Netwerkopties voor Foundry Agent Service

Microsoft Foundry Agent Service ondersteunt verschillende netwerkopties, van een volledig openbare installatie voor snelle prototypen om netwerkisolatie binnen uw eigen virtuele netwerk te voltooien. Dit artikel vergelijkt de opties, wijst elke optie toe aan algemene doelen en verwijst u naar de implementatiesjabloon en configuratiehandleiding voor de optie die u kiest.

Nadat u een optie hebt gekozen, volgt u de gekoppelde instructies om deze te implementeren en valideert u de implementatie. Als u problemen ondervindt, gebruikt u de gekoppelde richtlijnen voor probleemoplossing.

Standaard netwerkgedrag

Wanneer u een Foundry-resource maakt zonder netwerkconfiguratie, krijgt u een volledig openbare basislijn:

• Inkomend: het Foundry-eindpunt is bereikbaar via het openbare internet. Elke aanroeper met een geldige referentie en de eindpunt-URL kan deze bereiken.
• Uitgaand: agents bereiken uw gegevens en Azure resources via openbare netwerken en kunnen alleen eindpunten bereiken die toegankelijk zijn voor internet.
• Opslag: de agentstatus maakt standaard gebruik van Microsoft beheerde opslag. Als u uw eigen opslag en andere Azure resources gebruikt, configureert u netwerktoegang tot deze resources als onderdeel van uw netwerkinstallatie.

Er is niets privé totdat u een van de opties in de volgende sectie kiest. Elke optie wijzigt de binnenkomende zijde, de uitgaande zijde of beide.

Netwerkmogelijkheden

Een netwerkconfiguratie combineert twee gerelateerde beslissingen:

• Uitgaande toegang (uitgaand verkeer): hoe uw agents uw gegevens en andere Azure resources bereiken. Deze beslissing bepaalt de belangrijkste isolatie: uitgaand verkeer openbaar houden of beperken tot een virtueel netwerk, zodat verkeer op uw privénetwerk blijft. Het virtuele netwerk kan een netwerk zijn dat u brengt en beheert (BYO virtual network) of een Microsoft voor u beheert.
• Binnenkomende toegang: welke netwerken uw Foundry-eindpunt kunnen bereiken. Openbaar (optioneel beperkt tot geselecteerde IP-adressen) of privé via een privé-eindpunt.

De twee beslissingen zijn verbonden. Wanneer u uitgaand verkeer in een virtueel netwerk isoleert, gaat binnenkomende toegang tot het Foundry-eindpunt ook via een privé-eindpunt, omdat de resources in dat virtuele netwerk het eindpunt bereiken via het privénetwerk. Begin met het uitgaande model, omdat die keuze isolatie en de binnenkomende opties bepaalt die voor u beschikbaar zijn. In de volgende tabel ziet u de drie uitgaande modellen en de beschikbare inkomende opties.

Bij openbaar uitgaand verkeer wordt met het toevoegen van een privé-eindpunt alleen het binnenkomende verkeer beveiligd: aanroepers hebben privétoegang tot het Foundry-eindpunt, maar de uitgaande verbindingen van agents worden niet geïsoleerd.

Met het virtuele BYO-netwerk kunt u uw eigen gegevensbronnen meenemen of gebruikmaken van door het platform beheerde gegevensbronnen. Zie vereisten voor het gebruik van uw eigen virtuele netwerk voor meer informatie.

Netwerkopties per scenario

In de volgende tabel worden algemene doelen toegewezen aan een aanbevolen optie en een implementatiesjabloon. De Infrastructure as Code-sjablonen staan in de Foundry samples-infrastructuurconfiguratie-repository (Bicep, met een Terraform-spiegel).

Zie de README voor het instellen van de infrastructuur voor de volledige sjablooncatalogus en wat elke sjabloon aanmaakt.

Vereisten voor bring-your-own virtual network

Zowel het virtuele BYO-netwerk als het beheerde virtuele netwerk bieden volledige isolatie. Het verschil is wie het netwerk beheert: met een beheerd virtueel netwerk neemt Microsoft de vereisten in deze sectie voor u voor zijn rekening. Kies een virtueel BYO-netwerk als u volledige controle wilt over een netwerk dat u al beheert: uw eigen IP-bereiken, firewalls, peering en routering.

Wanneer u een virtueel BYO-netwerk kiest, moet u deze vereisten plannen voordat u implementeert. De instructies voor de installatie en de diepgaande duik behandelen ze volledig.

