Azure yapay zeka hizmetleri sanal ağlarını yapılandırma

Azure AI hizmetleri katmanlı bir güvenlik modeli sağlar. Bu model, Azure AI hizmetleri hesaplarınızın güvenliğini belirli bir ağ alt kümesine sağlamanızı sağlar. Ağ kuralları yapılandırıldığında, yalnızca belirtilen ağ kümesi üzerinden veri isteyen uygulamalar hesaba erişebilir. Kaynaklarınıza erişimi, yalnızca belirtilen IP adreslerinden, IP aralıklarından veya Azure Sanal Ağ s'deki alt ağ listesinden gelen isteklere izin veren istek filtrelemesi ile sınırlayabilirsiniz.

Ağ kuralları etkin olduğunda Azure AI hizmetleri kaynağına erişen bir uygulama yetkilendirme gerektirir. Yetkilendirme, Microsoft Entra Id kimlik bilgileriyle veya geçerli bir API anahtarıyla desteklenir.

Senaryolar

Azure AI hizmetleri kaynağınızın güvenliğini sağlamak için, önce varsayılan olarak İnternet trafiği de dahil olmak üzere tüm ağlardan gelen trafiğe erişimi reddedecek bir kural yapılandırmanız gerekir. Ardından, belirli sanal ağlardan gelen trafiğe erişim izni veren kuralları yapılandırın. Bu yapılandırma, uygulamalarınız için güvenli bir ağ sınırı oluşturmanıza olanak tanır. Ayrıca, belirli genel İnternet IP adresi aralıklarından trafiğe erişim izni vermek ve belirli İnternet veya şirket içi istemcilerden bağlantıları etkinleştirmek için kurallar yapılandırabilirsiniz.

Ağ kuralları REST ve WebSocket dahil olmak üzere Azure AI hizmetlerine yönelik tüm ağ protokollerinde uygulanır. Azure test konsolları gibi araçları kullanarak verilere erişmek için açık ağ kurallarının yapılandırılması gerekir. Mevcut Azure AI hizmetleri kaynaklarına veya yeni Azure AI hizmetleri kaynakları oluşturduğunuzda ağ kuralları uygulayabilirsiniz. Ağ kuralları uygulandıktan sonra tüm istekler için uygulanır.

Desteklenen bölgeler ve hizmet teklifleri

Sanal ağlar, Azure yapay zeka hizmetlerinin kullanılabildiği bölgelerde desteklenir. Azure AI hizmetleri, ağ kuralları yapılandırması için hizmet etiketlerini destekler. Burada listelenen hizmetler hizmet etiketine CognitiveServicesManagement eklenir.

Varsayılan ağ erişim kuralını değiştirme

Varsayılan olarak, Azure AI hizmetleri kaynakları herhangi bir ağdaki istemcilerden gelen bağlantıları kabul eder. Seçili ağlara erişimi sınırlamak için öncelikle varsayılan eylemi değiştirmeniz gerekir.

Varsayılan ağ erişim kurallarını yönetme

Azure AI hizmetleri kaynakları için varsayılan ağ erişim kurallarını Azure portalı, PowerShell veya Azure CLI aracılığıyla yönetebilirsiniz.

Sanal ağdan erişim izni verin

Azure AI hizmetleri kaynaklarını yalnızca belirli alt ağlardan erişime izin verecek şekilde yapılandırabilirsiniz. İzin verilen alt ağlar aynı abonelikteki veya farklı bir abonelikteki bir sanal ağa ait olabilir. Diğer abonelik farklı bir Microsoft Entra kiracısına ait olabilir. Alt ağ farklı bir aboneliğe ait olduğunda, Microsoft.CognitiveServices kaynak sağlayıcısının da bu abonelik için kaydedilmesi gerekir.

Sanal ağ içindeki Azure AI hizmetleri için bir hizmet uç noktasını etkinleştirin. Hizmet uç noktası, trafiği sanal ağdan Azure AI hizmetine en uygun yol üzerinden yönlendirir. Daha fazla bilgi için bkz. hizmet uç noktalarını Sanal Ağ.

Her istekle birlikte alt ağın ve sanal ağın kimlikleri de iletilir. Yöneticiler daha sonra, bir sanal ağdaki belirli alt ağlardan gelen isteklere izin vermek için Azure AI hizmetleri kaynağı için ağ kurallarını yapılandırabilir. Bu ağ kuralları tarafından erişim izni verilen istemcilerin verilere erişmek için Azure AI hizmetleri kaynağının yetkilendirme gereksinimlerini karşılamaya devam etmesi gerekir.

