Como configurar um link privado para o Azure AI Foundry (projetos do Foundry)

Ao usar um projeto do Azure AI Foundry, você pode usar um link privado para proteger a comunicação com seu projeto. Este artigo descreve como estabelecer uma conexão privada com seu projeto usando um link privado.

Prerequisites

• Você deve ter uma Rede Virtual do Azure existente para criar o ponto de extremidade privado.

  Important

  Não recomendamos o uso do intervalo de endereços IP 172.17.0.0/16 para sua rede virtual. Este é o intervalo de sub-rede padrão usado pela rede de ponte do Docker local.

Conecte-se com segurança ao Foundry

Para se conectar ao Foundry protegido por uma rede virtual, use um destes métodos:

• Gateway de VPN do Azure - Ligue redes locais à rede virtual através de uma ligação privada na Internet pública. Escolha entre dois tipos de gateway VPN:

  • Ponto a site: Cada computador cliente usa um cliente VPN para se conectar à rede virtual.
  • Site a site: um dispositivo VPN conecta a rede virtual à sua rede local.

• ExpressRoute-Connect redes locais ao Azure através de uma ligação privada através de um fornecedor de conectividade.

• Azure Bastion-Crie uma máquina virtual do Azure (uma caixa de salto) na rede virtual e, em seguida, conecte-se a ela por meio do Azure Bastion usando RDP ou SSH do seu navegador. Use a VM como seu ambiente de desenvolvimento. Por estar na rede virtual, ele pode acessar o espaço de trabalho diretamente.

Criar um projeto do Foundry que utilize um endpoint privado

Ao criar um novo projeto, use as etapas a seguir para criar o projeto.

1. No portal do Azure, procure Azure AI Foundry e selecione Criar um recurso.

2. Depois de configurar a guia Noções básicas , selecione a guia Rede e, em seguida, a opção Desabilitado .

3. Na seção Ponto de extremidade privado , selecione + Adicionar ponto de extremidade privado.

4. Ao passar pelos formulários para criar um ponto de extremidade privado, certifique-se de:

   • Em Noções básicas, selecione a mesma região da sua rede virtual.
   • No formulário Rede Virtual , selecione a rede virtual e a sub-rede à qual você deseja se conectar.

   Note

   Na interface do usuário do portal, o destino para o qual você cria o ponto de extremidade privado pode ser rotulado como uma "conta" ou "recurso". Selecione seu recurso de projeto do Azure AI Foundry quando solicitado.

5. Continue através dos formulários para criar o projeto. Quando chegar ao separador Revisão + criação, verifique as suas definições e selecione Criar para criar o projeto.

Adicionar um ponto de extremidade privado a um projeto

1. No portal do Azure, selecione seu projeto.

2. No lado esquerdo da página, selecione Gerenciamento de Recursos, Rede e selecione a guia Conexões de ponto de extremidade privadas . Selecione + Ponto de extremidade privado.

3. Ao passar pelos formulários para criar um ponto de extremidade privado, certifique-se de:

   • Em Noções básicas, selecione a mesma região da sua rede virtual.
   • No formulário Rede Virtual , selecione a rede virtual e a sub-rede à qual você deseja se conectar.

   Note

   O portal refere-se ao objetivo dos fundos de capital de risco como uma "conta" ou "recurso". Escolha seu recurso de projeto do Azure AI Foundry como destino.

4. Depois de preencher os formulários com quaisquer outras configurações de rede necessárias, use a guia Revisar + criar para revisar suas configurações e selecione Criar para criar o ponto de extremidade privado.

Remover um ponto de extremidade privado de um projeto

Você pode remover um ou todos os endpoints privados de um projeto. A remoção de um ponto de extremidade privado remove o projeto da Rede Virtual do Azure à qual o ponto de extremidade estava associado. Remover o ponto de extremidade privado pode impedir que o projeto acesse recursos nessa rede virtual ou que recursos na rede virtual acessem o espaço de trabalho. Por exemplo, se a rede virtual não permitir o acesso à Internet pública ou a partir dela.

Para remover um ponto de extremidade privado, use as seguintes informações:

1. No portal do Azure, selecione seu projeto.
2. No lado esquerdo da página, selecione Gerenciamento de Recursos, Rede e selecione a guia Conexões de ponto de extremidade privadas .
3. Selecione o ponto de extremidade a ser removido e, em seguida, selecione Remover.

Permitir acesso público

Em algumas situações, talvez você queira permitir que alguém se conecte ao seu projeto protegido por meio de um ponto de extremidade público, em vez de através da rede virtual. Ou talvez você queira remover o projeto da rede virtual e reativar o acesso público.

1. No portal do Azure, selecione seu projeto.

2. No lado esquerdo da página, selecione Gerenciamento de Recursos, Rede e selecione a guia Firewalls e redes virtuais .

3. Selecione Todas as redes e, em seguida, selecione Guardar.

   

Rede segura de ponta a ponta para o Agent Service

Ao criar um recurso do Foundry e um projeto do Azure AI Foundry para criar agentes, recomendamos a seguinte arquitetura de rede para a configuração de ponta a ponta mais segura:

1. Defina o sinalizador de acesso à rede pública (PNA) de cada um dos seus recursos como Disabled. A desativação do acesso à rede pública bloqueia o acesso de entrada da Internet pública aos recursos.

