Configura la rete privata per il livello AI Gateway (anteprima)

SI APPLICA A: livello gateway di IA (anteprima)

Importante

Il livello AI Gateway è attualmente in anteprima pubblica. Durante l'anteprima pubblica, il livello AI Gateway è disponibile nelle seguenti regioni:

  • Stati Uniti - Stati Uniti orientali 2
  • Europa - Svezia Centrale

Usa una rete privata quando il traffico gateway non dovrebbe usare internet pubblico. Il networking privato ha due direzioni:

  • Collegamento privato ed endpoint privato in ingresso: consente ai client della rete virtuale, delle reti con peering o delle reti locali collegate di raggiungere il gateway utilizzando un indirizzo IP privato.
  • Integrazione della rete virtuale in uscita: Permette al gateway di chiamare backend privati, modellare endpoint, API e server MCP raggiungibili solo dalla tua rete virtuale.

Schermata della pagina Rete che mostra le impostazioni in ingresso (endpoint privati e accesso alla rete pubblica) e le impostazioni in uscita (routing pubblico o privato) per il gateway.

Il networking inbound e outbound risolve problemi diversi. Creare un endpoint privato per i client per chiamare il gateway non permette automaticamente al gateway di raggiungere i backend privati. Configura separatamente l'integrazione della rete virtuale in uscita quando il gateway deve raggiungere le risorse della tua rete.

Si configurano entrambe le direzioni dalla pagina Networking del gateway, che ha una sezione Inbound (endpoint privati e accesso alla rete pubblica) e una sezione Outbound (routing pubblico o privato).

Prerequisiti

Prima di configurare la rete privata, prepara questi elementi:

  • Una risorsa di livello AI Gateway in una regione di anteprima supportata.
  • Una rete virtuale con uno spazio di indirizzi non sovrapposto, nella stessa regione del gateway. L'integrazione in uscita richiede che la rete virtuale sia nella stessa regione; una rete virtuale in una regione diversa genera un avviso prerequisito.
  • Subreti separate per endpoint privati in entrata e per l'integrazione in uscita (la subnet in uscita non può essere condivisa con gli endpoint privati):
    • Subnet di endpoint privato (nella rete virtuale client) per ospitare l'endpoint privato del gateway.
    • Subnet di integrazione in uscita dedicata a questo gateway (nessun'altra risorsa), con dimensioni di almeno /27 (si raccomanda un /24 per consentire la scalabilità) e delegata a Microsoft.Web/serverFarms.
  • Un gruppo di sicurezza di rete (NSG) nella subnet di integrazione in uscita che consente il traffico HTTPS in uscita (TCP 443) verso i tag di servizio Storage e AzureKeyVault. Il gateway utilizza queste dipendenze durante l'integrazione della rete virtuale.
  • Permessi per creare endpoint privati e risorse DNS private (vedi Permessi).
  • Risorse backend (endpoint modello, API, server MCP) raggiungibili dalla subnet di integrazione, con le loro porte, protocolli e nomi host confermati.

Note

Il portale esegue i controlli delle subnet in uscita (regione, subnet dedicata, dimensioni, delega e regole NSG) solo come avvisi consultivi. Non bloccano il salvataggio, e Azure Resource Manager rimane l'autorità sul successo di una configurazione. Risolvere eventuali avvisi prima di fare affidamento sul routing privato in produzione.

Permissions

Assegna questi permessi prima di configurare la rete privata:

Attività Permesso richiesto (o ruolo integrato)
Visualizza e modifica la configurazione di rete del gateway Accesso in scrittura alla risorsa del gateway (un ruolo che può configurare il gateway, ad esempio Collaboratore nel gateway)
Approva, rifiuta o rimuovi le connessioni private degli endpoint Accesso in lettura e scrittura alle connessioni dell'endpoint privato del gateway
Creare l'endpoint privato Microsoft.Network/privateEndpoints/write nel gruppo di risorse di destinazione, più i diritti di approvazione sul gateway
Integra la sottorete in uscita Microsoft.Network/virtualNetworks/subnets/join/action sulla subnet e accesso in lettura alle reti e subnet virtuali (ad esempio Collaboratore di rete)
Crea e collega zone DNS private Microsoft.Network/privateDnsZones/write e Microsoft.Network/privateDnsZones/virtualNetworkLinks/write

Importante

Quando selezioni Salva nella pagina Networking, Azure valida i ruoli e i permessi richiesti mentre applica la modifica. Se tu (o l'identità della piattaforma che integra la subnet) non avete un ruolo o un permesso richiesto, l'aggiornamento fallisce e la pagina mostra l'errore così puoi concedere l'accesso mancante e riprovare. Assegna i ruoli in questa tabella prima di salvare.

