAzure リソースでプライベートエンドポイントとサービスエンドポイントを使用することはできません。すべてのシナリオでプライベートエンドポイントを使用します。
Foundry を削除すると、サービスによってマネージド仮想ネットワークが削除されます。
承認された送信のみを許可すると、Foundry はデータ流出保護を自動的に有効にします。他の送信規則として FQDN などを追加した場合、Microsoft はそれらの宛先へのデータ流出に対する保護を保証できません。
FQDN 送信規則では、Azure Firewallを使用するため、マネージド仮想ネットワークのコストが増加します。詳細については、「価格」を参照してください。
FQDN 送信規則では、ポート 80 と 443 のみがサポートされます。
コンピューティングインスタンスのパブリック IP アドレスを無効にするには、ハブにプライベートエンドポイントを追加します。
マネージドネットワーク内のコンピューティングインスタンスの場合は、 az ml compute connect-ssh を実行して SSH 経由で接続します。
マネージドネットワークが承認された送信のみを許可するように構成されている場合、FQDN 規則を使用してAzure Storageアカウントにアクセスすることはできません。代わりにプライベートエンドポイントを使用してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-05-05