Her Azure AI hizmetleri kaynağı, IP ağ kurallarıyla birleştirilebilen en fazla 100 sanal ağ kuralını destekler. Daha fazla bilgi için bu makalenin devamında yer alan İnternet IP aralığından erişim izni verme bölümüne bakın.

Gerekli izinleri ayarlama

Azure AI hizmetleri kaynağına sanal ağ kuralı uygulamak için alt ağların ekleneceği uygun izinlere sahip olmanız gerekir. Gerekli izin varsayılan Katkıda Bulunan rolü veya Bilişsel Hizmetler Katkıda Bulunanı rolüdür. Gerekli izinler özel rol tanımlarına da eklenebilir.

Azure AI hizmetleri kaynağı ve erişim verilen sanal ağlar, farklı bir Microsoft Entra kiracısının parçası olan abonelikler de dahil olmak üzere farklı aboneliklerde olabilir.

Sanal ağ kurallarını yapılandırma

Azure AI hizmetleri kaynakları için sanal ağ kurallarını Azure portalı, PowerShell veya Azure CLI aracılığıyla yönetebilirsiniz.

İnternet IP aralığından erişim izni verme

Azure AI hizmetleri kaynaklarını, belirli genel İnternet IP adresi aralıklarından erişime izin verecek şekilde yapılandırabilirsiniz. Bu yapılandırma, genel İnternet trafiğini etkili bir şekilde engelleyen belirli hizmetlere ve şirket içi ağlara erişim verir.

formda 192.168.0.0/16 CIDR biçimini (RFC 4632) kullanarak veya gibi 192.168.0.1tek tek IP adresleri olarak izin verilen internet adresi aralıklarını belirtebilirsiniz.

IP ağ kurallarına yalnızca genel İnternet IP adresleri için izin verilir. IP kurallarında özel ağlar için ayrılmış IP adresi aralıklarına izin verilmez. Özel ağlar ,172.31.*172.16.* - ve 192.168.*ile 10.*başlayan adresleri içerir. Daha fazla bilgi için bkz . Özel Adres Alanı (RFC 1918).

Şu anda yalnızca IPv4 adresleri desteklenmektedir. Her Azure AI hizmetleri kaynağı, sanal ağ kurallarıyla birleştirilebilen en fazla 100 IP ağ kuralını destekler.

Şirket içi ağlardan erişimi yapılandırma

Şirket içi ağlarınızdan AZURE AI hizmetleri kaynağınıza IP ağı kuralıyla erişim vermek için ağınız tarafından kullanılan İnternet'e yönelik IP adreslerini belirleyin. Yardım için ağ yöneticinize başvurun.

Microsoft eşlemesi için şirket içi Azure ExpressRoute kullanıyorsanız NAT IP adreslerini tanımlamanız gerekir. Daha fazla bilgi için bkz . Azure ExpressRoute nedir?

Microsoft eşlemesi için, kullanılan NAT IP adresleri müşteri tarafından sağlanır veya hizmet sağlayıcısı tarafından sağlanır. Hizmet kaynaklarınıza erişime izin vermek için, bu genel IP adreslerine kaynak IP güvenlik duvarı ayarında izin vermeniz gerekir.

IP ağ kurallarını yönetme

Azure AI hizmetleri kaynakları için IP ağ kurallarını Azure portalı, PowerShell veya Azure CLI aracılığıyla yönetebilirsiniz.

Özel uç noktaları kullanma

Sanal ağdaki istemcilerin Azure Özel Bağlantı üzerinden verilere güvenli bir şekilde erişmesine izin vermek için Azure AI hizmetleri kaynaklarınız için özel uç noktaları kullanabilirsiniz. Özel uç nokta, Azure AI hizmetleri kaynağınız için sanal ağ adres alanından bir IP adresi kullanır. Sanal ağdaki istemciler ile kaynak arasındaki ağ trafiği, sanal ağ ile Microsoft Azure omurga ağındaki özel bağlantı arasında geçiş yapıp genel İnternet'ten etkilenmeyi ortadan kaldırır.

