Configurar redes virtuais dos serviços de IA do Azure

Os serviços de IA do Azure fornecem um modelo de segurança em camadas. Esse modelo permite que você proteja suas contas de serviços de IA do Azure para um subconjunto específico de redes. Quando as regras de rede são configuradas, apenas os aplicativos que solicitam dados no conjunto especificado de redes podem acessar a conta. Você pode limitar o acesso aos seus recursos com a filtragem de solicitações, que permite solicitações originadas apenas de endereços IP especificados, intervalos de IP ou de uma lista de sub-redes nas Redes Virtuais do Azure.

Um aplicativo que acessa um recurso de serviços de IA do Azure quando as regras de rede estão em vigor requer autorização. A autorização é suportada com credenciais do Microsoft Entra ID ou com uma chave de API válida.

Cenários

Para proteger seu recurso de serviços de IA do Azure, você deve primeiro configurar uma regra para negar acesso ao tráfego de todas as redes, incluindo o tráfego da Internet, por padrão. Em seguida, configure regras que concedam acesso ao tráfego de redes virtuais específicas. Essa configuração permite que você crie um limite de rede seguro para seus aplicativos. Você também pode configurar regras para conceder acesso ao tráfego de intervalos de endereços IP públicos selecionados da Internet e habilitar conexões de clientes específicos da Internet ou locais.

As regras de rede são impostas em todos os protocolos de rede para serviços de IA do Azure, incluindo REST e WebSocket. Para acessar dados usando ferramentas como os consoles de teste do Azure, regras de rede explícitas devem ser configuradas. Você pode aplicar regras de rede a recursos de serviços de IA do Azure existentes ou ao criar novos recursos de serviços de IA do Azure. Depois que as regras de rede são aplicadas, elas são aplicadas para todas as solicitações.

Regiões e ofertas de serviços suportadas

As redes virtuais são suportadas em regiões onde os serviços de IA do Azure estão disponíveis. Os serviços de IA do Azure suportam etiquetas de serviço para configuração de regras de rede. Os serviços listados aqui estão incluídos na CognitiveServicesManagement etiqueta de serviço.

Change the default network access rule (Alterar a regra de acesso de rede predefinida)

Por padrão, os recursos dos serviços de IA do Azure aceitam conexões de clientes em qualquer rede. Para limitar o acesso às redes selecionadas, primeiro tem de alterar a ação predefinida.

Gerir regras de acesso de rede predefinidas

Você pode gerenciar regras de acesso à rede padrão para recursos de serviços de IA do Azure por meio do portal do Azure, do PowerShell ou da CLI do Azure.

Conceder acesso a partir de uma rede virtual

Você pode configurar os recursos dos serviços de IA do Azure para permitir o acesso somente de sub-redes específicas. As sub-redes permitidas podem pertencer a uma rede virtual na mesma assinatura ou em uma assinatura diferente. A outra assinatura pode pertencer a um locatário diferente do Microsoft Entra. Quando a sub-rede pertence a uma assinatura diferente, o provedor de recursos Microsoft.CognitiveServices também precisa estar registrado para essa assinatura.

Habilite um ponto de extremidade de serviço para serviços de IA do Azure na rede virtual. O ponto de extremidade do serviço roteia o tráfego da rede virtual por meio de um caminho ideal para o serviço Azure AI. Para obter mais informações, consulte Pontos de extremidade de serviço de Rede Virtual.

As identidades da sub-rede e da rede virtual também são transmitidas com cada pedido. Os administradores podem então configurar regras de rede para o recurso de serviços de IA do Azure para permitir solicitações de sub-redes específicas em uma rede virtual. Os clientes com acesso concedido por essas regras de rede devem continuar a atender aos requisitos de autorização do recurso de serviços de IA do Azure para acessar os dados.

Cada recurso de serviços de IA do Azure dá suporte a até 100 regras de rede virtual, que podem ser combinadas com regras de rede IP. Para obter mais informações, consulte Conceder acesso a partir de um intervalo de IP da Internet mais adiante neste artigo.

Definir as permissões necessárias

Para aplicar uma regra de rede virtual a um recurso de serviços de IA do Azure, você precisa das permissões apropriadas para as sub-redes a serem adicionadas. A permissão necessária é a função de Colaborador padrão ou a função de Colaborador de Serviços Cognitivos. As permissões necessárias também podem ser adicionadas a definições de função personalizadas.

O recurso de serviços de IA do Azure e as redes virtuais às quais é concedido acesso podem estar em assinaturas diferentes, incluindo assinaturas que fazem parte de um locatário diferente do Microsoft Entra.

Configurar regras de rede virtual

Você pode gerenciar regras de rede virtual para recursos de serviços de IA do Azure por meio do portal do Azure, do PowerShell ou da CLI do Azure.

Conceder acesso a partir de um intervalo de IP da Internet

Você pode configurar os recursos de serviços de IA do Azure para permitir o acesso de intervalos de endereços IP públicos específicos da Internet. Essa configuração concede acesso a serviços específicos e redes locais, que efetivamente bloqueiam o tráfego geral da Internet.

