Настройка виртуальных сетей сервисов ИИ Azure

Статья
09/02/2024

Службы искусственного интеллекта Azure предоставляют многоуровневую модель безопасности. Эта модель позволяет защитить учетные записи служб ИИ Azure в определенном подмножестве сетей. Если настроены правила сети, доступ к учетной записи может получить только приложения, запрашивающие данные по указанному набору сетей. Вы можете ограничить доступ к ресурсам с помощью фильтрации запросов, что позволяет запрашивать запросы, поступающие только из указанных IP-адресов, диапазонов IP-адресов или из списка подсетей в виртуальная сеть Azure.

Приложение, которое обращается к ресурсу служб искусственного интеллекта Azure, когда правила сети в действительности требуют авторизации. Авторизация поддерживается с учетными данными идентификатора Microsoft Entra или допустимым ключом API.

Внимание

Включение правил брандмауэра для учетной записи служб ИИ Azure блокирует входящие запросы данных по умолчанию. Чтобы разрешить запросы, необходимо выполнить одно из следующих условий:

Запрос создается из службы, которая работает в Azure виртуальная сеть в списке разрешенных подсетей целевой учетной записи служб ИИ Azure. Запрос конечной точки, исходящий из виртуальной сети, должен быть задан в качестве настраиваемого поддомена учетной записи служб ИИ Azure.
Запрос поступает из разрешенного списка IP-адресов.

Запросы, которые блокируются, включают их из других служб Azure, из портал Azure и из служб ведения журнала и метрик.

Примечание.

Мы рекомендуем использовать модуль Azure Az PowerShell для взаимодействия с Azure. Сведения о начале работы см. в статье "Установка Azure PowerShell". Дополнительные сведения см. в статье Перенос Azure PowerShell с AzureRM на Az.

Сценарии

Чтобы защитить ресурс служб ИИ Azure, сначала необходимо настроить правило, чтобы запретить доступ к трафику со всех сетей, включая интернет-трафик, по умолчанию. Затем настройте правила, предоставляющие доступ к трафику из определенных виртуальных сетей. Такая конфигурация позволяет создать для приложений границу в виде безопасной сети. Вы также можете настроить правила для предоставления доступа к трафику из выбора диапазонов общедоступных IP-адресов и включения подключений из определенного Интернета или локальных клиентов.

Правила сети применяются ко всем сетевым протоколам служб ИИ Azure, включая REST и WebSocket. Чтобы получить доступ к данным с помощью таких средств, как тестовые консоли Azure, необходимо настроить явные сетевые правила. Вы можете применить сетевые правила к существующим ресурсам служб ИИ Azure или при создании новых ресурсов служб ИИ Azure. После применения сетевых правил они применяются ко всем запросам.

Поддерживаемые регионы и предложения услуг

Виртуальные сети поддерживаются в регионах, где доступны службы ИИ Azure. Службы искусственного интеллекта Azure поддерживают теги служб для настройки сетевых правил. Перечисленные здесь службы включены в CognitiveServicesManagement тег службы.

Детектор аномалий
Azure OpenAI
Content Moderator
Custom Vision
Распознавание лиц
Распознавание речи (LUIS)
Персонализатор
Служба речи
Язык
QnA Maker
Переводчик

Примечание.

Если вы используете Azure OpenAI, LUIS, службы распознавания речи или языковые службы, CognitiveServicesManagement тег позволяет использовать службу только с помощью пакета SDK или REST API. Чтобы получить доступ к Azure OpenAI Studio, портал LUIS, Speech Studio или Language Studio из виртуальной сети, необходимо использовать следующие теги:

AzureActiveDirectory
AzureFrontDoor.Frontend
AzureResourceManager
CognitiveServicesManagement
CognitiveServicesFrontEnd
Storage (только в Speech Studio)

Сведения о настройке Azure AI Studio см. в документации по Azure AI Studio.

Изменение сетевого правила доступа по умолчанию

По умолчанию ресурсы служб ИИ Azure принимают подключения от клиентов в любой сети. Для ограничения доступа из выбранных сетей необходимо сначала изменить действие по умолчанию.

