以下のGitHubにあるテンプレートを確認してみましたのでその記録です。Ubuntuでテンプレートをダウンロードして動かしています。

このテンプレートの位置づけです。

Standard Agent Setup with E2E Network Isolation with Tools behind VNET

このテンプレートは Foundry Agent Service を、Bring Your Own Virtual Network (BYO VNet) + 3 サブネット（Agent / PE / MCP）+ Private Endpoint で完全閉域化する。Template 15 と同じ閉域化に加え、MCP サーバー・OpenAPI ツール・Azure Functions・A2A エージェントを VNet 内にホストできる 点が 15 との差。[^1]

テンプレ	用途	主な差分
11	Basic + VNet injection	BYO Storage/Cosmos/Search なし、PE×1、DNS Zone×3
15	Standard + 完全閉域	BYO Storage/Cosmos/Search、PE×4、DNS Zone×7
19（本テンプレ）	15 + ツールも VNet 内	15 と同等 + MCP サブネット追加（3 サブネット構成）
18	Managed VNet (preview)	Microsoft 管理 VNet（BYO VNet 不要）

ルートのBicepを使っただけだと、toolはデプロイされず、mcp用のサブネットは作られるので、このテンプレートと別にAzure Container Apps を VNet 内に建てる必要があります。

エラーが出て少し改修している点もあるため、同じことをやっても、同じ形でデプロイされません。
どんな形でAzure リソースが作成されるかを残すのがこの記事の主目的です

Steps

0. 事前準備

azd で実行できるようにazure.yamlを作成。

azure.yaml

name: foundry-19-byo-vnet
metadata:
  template: foundry-19-byo-vnet

infra:
  provider: bicep
  path: ./template-19
  module: main

1. ログイン

最初はログイン。

az login
azd auth login

その後に provider register。

az provider register --namespace 'Microsoft.KeyVault'
az provider register --namespace 'Microsoft.CognitiveServices'
az provider register --namespace 'Microsoft.Storage'
az provider register --namespace 'Microsoft.Search'
az provider register --namespace 'Microsoft.Network'
az provider register --namespace 'Microsoft.App'
az provider register --namespace 'Microsoft.ContainerService'

# 🔴 README に書いていないが必要（テンプレ内で Cosmos DB を作るため）
az provider register --namespace 'Microsoft.DocumentDB'

結果確認。

az provider show -n Microsoft.KeyVault --query registrationState -o tsv
az provider show -n Microsoft.CognitiveServices --query registrationState -o tsv
az provider show -n Microsoft.Storage --query registrationState -o tsv
az provider show -n Microsoft.Search --query registrationState -o tsv
az provider show -n Microsoft.Network --query registrationState -o tsv
az provider show -n Microsoft.App --query registrationState -o tsv
az provider show -n Microsoft.ContainerService --query registrationState -o tsv
az provider show -n Microsoft.DocumentDB --query registrationState -o tsv

2. 環境作成

新しい環境作成。

cd <root folder>
azd env new foundry19jpe

上記を実行すると以下のフォルダとファイルが作られる。このfoundry19jpeの単位で環境を分けます。

.azure/
└── foundry19jpe/
    ├── .env
    └── config.json

3. デプロイ

azd upとりあえず成功。デプロイは成功しているので"event-postdeploy"に関しては気にしないで行きます。

$ azd up
? Select an Azure Subscription to use:  1. ******
? Pick a resource group to use: 1. Create a new resource group
? Select a location to create the resource group in: 10. (Asia Pacific) Japan East (japaneast)
? Enter a name for the new resource group: rg-foundry19-05-jpe

Provisioning and deploying (azd up)
Packaging overlaps with provisioning for faster execution.

  You can view detailed progress in the Azure Portal:
  https://portal.azure.com/#view/HubsExtension/DeploymentDetailsBlade/~/overview/id/%2Fsubscriptions%2F  略
  