Você pode especificar os intervalos de endereços da Internet permitidos usando o formato CIDR (RFC 4632) no formato 192.168.0.0/16 ou como endereços IP individuais como 192.168.0.1.

As regras de rede IP só são permitidas para endereços IP públicos da Internet . Os intervalos de endereços IP reservados para redes privadas não são permitidos nas regras de IP. As redes privadas incluem endereços que começam com 10.*,172.31.*172.16.* - e .192.168.* Para obter mais informações, consulte Espaço de Endereço Privado (RFC 1918).

Atualmente, apenas endereços IPv4 são suportados. Cada recurso de serviços de IA do Azure suporta até 100 regras de rede IP, que podem ser combinadas com regras de rede virtual.

Configurar o acesso a partir de redes locais

Para conceder acesso de suas redes locais ao seu recurso de serviços de IA do Azure com uma regra de rede IP, identifique os endereços IP voltados para a Internet usados pela sua rede. Entre em contato com o administrador da rede para obter ajuda.

Se você usar o Azure ExpressRoute local para emparelhamento da Microsoft, precisará identificar os endereços IP NAT. Para obter mais informações, consulte O que é o Azure ExpressRoute.

Para o emparelhamento da Microsoft, os endereços IP NAT usados são fornecidos pelo cliente ou fornecidos pelo provedor de serviços. Para permitir o acesso aos recursos de serviço, tem de permitir estes endereços IP públicos na definição da firewall do IP dos recursos.

Gerenciando regras de rede IP

Você pode gerenciar regras de rede IP para recursos de serviços de IA do Azure por meio do portal do Azure, do PowerShell ou da CLI do Azure.

Utilizar pontos finais privados

Você pode usar pontos de extremidade privados para seus recursos de serviços de IA do Azure para permitir que clientes em uma rede virtual acessem dados com segurança pelo Azure Private Link. O ponto de extremidade privado usa um endereço IP do espaço de endereço de rede virtual para seu recurso de serviços de IA do Azure. O tráfego de rede entre os clientes na rede virtual e o recurso atravessa a rede virtual e um link privado na rede de backbone do Microsoft Azure, o que elimina a exposição da Internet pública.

Os pontos de extremidade privados para recursos de serviços de IA do Azure permitem:

• Proteja seu recurso de serviços de IA do Azure configurando o firewall para bloquear todas as conexões no ponto de extremidade público para o serviço de IA do Azure.
• Aumente a segurança da rede virtual, permitindo que você bloqueie a exfiltração de dados da rede virtual.
• Conecte-se com segurança aos recursos de serviços de IA do Azure de redes locais que se conectam à rede virtual usando o Gateway de VPN do Azure ou ExpressRoutes com emparelhamento privado.

Compreender os endpoints privados

Um ponto de extremidade privado é uma interface de rede especial para um recurso do Azure em sua rede virtual. A criação de um ponto de extremidade privado para seu recurso de serviços de IA do Azure fornece conectividade segura entre clientes em sua rede virtual e seu recurso. O ponto de extremidade privado recebe um endereço IP do intervalo de endereços IP da sua rede virtual. A conexão entre o ponto de extremidade privado e o serviço de IA do Azure usa um link privado seguro.

Os aplicativos na rede virtual podem se conectar ao serviço através do ponto de extremidade privado perfeitamente. As conexões usam as mesmas cadeias de conexão e mecanismos de autorização que usariam de outra forma. A exceção são os Serviços de Fala, que exigem um ponto de extremidade separado. Para obter mais informações, consulte Pontos de extremidade privados com os Serviços de Fala neste artigo. Os pontos de extremidade privados podem ser usados com todos os protocolos suportados pelo recurso de serviços de IA do Azure, incluindo REST.

Pontos de extremidade privados podem ser criados em sub-redes que usam pontos de extremidade de serviço. Os clientes em uma sub-rede podem se conectar a um recurso de serviços de IA do Azure usando pontos de extremidade privados, enquanto usam pontos de extremidade de serviço para acessar outros. Para obter mais informações, consulte Pontos de extremidade de serviço de Rede Virtual.

Quando você cria um ponto de extremidade privado para um recurso de serviços de IA do Azure em sua rede virtual, o Azure envia uma solicitação de consentimento para aprovação ao proprietário do recurso de serviços de IA do Azure. Se o usuário que solicita a criação do ponto de extremidade privado também for proprietário do recurso, essa solicitação de consentimento será aprovada automaticamente.

Os proprietários de recursos de serviços de IA do Azure podem gerenciar solicitações de consentimento e os pontos de extremidade privados por meio da guia Conexão de ponto de extremidade privado para o recurso de serviços de IA do Azure no portal do Azure.

