服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 控制面连接由集群主动发起；客户端到工作区、仪表盘和服务的访问仍需要独立入口路径。
- 入口要求四层TCP负载均衡及已安装的 Ingress 或 Gateway API 控制器；Anyscale Operator 不会替你安装控制器。
- 私有AKS仍要安排内部负载均衡、私有DNS和客户端网络可达性；Private Link 在当前概览中仍标为预览。
- 数据面区域与控制面驻留不同：控制面在美国，系统日志、指标和集群状态等运行元数据会传入控制面。
- 使用者需显式获得 Anyscale Platform Contributor；费用包含运行时用量和底层Azure资源，公开价格表中的 $- 不能当作免费。
先分清出站控制连接和客户端入口
Anyscale on Azure 把 Ray 分布式Python工作负载运行在自己的 Azure Kubernetes Service（AKS，Azure托管Kubernetes集群）中，Anyscale 托管控制面负责调度、监控等管理工作。官方于2026年10月7日宣布GA（正式可用）；本文依据11月11日核对的当前文档，解释接入条件，不是一次新上线公告。
网络文档所说的 egress-only，是 Operator 和 Ray 节点主动连接 Anyscale 控制面，无需为 Anyscale 向节点主动建连添加入站防火墙规则。客户端访问工作区或服务，是另一条连接路径。
检查时分开记录四类流量：客户端到控制面、客户端经Azure负载均衡到AKS、AKS到控制面，以及AKS到存储和容器镜像仓库。一条出站测试成功，不能代替其余路径的结果。
出站HTTPS 443要核对哪些目标
控制连接使用HTTPS 443。当前文档列出的目标包括 console.azure.anyscale.com、*.azure.anyscale-cloud.dev、grafana-*.azure.anyscale-cloud.dev 和 registry-*.azure.anyscale-cloud.dev。还需允许启动文件存储 anyscaleazwestus2prod.blob.core.windows.net。
工作区仪表盘、终端和Jupyter使用 *.i.azure.anyscaleuserdata.com；VS Code使用 vscode-*.i.azure.anyscaleuserdata.com；Anyscale Services使用 *.s.azure.anyscaleuserdata.com。按官方表格核对每类目标的用途，不能只放行控制台域名。
集群还需要访问自己使用的Azure存储和容器镜像仓库；自定义ACR镜像也有自己的依赖。受限出站环境应结合实际云ID和资源地址核对完整官方表格，不要把上述主机清单误当成任意部署的全部依赖。
负载均衡之外，还必须有控制器
客户端入口要求四层TCP负载均衡，Azure Load Balancer符合这一要求。当前网络文档明确不支持把 Azure Application Gateway 用作主要入口负载均衡器；它不能直接替代这条路径。
集群内还要有处理入口路由的 Ingress 或 Gateway API 控制器。Anyscale Operator 会创建路由资源，但不会安装控制器；控制器由使用团队安装和维护。官方快速入门使用 Envoy Gateway，网络文档说明该方式需要 networking.gateway.enabled=true。
缺少控制器时，路由资源可能得不到负载均衡地址，创建工作区、作业或服务时表现为连接超时。官方 anyscale cloud verify 检查包含控制器是否缺失；它的结果仍需与实际客户端路径对应。本指南没有执行安装、验证命令或集群连接测试。
私有AKS仍需安排客户端可达性
节点不配置公网IP的私有集群受到支持，但仍需要入口控制器。文档给出的私有访问方式包括内部负载均衡、私有DNS，以及客户端通过VPN或ExpressRoute进入相应网络。
控制面连接也必须有可用路径。采用公共端点时，私有集群可通过NAT Gateway或等效出口访问所需目标；内部负载均衡本身不解决集群出站。假设客户端无法访问内部负载均衡，即使节点到控制面正常，工作区也可能无法打开；这是说明路径的假设例子。
概览将 Azure Private Link 列为预览功能。它可以提供控制面连接的私有端点方案，但不能据此认定所有功能已GA、客户端无需路由，或集群可以完全离线。按自己的架构和预览使用要求分别评估。
选数据面区域时，也要看美国控制面
当前区域页列出12个受支持区域，包括 Southeast Asia（southeastasia）、West Europe（westeurope）和多个美国区域；应以来源中的完整列表匹配实际部署区域。服务在某区域可用，不代表该区域所需GPU型号有库存或配额，GPU系列vCPU配额通常还需要申请批准。
区域页明确控制面位于美国，与所选数据面区域分开。系统日志、可观测性指标、集群状态等运行元数据会流向控制面；启用日志摄取时还包括结构化应用日志。不能仅凭工作负载运行在自己的Azure订阅内，就承诺所有信息都留在所选区域。
对有数据驻留要求的团队，应分别记录数据集所在位置、控制面元数据和日志摄取设置，再判断是否符合自身要求。地区出口或代理配置不能改变服务区域、配额、账号权限或数据处理条件。
创建前核对权限，预算分开算两部分
Azure CLI快速入门的前置条件包括具有Owner或Administrator角色的Azure订阅，以及从外部Entra租户创建服务主体的权限；已有AKS还需启用OIDC issuer和workload identity。按自己的实际租户权限准备，不能把普通订阅访问权限当作全部前置条件。
云资源创建后，每位需要创建工作区、作业或服务的使用者，都必须在该Anyscale云上显式获得 Anyscale Platform Contributor 角色。底层Owner或Contributor身份不会自动替代这个产品角色。
费用分为 Anyscale 运行时用量，以及底层AKS计算、存储和网络等Azure资源，两部分通过Azure计费。当前公开价格页的数值显示为 $- 占位符，同时仍出现Preview定价和预览期SLA文字，与已发布的GA公告存在不同步之处。
因此，所查页面不能确定当前合同单价或运行时SLA，也不能把 $- 解读为零费用。创建付费资源前，应核对自己适用的Azure报价、协议和资源预算；不要用GA公告补写未核实的价格或承诺。
资料来源
常见问题
控制面能连接，为什么上传本地项目仍会失败？
anyscale job submit 会把客户端本地 working_dir 上传到该云的Azure Blob存储。存储若只允许特定VNet访问，执行CLI的客户端也要能到达它。节点出站正常不证明本地上传路径正常，应分别检查存储网络限制和客户端可达性。
访问已有Anyscale云时收到404，是否一定是资源不存在？
不一定。快速入门特别说明，缺少 Anyscale Platform Contributor 角色时，因无法读取父级Anyscale云，用户可能收到404而非通常的ARM 403。先核对实际资源、租户和该云上的角色分配，再判断是否不存在；404也不能单独证明必然是权限问题。
部署在美国以外，为什么还要允许带westus2的启动存储域名？
当前网络文档将 anyscaleazwestus2prod.blob.core.windows.net 列为所有区域都要访问的启动文件存储。它由Anyscale持有，节点启动时会获取所需文件；域名中的区域名称不代表它只供该区域集群使用，也不能据此推断工作负载已经迁移到美国。