创建带虚拟网络的AML工作区与存储账户后，访问笔记本报错求助

• 检查NSG规则：
  必须确保关联VNet的NSG配置正确的入站/出站规则：

  • 入站规则：允许AzureMachineLearningService服务标签的流量访问443端口（HTTPS）；如果是本地或企业网络访问，还要添加客户端IP段的入站规则，开放计算实例的443端口
  • 出站规则：允许计算实例访问AML控制平面、存储账户的流量（可通过添加AzureMachineLearningService、Storage服务标签的出站规则实现）

• 验证AML工作区与VNet的绑定配置：

  • 确认工作区的防火墙和虚拟网络设置中，是否启用了“允许从虚拟网络访问”，并且计算实例部署在指定的子网内
  • 如果工作区用了私有端点，要确保私有端点的DNS配置正确，计算实例能解析AML工作区的私有域名

• 存储账户的网络权限补充：
  虽然你能创建Blob连接，但笔记本访问存储的流量路径可能不同：

  • 若存储账户限制VNet访问，需把AML工作区所在的VNet子网添加到存储账户的“允许的虚拟网络”列表
  • 或者给存储账户启用Microsoft.MachineLearningServices的服务端点，确保AML服务能正常访问存储

• 计算实例连通性测试：
  在计算实例的终端里执行命令测试存储访问：

  az storage blob list --account-name <你的存储账户名> --container-name <容器名> --auth-mode login
  

  如果能返回Blob列表，说明存储连通正常，问题可能在AML控制平面的网络访问；如果报错，排查存储的网络配置

• 客户端网络访问检查：
  如果工作区限制仅VNet内访问，你需要通过VPN、ExpressRoute连接到VNet，或者用Azure Bastion访问计算实例；如果允许公共访问，检查客户端IP是否在工作区的允许列表内

内容的提问来源于stack exchange，提问作者Vaishnavi Vaishu