Especificar pontos de extremidade privados

Ao criar um ponto de extremidade privado, especifique o recurso de serviços de IA do Azure ao qual ele se conecta. Para obter mais informações sobre como criar um ponto de extremidade privado, consulte:

• Criar um ponto de extremidade privado usando o portal do Azure
• Criar um ponto de extremidade privado usando o Azure PowerShell
• Criar um ponto de extremidade privado usando a CLI do Azure

Ligar a terminais privados

Os clientes em uma rede virtual que usam o ponto de extremidade privado usam a mesma cadeia de conexão para o recurso de serviços de IA do Azure que os clientes que se conectam ao ponto de extremidade público. A exceção é o serviço de fala, que requer um ponto de extremidade separado. Para obter mais informações, consulte Usar pontos de extremidade privados com o serviço de fala neste artigo. A resolução DNS roteia automaticamente as conexões da rede virtual para o recurso de serviços de IA do Azure por meio de um link privado.

Por padrão, o Azure cria uma zona DNS privada anexada à rede virtual com as atualizações necessárias para os pontos de extremidade privados. Se você usar seu próprio servidor DNS, talvez seja necessário fazer mais alterações na configuração do DNS. Para atualizações que podem ser necessárias para pontos de extremidade privados, consulte Aplicar alterações de DNS para pontos de extremidade privados neste artigo.

Usar pontos de extremidade privados com o serviço de Fala

Consulte Usar o serviço de fala por meio de um ponto de extremidade privado.

Aplicar alterações de DNS para pontos de extremidade privados

Quando você cria um ponto de extremidade privado, o registro de recurso DNS CNAME para o recurso de serviços de IA do Azure é atualizado para um alias em um subdomínio com o prefixo privatelink. Por padrão, o Azure também cria uma zona DNS privada que corresponde ao privatelink subdomínio, com os registros de recurso DNS A para os pontos de extremidade privados. Para obter mais informações, consulte O que é o DNS Privado do Azure.

Quando você resolve a URL do ponto de extremidade de fora da rede virtual com o ponto de extremidade privado, ela é resolvida para o ponto de extremidade público do recurso de serviços de IA do Azure. Quando é resolvido a partir da rede virtual que hospeda o ponto de extremidade privado, a URL do ponto de extremidade é resolvida para o endereço IP do ponto de extremidade privado.

Essa abordagem permite o acesso ao recurso de serviços de IA do Azure usando a mesma cadeia de conexão para clientes na rede virtual que hospeda os pontos de extremidade privados e clientes fora da rede virtual.

Se você usar um servidor DNS personalizado em sua rede, os clientes deverão ser capazes de resolver o FQDN (nome de domínio totalmente qualificado) do ponto de extremidade do recurso de serviços do Azure AI para o endereço IP do ponto de extremidade privado. Configure o servidor DNS para delegar o subdomínio de link privado à zona DNS privada da rede virtual.

Para obter mais informações sobre como configurar seu próprio servidor DNS para oferecer suporte a pontos de extremidade privados, consulte os seguintes recursos:

• Resolução de nomes que utiliza o seu próprio servidor DNS
• Configuração do DNS

Conceder acesso a serviços confiáveis do Azure para o Azure OpenAI

Você pode conceder a um subconjunto de serviços confiáveis do Azure acesso ao Azure OpenAI, mantendo regras de rede para outros aplicativos. Esses serviços confiáveis usarão a identidade gerenciada para autenticar seu serviço Azure OpenAI. A tabela a seguir lista os serviços que podem acessar o Azure OpenAI se a identidade gerenciada desses serviços tiver a atribuição de função apropriada.

Você pode conceder acesso de rede a serviços confiáveis do Azure criando uma exceção de regra de rede usando a API REST ou o portal do Azure:

Com a CLI do Azure

accessToken=$(az account get-access-token --resource https://management.azure.com --query "accessToken" --output tsv)
rid="/subscriptions/<your subscription id>/resourceGroups/<your resource group>/providers/Microsoft.CognitiveServices/accounts/<your Azure AI resource name>"

curl -i -X PATCH https://management.azure.com$rid?api-version=2023-10-01-preview \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $accessToken" \
-d \
'
{
    "properties":
    {
        "networkAcls": {
            "bypass": "AzureServices"
        }
    }
}
'

Para revogar a exceção, defina networkAcls.bypass como None.

Para verificar se o serviço confiável foi habilitado no portal do Azure,

1. Usar o Modo de Exibição JSON na página de visão geral de recursos do Azure OpenAI

   

2. Escolha sua versão mais recente da API em Versões da API. Apenas a versão mais recente da API é suportada, 2023-10-01-preview .

   

Utilizar o portal do Azure

1. Navegue até o recurso do Azure OpenAI e selecione Rede no menu de navegação.

2. Em Exceções, selecione Permitir que os serviços do Azure na lista de serviços confiáveis acessem essa conta de serviços cognitivos.

   Gorjeta

   Você pode visualizar a opção Exceções selecionando Redes selecionadas e pontos de extremidade privados ou Desabilitado em Permitir acesso de.

   

Preços

Para obter detalhes de preços, consulte Preços do Azure Private Link.

Próximos passos

• Explore os vários serviços de IA do Azure
• Saiba mais sobre os pontos de extremidade de serviço da Rede Virtual