Configurer les réseaux virtuels de Foundry Tools

Les outils Foundry fournissent un modèle de sécurité en couches. Ce modèle vous permet de sécuriser vos comptes Foundry Tools sur un sous-ensemble spécifique de réseaux. Quand des règles de réseau sont configurées, seules les applications qui demandent des données sur l’ensemble spécifié de réseaux peuvent accéder au compte. Vous pouvez limiter l’accès à vos ressources avec le filtrage de requêtes, qui autorise uniquement les requêtes issues d’adresses IP, de plages d’adresses IP ou d’une liste de sous-réseaux spécifiques dans Azure Virtual Networks.

Une application qui accède à une ressource Foundry lorsque les règles réseau sont en vigueur nécessite une autorisation. L’autorisation est prise en charge avec les informations d’identification Microsoft Entra ID ou avec une clé API valide.

Scénarios

Pour sécuriser votre ressource Foundry Tools, vous devez d’abord configurer une règle pour refuser l’accès au trafic à partir de tous les réseaux, y compris le trafic Internet, par défaut. Configurez ensuite des règles qui autorisent l’accès au trafic en provenance de réseaux virtuels spécifiques. Cette configuration vous permet de créer une limite de réseau sécurisée pour vos applications. Vous pouvez également configurer des règles pour accorder l’accès au trafic en provenance de plages d’adresses IP Internet publiques et autoriser des connexions à partir de clients Internet ou locaux spécifiques.

Les règles réseau sont appliquées à tous les protocoles réseau aux outils Foundry, notamment REST et WebSocket. Pour accéder aux données en utilisant des outils tels que les consoles de test Azure, vous devez configurer des règles de réseau explicites. Vous pouvez appliquer des règles réseau à des ressources Foundry Tools existantes ou lorsque vous créez de nouvelles ressources Foundry Tools. Après avoir appliqué les règles de réseau, elles concernent toutes les requêtes.

Régions et offres de services prises en charge

Les réseaux virtuels sont pris en charge dans les régions où Les outils Foundry sont disponibles. Foundry Tools prend en charge les étiquettes de service pour la configuration des règles réseau. Les services répertoriés ici sont inclus dans la balise de service CognitiveServicesManagement.

Changer la règle d’accès réseau par défaut

Par défaut, les ressources Foundry Tools acceptent les connexions des clients sur n’importe quel réseau. Pour limiter l’accès aux réseaux sélectionnés, vous devez d’abord changer l’action par défaut.

Gérer les règles d’accès réseau par défaut

Vous pouvez gérer les règles d’accès réseau par défaut pour les ressources Foundry Tools via le portail Azure, PowerShell ou Azure CLI.

Accorder l’accès à partir d’un réseau virtuel

Vous pouvez configurer les ressources Foundry Tools pour autoriser l’accès à partir de sous-réseaux spécifiques uniquement. Il est possible que les sous-réseaux autorisés appartiennent à un réseau virtuel dans le même abonnement ou dans un autre abonnement. L’autre abonnement peut appartenir à un autre locataire Microsoft Entra. Lorsque le sous-réseau appartient à un autre abonnement, le fournisseur de ressources Microsoft.CognitiveServices doit également être inscrit pour cet abonnement.

Activez un point de terminaison de service pour Foundry Tools au sein du réseau virtuel. Le point de terminaison de service achemine le trafic à partir du réseau virtuel via un chemin optimal vers Foundry Tools. Pour plus d’informations, consultez Points de terminaison de service de réseau virtuel.

Les identités du sous-réseau et du réseau virtuel sont également transmises avec chaque demande. Les administrateurs peuvent ensuite configurer des règles réseau pour la ressource Foundry Tools afin d’autoriser les requêtes provenant de sous-réseaux spécifiques dans un réseau virtuel. Les clients qui ont accordé l’accès par ces règles réseau doivent continuer à répondre aux exigences d’autorisation de la ressource Foundry Tools pour accéder aux données.

