本技能是 Azure Machine Learning Workspace（Azure AI Foundry）的完整深度参考，涵盖架构、网络、私有终结点、计算集群、端点部署、托管标识、ACR 集成、存储账户、全部 CLI 与 PowerShell 命令、日志读取、调试以及 Terraform 集成。
一、架构与核心概念 工作区资源层级为：Azure 订阅 → 资源组 → Azure ML 工作区（Microsoft.MachineLearningServices/workspaces）。工作区下包含自动创建或自带（BYO）的依赖资源：Azure 存储账户（默认数据存储）、Azure Key Vault（密钥与连接字符串）、Azure Application Insights（遥测）、Azure Container Registry（环境用 Docker 镜像）。计算目标包括计算实例（开发/测试 VM）、计算集群（AmlCompute 训练）、无服务器计算（按需）、Kubernetes 计算（AKS / Arc 启用）以及附加计算（Databricks、HDInsight、VM）。此外还有数据资产、数据存储、环境、模型、端点（托管联机、Kubernetes 联机、批处理、无服务器 MaaS）、作业、组件、计划与注册表。
AI Foundry Hub/Project 与经典工作区（kind=Default）的差异：门户分别为 ai.azure.com 与 ml.azure.com；经典工作区为单一工作区范围，Hub 跨项目共享基础设施；网络与标识在经典工作区为按工作区配置，Hub 为 Hub 级共享、项目继承；模型目录两者均有，Foundry 另有额外模型；提示流两者均支持；AI 智能体在经典工作区有限，Foundry 提供完整 AI Agent Service。经典工作区适用于传统 ML 与自定义训练，Foundry 适用于 GenAI、LLM 应用与 AI 智能体。
工作区创建方式包括 CLI 与 PowerShell。CLI 需先安装/升级 ML 扩展（az extension add --name ml --upgrade），可创建资源组、自动创建依赖的工作区、显式指定依赖的工作区、AI Foundry Hub（--kind hub）、Hub 内的 AI Foundry 项目（--kind project），并支持 show、list、update、delete、diagnose 等操作。PowerShell 使用 Az.MachineLearningServices 模块，提供 New-AzMLWorkspace、Get-AzMLWorkspace、Update-AzMLWorkspace、Remove-AzMLWorkspace、Invoke-AzMLWorkspaceDiagnose 等命令。
二、网络 Azure ML 支持三种托管网络隔离模式：Disabled、AllowInternetOutbound、AllowOnlyApprovedOutbound，生产环境推荐托管 VNet 方式。私有终结点提供入站连接，出站规则控制计算资源的出站流量。关键私有 DNS 区域包括：ML 工作区 API（privatelink.api.azureml.ms）、ML Notebooks（privatelink.notebooks.azure.net）、存储 Blob（privatelink.blob.core.windows.net）、存储文件（privatelink.file.core.windows.net）、Key Vault（privatelink.vaultcore.azure.net）、容器注册表（privatelink.azurecr.io）、Application Insights（privatelink.monitor.azure.com）。关键服务标签包括 AzureMachineLearning、BatchNodeManagement、Storage、AzureActiveDirectory。完整 VNet 配置、私有终结点设置、NSG 规则与出站规则管理见 references/networking.md。
三、计算 计算目标包括计算实例（开发/测试）、AmlCompute 集群（可扩展训练）、无服务器计算（按需作业、无需管理集群）以及 Kubernetes 计算（自带基础设施）。GPU VM SKU 快速参考：Standard_NC24ads_A100_v4（1x A100，80 GB，训练与微调）、Standard_ND96amsr_A100_v4（8x A100 80GB，640 GB，大模型训练）、Standard_ND_H100_v5（8x H100，640 GB，GenAI 与 LLM 训练）、Standard_ND_H200_v5（8x H200，1120 GB，性能约为 H100 的 2 倍）、Standard_NCads_H100_v5（1x H100 NVL，94 GB，推理与微调）、Standard_NC4as_T4_v3（1x T4，16 GB，预算型推理）。完整 GPU SKU 表、计算实例/集群 CLI 参考、无服务器计算、Kubernetes 附加与调试命令见 references/compute.md。