Azure AI hizmetleri kaynakları için özel uç noktalar:

• Güvenlik duvarını Azure AI hizmetinin genel uç noktasındaki tüm bağlantıları engelleyecek şekilde yapılandırarak Azure AI hizmetleri kaynağınızın güvenliğini sağlayın.
• Sanal ağdan veri sızdırmayı engellemenizi sağlayarak sanal ağ güvenliğini artırın.
• Özel eşleme ile Azure VPN Gateway veya ExpressRoutes kullanarak sanal ağa bağlanan şirket içi ağlardan Azure AI hizmetleri kaynaklarına güvenli bir şekilde bağlanın.

Özel uç noktaları anlama

Özel uç nokta, sanal ağınızdaki bir Azure kaynağı için özel bir ağ arabirimidir. Azure AI hizmetleri kaynağınız için özel uç nokta oluşturmak, sanal ağınızdaki istemcilerle kaynağınız arasında güvenli bağlantı sağlar. Özel uç noktaya sanal ağınızın IP adresi aralığından bir IP adresi atanır. Özel uç nokta ile Azure AI hizmeti arasındaki bağlantı güvenli bir özel bağlantı kullanır.

Sanal ağdaki uygulamalar özel uç nokta üzerinden hizmete sorunsuz bir şekilde bağlanabilir. Bağlantılar, aksi takdirde kullanacakları aynı bağlantı dizesi ve yetkilendirme mekanizmalarını kullanır. Özel durum, ayrı bir uç nokta gerektiren Konuşma Hizmetleri'dir. Daha fazla bilgi için bu makaledeki Konuşma Hizmetleri ile özel uç noktalar bölümüne bakın. Özel uç noktalar, REST de dahil olmak üzere Azure AI hizmetleri kaynağı tarafından desteklenen tüm protokollerle kullanılabilir.

Özel uç noktalar, hizmet uç noktalarını kullanan alt ağlarda oluşturulabilir. Alt ağdaki istemciler özel uç nokta kullanarak bir Azure AI hizmetleri kaynağına bağlanabilir ve diğer kullanıcılara erişmek için hizmet uç noktalarını kullanabilir. Daha fazla bilgi için bkz. hizmet uç noktalarını Sanal Ağ.

Sanal ağınızdaki bir Azure AI hizmetleri kaynağı için özel uç nokta oluşturduğunuzda Azure, Azure AI hizmetleri kaynak sahibine onay için bir onay isteği gönderir. Özel uç noktanın oluşturulmasını isteyen kullanıcı da kaynağın sahibiyse, bu onay isteği otomatik olarak onaylanır.

Azure AI hizmetleri kaynak sahipleri, Azure portalındaki Azure AI hizmetleri kaynağının Özel uç nokta bağlantı sekmesi aracılığıyla onay isteklerini ve özel uç noktaları yönetebilir.

Özel uç noktaları belirtme

Özel uç nokta oluşturduğunuzda, bağlanacağı Azure AI hizmetleri kaynağını belirtin. Özel uç nokta oluşturma hakkında daha fazla bilgi için bkz:

• Azure portalını kullanarak özel uç nokta oluşturma
• Azure PowerShell kullanarak özel uç nokta oluşturma
• Azure CLI kullanarak özel uç nokta oluşturma

Özel uç noktalara bağlanma

Özel uç noktayı kullanan bir sanal ağdaki istemciler, Azure AI hizmetleri kaynağı için ortak uç noktaya bağlanan istemciler ile aynı bağlantı dizesi kullanır. Özel durum, ayrı bir uç nokta gerektiren Konuşma hizmetidir. Daha fazla bilgi için bu makalenin Konuşma hizmetiyle özel uç noktaları kullanma bölümüne bakın. DNS çözümlemesi, bağlantıları sanal ağdan Azure AI hizmetleri kaynağına özel bir bağlantı üzerinden otomatik olarak yönlendirir.

Varsayılan olarak Azure, özel uç noktalar için gerekli güncelleştirmelerle sanal ağa bağlı bir özel DNS bölgesi oluşturur. Kendi DNS sunucunuzu kullanıyorsanız, DNS yapılandırmanızda daha fazla değişiklik yapmanız gerekebilir. Özel uç noktalar için gerekli olabilecek güncelleştirmeler için bu makaledeki Özel uç noktalar için DNS değişikliklerini uygulama konusuna bakın.

Konuşma hizmetiyle özel uç noktaları kullanma

Bkz . Özel uç nokta üzerinden Konuşma hizmetini kullanma.