Предупреждение

Внесение изменений в правила сети может повлиять на возможность подключения приложений к службам ИИ Azure. Когда для сетевого правила по умолчанию указано значение deny, доступ к данным блокируется полностью, если только не применяются специальные сетевые правила, разрешающие доступ.

Прежде чем изменить правило по умолчанию, чтобы запретить доступ, обязательно предоставьте доступ к любым разрешенным сетям с помощью правил сети. Если вы разрешаете перечисление IP-адресов для локальной сети, обязательно добавьте все возможные исходящие общедоступные IP-адреса из локальной сети.

Управление правилами сетевого доступа по умолчанию

Вы можете управлять правилами доступа к сети по умолчанию для ресурсов служб искусственного интеллекта Azure с помощью портал Azure, PowerShell или Azure CLI.

Перейдите к ресурсу служб ИИ Azure, который вы хотите защитить.
Выберите "Управление ресурсами" , чтобы развернуть его, а затем выберите "Сеть".
Чтобы запретить доступ по умолчанию, в разделе "Брандмауэры и виртуальные сети" выберите выбранные сети и частные конечные точки.

При использовании этого параметра в одиночку без сопровождения настроенных виртуальных сетей или диапазонов адресов все доступ фактически запрещены. Если доступ запрещен, запросы, которые пытаются использовать ресурс служб искусственного интеллекта Azure, запрещены. Портал Azure, Azure PowerShell или Azure CLI по-прежнему можно использовать для настройки ресурса служб искусственного интеллекта Azure.
Чтобы разрешить трафик изо всех сетей, укажите Все сети.
Нажмите кнопку Сохранить, чтобы применить изменения.

Установите Azure PowerShell и войдите в систему или выберите Open CloudShell.
Отображение состояния правила по умолчанию для ресурса служб искусственного интеллекта Azure.
```
$parameters = @{
  "ResourceGroupName" = "myresourcegroup"
  "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).DefaultAction
```
Вы можете получить значения для группы myresourcegroup ресурсов и имя ресурса myaccount служб Azure из портал Azure.

Задайте правило по умолчанию, чтобы запретить сетевой доступ.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "DefaultAction" = "Deny"
}
Update-AzCognitiveServicesAccountNetworkRuleSet @parameters

Задайте правило по умолчанию, чтобы разрешить сетевой доступ.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "DefaultAction" = "Allow"
}
Update-AzCognitiveServicesAccountNetworkRuleSet @parameters

Установите Azure CLI и войдите или выберите Open CloudShell.
Отображение состояния правила по умолчанию для ресурса служб искусственного интеллекта Azure.
```
az cognitiveservices account show \
    --resource-group "myresourcegroup" --name "myaccount" \
    --query properties.networkAcls.defaultAction
```

Получите идентификатор ресурса для использования в последующих шагах.

resourceId=$(az cognitiveservices account show
    --resource-group "myresourcegroup" \
    --name "myaccount" --query id --output tsv)

Настройте в правиле по умолчанию запрет сетевого доступа по умолчанию.
```
az resource update \
    --ids $resourceId \
    --set properties.networkAcls="{'defaultAction':'Deny'}"
```
Настройте в правиле по умолчанию разрешение сетевого доступа по умолчанию.
```
az resource update \
    --ids $resourceId \
    --set properties.networkAcls="{'defaultAction':'Allow'}"
```

Предоставление доступа из виртуальной сети

Вы можете настроить ресурсы служб ИИ Azure, чтобы разрешить доступ только из определенных подсетей. Допустимые подсети могут принадлежать виртуальной сети в той же подписке или в другой подписке. Другая подписка может принадлежать другому клиенту Microsoft Entra. Если подсеть принадлежит другой подписке, поставщик ресурсов Microsoft.CognitiveServices также должен быть зарегистрирован для этой подписки.

Включите конечную точку службы для служб ИИ Azure в виртуальной сети. Конечная точка службы направляет трафик из виртуальной сети через оптимальный путь к службе искусственного интеллекта Azure. Дополнительные сведения см. в статье Конечные точки служб в виртуальной сети.

