Microsoft Foundry 프로젝트에 대한 관리형 가상 네트워크 구성

1단계: 네트워크 삽입을 사용하여 AI Services 계정 만들기

계정은 생성 시 customSubDomainName, allowProjectManagement, 및 networkInjections가 설정되어 만들어져야 합니다. 계정을 만든 후에는 이러한 속성을 추가할 수 없습니다.

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2026-03-01" \
  --body '{
    "location": "{region}",
    "kind": "AIServices",
    "sku": { "name": "S0" },
    "identity": { "type": "SystemAssigned" },
    "properties": {
      "allowProjectManagement": true,
      "customSubDomainName": "{account-name}",
      "networkInjections": [
        {
          "scenario": "agent",
          "subnetArmId": "",
          "useMicrosoftManagedNetwork": true
        }
      ],
      "disableLocalAuth": false
    }
  }' \
  --headers "Content-Type=application/json"

provisioningState에 도달할 때까지 Succeeded를 기다린 후 계속합니다.

az rest --method GET \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}?api-version=2026-03-01" \
  --query "properties.provisioningState" -o tsv

2단계: 관리되는 ID의 주체 ID를 가져옵니다.

계정에서 시스템에서 지정한 관리 ID의 주체 ID를 검색합니다.

az cognitiveservices account show \
  --resource-group {resource-group} \
  --name {account-name} \
  --query identity.principalId -o tsv

3단계: 네트워크 연결 승인자 역할 할당

Azure AI Enterprise 네트워크 연결 승인자 역할(역할 ID: b556d68e-0be0-4f35-a333-ad7ee1ce17ea)을 Foundry 계정의 관리 ID에 할당합니다. 이렇게 하면 관리형 네트워크 프라이빗 엔드포인트를 자동으로 승인할 수 있습니다.

az role assignment create \
  --assignee-object-id {principal-id} \
  --assignee-principal-type ServicePrincipal \
  --role "b556d68e-0be0-4f35-a333-ad7ee1ce17ea" \
  --scope /subscriptions/{subscription-id}/resourceGroups/{resource-group}

4단계: 관리되는 네트워크 만들기

계정에 관리되는 네트워크 자식 리소스를 만듭니다. 그러면 네트워크 격리 모드가 설정되고 네트워크 인프라가 프로비전됩니다.

인터넷 아웃바운드 허용을 사용하여 관리되는 네트워크를 만들려면 다음을 수행합니다.

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_internet_outbound

승인된 아웃바운드만 허용으로 관리되는 네트워크를 만들려면 다음을 수행합니다.

az cognitiveservices account managed-network create \
  --resource-group {resource-group} \
  --name {account-name} \
  --managed-network allow_only_approved_outbound \
  --firewall-sku Standard

foundry-samples 리포지토리에서 Bicep 또는 Terraform 템플릿을 사용하여 배포할 수 있습니다.

• Bicep: 18-managed-virtual-network
• Terraform: 18-managed-virtual-network

Bicep의 경우:

1. 리포지토리를 foundry-samples 복제하거나 다운로드합니다.
2. 폴더managed-network.bicep에서 modules-network-secured 템플릿을 엽니다.
3. 선택한 격리 모드에 따라 격리 모드 매개 변수 IsolationMode 를 설정합니다. 또는 AllowInternetOutbound. AllowOnlyApprovedOutbound
4. README.md 파일에서 Azure에 배포 버튼을 선택합니다. 이 작업은 빠른 배포를 위해 Azure 포털에서 템플릿을 엽니다.
5. 지역, 리소스 그룹, 가상 네트워크 이름 등과 같은 매개 변수를 배포하기 전에 모든 매개 변수를 완료합니다. 고유한 Cosmos DB, Storage 또는 Search를 가져오는 경우 리소스 ID도 포함되어 있는지 확인합니다.
6. 마지막으로 템플릿을 배포합니다. 템플릿 배포는 약 30분이 소요됩니다.

Terraform의 경우:

1. 리포지토리를 foundry-samples 복제하거나 다운로드합니다.
2. infrastructure/infrastructure-setup-terraform/18-managed-virtual-network 폴더로 이동하세요.
3. 사용자 환경에 필요한 변수(지역, 리소스 그룹, 격리 모드 및 기존 리소스 ID)를 구성합니다.
4. terraform init, terraform plan, 및 terraform apply를 실행하여 배포합니다.

1. Foundry 리소스가 있고 관리되는 네트워크가 사용하도록 설정되어 있는지 확인합니다.

   az cognitiveservices account managed-network show \
     --resource-group {resource-group} \
     --name {account-name}
   

   응답에는 선택한 모드(isolationMode 또는 AllowInternetOutbound)로 AllowOnlyApprovedOutbound이 설정되어 있어야 합니다.