  (✓) Done: Virtual Network: agent-vnet (3.956s)
  (✓) Done: Storage account: f19demoalpkstorage (28.917s)
  (✓) Done: Search service: f19demoalpksearch (6m54.059s)
  (✓) Done: Azure Cosmos DB: f19demoalpkcosmosdb (1m47.374s)
  (✓) Done: Foundry: f19demoalpk (5m27.686s)
  (✓) Done: Azure AI Services Model Deployment: f19demoalpk/gpt-4o-mini (5.589s)
  (✓) Done: Private Endpoint: f19demoalpksearch-private-endpoint (28.377s)
  (✓) Done: Private Endpoint: f19demoalpk-private-endpoint (33.133s)
  (✓) Done: Private Endpoint: f19demoalpkstorage-private-endpoint (30.61s)
  (✓) Done: Private Endpoint: f19demoalpkcosmosdb-private-endpoint (8m0.728s)
  (✓) Done: Foundry project: f19demoalpk/projectalpk (6.934s)
  (✓) Done: Foundry project connection: f19demoalpk/projectalpk/f19demoalpkcosmosdb (1.977s)
  (✓) Done: Foundry project connection: f19demoalpk/projectalpk/f19demoalpksearch (5.506s)
  (✓) Done: Foundry project connection: f19demoalpk/projectalpk/f19demoalpkstorage (4.037s)

ERROR: step "event-postdeploy" failed: extension azure.ai.agents project hook postdeploy failed: AZURE_AI_PROJECT_ENDPOINT is not set in the environment

作成された結果

リソース一覧

$ az resource list --resource-group rg-foundry19-05-jpe --output table --query "[].{Type:type
, Name:name}"
Type                                                   Name
-----------------------------------------------------  -----------------------------------------------------------------------------------------
Microsoft.DocumentDB/databaseAccounts                  f19demoalpkcosmosdb
Microsoft.Storage/storageAccounts                      f19demoalpkstorage
Microsoft.Search/searchServices                        f19demoalpksearch
Microsoft.Network/virtualNetworks                      agent-vnet
Microsoft.CognitiveServices/accounts                   f19demoalpk
Microsoft.Network/privateEndpoints                     f19demoalpksearch-private-endpoint
Microsoft.Network/privateEndpoints                     f19demoalpk-private-endpoint
Microsoft.Network/privateEndpoints                     f19demoalpkstorage-private-endpoint
Microsoft.Network/privateEndpoints                     f19demoalpkcosmosdb-private-endpoint
Microsoft.Network/privateDnsZones                      privatelink.blob.core.windows.net
Microsoft.Network/privateDnsZones                      privatelink.openai.azure.com
Microsoft.Network/privateDnsZones                      privatelink.documents.azure.com
Microsoft.Network/privateDnsZones                      privatelink.search.windows.net
Microsoft.Network/privateDnsZones                      privatelink.cognitiveservices.azure.com
Microsoft.Network/privateDnsZones                      privatelink.services.ai.azure.com
Microsoft.Network/networkInterfaces                    f19demoalpkstorage-private-endpoint.nic.59a383d3-68d0-45dc-b20b-2a7f13f5d2a5
Microsoft.Network/networkInterfaces                    f19demoalpk-private-endpoint.nic.bd2bd4fb-d4f9-42f2-a602-4ae5c78c89bf
Microsoft.Network/networkInterfaces                    f19demoalpkcosmosdb-private-endpoint.nic.b8131940-5e39-4dbc-bc67-c76a11b1d4bb
Microsoft.Network/networkInterfaces                    f19demoalpksearch-private-endpoint.nic.6c104672-a6ed-4d8d-ba8e-a5e0c90b4fe7
Microsoft.Network/privateDnsZones/virtualNetworkLinks  privatelink.cognitiveservices.azure.com/privatelink-cognitiveservices-azure-com-alpk-link
Microsoft.Network/privateDnsZones/virtualNetworkLinks  privatelink.blob.core.windows.net/privatelink-blob-core-windows-net-alpk-link
Microsoft.Network/privateDnsZones/virtualNetworkLinks  privatelink.search.windows.net/privatelink-search-windows-net-alpk-link
Microsoft.Network/privateDnsZones/virtualNetworkLinks  privatelink.documents.azure.com/privatelink-documents-azure-com-alpk-link
Microsoft.Network/privateDnsZones/virtualNetworkLinks  privatelink.openai.azure.com/privatelink-openai-azure-com-alpk-link
Microsoft.Network/privateDnsZones/virtualNetworkLinks  privatelink.services.ai.azure.com/privatelink-services-ai-azure-com-alpk-link
Microsoft.CognitiveServices/accounts/projects          f19demoalpk/projectalpk

VNet

アドレス空間

サブネット

mcp-subnetは現時点では特に使われておらず、Azure Container Apps を VNet 内に建てて、Foundry Agent から Private Endpoint 経由で呼ぶ時だけ使います。

