Konfigurieren virtueller Netzwerke von Foundry Tools

Foundry Tools bieten ein mehrschichtiges Sicherheitsmodell. Mit diesem Modell können Sie Ihre Foundry Tools-Konten in einer bestimmten Teilmenge von Netzwerken sichern. Wenn Netzwerkregeln konfiguriert wurden, können nur Anwendungen, die Daten über die angegebenen Netzwerke anfordern, auf das Konto zugreifen. Sie können den Zugriff auf Ihre Ressourcen mithilfe der Anforderungsfilterung einschränken, damit nur Anforderungen zugelassen werden, die von angegebenen IP-Adressen, IP-Adressbereichen oder aus einer Liste der Subnetze in virtuellen Azure-Netzwerken stammen.

Eine Anwendung, die auf eine Foundry-Ressource zugreift, wenn Netzwerkregeln wirksam sind, erfordert eine Autorisierung. Die Autorisierung wird mit Microsoft Entra ID-Anmeldeinformationen oder mit einem gültigen API-Schlüssel unterstützt.

Szenarien

Um Die Ressource "Foundry Tools" zu sichern, sollten Sie zunächst eine Regel konfigurieren, um den Zugriff auf den Datenverkehr von allen Netzwerken, einschließlich Internetdatenverkehr, standardmäßig zu verweigern. Anschließend konfigurieren Sie Regeln, die den Zugriff auf Datenverkehr aus bestimmten virtuellen Netzwerken gewähren. Mit dieser Konfiguration können Sie eine sichere Netzwerkgrenze für Ihre Anwendungen erstellen. Darüber hinaus können Sie Regeln konfigurieren, um den Zugriff auf Datenverkehr aus ausgewählten öffentlichen Internet-IP-Adressbereichen zu gewähren, wodurch Verbindungen von bestimmten Internetclients oder lokalen Clients ermöglicht werden.

Netzwerkregeln werden für alle Netzwerkprotokolle in Foundry Tools erzwungen, einschließlich REST und WebSocket. Für den Zugriff auf Daten mithilfe von Tools wie Azure-Testkonsolen müssen explizite Netzwerkregeln konfiguriert werden. Sie können Netzwerkregeln auf vorhandene Foundry Tools-Ressourcen anwenden oder wenn Sie neue Foundry Tools-Ressourcen erstellen. Angewendete Netzwerkregeln werden für alle Anforderungen erzwungen.

Unterstützte Regionen und Dienstangebote

Virtuelle Netzwerke werden in Regionen unterstützt, in denen Foundry Tools verfügbar sind. Foundry Tools unterstützen Diensttags für die Konfiguration von Netzwerkregeln. Die hier aufgeführten Dienste sind im Diensttag CognitiveServicesManagement enthalten:

Ändern der Standard-Netzwerkzugriffsregel

Standardmäßig akzeptieren Foundry Tools-Ressourcen Verbindungen von Clients in jedem Netzwerk. Um den Zugriff auf ausgewählte Netzwerke zu beschränken, müssen Sie zunächst die Standardaktion ändern.

Verwalten von Standardnetzwerkzugriffsregeln

Sie können Standard-Netzwerkzugriffsregeln für Foundry Tools-Ressourcen über das Azure-Portal, PowerShell oder die Azure CLI verwalten.

Gewähren des Zugriffs aus einem virtuellen Netzwerk

Sie können Foundry Tools-Ressourcen so konfigurieren, dass der Zugriff nur von bestimmten Subnetzen aus zulässig ist. Die zulässigen Subnetze können zu einem virtuellen Netzwerk im selben Abonnement oder in einem anderen Abonnement gehören. Das andere Abonnement kann zu einem anderen Microsoft Entra-Mandanten gehören. Wenn das Subnetz zu einem anderen Abonnement gehört, muss der Microsoft.CognitiveServices-Ressourcenanbieter auch für dieses Abonnement registriert werden.

Aktivieren Sie einen Dienstendpunkt für Foundry Tools innerhalb des virtuellen Netzwerks. Der Dienstendpunkt leitet Datenverkehr vom virtuellen Netzwerk über einen optimalen Pfad zu Foundry Tools weiter. Weitere Informationen finden Sie unter Dienstendpunkte im virtuellen Netzwerk.

Mit jeder Anforderung werden außerdem die Identitäten des Subnetzes und des virtuellen Netzwerks übertragen. Administratoren können dann Netzwerkregeln für die Ressource "Foundry Tools" konfigurieren, um Anforderungen von bestimmten Subnetzen in einem virtuellen Netzwerk zuzulassen. Clients, denen der Zugriff durch diese Netzwerkregeln gewährt wurde, müssen weiterhin die Autorisierungsanforderungen der Ressource "Foundry Tools" erfüllen, um auf die Daten zuzugreifen.