В каждом запросе также передаются удостоверения подсети и виртуальной сети. Затем администраторы могут настроить сетевые правила для ресурса служб искусственного интеллекта Azure, чтобы разрешить запросы из определенных подсетей в виртуальной сети. Клиенты, предоставляемые этими правилами сети, должны продолжать соответствовать требованиям авторизации ресурса служб искусственного интеллекта Azure для доступа к данным.

Каждый ресурс служб ИИ Azure поддерживает до 100 правил виртуальной сети, которые можно объединить с правилами IP-сети. Дополнительные сведения см. в статье "Предоставление доступа из диапазона IP-адресов Интернета" далее в этой статье.

Установка необходимых разрешений

Чтобы применить правило виртуальной сети к ресурсу служб искусственного интеллекта Azure, необходимы соответствующие разрешения для добавления подсетей. Необходимое разрешение — это роль участника по умолчанию или роль участника Cognitive Services. Необходимые разрешения также можно добавить в определения настраиваемых ролей.

Ресурс служб ИИ Azure и виртуальные сети, которым предоставлен доступ, могут находиться в разных подписках, включая подписки, которые являются частью другого клиента Microsoft Entra.

Примечание.

Настройка правил, которые предоставляют доступ к подсетям в виртуальных сетях, которые являются частью другого клиента Microsoft Entra, в настоящее время поддерживаются только с помощью PowerShell, Azure CLI и REST API. Эти правила можно просмотреть в портал Azure, но их нельзя настроить.

Настройка правил виртуальной сети

Вы можете управлять правилами виртуальной сети для ресурсов служб искусственного интеллекта Azure с помощью портал Azure, PowerShell или Azure CLI.

Чтобы предоставить доступ к виртуальной сети с существующим сетевым правилом:

Перейдите к ресурсу служб ИИ Azure, который вы хотите защитить.
Выберите "Управление ресурсами" , чтобы развернуть его, а затем выберите "Сеть".
Убедитесь, что выбраны выбранные сети и частные конечные точки.
В разделе "Разрешить доступ" выберите "Добавить существующую виртуальную сеть".
Выберите параметры Виртуальные сети и Подсети, а затем нажмите Включить.

Примечание.

Если конечная точка службы для служб ИИ Azure ранее не была настроена для выбранной виртуальной сети и подсетей, ее можно настроить в рамках этой операции.

В настоящее время во время создания правила доступны только виртуальные сети, принадлежащие одному клиенту Microsoft Entra. Чтобы предоставить доступ к подсети в виртуальной сети, которая принадлежит другому клиенту, используйте PowerShell, Azure CLI или REST API.
Нажмите кнопку Сохранить, чтобы применить изменения.

Чтобы создать виртуальную сеть и предоставить ей доступ:

На той же странице, что и предыдущая процедура, выберите "Добавить новую виртуальную сеть".
Укажите сведения, необходимые для создания виртуальной сети, а затем нажмите Создать.
Нажмите кнопку Сохранить, чтобы применить изменения.

Чтобы удалить правило виртуальной сети или подсети, выполните приведенные действия.

На той же странице, что и предыдущие процедуры, выберите ... (Дополнительные параметры) Чтобы открыть контекстное меню для виртуальной сети или подсети, и нажмите кнопку "Удалить".
Нажмите кнопку Сохранить, чтобы применить изменения.

Установите Azure PowerShell и войдите в систему или выберите Open CloudShell.

Список настроенных правил виртуальной сети.

$parameters = @{
   "ResourceGroupName" = "myresourcegroup"
   "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).VirtualNetworkRules

Включите конечную точку службы для служб ИИ Azure в существующей виртуальной сети и подсети.

Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" `
    -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" `
    -AddressPrefix "CIDR" `
    -ServiceEndpoint "Microsoft.CognitiveServices" | Set-AzVirtualNetwork

Добавьте сетевое правило для виртуальной сети и подсети.
```
$subParameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myvnet"
}
$subnet = Get-AzVirtualNetwork @subParameters | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"

$parameters = @{
    -ResourceGroupName "myresourcegroup"
    -Name "myaccount"
    -VirtualNetworkResourceId $subnet.Id
}
Add-AzCognitiveServicesAccountNetworkRule @parameters
```
Совет

Чтобы добавить сетевое правило для подсети в виртуальной сети, принадлежащую другому клиенту Microsoft Entra, используйте полный VirtualNetworkResourceId параметр в форме /subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name.

Удалите сетевое правило для виртуальной сети и подсети.

$subParameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myvnet"
}
$subnet = Get-AzVirtualNetwork @subParameters | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "VirtualNetworkResourceId" = $subnet.Id
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Установите Azure CLI и войдите или выберите Open CloudShell.

Список настроенных правил виртуальной сети.

az cognitiveservices account network-rule list \
    --resource-group "myresourcegroup" --name "myaccount" \
    --query virtualNetworkRules

Включите конечную точку службы для служб ИИ Azure в существующей виртуальной сети и подсети.
```
az network vnet subnet update --resource-group "myresourcegroup" --name "mysubnet" \
--vnet-name "myvnet" --service-endpoints "Microsoft.CognitiveServices"
```
Добавьте сетевое правило для виртуальной сети и подсети.
```
subnetid=$(az network vnet subnet show \
    --resource-group "myresourcegroup" --name "mysubnet" --vnet-name "myvnet" \
    --query id --output tsv)

# Use the captured subnet identifier as an argument to the network rule addition
az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --subnet $subnetid
```
Совет

Чтобы добавить правило для подсети в виртуальной сети, которая принадлежит другому клиенту Microsoft Entra, используйте полный идентификатор подсети в форме /subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name.

Этот параметр можно использовать --subscription для получения идентификатора подсети для виртуальной сети, которая принадлежит другому клиенту Microsoft Entra.

Удалите сетевое правило для виртуальной сети и подсети.

$subnetid=(az network vnet subnet show \
    --resource-group "myresourcegroup" --name "mysubnet" --vnet-name "myvnet" \
    --query id --output tsv)

# Use the captured subnet identifier as an argument to the network rule removal
az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --subnet $subnetid

Внимание

Обязательно укажите для правила по умолчанию значение deny, иначе сетевые правила не будут действовать.

Предоставление доступа из диапазона IP-адресов в Интернете

Вы можете настроить ресурсы служб ИИ Azure, чтобы разрешить доступ из определенных диапазонов общедоступных IP-адресов Интернета. Эта конфигурация предоставляет доступ к определенным службам и локальным сетям, которые эффективно блокируют общий интернет-трафик.

Диапазоны разрешенных ip-адресов можно указать с помощью формата CIDR (RFC 4632) в форме 192.168.0.0/16 или в виде отдельных IP-адресов, таких как 192.168.0.1.

Совет

Небольшие диапазоны адресов, использующие /31 или /32 префиксные размеры, не поддерживаются. Настройте эти диапазоны с помощью отдельных правил IP-адресов.

Правила IP-сети можно применять только для общедоступных IP-адресов в Интернете. Диапазоны IP-адресов, зарезервированные для частных сетей, не допускаются в правилах IP- адресов. К частным сетям относятся адреса, начинающиеся с 10.*, 172.16.* - 172.31.* и 192.168.*. Дополнительные сведения см. в разделе "Частное адресное пространство" (RFC 1918).

В настоящее время поддерживаются только IPv4-адреса. Каждый ресурс служб ИИ Azure поддерживает до 100 правил сети IP, которые можно объединить с правилами виртуальной сети.

Настройка доступа из локальных сетей

Чтобы предоставить доступ из локальных сетей к ресурсу служб ИСКУССТВЕННОго интеллекта Azure с помощью правила IP-сети, определите IP-адреса, используемые вашей сетью. За помощью обращайтесь к администратору сети.

Если вы используете локальную среду Azure ExpressRoute для пиринга Майкрософт, необходимо определить IP-адреса NAT. Дополнительные сведения см. в статье "Что такое Azure ExpressRoute".