接続デバイス

同じIDにCosmos DBが２つあるのはプライマリとセカンダリの2種類あるから。

プライベートDNSゾーン。

Foundry関連が３つ。これは、Foundryが３つのFQDNを持つから。

プライベートエンドポイント

Foundry Dependenciesのリソース

基本、Public Network は無効になり、PEとひもづいている
システム割当Managed ID が ON(Cosmos DBはOFF)
Foundry Project の Managed IDへのRBACが割当
診断設定なし(Log Analytics Workspaceない)

Cosmos

容量モードは「プロビジョニング済みスループット」
自動で以下のコンテナ、データベースを作ってRUの設定。

Geo冗長バックアップ

AI Search

Standard で作成されている。他は特筆事項なし

Storage Account

階層型名前空間は無効のStorageV2 (汎用 v2)
ゾーン冗長ストレージ (ZRS)
キーアクセス無効(Subscriptionの設定でそうなっているだけかもしれない)

Foundry

キーアクセス無効済
Connectionが３つ。

失敗談

リソース枯渇

何かのリソース作ろうとしたときにリージョン枯渇で失敗。

$ azd up

Let's get your development environment ready.

Discover and install Azure development tools such as Azure CLI, GitHub Copilot CLI, and Azure AI extensions.
To skip this check, set AZD_SKIP_FIRST_RUN=true or run azd config set tool.firstRunCompleted true.

? Would you like to check your Azure development tools?: [Y/n] Yes
✓ Azure CLI (2.81.0)
  ✓ GitHub Copilot CLI (1.0.57)
  ✓ Azure Tools VS Code Extension (0.12.5)
  ✓ Bicep VS Code Extension (0.43.8)
  ○ GitHub Copilot Chat VS Code Extension — not installed
  ○ Azure MCP Server — not installed
  ✓ azd AI Agent Extensions (0.1.27-preview)

All recommended tools are installed. You're all set!
? Select an Azure Subscription to use:  1. *****
? Select an Azure location to use: 10. (Asia Pacific) Japan East (japaneast)
? Pick a resource group to use: 1. Create a new resource group
? Enter a name for the new resource group: rg-foundry19jpe

Provisioning and deploying (azd up)
Packaging overlaps with provisioning for faster execution.

  You can view detailed progress in the Azure Portal:
  https://portal.azure.com/#view/HubsExtension/DeploymentDetailsBlade/~/overview/id/<略>

  (x) Failed: Search service: contosorfrwsearch (2.681s)
  (✓) Done: Virtual Network: agent-vnet (7.979s)
  (✓) Done: Storage account: contosorfrwstorage (22.791s)
  (✓) Done: Azure Cosmos DB: contosorfrwcosmosdb (1m9.764s)
  (✓) Done: Foundry: contosorfrw (4m20.712s)
  (✓) Done: Azure AI Services Model Deployment: contosorfrw/gpt-4o-mini (3.734s)

ERROR: A resource with this name already exists or is in a conflicting state.

Suggestion: Check for existing or soft-deleted resources in the Azure portal.

deployment failed: step "provision" failed: deploying layer provision: error deploying infrastructure: deploying to resource group: 

Deployment Error Details:
InsufficientResourcesAvailable: The region 'eastus2' is currently out of the resources required to provision new services. Try creating the service in another region. RequestId: 7e7e4af2-8753-97b5-68d0-b31dab8f8543

パージ失敗

azd down --purge --force

azd --purgeのバグで消せなかったので、Foundryだけ手で消して、もう一度azd down --purge --force。

$ azd down --purge --force

Deleting all resources and deployed code on Azure (azd down)
Local application code is not deleted when running 'azd down'.

  |=      | Discovering resources to delete...

ERROR: deleting infrastructure: error deleting Azure resources: getting cognitive accounts to purge: getting cognitive account contosorfrw: unmarshalling type *armcognitiveservices.Account: unmarshalling type *armcognitiveservices.Account: struct field Properties: unmarshalling type *armcognitiveservices.AccountProperties: struct field NetworkInjections: unmarshalling type *armcognitiveservices.NetworkInjections: json: cannot unmarshal array into Go value of type map[string]json.RawMessage

post deployに向けたエラー

Deploy自体は成功しているので無視。

ERROR: step "event-postdeploy" failed: extension azure.ai.agents project hook postdeploy failed: AZURE_AI_PROJECT_ENDPOINT is not set in the environment