2. 모든 아웃바운드 규칙 및 해당 상태를 나열합니다.

   az cognitiveservices account managed-network outbound-rule list \
     --resource-group {resource-group} \
     --name {account-name}
   

3. 특정 아웃바운드 규칙을 표시합니다.

   az cognitiveservices account managed-network outbound-rule show \
     --resource-group {resource-group} \
     --name {account-name} \
     --rule {rule-name}
   

4. Foundry 프로젝트에서 기본 에이전트를 만들고 실행하여 에이전트 연결을 테스트합니다. 에이전트가 성공적으로 완료되면 관리되는 네트워크가 제대로 작동합니다.

1. Foundry 리소스가 있고 관리되는 네트워크가 사용하도록 설정되어 있는지 확인합니다.

   az rest --method GET \
     --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default?api-version=2026-03-01" \
     --query "properties.managedNetwork"
   

   응답에는 선택한 모드(isolationMode 또는 AllowInternetOutbound)로 AllowOnlyApprovedOutbound이 설정되어 있어야 합니다.

2. 관리되는 프라이빗 엔드포인트를 나열하여 생성되었는지 확인합니다.

   az rest --method GET \
     --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules?api-version=2026-03-01" \
     --query "value[].{name:name, type:properties.type, status:properties.status}"
   

3. Foundry 프로젝트에서 기본 에이전트를 만들고 실행하여 에이전트 연결을 테스트합니다. 에이전트가 성공적으로 완료되면 관리되는 네트워크가 제대로 작동합니다.

FQDN 아웃바운드 규칙 만들기 또는 업데이트

FQDN 규칙을 사용하여 도메인 이름 또는 와일드카드 도메인에 대한 트래픽을 허용합니다.

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type fqdn \
  --destination "*.openai.azure.com"

서비스 태그 아웃바운드 규칙 만들기 또는 업데이트

서비스 태그 규칙을 사용하여 특정 프로토콜 및 포트 범위에 대한 Azure 서비스 태그에 대한 트래픽을 허용합니다.

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type servicetag \
  --destination '{"serviceTag":"Storage","protocol":"TCP","portRanges":"443"}'

프라이빗 엔드포인트 아웃바운드 규칙 만들기 또는 업데이트

프라이빗 엔드포인트 규칙을 사용하여 프라이빗 엔드포인트를 통해 Azure 리소스로의 트래픽을 허용합니다.

az cognitiveservices account managed-network outbound-rule set \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name} \
  --type privateendpoint \
  --destination '{"serviceResourceId":"/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.Storage/storageAccounts/{storage-name}","subresourceTarget":"blob"}'

일반적인 하위 리소스 대상에는 Azure Storage blob, Azure AI 검색 searchService, Azure Cosmos DB Sql, Azure Key Vault vault 등이 있습니다.

아웃바운드 규칙 목록을 나열합니다.

az cognitiveservices account managed-network outbound-rule list \
  --resource-group {resource-group} \
  --name {account-name}

아웃바운드 규칙 표시

az cognitiveservices account managed-network outbound-rule show \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

아웃바운드 규칙 대량 생성 또는 업데이트

YAML 또는 JSON 파일에서 여러 아웃바운드 규칙을 만들거나 업데이트하는 데 사용합니다 bulk-set .

az cognitiveservices account managed-network outbound-rule bulk-set \
  --resource-group {resource-group} \
  --name {account-name} \
  --file rules.yaml

아웃바운드 규칙 제거

az cognitiveservices account managed-network outbound-rule remove \
  --resource-group {resource-group} \
  --name {account-name} \
  --rule {rule-name}

ARM REST API를 사용하여 아웃바운드 규칙을 업데이트하려면 이 az rest 명령을 사용합니다. 다음 예제에서는 Azure Cosmos DB 리소스에 프라이빗 엔드포인트 아웃바운드 규칙을 만듭니다.

az rest --method PUT \
  --url "https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/managedNetworks/default/outboundRules/{rule-name}?api-version=2026-03-01" \
  --body '{
    "properties": {
      "type": "PrivateEndpoint",
      "destination": {
        "serviceResourceId": "/subscriptions/{subscription-id}/resourceGroups/{resource-group}/providers/Microsoft.DocumentDB/databaseAccounts/{cosmosdb-account-name}",
        "subresourceTarget": "Sql",
        "sparkEnabled": false
      }
    }
  }'

플레이스홀더를 사용자 환경에 맞는 값으로 교체하십시오. 다른 리소스 형식의 경우 serviceResourceId 및 subresourceTarget 값을 적절히 변경합니다. 일반적인 하위 리소스 대상에는 Azure Storage blob, Azure AI 검색 searchService, Azure Key Vault vault 등이 있습니다.

자세한 내용은 foundry 샘플 리포지토리의 아웃바운드 규칙 CLI 파일의 지침을 따르세요.