Chaque ressource Foundry Tools prend en charge jusqu’à 100 règles de réseau virtuel, qui peuvent être combinées avec des règles de réseau IP. Pour découvrir plus d’informations, consultez Accorder l’accès à partir d’une plage d’adresses IP Internet plus loin dans cet article.

Définir les autorisations requises

Pour appliquer une règle de réseau virtuel à une ressource Foundry, vous avez besoin des autorisations appropriées pour les sous-réseaux à ajouter. L’autorisation nécessaire correspond au rôle Contributeur par défaut ou au rôle Contributeur Cognitive Services. Les autorisations nécessaires peuvent également être ajoutées à des définitions de rôle personnalisées.

La ressource Foundry Tools et les réseaux virtuels auxquels l’accès est accordé peuvent se trouver dans différents abonnements, y compris les abonnements qui font partie d’un autre locataire Microsoft Entra.

Configurer des règles de réseau virtuel

Vous pouvez gérer des règles de réseau virtuel pour les ressources Foundry Tools via le portail Azure, PowerShell ou Azure CLI.

Accorder l’accès à partir d’une plage d’adresses IP Internet

Vous pouvez configurer des ressources Foundry Tools pour autoriser l’accès à partir de plages d’adresses IP Internet publiques spécifiques. Cette configuration donne accès à des services et réseaux locaux spécifiques, ce qui bloque efficacement le trafic Internet général.

Vous pouvez spécifier les plages d’adresses Internet autorisées en utilisant le format CIDR (RFC 4632) sous la forme 192.168.0.0/16 ou en tant qu’adresses IP individuelles comme 192.168.0.1.

Les règles de réseau IP sont autorisées uniquement pour les adresses IP Internet publiques. Les plages d’adresses IP réservées aux réseaux privés ne sont pas autorisées dans les règles IP. Les réseaux privés incluent des adresses qui commencent par 10.*, 172.16.* - 172.31.* et 192.168.*. Pour découvrir plus d’informations, voir Espace d’adressage privé (RFC 1918).

Actuellement, seules les adresses IPv4 sont prises en charge. Chaque ressource Foundry Tools prend en charge jusqu’à 100 règles de réseau IP, qui peuvent être combinées avec des règles de réseau virtuel.

Configurer l’accès à partir de réseaux locaux

Pour accorder l’accès à partir de vos réseaux locaux à votre ressource Foundry Tools avec une règle de réseau IP, identifiez les adresses IP accessibles sur Internet utilisées par votre réseau. Contactez votre administrateur réseau pour obtenir de l’aide.

Si vous utilisez Azure ExpressRoute localement pour le Peering Microsoft, vous devez identifier les adresses IP NAT. Pour découvrir plus d’informations, consultez Présentation d’Azure ExpressRoute.

Pour le Peering Microsoft, les adresses IP NAT utilisées sont fournies par le client ou par le fournisseur de services. Pour autoriser l’accès à vos ressources de votre service, vous devez autoriser ces adresses IP publiques dans le paramètre de pare-feu IP de ressource.

Gestion des règles de réseau IP

Vous pouvez gérer des règles de réseau IP pour les ressources Foundry Tools via le portail Azure, PowerShell ou Azure CLI.

Utiliser des points de terminaison privés

Vous pouvez utiliser des points de terminaison privés pour vos ressources Foundry Tools pour permettre aux clients sur un réseau virtuel d’accéder en toute sécurité aux données via Azure Private Link. Le point de terminaison privé utilise une adresse IP à partir de l’espace d’adressage du réseau virtuel pour votre ressource Foundry Tools. Le trafic réseau entre les clients figurant sur le réseau virtuel et la ressource traverse le réseau virtuel et une liaison privée sur le réseau principal de Microsoft Azure, ce qui élimine toute exposition à partir de l’Internet public.