Для пиринга Майкрософт IP-адреса NAT, которые используются, предоставляются клиентом или предоставляются поставщиком услуг. Чтобы разрешить доступ к ресурсам служб, необходимо разрешить эти общедоступные IP-адреса в настройках брандмауэра IP-адресов ресурсов.

Управление правилами IP-сети

Вы можете управлять правилами ip-сети для ресурсов служб ИИ Azure с помощью портал Azure, PowerShell или Azure CLI.

Перейдите к ресурсу служб ИИ Azure, который вы хотите защитить.
Выберите "Управление ресурсами" , чтобы развернуть его, а затем выберите "Сеть".
Убедитесь, что выбраны выбранные сети и частные конечные точки.
В разделе "Брандмауэры и виртуальные сети" найдите параметр диапазона адресов. Чтобы предоставить доступ к диапазону IP-адресов Интернета, введите IP-адрес или диапазон адресов (в формате CIDR). Принимаются только допустимые общедоступные IP-адреса (не зарезервированные).

Чтобы удалить правило сети IP-адресов, щелкните значок корзины рядом с диапазоном адресов.
Нажмите кнопку Сохранить, чтобы применить изменения.

Установите Azure PowerShell и войдите в систему или выберите Open CloudShell.

Перечислить настроенные правила IP-сети.

$parameters = @{
  "ResourceGroupName" = "myresourcegroup"
  "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).IPRules

Добавьте правило сети для отдельного IP-адреса.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "ipaddress"
}
Add-AzCognitiveServicesAccountNetworkRule @parameters

Добавьте правило сети для диапазона IP-адресов.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "CIDR"
}
Add-AzCognitiveServicesAccountNetworkRule @parameters

Удалите правило сети для отдельного IP-адреса.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "ipaddress"
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Удалите правило сети для диапазона IP-адресов.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "CIDR"
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Установите Azure CLI и войдите или выберите Open CloudShell.

Перечислить настроенные правила IP-сети.

az cognitiveservices account network-rule list \
    --resource-group "myresourcegroup" --name "myaccount" --query ipRules

Добавьте правило сети для отдельного IP-адреса.

az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "ipaddress"

Добавьте правило сети для диапазона IP-адресов.

az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "CIDR"

Удалите правило сети для отдельного IP-адреса.

az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "ipaddress"

Удалите правило сети для диапазона IP-адресов.

az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "CIDR"

Внимание

Обязательно укажите для правила по умолчанию значение deny, иначе сетевые правила не будут действовать.

Использование частных конечных точек

Для ресурсов служб искусственного интеллекта Azure можно использовать частные конечные точки, чтобы клиенты в виртуальной сети могли безопасно получать доступ к данным через Приватный канал Azure. Частная конечная точка использует IP-адрес из адресного пространства виртуальной сети для ресурса служб искусственного интеллекта Azure. Сетевой трафик между клиентами в виртуальной сети и ресурсом проходит через виртуальную сеть и приватный канал в магистральной сети Microsoft Azure, что устраняет уязвимость из общедоступного Интернета.

Частные конечные точки для ресурсов служб искусственного интеллекта Azure позволяют вам:

Защитите ресурс служб ИИ Azure, настроив брандмауэр для блокировки всех подключений на общедоступной конечной точке для службы ИИ Azure.
Повысить уровень безопасности виртуальной сети благодаря предотвращению кражи данных из виртуальной сети.
Безопасное подключение к ресурсам служб ИИ Azure из локальных сетей, которые подключаются к виртуальной сети с помощью Azure VPN-шлюз или ExpressRoutes с частным пирингом.

Общие сведения о частных конечных точках

Частная конечная точка — это специальный сетевой интерфейс для ресурса Azure в виртуальной сети. Создание частной конечной точки для ресурса служб искусственного интеллекта Azure обеспечивает безопасное подключение между клиентами в виртуальной сети и ресурсом. Частной конечной точке назначается IP-адрес из диапазона IP-адресов виртуальной сети. Подключение между частной конечной точкой и службой искусственного интеллекта Azure использует безопасную частную связь.