   Note

   Quando o sinalizador de acesso à rede pública (PNA) dos recursos do Foundry é definido como Desabilitado, ações como a implantação de um modelo são possíveis para o usuário a partir de sua máquina local. Somente ações de dados, como criar um Agente ou criar uma nova avaliação, não são possíveis para o usuário, a menos que ele esteja acessando com segurança seu recurso do Foundry usando uma VPN, VM ou ExpressRoute de sua máquina local.

2. Crie um ponto de extremidade privado para cada um dos seus recursos do Azure necessários para um Agente Padrão:

   • Conta de armazenamento do Azure
   • Recurso Azure AI Search
   • Recurso do Cosmos DB
   • Recurso Azure AI Foundry

3. Para acessar seus recursos, recomendamos usar uma VM Bastion, Rota Expressa ou conexão VPN para sua Rede Virtual do Azure. Essas opções permitem que você se conecte ao ambiente de rede isolado.

Injeção de rede para Serviço de Agente

Os Agentes Padrão protegidos pela rede suportam isolamento total da rede e proteção contra exfiltração de dados por meio da injeção de rede do cliente do Agente. Para fazer isso, o cliente do Agente é injetado na rede virtual do Azure, permitindo um controle rigoroso sobre a movimentação de dados e evitando a exfiltração de dados, mantendo o tráfego dentro dos limites de rede definidos. A injeção de rede é suportada apenas para a implantação do Agente Padrão, não para a implantação do Agente Light.

Além disso, um Agente Padrão protegido por rede só é suportado por meio da implantação de modelo BICEP e não por UX, CLI ou SDK. Depois que o recurso e o Agente do Foundry forem implantados por meio do modelo, não será possível atualizar a sub-rede delegada para o Serviço de Agente. Isso é visível na guia Rede de recursos do Foundry, onde você pode exibir e copiar a sub-rede, mas não pode atualizar ou remover a delegação da sub-rede. Para atualizar a sub-rede delegada, você deve reimplantar o modelo de Agente Padrão protegido pela rede.

Para obter mais informações sobre rede segura para o Serviço de Agente, consulte Como usar uma rede virtual com o artigo Serviço de Agente de IA do Azure .

Configuração do DNS

Os clientes em uma rede virtual que usam o ponto de extremidade privado usam a mesma cadeia de conexão para o recurso e projetos do Azure AI Foundry como clientes que se conectam ao ponto de extremidade público. A resolução DNS roteia automaticamente as conexões da rede virtual para o recurso e projetos do Azure AI Foundry por meio de um link privado.

Aplicar alterações de DNS para endereços privados

Quando você cria um ponto de extremidade privado, o registro de recurso DNS CNAME para o recurso Azure AI Foundry é atualizado para um alias em um subdomínio com o prefixo privatelink. Por padrão, o Azure também cria uma zona DNS privada que corresponde ao privatelink subdomínio, com os registros de recurso DNS A para os pontos de extremidade privados. Para obter mais informações, consulte o que é o DNS Privado do Azure.

Quando você resolve a URL do ponto de extremidade de fora da rede virtual com o ponto de extremidade privado, ela é resolvida para o ponto de extremidade público do recurso Azure AI Foundry. Quando é resolvido a partir da rede virtual que hospeda o ponto de extremidade privado, ele é resolvido para o endereço IP privado do ponto de extremidade privado.

Essa abordagem permite o acesso ao recurso Azure AI Foundry usando a mesma cadeia de conexão para clientes na rede virtual que hospeda os pontos de extremidade privados e clientes fora da rede virtual.

Caso utilize um servidor DNS personalizado na sua rede, os clientes devem ser capazes de resolver o nome de domínio completamente qualificado (FQDN) do ponto de extremidade dos serviços Azure AI para o endereço IP do ponto de extremidade privado. Configure o servidor DNS para delegar o subdomínio de link privado à zona DNS privada da rede virtual.

Conceder acesso a serviços confiáveis do Azure

Você pode conceder a um subconjunto de serviços confiáveis do Azure acesso ao Azure OpenAI, mantendo regras de rede para outros aplicativos. Esses serviços confiáveis usam a identidade gerenciada para autenticar seus recursos do Azure OpenAI. A tabela a seguir lista os serviços que podem acessar o Azure OpenAI se a identidade gerenciada desses serviços tiver a atribuição de função apropriada:

Você pode conceder acesso de rede a serviços confiáveis do Azure criando uma exceção de regra de rede usando a API REST ou o portal do Azure.

Limitations

• Um Agente protegido por rede (traga sua própria rede virtual) só é suportado por meio da implantação do modelo Bicep. Para obter mais informações sobre a implantação do Agente protegido por rede, consulte Como usar uma rede virtual com o Serviço de Agente de IA do Azure.
• Um Agente protegido por rede a ser implantado é apenas um Agente Padrão, não um Agente Leve.
• Não há suporte de rede virtual gerenciada para o Serviço de Agente ou o projeto Azure AI Foundry.
• Atualmente, as avaliações no AI Foundry não são suportadas com a injeção de rede virtual para saída.

Próximos passos

• Criar um projeto do Azure AI Foundry
• Saiba mais sobre o Azure AI Foundry
• Solucionar problemas de conectividade segura com um projeto