Microsoft Foundry プロジェクトのマネージド仮想ネットワークを構成する

手順 1: ネットワーク インジェクションを使用して AI サービス アカウントを作成する

アカウントは、作成時に customSubDomainName、 allowProjectManagement、 networkInjections を設定して 作成する必要があります。 これらのプロパティは、アカウントの作成後に追加できません。

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2025-10-01-preview" \
  --body '{
    "location": "{region}",
    "kind": "AIServices",
    "sku": { "name": "S0" },
    "identity": { "type": "SystemAssigned" },
    "properties": {
      "allowProjectManagement": true,
      "customSubDomainName": "{account-name}",
      "networkInjections": [
        {
          "scenario": "agent",
          "subnetArmId": "",
          "useMicrosoftManagedNetwork": true
        }
      ],
      "disableLocalAuth": false
    }
  }' \
  --headers "Content-Type=application/json"

次に進む前に、 provisioningState が Succeeded に到達するまで待ちます。

az rest --method GET \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2025-10-01-preview" \
  --query "properties.provisioningState" -o tsv

手順 2: マネージド ID プリンシパル ID を取得する

アカウントからシステム割り当てマネージド ID プリンシパル ID を取得します。

az cognitiveservices account show \
  --resource-group {resource-group} \
  --name {account-name} \
  --query identity.principalId -o tsv

手順 3: ネットワーク接続承認者ロールを割り当てる

Azure AI Enterprise ネットワーク接続承認者 ロール (ロール ID: b556d68e-0be0-4f35-a333-ad7ee1ce17ea) を Foundry アカウントのマネージド ID に割り当てます。 これにより、マネージド ネットワーク プライベート エンドポイントを自動承認できます。

az role assignment create \
  --assignee-object-id {principal-id} \
  --assignee-principal-type ServicePrincipal \
  --role "b556d68e-0be0-4f35-a333-ad7ee1ce17ea" \
  --scope /subscriptions/{subscription-id}/resourceGroups/{resource-group}

手順 4: マネージド ネットワークを作成する

アカウントにマネージド ネットワーク子リソースを作成します。 これにより、ネットワーク分離モードが確立され、ネットワーク インフラストラクチャがプロビジョニングされます。

インターネット送信を許可するマネージド ネットワークを作成するには:

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_internet_outbound

承認された送信のみを許可するマネージド ネットワークを作成するには:

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_only_approved_outbound \
  --firewall-sku Standard

foundry-samples リポジトリ内の Bicep または Terraform テンプレートを使用してデプロイできます。

• Bicep: 18-managed-virtual-network
• Terraform: 18-managed-virtual-network

for Bicep:

1. foundry-samples リポジトリを複製またはダウンロードします。
2. フォルダー managed-network.bicepでmodules-network-secured テンプレートを開きます。
3. 選択した分離モード (IsolationModeまたはAllowInternetOutbound) に応じて、分離モード パラメーターAllowOnlyApprovedOutboundを設定します。
4. README.md ファイルで、 [Azure] ボタンを選択します。 このアクションにより、Azure ポータルでテンプレートが開き、迅速なデプロイが可能になります。
5. デプロイする前にすべてのパラメーター (リージョン、リソース グループ、仮想ネットワーク名など) を完了します。 独自の Cosmos DB、Storage、または Search を使用する場合は、リソース ID も含まれていることを確認します。
6. 最後に、テンプレートをデプロイします。 テンプレートのデプロイには約 30 分かかります。

Terraform の場合:

1. foundry-samples リポジトリを複製またはダウンロードします。
2. infrastructure/infrastructure-setup-terraform/18-managed-virtual-network フォルダーに移動します。
3. 環境に必要な変数 (リージョン、リソース グループ、分離モード、および既存のリソース ID) を構成します。
4. terraform init、terraform plan、terraform applyを実行してデプロイします。

1. Foundry リソースが存在し、マネージド ネットワークが有効になっていることを確認します。

   az cognitiveservices account managed-network show \
     --resource-group {resource-group} \
     --name {account-name}
   

