Set up private networking for Foundry Agent Service

同じサブネットの中のVMからは名前解決できます

DNSはAzure 提供の DNS サービスを使っています

Hi 河連 友海（エスネットワークス）

Thanks for reaching out in Microsoft Q&A forum,

tool_user_error: Error: search_service_request_error; Unable to connect to Azure AI Search Resource. Please ensure the Azure AI Search Connection has the correct endpoint and the search resouce has appropriate network settings for the agents setup. Cannot connect to host <Azure AI Search Name>.search.windows.net:443 ssl:default [DNS server returned answer with no data] RunId: run_zNMxqJuyeuZOuaOsAHZsKfLN

The root cause of the DNS failure is that Foundry agents execute from a separate managed virtual network (injected via the Bicep template), which lacks proper linkage to your privatelink.search.windows.net private DNS zone unlike your client subnet where VM resolution succeeds.

• Review Bicep deployment outputs or the resource group for Foundry-created networks (e.g., "ai-foundry-vnet-*"). Link the private DNS zone explicitly: Portal > Private DNS zones > Virtual network links > Add the Foundry VNet. Wait 5-15 mins for propagation.
• AI Search > Networking > Private endpoint connections ensure the Foundry subnet endpoint is "Approved." Approve pending ones via CLI: az network private-endpoint approve --ids <resource-id>.
• Deploy a test VM in the Foundry managed subnet, then nslookup <search-service>.search.windows.net 168.63.129.16. Expect the private IP; if NXDOMAIN, re-link the DNS zone.
• Foundry VNet > DNS servers must be "Default (Azure-provided)" > custom servers break private resolution.

Once fixed, agent connections should succeed without NSG changes, as outbound 443 is typically allowed.

Official docs:

• How to configure a private link for Microsoft Foundry projects - Microsoft Foundry | Microsoft Learn​
• Create a private endpoint for a secure connection - Azure AI Search | Microsoft Learn
• Troubleshoot private endpoint connection - Microsoft Foundry | Microsoft Learn

Kindly let us know if the above helps or you need further assistance on this issue.

Please “up-vote” wherever the information provided helps you, this can be beneficial to other community members.

ご回答ありがとうございます。 ご指摘いただいた点について、こちらの環境で確認した事実を共有します。

1. Foundry により作成された VNet と Private DNS ゾーンについて

Foundry（Bicep テンプレート経由）で作成された VNet は、すでに privatelink.search.windows.net の Private DNS ゾーンにリンク済みであることを確認しています。

• Portal > Private DNS zones > privatelink.search.windows.net > Virtual network links にて、Foundry 作成の VNet が表示されています。

2. Private Endpoint Connection の状態

Azure AI Search 側の Private Endpoint Connection はすでに Approved 状態であり、 Pending の接続は存在しません。

CLI での再承認を試みた際には、以下のエラーが返却されましたが、

OperationNotAllowed:
Could not update Private Endpoint connection status from 'Approved' to 'Approved'

これは すでに承認済みであることを示すエラーであり、承認漏れではないことを確認しています。

3. DNS 解決結果（Foundry 実行環境と同一条件）

DNS 設定は Default（Azure 提供） を使用しています。

以下の nslookup 結果から、Search エンドポイントは 正しく Private IP に解決されています。

Shell

$ nslookup <azureaisearchname>.search.windows.net

Server: 127.0.0.53

Address: 127.0.0.53#53

Non-authoritative answer:

<azureaisearchname>.windows.net canonical name =

<azureaisearchname>.privatelink.search.windows.net.

Name: <azureaisearchname>.privatelink.search.windows.net

Address: 10.60.1.9

このため、

• Private DNS ゾーン未リンク
• DNS 解決不可（NXDOMAIN / no data）
• カスタム DNS サーバーによる影響

といった一般的な原因には該当しないと考えています。