Приложения в виртуальной сети могут легко подключаться к службе через частную конечную точку. Подключения используют те же строка подключения и механизмы авторизации, которые они будут использовать в противном случае. Исключением является служба "Речь", для которой требуется отдельная конечная точка. Дополнительные сведения см. в разделе "Частные конечные точки" со службами "Речь" в этой статье. Частные конечные точки можно использовать со всеми протоколами, поддерживаемыми ресурсом служб искусственного интеллекта Azure, включая REST.

Частные конечные точки можно создавать в подсетях, использующих конечные точки службы. Клиенты в подсети могут подключаться к одному ресурсу служб ИИ Azure с помощью частной конечной точки, используя конечные точки службы для доступа к другим пользователям. Дополнительные сведения см. в статье Конечные точки служб в виртуальной сети.

При создании частной конечной точки для ресурса служб искусственного интеллекта Azure в виртуальной сети Azure azure отправляется запрос согласия на утверждение владельцу ресурса служб искусственного интеллекта Azure. Если пользователь, запрашивающий создание частной конечной точки, также является владельцем ресурса, этот запрос согласия будет автоматически утвержден.

Владельцы ресурсов служб искусственного интеллекта Azure могут управлять запросами согласия и частными конечными точками с помощью вкладки подключения к частной конечной точке для ресурса служб искусственного интеллекта Azure в портал Azure.

Указание частных конечных точек

При создании частной конечной точки укажите ресурс служб искусственного интеллекта Azure, к которому он подключается. Дополнительные сведения о создании конечной точки компонента см. в следующих разделах.

Подключение к частным конечным точкам

Примечание.

Служба Azure OpenAI использует другую частную зону DNS и общедоступный сервер пересылки зоны DNS, чем другие службы ИИ Azure. Правильные имена зон и серверов пересылки см . в разделе "Конфигурация зоны DNS служб Azure".

Клиенты виртуальной сети, использующие частную конечную точку, используют ту же строка подключения для ресурса служб ИИ Azure, что и клиенты, подключающиеся к общедоступной конечной точке. Исключением является служба "Речь", для которой требуется отдельная конечная точка. Дополнительные сведения см. в разделе "Использование частных конечных точек" со службой "Речь" в этой статье. Разрешение DNS автоматически направляет подключения из виртуальной сети к ресурсу служб искусственного интеллекта Azure по приватной ссылке.

По умолчанию Azure создает частную зону DNS, подключенную к виртуальной сети, с необходимыми обновлениями для частных конечных точек. Если вы используете собственный DNS-сервер, может потребоваться внести дополнительные изменения в конфигурацию DNS. Сведения об обновлениях, которые могут потребоваться для частных конечных точек, см . в статье "Применение изменений DNS для частных конечных точек".

Использование частных конечных точек со службой "Речь"

См. раздел "Использование службы "Речь" через частную конечную точку.

Применение изменений DNS для частных конечных точек

При создании частной конечной точки запись ресурса DNS CNAME для ресурса служб искусственного интеллекта Azure обновляется до псевдонима в поддомене с префиксом privatelink. По умолчанию Azure также создает частную зону DNS, соответствующую privatelink поддомену, с записями ресурсов DNS A для частных конечных точек. Дополнительные сведения см. в статье "Что такое Azure Частная зона DNS".

При разрешении URL-адреса конечной точки извне виртуальной сети с частной конечной точкой она разрешается в общедоступную конечную точку ресурса служб искусственного интеллекта Azure. При разрешении из виртуальной сети, на котором размещена частная конечная точка, URL-адрес конечной точки разрешается в IP-адрес частной конечной точки.

Этот подход позволяет получить доступ к ресурсу служб ИИ Azure, используя те же строка подключения для клиентов в виртуальной сети, где размещаются частные конечные точки и клиенты за пределами виртуальной сети.