Les points de terminaison privés pour les ressources Foundry Tools vous permettent de :

• Sécurisez votre ressource Foundry Tools en configurant le pare-feu pour bloquer toutes les connexions sur le point de terminaison public pour Foundry Tools.
• Renforcer la sécurité du réseau virtuel en assurant le blocage de l’exfiltration des données à partir du réseau virtuel.
• Connectez-vous en toute sécurité aux ressources Foundry Tools à partir de réseaux locaux qui se connectent au réseau virtuel à l’aide de la passerelle VPN Azure ou d’ExpressRoutes avec peering privé.

Comprendre les points de terminaison privés

Un point de terminaison privé est une interface réseau spéciale pour une ressource Azure dans votre réseau virtuel. La création d’un point de terminaison privé pour votre ressource Foundry Tools fournit une connectivité sécurisée entre les clients de votre réseau virtuel et votre ressource. Une adresse IP est attribuée au point de terminaison privé à partir de la plage d’adresses IP de votre réseau virtuel. La connexion entre le point de terminaison privé et Foundry Tools utilise une liaison privée sécurisée.

Les applications du réseau virtuel peuvent se connecter au service en toute transparence via le point de terminaison privé. Les connexions utilisent les mêmes chaînes de connexion et mécanismes d’autorisation qu’elles pourrait utiliser autrement. L’exception est Speechs, qui nécessite un point de terminaison distinct. Pour découvrir plus d’informations, consultez Points de terminaison privés avec les Services Speech de cet article. Les points de terminaison privés peuvent être utilisés avec tous les protocoles pris en charge par la ressource Foundry Tools, y compris REST.

Vous pouvez créer des points de terminaison privés dans des sous-réseaux qui utilisent des points de terminaison de service. Les clients d’un sous-réseau peuvent se connecter à une ressource Foundry Tools à l’aide d’un point de terminaison privé, tout en utilisant des points de terminaison de service pour accéder à d’autres utilisateurs. Pour plus d’informations, consultez Points de terminaison de service de réseau virtuel.

Lorsque vous créez un point de terminaison privé pour une ressource Foundry dans votre réseau virtuel, Azure envoie une demande de consentement pour approbation au propriétaire de la ressource Foundry Tools. Si l’utilisateur qui demande la création du point de terminaison privé est également propriétaire de la ressource, cette demande de consentement est automatiquement approuvée.

Les propriétaires de ressources Foundry Tools peuvent gérer les demandes de consentement et les points de terminaison privés via l’onglet Connexion de point de terminaison privé pour la ressource Foundry Tools dans le portail Azure.

Spécifier des points de terminaison privés

Lorsque vous créez un point de terminaison privé, spécifiez la ressource Foundry Tools à laquelle elle se connecte. Pour plus d’informations sur la création d’un point de terminaison privé, consultez :

• Créer un point de terminaison privé au moyen du Portail Azure
• Créer un point de terminaison privé en utilisant Azure PowerShell
• Créer un point de terminaison privé au moyen de l’interface Azure CLI

Se connecter à des points de terminaison privés

Les clients sur un réseau virtuel qui utilisent le point de terminaison privé utilisent la même chaîne de connexion pour la ressource Foundry Tools que les clients se connectant au point de terminaison public. La seule exception est le service Speech qui nécessite un point de terminaison distinct. Pour découvrir plus d’informations, consultez Utiliser des points de terminaison privés avec le service Speech dans cet article. La résolution DNS achemine automatiquement les connexions du réseau virtuel vers la ressource Foundry Tools via une liaison privée.

Par défaut, Azure crée une zone DNS privée jointe au réseau virtuel avec les mises à jour nécessaires pour les points de terminaison privés. Si vous utilisez votre propre serveur DNS, il est possible que vous deviez apporter des modifications supplémentaires à votre configuration DNS. Pour connaître les mises à jour qui peuvent être requises pour les points de terminaison privés, consultez Appliquer des modifications DNS pour les points de terminaison privés dans cet article.

Utiliser des points de terminaison privés avec le service Speech

Consultez Utiliser le service Speech via un point de terminaison privé.