Jede Foundry Tools-Ressource unterstützt bis zu 100 virtuelle Netzwerkregeln, die mit IP-Netzwerkregeln kombiniert werden können. Weitere Informationen finden Sie weiter unten in diesem Artikel unter Gewähren von Zugriff aus einem Internet-IP-Adressbereich.

Festlegen der erforderlichen Berechtigungen

Um eine virtuelle Netzwerkregel auf eine Foundry-Ressource anzuwenden, benötigen Sie die entsprechenden Berechtigungen für die Subnetze, die hinzugefügt werden sollen. Die erforderliche Berechtigung ist die Standardrolle Mitwirkender oder die Rolle Cognitive Services-Mitwirkender. Erforderliche Berechtigungen können aber auch benutzerdefinierten Rollendefinitionen hinzugefügt werden.

Die Ressource "Foundry Tools" und die virtuellen Netzwerke, für die der Zugriff gewährt wird, können sich in verschiedenen Abonnements befinden, einschließlich Abonnements, die Teil eines anderen Microsoft Entra-Mandanten sind.

Konfigurieren von Regeln für virtuelle Netzwerke

Sie können virtuelle Netzwerkregeln für Foundry Tools-Ressourcen über das Azure-Portal, PowerShell oder die Azure CLI verwalten.

Gewähren von Zugriff aus einem Internet-IP-Adressbereich

Sie können Foundry Tools-Ressourcen so konfigurieren, dass der Zugriff von bestimmten öffentlichen INTERNET-IP-Adressbereichen zugelassen wird. Diese Konfiguration gewährt bestimmten Diensten und lokalen Netzwerken Zugriff, wodurch effektiv der allgemeine Internetdatenverkehr blockiert wird.

Sie können die zulässigen Internetadressbereiche im CIDR-Format (RFC 4632)192.168.0.0/16 oder als einzelne IP-Adressen (192.168.0.1) angeben.

IP-Netzwerkregeln sind nur für öffentliche Internet-IP-Adressen zulässig. Für private Netzwerke reservierte IP-Adressbereiche sind in IP-Adressregeln nicht zulässig. Private Netzwerke enthalten Adressen, die mit 10.*, 172.16.* - 172.31.* und 192.168.* beginnen. Weitere Informationen finden Sie unter Private Address Space (RFC 1918).

Derzeit werden nur IPv4-Adressen unterstützt. Jede Foundry Tools-Ressource unterstützt bis zu 100 IP-Netzwerkregeln, die mit virtuellen Netzwerkregeln kombiniert werden können.

Konfigurieren des Zugriffs aus lokalen Netzwerken

Um den Zugriff von Ihren lokalen Netzwerken auf die Ressource "Foundry Tools" mit einer IP-Netzwerkregel zu gewähren, identifizieren Sie die nach außen gerichteten IP-Adressen, die von Ihrem Netzwerk verwendet werden. Hilfe erhalten Sie von Ihrem Netzwerkadministrator.

Wenn Sie Azure ExpressRoute lokal für Microsoft-Peering verwenden, müssen Sie die NAT-IP-Adressen ermitteln. Weitere Informationen finden Sie unter Was ist Azure ExpressRoute?.

Beim Microsoft-Peering werden die verwendeten NAT-IP-Adressen entweder vom Kunden oder vom Dienstanbieter bereitgestellt. Um den Zugriff auf Ihre Dienstressourcen zuzulassen, müssen Sie diese öffentlichen IP-Adressen in der Ressourceneinstellung der IP-Firewall zulassen.

Verwalten von IP-Netzwerkregeln

Sie können IP-Netzwerkregeln für Foundry Tools-Ressourcen über das Azure-Portal, PowerShell oder die Azure CLI verwalten.

Verwenden privater Endpunkte

Sie können private Endpunkte für Ihre Foundry Tools-Ressourcen verwenden, um Clients in einem virtuellen Netzwerk den sicheren Zugriff auf Daten über azure Private Link zu ermöglichen. Der private Endpunkt verwendet eine IP-Adresse aus dem virtuellen Netzwerkadressraum für Ihre Foundry Tools-Ressource. Der Netzwerkdatenverkehr zwischen den Clients im virtuellen Netzwerk und der Ressource wird über das virtuelle Netzwerk und eine private Verbindung im Microsoft Azure-Backbonenetzwerk geleitet und somit nicht dem öffentlichen Internet ausgesetzt.