Если вы используете пользовательский DNS-сервер в сети, клиенты должны иметь возможность разрешать полное доменное имя (FQDN) для конечной точки ресурса служб искусственного интеллекта Azure на IP-адрес частной конечной точки. Настройте DNS-сервер, чтобы делегировать поддомен приватного канала в частную зону DNS для виртуальной сети.

Совет

При использовании пользовательского или локального DNS-сервера необходимо настроить DNS-сервер для разрешения имени ресурса служб ИИ Azure в privatelink поддомене на IP-адрес частной конечной точки. privatelink Делегировать поддомен частной зоне DNS виртуальной сети. Кроме того, настройте зону DNS на DNS-сервере и добавьте записи DNS A.

Дополнительные сведения о настройке собственного DNS-сервера для поддержки частных конечных точек см. в следующих ресурсах:

Разрешение имен с помощью собственного DNS-сервера
DNS configuration (Настройка DNS)

Предоставление доступа к доверенным службам Azure для Azure OpenAI

Вы можете предоставить подмножество доверенных служб Azure для доступа к Azure OpenAI, сохраняя правила сети для других приложений. Затем эти доверенные службы будут использовать управляемое удостоверение для проверки подлинности службы Azure OpenAI. В следующей таблице перечислены службы, которые могут получить доступ к Azure OpenAI, если управляемое удостоверение этих служб имеет соответствующее назначение ролей.

Service	Имя поставщика ресурсов
Службы ИИ Azure	`Microsoft.CognitiveServices`
Машинное обучение Azure	`Microsoft.MachineLearningServices`
Поиск с использованием ИИ Azure	`Microsoft.Search`

Вы можете предоставить сетевой доступ доверенным службам Azure, создав исключение сетевого правила с помощью REST API или портал Azure:

Использование Azure CLI


accessToken=$(az account get-access-token --resource https://management.azure.com --query "accessToken" --output tsv)
rid="/subscriptions/<your subscription id>/resourceGroups/<your resource group>/providers/Microsoft.CognitiveServices/accounts/<your Azure AI resource name>"

curl -i -X PATCH https://management.azure.com$rid?api-version=2023-10-01-preview \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $accessToken" \
-d \
'
{
    "properties":
    {
        "networkAcls": {
            "bypass": "AzureServices"
        }
    }
}
'

Чтобы отменить исключение, задайте значение networkAcls.bypass None.

Чтобы проверить, включена ли надежная служба из портал Azure,

Использование представления JSON на странице обзора ресурсов Azure OpenAI
Выберите последнюю версию API в разделе "Версии API". Поддерживается 2023-10-01-preview только последняя версия API.

Использование портала Azure

Перейдите к ресурсу Azure OpenAI и выберите "Сеть " в меню навигации.
В разделе "Исключения" выберите "Разрешить службам Azure" в списке доверенных служб доступ к этой учетной записи cognitive services.

Совет

Вы можете просмотреть параметр "Исключения", выбрав выбранные сети и частные конечные точки или отключено в разделе "Разрешить доступ".

Цены

Дополнительные сведения о ценах см. на странице цен на службу "Приватный канал" Azure.

Следующие шаги

Изучение различных служб ИИ Azure
Дополнительные сведения о конечных точках службы виртуальная сеть

Поделиться через

Настройка виртуальных сетей сервисов ИИ Azure

Сценарии

Поддерживаемые регионы и предложения услуг

Изменение сетевого правила доступа по умолчанию

Управление правилами сетевого доступа по умолчанию

Предоставление доступа из виртуальной сети

Установка необходимых разрешений

Настройка правил виртуальной сети

Предоставление доступа из диапазона IP-адресов в Интернете

Настройка доступа из локальных сетей

Управление правилами IP-сети

Использование частных конечных точек

Общие сведения о частных конечных точках

Указание частных конечных точек

Подключение к частным конечным точкам

Использование частных конечных точек со службой "Речь"

Применение изменений DNS для частных конечных точек

Предоставление доступа к доверенным службам Azure для Azure OpenAI

Использование Azure CLI

Использование портала Azure

Цены

Следующие шаги

Обратная связь

Дополнительные ресурсы