為 Microsoft Foundry 專案配置受管理虛擬網路

建立帶有網路注入的 AI 服務帳號

在建立帳號時，請設定 customSubDomainName、allowProjectManagement 和 networkInjections。 你在建立帳號後就不能新增這些屬性。

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2026-05-01" \
  --body '{
    "location": "{region}",
    "kind": "AIServices",
    "sku": { "name": "S0" },
    "identity": { "type": "SystemAssigned" },
    "properties": {
      "allowProjectManagement": true,
      "customSubDomainName": "{account-name}",
      "networkInjections": [
        {
          "scenario": "agent",
          "subnetArmId": "",
          "useMicrosoftManagedNetwork": true
        }
      ],
      "disableLocalAuth": false
    }
  }' \
  --headers "Content-Type=application/json"

請等 provisioningState 到達 Succeeded 後再繼續：

az rest --method GET \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2026-05-01" \
  --query "properties.provisioningState" -o tsv

取得受控識別主體識別碼

從帳號中取得系統指派的管理的身份主體識別碼：

az cognitiveservices account show \
  --resource-group {resource-group} \
  --name {account-name} \
  --query identity.principalId -o tsv

指派網路連線審核者角色

將 Azure AI 企業網路連線審核員 角色（角色 ID：b556d68e-0be0-4f35-a333-ad7ee1ce17ea）指派到 Foundry 帳戶的管理身份。 此職務會自動核准受管網路私有端點。

az role assignment create \
  --assignee-object-id {principal-id} \
  --assignee-principal-type ServicePrincipal \
  --role "b556d68e-0be0-4f35-a333-ad7ee1ce17ea" \
  --scope /subscriptions/{subscription-id}/resourceGroups/{resource-group}

建立受管理網路

在帳號上建立受管理網路子資源。 此資源建立網路隔離模式並配置網路基礎設施。

要建立帶有 允許網際網路流出的管理網路：

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_internet_outbound

若要建立具有僅允許已核准的傳出的受控網路：

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_only_approved_outbound \
  --firewall-sku Standard

你可以使用 foundry-samples 存放庫中的 Bicep 或 Terraform 範本來部署此解決方案：

• Bicep：18-managed-virtual-network
• Terraform： 18-managed-virtual-network

針對 Bicep：

1. 複製或下載該倉庫。foundry-samples
2. 在 modules-network-secured 資料夾中開啟 managed-network.bicep 範本。
3. 根據你選擇的隔離模式設定隔離模式 IsolationMode 參數： AllowInternetOutbound 或 AllowOnlyApprovedOutbound。
4. 在檔案中README.md，選擇「部署到 Azure」按鈕。 此操作會開啟 Azure 入口網站的範本，方便快速部署。
5. 部署前請完成所有參數，例如區域、資源群組、虛擬網路名稱等。 如果您自備 Cosmos DB、Storage 或 Search，也請確定包含資源識別碼。
6. 最後，部署範本。 範本部署大約需要 30 分鐘。

關於 Terraform：

1. 複製或下載該倉庫。foundry-samples
2. 請導航至infrastructure/infrastructure-setup-terraform/18-managed-virtual-network資料夾。
3. 為你的環境設定所需的變數（區域、資源群組、隔離模式，以及任何現有的資源 ID）。
4. 執行 terraform init、 terraform plan，並 terraform apply 部署。

範本完成後，依照 「驗證受管虛擬網路部署」中的步驟確認設定。

1. 確認 Foundry 資源存在且管理網路已啟用：

   az cognitiveservices account managed-network show \
     --resource-group {resource-group} \
     --name {account-name}
   

   回應會顯示 isolationMode 已設為你選擇的模式（AllowInternetOutbound 或 AllowOnlyApprovedOutbound）。

2. 列出所有外撥規則及其狀態：

   az cognitiveservices account managed-network outbound-rule list \
     --resource-group {resource-group} \
     --name {account-name}
   

3. 顯示特定的輸出規則：

   az cognitiveservices account managed-network outbound-rule show \
     --resource-group {resource-group} \
     --name {account-name} \
     --rule {rule-name}
   

4. 透過在你的 Foundry 專案中建立並執行一個基本代理來測試代理連線。 如果代理程式成功完成，表示受管理網路運作正常。

1. 確認 Foundry 資源存在且管理網路已啟用：

   az rest --method GET \
     --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default?api-version=2026-05-01" \
     --query "properties.managedNetwork"
   

   回應會顯示 isolationMode 已設為你選擇的模式（AllowInternetOutbound 或 AllowOnlyApprovedOutbound）。

2. 列出輸出規則以確認已建立：

   az rest --method GET \
     --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules?api-version=2026-05-01" \
     --query "value[].{name:name, type:properties.type, status:properties.status}"
   

3. 透過在你的 Foundry 專案中建立並執行一個基本代理來測試代理連線。 如果代理程式成功完成，表示受管理網路運作正常。

建立或更新 FQDN 出站規則

使用 FQDN 規則允許流量進入特定網域名稱或萬用字元網域。

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type fqdn \
  --destination "*.openai.azure.com"

建立或更新服務標籤傳出規則

使用服務標籤規則允許流量透過特定協定和埠範圍傳送到 Azure 服務標籤。

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type servicetag \
  --category UserDefined \
  --destination '{"serviceTag":"Storage","protocol":"TCP","portRanges":"443"}'

建立或更新私有端點外發規則

使用私有端點規則允許透過私有端點的流量到 Azure 資源。

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type privateendpoint \
  --destination "/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.Storage/storageAccounts/{storage-name}" \
  --subresource-target blob

常見的子資源目標包括Azure 儲存體blob、Azure AI 搜尋服務 searchService、Azure Cosmos DB Sql，以及Azure Key Vault vault。

列出出站規則

az cognitiveservices account managed-network outbound-rule list \
  --resource-group {resource-group} \
  --name {account-name}

顯示出站規則

az cognitiveservices account managed-network outbound-rule show \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

批次建立或更新匯出規則

使用 bulk-set 從 YAML 或 JSON 檔案建立或更新多個出站規則。

az cognitiveservices account managed-network outbound-rule bulk-set \
  --resource-group {resource-group} \
  --name {account-name} \
  --file rules.yaml

移除傳出規則

az cognitiveservices account managed-network outbound-rule remove \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

若要使用 ARM REST API 更新出站規則，請使用 以下 az rest 指令。 以下範例建立一條私有端點的輸出規則，指向 Azure Cosmos DB 資源：

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules/{rule-name}?api-version=2026-05-01" \
  --body '{
    "properties": {
      "type": "PrivateEndpoint",
      "destination": {
        "serviceResourceId": "/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.DocumentDB/databaseAccounts/{cosmosdb-account-name}",
        "subresourceTarget": "Sql",
        "sparkEnabled": false
      }
    }
  }'

用環境值取代佔位符。 其他資源類型則相應調整 serviceResourceId 和 subresourceTarget 值。 常見的子資源目標包括blob（Azure 儲存體）、searchService（Azure AI 搜尋服務）、以及vault（Azure Key Vault）。

更多資訊請參閱 foundry-samples 資料庫中的 outbound rules CLI 檔案。