四、端点部署 支持四种端点类型：托管联机端点（推荐用于实时推理，支持蓝绿部署）、批处理端点（在计算集群上大规模评分）、Kubernetes 联机端点（自带 AKS/Arc 基础设施）、无服务器端点（按 token 计费的 Model-as-a-Service）。认证模式与扩缩容方式各异：托管联机支持 key、aml_token，按部署实例数扩缩；批处理使用托管标识，由计算集群自动扩缩；Kubernetes 联机支持 key、aml_token，按 K8s Pod 扩缩；无服务器（MaaS）使用 key，自动扩缩。完整端点创建、部署、流量拆分、日志获取与批处理调用命令见 references/endpoints.md。
五至七、标识、ACR 与存储 托管标识（系统分配或用户分配）控制工作区、计算、端点与依赖资源之间的访问。ACR 存储环境与模型服务的 Docker 镜像，私有终结点需 Premium SKU，位于 VNet 后时需 image-build-compute 集群。存储账户作为默认数据存储，用于 Blob、文件共享、作业输出与 MLflow 工件。标识类型包括：系统分配（工作区，默认工作区操作与自动生命周期）、用户分配（工作区，CMK 加密与跨资源共享）、系统分配（计算，按集群的存储/ACR 访问）、用户分配（计算，细粒度可复用访问控制）。关键 RBAC 角色包括 AzureML Data Scientist、AzureML Compute Operator、Azure AI Developer、Azure AI Inference Deployment Operator。完整标识配置、角色分配命令、ACR 集成、私有 ACR 设置、数据存储注册与存储账户细节见 references/identities-acr-storage.md。
八至九、CLI 与 PowerShell az ml CLI 扩展通过 20 多个命令组提供全面的工作区管理，覆盖工作区、计算、作业、模型、端点、环境、数据、数据存储、组件、计划、注册表与连接。关键命令组包括 az ml workspace、az ml compute、az ml job、az ml online-endpoint、az ml online-deployment、az ml batch-endpoint、az ml serverless-endpoint。Az.MachineLearningServices PowerShell 模块提供等效的 Windows 原生自动化能力。完整命令参考、作业管理深入、计划管理与完整 PowerShell cmdlet 参考见 references/cli-powershell.md。
十、Terraform 集成 可使用 azurerm provider 通过 Terraform 完整预配 Azure ML 工作区。生产环境设置包括工作区、VNet/子网、NSG、存储账户、Key Vault、ACR、Application Insights、私有终结点、DNS 区域、计算集群与 RBAC 角色分配。关键资源包括 azurerm_machine_learning_workspace（Default、Hub、Project）、azurerm_machine_learning_compute_cluster、azurerm_machine_learning_compute_instance、azurerm_machine_learning_workspace_network_outbound_rule_*。完整生产级 Terraform 配置见 references/terraform.md。
十一、故障排查与调试 调试途径包括实时作业日志流、部署容器日志（inference-server 与 storage-initializer）、计算实例 SSH 访问、Log Analytics 查询以及 az ml workspace diagnose 命令。常见错误类别：计算（QuotaExceeded、AllocationFailed、磁盘满、GPU 未检测到）、端点（ScoringError、HealthCheckFailure、ImageBuildFailed、429/503 错误）、网络（DNS 解析失败、连接超时、存储/ACR 访问被拒）、作业（EnvironmentBuildError、OutOfMemoryError、NCCL 超时、blob 未找到）。完整错误参考表、日志位置、Log Analytics 查询、端点指标监控、工作区诊断与安全设置清单见 references/troubleshooting.md。
附加参考文件：references/networking.md、references/compute.md、references/endpoints.md、references/identities-acr-storage.md、references/cli-powershell.md、references/terraform.md、references/troubleshooting.md。外部文档包括 Azure ML 文档、Azure AI Foundry 文档、az ml CLI 参考、Az.MachineLearningServices PowerShell 模块、Terraform AzureRM ML Workspace、安全 VNet 工作区、托管网络隔离、联机端点故障排查、Azure ML RBAC 角色与 GPU VM 规格。