Private Endpunkte für Foundry Tools-Ressourcen ermöglichen Folgendes:

• Sichern Sie Ihre Foundry Tools-Ressource, indem Sie die Firewall so konfigurieren, dass alle Verbindungen auf dem öffentlichen Endpunkt für Foundry Tools blockiert werden.
• Erhöhen der Sicherheit für das virtuelle Netzwerk, indem Sie die Exfiltration von Daten aus dem virtuellen Netzwerk blockieren können
• Stellen Sie eine sichere Verbindung zu den Foundry Tools-Ressourcen aus lokalen Netzwerken her, die sich mit dem virtuellen Netzwerk verbinden, indem Sie Azure VPN Gateway oder ExpressRoutes mit privatem Peering verwenden.

Grundlegendes zu privaten Endpunkten

Ein privater Endpunkt ist eine spezielle Netzwerkschnittstelle für eine Azure-Ressource in Ihrem virtuellen Netzwerk. Das Erstellen eines privaten Endpunkts für Ihre Ressource "Foundry Tools" bietet sichere Konnektivität zwischen Clients in Ihrem virtuellen Netzwerk und Ihrer Ressource. Dem privaten Endpunkt wird eine IP-Adresse aus dem IP-Adressbereich Ihres virtuellen Netzwerks zugewiesen. Die Verbindung zwischen dem privaten Endpunkt und den Foundry Tools verwendet einen sicheren privaten Link.

Anwendungen im virtuellen Netzwerk können über den privaten Endpunkt nahtlos eine Verbindung mit dem Dienst herstellen. Verbindungen verwenden die gleichen Verbindungszeichenfolgen und Autorisierungsmechanismen, die sie andernfalls verwenden würden. Die Ausnahme ist "Speechs", für die ein separater Endpunkt erforderlich ist. Weitere Informationen finden Sie unter Verwenden von privaten Endpunkten für Speechs in diesem Artikel. Private Endpunkte können mit allen Protokollen verwendet werden, die von der Ressource "Foundry Tools" unterstützt werden, einschließlich REST.

Private Endpunkte können in Subnetzen erstellt werden, die Dienstendpunkte verwenden. Clients in einem Subnetz können mithilfe eines privaten Endpunkts eine Verbindung mit einer Foundry Tools-Ressource herstellen und gleichzeitig Dienstendpunkte verwenden, um auf andere zuzugreifen. Weitere Informationen finden Sie unter Dienstendpunkte im virtuellen Netzwerk.

Wenn Sie einen privaten Endpunkt für eine Foundry-Ressource in Ihrem virtuellen Netzwerk erstellen, sendet Azure eine Zustimmungsanforderung zur Genehmigung an den Ressourcenbesitzer der Foundry Tools. Wenn der Benutzer, der die Erstellung des privaten Endpunkts anfordert, auch Besitzer der Ressource ist, wird diese Einwilligungsanforderung automatisch genehmigt.

Ressourcenbesitzer von Foundry Tools können Zustimmungsanforderungen und die privaten Endpunkte über die Registerkarte " Private Endpunktverbindung " für die Ressource "Foundry Tools" im Azure-Portal verwalten.

Angeben privater Endpunkte

Wenn Sie einen privaten Endpunkt erstellen, geben Sie die Ressource "Foundry Tools" an, mit der eine Verbindung hergestellt wird. Weitere Informationen zum Erstellen eines privaten Endpunkts finden Sie unter:

• Erstellen eines privaten Endpunkts über das Azure-Portal
• Erstellen eines privaten Endpunkts mit Azure PowerShell
• Erstellen eines privaten Endpunkts über die Azure CLI

Herstellen einer Verbindung mit privaten Endpunkten

Clients in einem virtuellen Netzwerk, das den privaten Endpunkt verwendet, verwenden dieselbe Verbindungszeichenfolge für die Ressource Foundry Tools wie Clients, die eine Verbindung mit dem öffentlichen Endpunkt herstellen. Der Speech-Dienst stellt eine Ausnahme dar, denn er benötigt einen separaten Endpunkt. Weitere Informationen finden Sie unter Verwenden von privaten Endpunkten für den Speech-Dienst in diesem Artikel. Die DNS-Auflösung leitet die Verbindungen aus dem virtuellen Netzwerk automatisch über eine private Verbindung an die Foundry Tools-Ressource weiter.

Standardmäßig erstellt Azure eine private DNS-Zone, die mit den erforderlichen Updates für die privaten Endpunkte an das virtuelle Netzwerk angefügt ist. Wenn Sie einen eigenen DNS-Server verwenden, müssen Sie möglicherweise weitere Änderungen an Ihrer DNS-Konfiguration vornehmen. Updates, die möglicherweise für private Endpunkte erforderlich sind, finden Sie unter Anwenden von DNS-Änderungen für private Endpunkte in diesem Artikel.

Verwenden von privaten Endpunkten für den Speech-Dienst

Weitere Informationen finden Sie unter Verwenden des Speech-Diensts mithilfe eines privaten Endpunkts.

