distribuição do Microsoft Foundry em toda a minha organização

Um plano de implantação estruturado ajuda você a evitar falhas de segurança, sobrecargas de custos e expansão de acesso ao adotar Microsoft Foundry em escala. Use este guia para definir limites de carga de trabalho, escolher uma topologia de recursos e estabelecer governança para equipes de autoatendimento.

Pré-requisitos

Antes de começar a planejar, confirme se você tem:

• Uma compreensão da configuração básica da assinatura do Azure da sua organização e da organização dos grupos de recursos.
• Entradas nos requisitos de segurança da sua organização para rede, criptografia e isolamento de dados.
• Um plano de região inicial com base no modelo e na disponibilidade de funcionalidades. Para obter detalhes, consulte a disponibilidade de recursos entre regiões de nuvem.
• Acordo sobre os requisitos de segurança para rede, criptografia e isolamento de dados em sua organização.
• Um inventário dos recursos e APIs da Foundry que suas equipes planejam usar.

Definir limites de isolamento

Comece com Cloud Adoption Framework diretrizes de decisão para compartilhamento de plataforma de IA e aplique essas decisões ao Foundry:

• Definir limites de compartilhamento da plataforma de IA

Embora cada situação seja exclusiva, para a organização comum, recomendamos a seguinte sequência:

1. Defina limites de compartilhamento inegociáveis entre unidades de negócios, domínios de dados, propriedade do produto e camadas de ambiente.
2. Defina uma política de produção que tenha o isolamento como padrão, a menos que uma exceção documentada permita a co-localização.
3. Defina uma política de exploração que usa como padrão a colocação para uma experimentação mais rápida, a menos que a conformidade ou a validação exijam isolamento.
4. Atribua a responsabilidade por cada limite, incluindo a responsabilidade por segurança, custo e resposta a incidentes.

Identificar os requisitos de funcionalidade e acesso

Determine quais recursos e APIs do Foundry cada carga de trabalho requer antes de finalizar sua topologia.

Para casos de uso localizados no mesmo ambiente que compartilham um único recurso do Foundry, use projetos do Foundry como espaços de trabalho isolados para cada caso de uso. Por exemplo, as equipes que experimentam uma ideia podem criar um projeto para organizar ativos coerentes sem repetir a configuração de infraestrutura para segurança, implantações de modelo e acesso a ferramentas.

A maioria das APIs mais recentes do Foundry centradas no agente oferece suporte a permissões no escopo do projeto. Algumas APIs tradicionais do Foundry Tools (antigos Serviços de IA do Azure), como conversão de fala em texto, ainda exigem acesso no escopo do recurso pai. Planeje limites e RBAC para que todos os recursos necessários estejam acessíveis no escopo de gerenciamento de acesso pretendido.

Escolher topologia de recursos do Foundry

Depois de definir limites e necessidades de funcionalidade, escolha a topologia por ambiente.

Planejar sua linha de base de segurança

Use esta tabela de referência como uma lista de verificação para decisões de design de segurança.

Planejar o modelo, a região e a estratégia de capacidade

Para cada carga de trabalho, defina:

• Famílias de modelos e tipos de implantação exigidos pelo caso de uso.
• Requisitos de processamento de dados (por exemplo, restrições globais ou regionais).
• Destinos de taxa de transferência e latência para cenários interativos e em lotes.
• Requisitos de cota e capacidade provisionada para cargas de estado estável e pico.

Use estas referências:

• Modelos vendidos diretamente pelo Azure
• Modelos de parceiros
• Cota no Foundry
• Cotas e limites para modelos do Foundry

Planejar a conectividade e a integração de dados

Para cada carga de trabalho, identifique dependências externas e padrões de conexão:

• Fontes de dados e armazenamentos de dados.
• APIs internas e sistemas de linha de negócios.
• Ferramentas SaaS não Azure exigidas por agentes ou fluxos de orquestração.
• Requisitos de rede, incluindo endpoints privados, resolução de DNS, controles de tráfego de saída e se uma rede gerenciada ou uma rede virtual própria (BYO) é necessária.

Use Adicionar conexões no Foundry para padronizar a configuração da conexão.

As conexões podem ser criadas tanto no nível do recurso do Foundry pai quanto no nível do projeto filho, dependendo do escopo de isolamento desejado. As conexões configuradas no nível pai estão disponíveis para todos os projetos.