Inbound collegamento privato permette ai clienti di raggiungere il gateway tramite un indirizzo IP privato e, opzionalmente, blocca completamente l'accesso pubblico.

Per impostare un collegamento privato in ingresso:

  1. Nella pagina Networking del gateway, nella sezione Inbound sotto endpoint privati, seleziona Crea un endpoint privato. Nel portale di Azure viene visualizzato Creare un endpoint privato, pre-indirizzata al gateway. Seleziona la sottorisorsa di destinazione Gateway.
  2. Scegli la rete virtuale client e la subnet che ospiterà l'endpoint privato.
  3. Abilita l'integrazione con DNS privato (oppure prevedi di configurare manualmente il DNS) in modo che i client possano risolvere il nome host del gateway nell'endpoint privato. Collega la zona DNS privata del gateway alle reti virtuali dove i client operano.
  4. Torna alla pagina Networking del gateway e seleziona Aggiorna nella lista degli endpoint privati . Le connessioni appena create appaiono con uno stato Pendente .
  5. Usa il menu delle azioni della riga per Approvare la connessione (puoi anche Rifiutare o Cancellare le connessioni qui). Dopo l'approvazione, lo stato diventa Approvato.
  6. Da un client di test all'interno della rete virtuale, verificare che il nome host del gateway si risolva nell'indirizzo IP privato dell'endpoint privato e che le richieste vadano a buon fine.
  7. Dopo la conferma della connettività privata, imposta l'accesso alla rete pubblica su Disabilitato in modo che il gateway sia raggiungibile solo tramite endpoint privati. Lascia che sia Abilitato se i clienti hanno ancora bisogno di accesso pubblico. Selezionare Salva per applicare la modifica.

Il DNS è una fonte comune di problemi. I client devono risolvere il nome host del gateway nell'indirizzo IP dell'endpoint privato. Collega le zone DNS private richieste alle reti virtuali giuste, oppure configura un inoltro DNS personalizzato.

Integrazione di rete virtuale in uscita

L'integrazione della rete virtuale in uscita ("private routing") permette al gateway di chiamare backend privati tramite una subnet delegata.

Per configurare l'integrazione della rete virtuale in uscita:

  1. Identifica ogni backend che il gateway deve chiamare e conferma porte, protocolli e nomi host.
  2. Nella pagina Networking del gateway, nella sezione Outbound , seleziona Routing privato ("Consentire l'accesso a backend privati tramite connessioni in uscita sicure"). Se si seleziona Routing pubblico, il gateway si trova solo su back-end pubblici.
  3. Seleziona la rete virtuale e la subnet con cui integrarti. La subnet deve soddisfare i prerequisiti (stessa regione, dedicata, dimensione almeno /27, delegata a Microsoft.Web/serverFarms, e uscita consentita da NSG 443 verso Storage e Key Vault). Il portale mostra avvisi di avviso per eventuali controlli non soddisfatti.
  4. Seleziona Salva. Applicare l'integrazione in uscita è un'operazione di lunga durata che può richiedere pochi minuti. Come si applica, Azure valida i ruoli e i permessi richiesti (vedi Permessi); se manca un ruolo richiesto, l'aggiornamento fallisce e la pagina mostra l'errore così puoi concedere l'accesso e riprovare. La configurazione di rete è bloccata mentre l'aggiornamento è in corso, ma puoi continuare a usare il portale e allontanarti dalla pagina; una notifica conferma quando il cambiamento si completa.
  5. Consentire il traffico dalla subnet di integrazione alle risorse back-end e configurare il DNS affinché i nomi host back-end privati vengano risolti in indirizzi IP privati.
  6. Testa invocando una route, modello, strumento o operazione server MCP che prende di mira un backend privato.

Il DNS è una fonte comune di problemi. Il gateway deve risolvere i nomi host del backend in indirizzi IP privati. Collega le zone DNS private richieste alle reti virtuali giuste, oppure configura un inoltro DNS personalizzato.

Contenuti correlati

  • Last updated on