Anwenden von DNS-Änderungen für private Endpunkte

Wenn Sie einen privaten Endpunkt erstellen, wird der DNS-Ressourceneintrag CNAME für die Ressource "Foundry Tools" auf einen Alias in einer Unterdomäne mit dem Präfix privatelinkaktualisiert. Standardmäßig erstellt Azure außerdem eine private DNS-Zone, die der Unterdomäne privatelink entspricht, mit den DNS-A-Ressourceneinträgen für die privaten Endpunkte. Weitere Informationen finden Sie unter Was ist Azure Private DNS?.

Wenn Sie die Endpunkt-URL von außerhalb des virtuellen Netzwerks mit dem privaten Endpunkt auflösen, wird diese in den öffentlichen Endpunkt der Foundry Tools-Ressource aufgelöst. Bei Auflösung aus dem virtuellen Netzwerk, das den privaten Endpunkt hostet, wird die Endpunkt-URL in die IP-Adresse des privaten Endpunkts aufgelöst.

Dieser Ansatz ermöglicht den Zugriff auf die Ressource "Foundry Tools" unter Verwendung derselben Verbindungszeichenfolge für Clients im virtuellen Netzwerk, in denen die privaten Endpunkte und Clients außerhalb des virtuellen Netzwerks gehostet werden.

Wenn Sie einen benutzerdefinierten DNS-Server in Ihrem Netzwerk verwenden, müssen die Clients in der Lage sein, den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) für den Endpunkt der Foundry Tools-Ressource in die IP-Adresse des privaten Endpunkts aufzulösen. Konfigurieren Sie Ihren DNS-Server so, dass Ihre Private Link-Unterdomäne an die private DNS-Zone für das virtuelle Netzwerk delegiert wird.

Weitere Informationen zum Konfigurieren eines eigenen DNS-Servers für die Unterstützung privater Endpunkte finden Sie in den folgenden Ressourcen:

• Namensauflösung mithilfe eines eigenen DNS-Servers
• DNS-Konfiguration

Gewähren des Zugriffs auf vertrauenswürdige Azure-Dienste für Azure OpenAI

Sie können einer Teilmenge vertrauenswürdiger Azure-Dienste Zugriff auf Azure OpenAI gewähren und gleichzeitig Netzwerkregeln für andere Apps verwalten. Diese vertrauenswürdigen Dienste verwenden dann verwaltete Identität, um Ihren Azure OpenAI-Dienst zu authentifizieren. In der folgenden Tabelle sind die Dienste aufgeführt, die auf Azure OpenAI zugreifen können, wenn die verwaltete Identität dieser Dienste über die entsprechende Rollenzuweisung verfügt.

Sie können Netzwerkzugriff für vertrauenswürdige Azure-Dienste gewähren, indem Sie eine Netzwerkregelausnahme mithilfe der REST-API oder dem Azure-Portal erstellen:

Verwenden der Azure-Befehlszeilenschnittstelle

accessToken=$(az account get-access-token --resource https://management.azure.com --query "accessToken" --output tsv)
rid="/subscriptions/<your subscription id>/resourceGroups/<your resource group>/providers/Microsoft.CognitiveServices/accounts/<your Foundry Tools resource name>"

curl -i -X PATCH https://management.azure.com$rid?api-version=2023-10-01-preview \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $accessToken" \
-d \
'
{
    "properties":
    {
        "networkAcls": {
            "bypass": "AzureServices"
        }
    }
}
'

Um die Ausnahme zu widerrufen, legen Sie networkAcls.bypass auf None fest.

Um zu überprüfen, ob der vertrauenswürdige Dienst über das Azure-Portal aktiviert wurde,

1. verwenden Sie die JSON-Ansicht auf der Azure OpenAI-Ressourcenübersichtsseite

   

2. Wählen Sie Ihre neueste API-Version unter API-Versionen aus. Nur die neueste API-Version 2023-10-01-preview wird unterstützt.

   

Verwenden des Azure-Portals

1. Navigieren Sie zu Ihrer Azure OpenAI-Ressource, und wählen Sie Netzwerk im Navigationsmenü aus.

2. Wählen Sie unter Ausnahmen die Option Azure-Diensten aus der Liste vertrauenswürdiger Dienste Zugriff auf dieses Cognitive Services-Konto erlauben aus.

   Tipp

   Sie können die Option Ausnahmen anzeigen, indem Sie unter Zugriff zulassen von entweder Ausgewählte Netzwerke und private Endpunkte oder Deaktiviert auswählen.

   

Preise

Ausführliche Preisinformationen finden Sie unter Azure Private Link – Preise.

Nächste Schritte

• Entdecken Sie die verschiedenen Foundry Tools
• Weitere Informationen zu Dienstendpunkten für virtuelle Netzwerke