Appliquer des modifications DNS pour les points de terminaison privés

Lorsque vous créez un point de terminaison privé, l’enregistrement de ressource DNS CNAME de la ressource Foundry Tools est mis à jour vers un alias dans un sous-domaine avec le préfixe privatelink. Par défaut, Azure crée également une zone DNS privée correspondant au sous-domaine privatelink, avec les enregistrements de ressources DNS A pour les points de terminaison privés. Pour découvrir plus d’informations, consultez Qu’est-ce que DNS privé Azure ?.

Lorsque vous résolvez l’URL du point de terminaison à l’extérieur du réseau virtuel avec le point de terminaison privé, elle correspond au point de terminaison public de la ressource Foundry Tools. En cas de résolution à partir du réseau virtuel hébergeant le point de terminaison privé, l’URL du point de terminaison correspond à l’adresse IP du point de terminaison privé.

Cette approche permet d’accéder à la ressource Foundry Tools à l’aide de la même chaîne de connexion pour les clients du réseau virtuel qui héberge les points de terminaison privés et les clients en dehors du réseau virtuel.

Si vous utilisez un serveur DNS personnalisé sur votre réseau, les clients doivent être en mesure de résoudre le nom de domaine complet (FQDN) du point de terminaison de ressource Foundry Tools vers l’adresse IP du point de terminaison privé. Configurez votre serveur DNS de manière à déléguer votre sous-domaine de liaison privée à la zone DNS privée du réseau virtuel.

Pour découvrir plus d’informations sur la configuration de votre propre serveur DNS pour la prise en charge des points de terminaison privés, consultez les ressources suivantes :

• Résolution de noms utilisant votre propre serveur DNS
• Configuration DNS

Accorder l’accès aux services Azure approuvés pour Azure OpenAI

Vous pouvez accorder l’accès à Azure OpenAI à un sous-ensemble de services Azure approuvés, tout en maintenant des règles de réseau pour d’autres applications. Ces services approuvés utilisent ensuite l’identité managée pour authentifier votre service Azure OpenAI. Le tableau suivant répertorie les services qui peuvent accéder à Azure OpenAI si l’identité managée de ces services a l’attribution de rôle appropriée.

Vous pouvez accorder l’accès réseau aux services Azure approuvés en créant une exception de règle réseau à l’aide de l’API REST ou du Portail Azure :

Utilisation de l’interface de ligne de commande Azure (CLI)

accessToken=$(az account get-access-token --resource https://management.azure.com --query "accessToken" --output tsv)
rid="/subscriptions/<your subscription id>/resourceGroups/<your resource group>/providers/Microsoft.CognitiveServices/accounts/<your Foundry Tools resource name>"

curl -i -X PATCH https://management.azure.com$rid?api-version=2023-10-01-preview \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $accessToken" \
-d \
'
{
    "properties":
    {
        "networkAcls": {
            "bypass": "AzureServices"
        }
    }
}
'

Pour révoquer l’exception, configurez networkAcls.bypass sur None.

Pour vérifier si le service approuvé a été activé à partir du portail Azure,

1. Utiliser la vue JSON dans la page de présentation des ressources Azure OpenAI

   

2. Choisissez votre dernière version d’API sous Versions d’API. Seule la dernière version d’API est prise en charge, 2023-10-01-preview.

   

Utilisation du portail Azure

1. Accédez à votre ressource Azure OpenAI, puis sélectionnez Mise en réseau dans le menu de navigation.

2. Sous Exceptions, sélectionnez Autoriser les services Azure figurant dans la liste des services approuvés à accéder à ce compte Cognitive Services.

   Conseil

   Vous pouvez afficher l’option Exceptions en sélectionnant Réseaux et points de terminaison privés sélectionnés ou Désactivé sous Autoriser l’accès à partir de.

   

Tarifs

Pour plus d’informations sur les tarifs, consultez Tarification Liaison privée Azure.

Étapes suivantes

• Explorer les différents outils de fonderie
• Découvrir plus d’informations sur les Points de terminaison de service de réseau virtuel