• Een toegewezen, gedelegeerd subnet. Een subnet delegeren aan Microsoft.App/environments. Het subnet kan niet worden gedeeld door meer dan één Foundry-resource. Pas de grootte aan voor de schaal die u verwacht; zie De grootte van uw subnet plannen.
• Alleen RFC 1918-adresruimte. Gebruik 10.0.0.0/8, 172.16.0.0/12of 192.168.0.0/16. Publieke IP-bereiken en CGNAT-bereiken worden niet ondersteund. Klasse A-bereiken (10.x) zijn alleen beschikbaar in bepaalde regio's.
• Uw keuze aan gegevensbronnen. Met een virtueel BYO-netwerk kiest u hoe agentgegevensbronnen (Azure Storage, Azure AI Zoeken en Azure Cosmos DB) worden geleverd:
  • Door platform beheerde gegevensbronnen. Gebruik multitenant, platformbeheerde gegevensbronnen, zodat u uw eigen gegevensbronnen niet gebruikt of configureert. Kies deze optie wanneer uw agents geen door de klant beheerde gegevensbronnen nodig hebben, zoals veel scenario's voor gehoste agents, of wanneer u capaciteitsplanning wilt voorkomen voor resources zoals Azure Cosmos DB. Met deze optie hoeft u geen gegevensbronnen in te stellen die u niet gebruikt.
  • Resources voor het gebruik van uw eigen gegevens. Gebruik uw eigen Azure Storage, Azure AI Zoeken en Azure Cosmos DB zodat alle agentgegevens in uw tenant blijven. Kies deze optie wanneer u agentgegevens nodig hebt in resources die u bezit en beheert.
• Privé-eindpunten en privé-DNS-zones voor het Foundry-account en voor elke gegevensbron die u meebrengt, zodat naamomzetting binnen het virtuele netwerk blijft.
• Dezelfde regio voor de Foundry-resource en het virtuele netwerk. Andere resources kunnen zich in verschillende regio's bevinden, met gevolgen voor kosten in meerdere regio's.

Zie Deep dive into Foundry Agent Service networking voor een topologiediagram van de optie voor het BYO-virtuele netwerk: het gedelegeerde subnet, host-agent-micro-VM's en privé-eindpunten voor uw dataresources.

Ondersteuning voor tools met netwerkisolatie

Niet alle agenthulpprogramma's ondersteunen netwerkisolatie. Sommige hulpprogramma's worden niet ondersteund achter een virtueel netwerk en sommige bereiken hun bestemming via het openbare internet in plaats van uw privénetwerk. Voordat u een geïsoleerde installatie doorvoert, controleert u agenthulpprogramma's met netwerkisolatie om te controleren of de hulpprogramma's die door uw agents worden gebruikt, worden ondersteund.

De grootte van uw subnet plannen

Het subnet moet ten minste /27 zijn en u kunt de grootte niet wijzigen nadat u het hebt toegewezen, dus pas het aan voor de verwachte schaal. Alle projecten in het Foundry-account delen het subnet, dus plan het gecombineerde gebruik van elk project, elke agent en de gelijktijdige sessie in het account. Azure reserveert vijf IP-adressen in elk subnet voor intern gebruik.

• Gehoste agents worden uitgevoerd in een toegewezen micro-VM met een eigen netwerkinterface, zodat elke agent een IP-adres uit het subnet verbruikt. HET IP-gebruik wordt geschaald met het aantal projecten, de gehoste agents in elk project en hun gelijktijdige sessies. Nieuwe revisies verbruiken ook tijdelijk IP-adressen tijdens de implementatie, wanneer oude en nieuwe revisies parallel worden uitgevoerd.
• Promptagenten verbruiken geen IP-adres per revisie. Ze gebruiken een kleine, statische groep IP-adressen (maximaal 10 per project), ongeacht het aantal promptagents of revisies dat u uitvoert.

Zie Deep dive into Foundry Agent Service networking voor het IP-toewijzingsmodel, limieten voor gelijktijdige sessies en het aanpassen van de grootte.

Gehoste agents vergeleken met prompt-agents

De netwerkoptie is van toepassing op uw hele Foundry-account, maar de twee agenttypen verbruiken netwerkresources anders, zoals beschreven in De grootte van uw subnet plannen. Beide typen bereiken uw resources via privé-eindpunten in uw virtuele netwerk.

Volgende stappen 

1. Implementeer de optie met de instructies voor instellen of de sjabloon uit de tabel.
2. Controleer de implementatie: bevestig de subnetdelegering, dat openbare toegang is uitgeschakeld en dat eindpunten binnen het virtuele netwerk naar privé-IP-adressen verwijzen. Zie De implementatie controleren.
3. Los eventuele implementatie- of connectiviteitsfouten op met de gids voor probleemoplossing.

Verwante inhoud

• Privénetwerken instellen voor Foundry Agent Service
• Uitgebreide informatie over het netwerk van Foundry Agent Service
• Beheerd virtueel netwerk configureren
• Netwerkisolatie configureren