Özel uç noktalar için DNS değişikliklerini uygulama

Özel uç nokta oluşturduğunuzda, Azure AI hizmetleri kaynağının DNS CNAME kaynak kaydı, ön ekine privatelinksahip bir alt etki alanında bir diğer ad olarak güncelleştirilir. Varsayılan olarak Azure, özel uç noktaların DNS A kaynak kayıtlarıyla birlikte alt etki alanına karşılık gelen privatelink özel bir DNS bölgesi de oluşturur. Daha fazla bilgi için bkz. Azure Özel DNS nedir?

Uç nokta URL'sini sanal ağın dışından özel uç noktayla çözümlediğinizde, Azure AI hizmetleri kaynağının genel uç noktasına çözümlenmektedir. Özel uç noktayı barındıran sanal ağdan çözümlendiğinde, uç nokta URL'si özel uç noktanın IP adresine çözümlenir.

Bu yaklaşım, sanal ağın dışındaki özel uç noktaları ve istemcileri barındıran sanal ağdaki istemciler için aynı bağlantı dizesi kullanarak Azure AI hizmetleri kaynağına erişim sağlar.

Ağınızda özel bir DNS sunucusu kullanıyorsanız istemcilerin Azure AI hizmetleri kaynak uç noktası için tam etki alanı adını (FQDN) özel uç nokta IP adresine çözümleyebilmesi gerekir. DNS sunucunuzu, özel bağlantı alt etki alanınızı sanal ağ için özel DNS bölgesine temsilci olarak atamak üzere yapılandırın.

Kendi DNS sunucunuzu özel uç noktaları destekleyecek şekilde yapılandırma hakkında daha fazla bilgi için aşağıdaki kaynaklara bakın:

• Kendi DNS sunucunuzu kullanan ad çözümlemesi
• DNS yapılandırması

Azure OpenAI için güvenilen Azure hizmetlerine erişim izni verme

Diğer uygulamalar için ağ kurallarını korurken, güvenilir Azure hizmetlerinin bir alt kümesini Azure OpenAI'ye erişim izni vekleyebilirsiniz. Bu güvenilen hizmetler daha sonra Azure OpenAI hizmetinizin kimliğini doğrulamak için yönetilen kimliği kullanır. Aşağıdaki tabloda, bu hizmetlerin yönetilen kimliği uygun rol ataması varsa Azure OpenAI'ye erişebilecek hizmetler listelenmektedir.

REST API veya Azure portalını kullanarak bir ağ kuralı özel durumu oluşturarak güvenilen Azure hizmetlerine ağ erişimi vekleyebilirsiniz:

Azure CLI'yı kullanma

accessToken=$(az account get-access-token --resource https://management.azure.com --query "accessToken" --output tsv)
rid="/subscriptions/<your subscription id>/resourceGroups/<your resource group>/providers/Microsoft.CognitiveServices/accounts/<your Azure AI resource name>"

curl -i -X PATCH https://management.azure.com$rid?api-version=2023-10-01-preview \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $accessToken" \
-d \
'
{
    "properties":
    {
        "networkAcls": {
            "bypass": "AzureServices"
        }
    }
}
'

Özel durumu iptal etmek için olarak NoneayarlayınnetworkAcls.bypass.

Güvenilir hizmetin Azure portalından etkinleştirilip etkinleştirilmediğini doğrulamak için

1. Azure OpenAI kaynağına genel bakış sayfasındaN JSON Görünümünü kullanma

   

2. API sürümleri altında en son API sürümünüzü seçin. Yalnızca en son API sürümü desteklenir. 2023-10-01-preview

   

Azure portalını kullanma

1. Azure OpenAI kaynağınıza gidin ve gezinti menüsünden Ağ'ı seçin.

2. Özel Durumlar'ın altında, güvenilen hizmetler listesindeki Azure hizmetlerinin bu bilişsel hizmetler hesabına erişmesine izin ver'i seçin.

   İpucu

   Seçili ağlar ve özel uç noktalar'ı veya Erişime izin ver'in altında Devre Dışı'nı seçerek Özel Durumlar seçeneğini görüntüleyebilirsiniz.

   

Fiyatlandırma

Fiyatlandırma ayrıntıları için bkz. Azure Özel Bağlantı fiyatlandırma.

Sonraki adımlar

• Çeşitli Azure AI hizmetlerini keşfetme
• Sanal Ağ hizmet uç noktaları hakkında daha fazla bilgi edinin