   応答には、選択したモード (isolationModeまたはAllowInternetOutbound) に設定されたAllowOnlyApprovedOutboundが表示されます。

2. すべての送信規則とその状態を一覧表示します。

   az cognitiveservices account managed-network outbound-rule list \
     --resource-group {resource-group} \
     --name {account-name}
   

3. 特定の送信規則を表示します。

   az cognitiveservices account managed-network outbound-rule show \
     --resource-group {resource-group} \
     --name {account-name} \
     --rule {rule-name}
   

4. Foundry プロジェクトで基本的なエージェントを作成して実行して、エージェントの接続をテストします。 エージェントが正常に完了した場合、マネージド ネットワークは正常に機能しています。

1. Foundry リソースが存在し、マネージド ネットワークが有効になっていることを確認します。

   az rest --method GET \
     --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default?api-version=2025-10-01-preview" \
     --query "properties.managedNetwork"
   

   応答には、選択したモード (isolationModeまたはAllowInternetOutbound) に設定されたAllowOnlyApprovedOutboundが表示されます。

2. マネージド プライベート エンドポイントを一覧表示して、作成されたことを確認します。

   az rest --method GET \
     --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules?api-version=2025-10-01-preview" \
     --query "value[].{name:name, type:properties.type, status:properties.status}"
   

3. Foundry プロジェクトで基本的なエージェントを作成して実行して、エージェントの接続をテストします。 エージェントが正常に完了した場合、マネージド ネットワークは正常に機能しています。

FQDN 送信規則を作成または更新する

FQDN ルールを使用して、ドメイン名またはワイルドカード ドメインへのトラフィックを許可します。

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type fqdn \
  --destination "*.openai.azure.com"

サービス タグの送信規則を作成または更新する

サービス タグルールを使用して、特定のプロトコルとポート範囲を介してAzureサービス タグへのトラフィックを許可します。

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type servicetag \
  --destination '{"serviceTag":"Storage","protocol":"TCP","portRanges":"443"}'

プライベート エンドポイントの送信規則を作成または更新する

プライベート エンドポイントルールを使用して、プライベート エンドポイントを介してAzure リソースへのトラフィックを許可します。

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type privateendpoint \
  --destination '{"serviceResourceId":"/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.Storage/storageAccounts/{storage-name}","subresourceTarget":"blob"}'

一般的なサブリソース ターゲットには、Azure Storageの blob、Azure AI 検索 の場合は searchService、Azure Cosmos DB の場合は Sql、Azure Key Vault の場合は vault があります。

送信規則を一覧表示する

az cognitiveservices account managed-network outbound-rule list \
  --resource-group {resource-group} \
  --name {account-name}

送信規則を表示する

az cognitiveservices account managed-network outbound-rule show \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

送信規則を一括作成または更新する

bulk-setを使用して、YAML または JSON ファイルから複数の送信規則を作成または更新します。

az cognitiveservices account managed-network outbound-rule bulk-set \
  --resource-group {resource-group} \
  --name {account-name} \
  --file rules.yaml

送信規則を削除する

az cognitiveservices account managed-network outbound-rule remove \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

ARM REST API を使用して送信規則を更新するには、 az rest コマンドを使用します。 次の例では、Azure Cosmos DB リソースへのプライベート エンドポイント送信規則を作成します。

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules/{rule-name}?api-version=2025-10-01-preview" \
  --body '{
    "properties": {
      "type": "PrivateEndpoint",
      "destination": {
        "serviceResourceId": "/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.DocumentDB/databaseAccounts/{cosmosdb-account-name}",
        "subresourceTarget": "Sql",
        "sparkEnabled": false
      }
    }
  }'

プレースホルダーを環境の値に置き換えます。 その他のリソースの種類の場合は、それに応じて serviceResourceId と subresourceTarget の値を変更します。 一般的なサブリソース ターゲットには、Azure Storageの blob、Azure AI 検索 の場合は searchService、Azure Key Vault の場合は vault があります。

詳細については、foundry-samples リポジトリの 送信規則 CLI ファイルの指示に従ってください。