Planejar automação e operações

Defina como as equipes criam e gerenciam recursos de forma consistente entre ambientes.

• Use a infraestrutura como código para provisionar recursos principais e configurações padrão de política.
• Padronizar pipelines de implantação para projetos, conexões, implantações de modelo e alterações de configuração.
• Defina procedimentos de reversão e resposta a incidentes para alterações de modelo e política.

Para padrões de automação e implementações iniciais, use:

• Início Rápido: implantar um recurso do Microsoft Foundry usando um arquivo Bicep
• Terraform no Azure
• Exemplos de configurações de segurança

Os modelos de exemplo incluem padrões de ponta a ponta para cenários de segurança comuns, como rede privada, chaves gerenciadas pelo cliente e controle de acesso baseado em função.

Defina proteções de autoatendimento

Habilite o autoatendimento somente dentro de restrições claras:

• Defina quais funções podem criar projetos, implantar modelos e conectar ferramentas externas.
• Aplique controles de política para implantação de modelo e comportamento de runtime, incluindo quais provedores de modelo e quais conexões de ferramenta são permitidas.
• Defina controles de custo e alertas de orçamento para ambientes compartilhados e isolados.
• Aplique o log de rastreamento na observabilidade central no Microsoft Foundry, no Microsoft Copilot Studio e no Microsoft 365.

Use estas referências:

• Política de implantação de modelo no Foundry
• Gerenciar custos na Foundry
• Integração do Agente 365

Atribuir propriedade e governança

Trate essa etapa como a transição da infraestrutura provisionada para o uso do desenvolvedor operacional.

A maioria das organizações já gerencia o acesso por meio de grupos pré-criados do Microsoft Entra ID. Mapeie esses grupos para as funções do Foundry no escopo necessário e valide os caminhos de acesso de gerenciamento e desenvolvimento.

O Foundry separa o acesso em:

• Ações de RBAC do plano de controle para gerenciamento de recursos.
• Ações de RBAC do plano de dados para cargas de trabalho de desenvolvimento.

Para obter diretrizes de mapeamento de função e combinações de função necessárias, consulte o controle de acesso baseado em função no Foundry.

Depois de integrar seus grupos de usuários, considere estabelecer ou expandir painéis de governança para acompanhar o uso, a confiabilidade, a linhagem e a conformidade do Foundry:

• Monitoramento em todas as frotas no Foundry
• Integração do Agente 365
• Microsoft Defender para Nuvem
• Azure Policy

Implantação de plataforma de amostra

A organização de TI da Contoso precisa dar suporte a várias equipes ao mesmo tempo em que equilibra duas prioridades:

• Inovação rápida, em que os desenvolvedores podem testar rigorosamente as tecnologias de IA mais recentes usando dados de não produção.
• Ambientes de desenvolvimento/testes e de produção totalmente isolados para casos de uso comprovados que recebem recursos para operacionalização.

O diagrama mostra como a Contoso co-localiza uma instância compartilhada do Foundry para exploração e inovação, disponível para todas as equipes, com capacidade limitada e dados e ferramentas pré-conectados. A lista de pendências de exemplo reflete funções empresariais comuns, como suporte ao cliente, assistência técnica para funcionários, operações financeiras, compras e vendas. Historicamente, apenas um punhado de casos de uso avança até alcançar viabilidade comprovada ou garantir financiamento para uma implantação piloto de desenvolvimento/teste. Desses, um subconjunto ainda menor avança para a produção. O exemplo também mostra dois casos de uso de vendas relacionados que permanecem juntos durante a exploração e o desenvolvimento/teste porque compartilham os mesmos dados de CRM, perfis de usuário e sistemas conectados. À medida que os casos de uso evoluem, as equipes recebem ambientes com níveis de isolamento cada vez maiores, culminando, quando necessário, em uma separação completa em nível de produção.

Saiba Mais

• Proteger o ambiente do Foundry

  • Autenticação e RBAC: controle de acesso baseado em função no Foundry
  • Rede: usar uma rede virtual com o Foundry
  • CMK (chaves gerenciadas pelo cliente): chaves gerenciadas pelo cliente na Foundry
  • Exemplo de infraestrutura: repositório de modelos com modelos de infraestrutura de exemplo
  • Recuperar ou limpar recursos da Foundry excluídos

• Estabelecer conectividade com outros serviços de Azure

  • Visão geral das conexões: adicionar uma nova conexão no Foundry

Próxima etapa