Изоляция управляемой виртуальной сети рабочей области

• Подписка Azure. Если у вас еще нет подписки Azure, создайте бесплатную учетную запись, прежде чем начинать работу. Попробуйте бесплатную или платную версию Машинного обучения Azure.

• Поставщик ресурсов Microsoft.Network должен быть зарегистрирован для вашей подписки Azure. Этот поставщик ресурсов используется рабочей областью при создании частных конечных точек для управляемой виртуальной сети.

  Сведения о регистрации поставщиков ресурсов см. в статье Устранение ошибок регистрации поставщика ресурсов.

• Удостоверение Azure, используемое при развертывании управляемой сети, требует следующих действий управления доступом на основе ролей Azure (Azure RBAC) для создания частных конечных точек:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Azure CLI и расширение ml для Azure CLI. Дополнительные сведения см. в разделе Установка, настройка и использование CLI (версия 2).

  Совет

  Управляемая виртуальная сеть Azure для машинного обучения была представлена 23 мая 2023 года. Если у вас есть более ранняя версия расширения ml, может потребоваться обновить его для примеров, приведенных в этой статье. Чтобы обновить расширение, используйте следующую команду Azure CLI:

  az extension update -n ml
  

• В примерах интерфейса командной строки в этой статье предполагается, что вы используете оболочку Bash (или совместимая). Например, из системы Linux или подсистемы Windows для Linux.

• Примеры Azure CLI в этой статье используют ws для представления имени рабочей области и rg для представления имени группы ресурсов. Измените эти значения по мере необходимости при использовании команд с подпиской Azure.

• Подписка Azure. Если у вас еще нет подписки Azure, создайте бесплатную учетную запись, прежде чем начинать работу. Попробуйте бесплатную или платную версию Машинного обучения Azure.

• Поставщик ресурсов Microsoft.Network должен быть зарегистрирован для вашей подписки Azure. Этот поставщик ресурсов используется рабочей областью при создании частных конечных точек для управляемой виртуальной сети.

  Сведения о регистрации поставщиков ресурсов см. в статье Устранение ошибок регистрации поставщика ресурсов.

• Удостоверение Azure, используемое при развертывании управляемой сети, требует следующих действий управления доступом на основе ролей Azure (Azure RBAC) для создания частных конечных точек:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Пакет SDK для Python v2 для платформы Azure Machine Learning. Дополнительные сведения о пакете SDK см. в статье "Установка пакета SDK для Python версии 2 для Машинное обучение Azure".

  Совет

  Управляемая виртуальная сеть Azure Machine Learning была представлена 23 мая 2023 года. Если у вас установлена более ранняя версия пакета SDK, возможно, потребуется обновить его для работы в примерах, приведенных в этой статье. Чтобы обновить пакет SDK, используйте следующую команду:

  pip install --upgrade azure-ai-ml azure-identity
  

• В примерах этой статьи предполагается, что ваш код начинается со следующего кода на языке программирования Python. Этот код импортирует классы, необходимые при создании рабочей области с управляемой виртуальной сетью, задает переменные для вашей подписки Azure и группы ресурсов и создаёт ml_client.

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Workspace,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group)
  

• Подписка Azure. Если у вас еще нет подписки Azure, создайте бесплатную учетную запись, прежде чем начинать работу. Попробуйте бесплатную или платную версию Машинного обучения Azure.

• Поставщик ресурсов Microsoft.Network должен быть зарегистрирован для вашей подписки Azure. Этот поставщик ресурсов используется рабочей областью при создании частных конечных точек для управляемой виртуальной сети.

  Сведения о регистрации поставщиков ресурсов см. в статье Устранение ошибок регистрации поставщика ресурсов.

• Удостоверение Azure, используемое при развертывании управляемой сети, требует следующих действий управления доступом на основе ролей Azure (Azure RBAC) для создания частных конечных точек:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

Чтобы настроить управляемую виртуальную сеть, которая разрешает исходящие подключения к Интернету, можно использовать --managed-network allow_internet_outbound параметр или файл конфигурации YAML, содержащий следующие записи:

managed_network:
  isolation_mode: allow_internet_outbound

Вы также можете определить правила исходящего трафика для других служб Azure, на которые используется рабочая область. Эти правила определяют частные конечные точки, позволяющие ресурсу Azure безопасно взаимодействовать с управляемой виртуальной сетью. В следующем правиле демонстрируется добавление частной конечной точки в ресурс Azure Blob.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Вы можете настроить управляемую виртуальную сеть с помощью команд az ml workspace create или az ml workspace update команд:

• Создайте новую рабочую область:

  В следующем примере создается новая рабочая область. Параметр --managed-network allow_internet_outbound настраивает управляемую виртуальную сеть для рабочей области:

  az ml workspace create --name ws --resource-group rg --managed-network allow_internet_outbound
  

  Чтобы создать рабочую область с помощью YAML-файла, используйте --file параметр и укажите ФАЙЛ YAML, содержащий параметры конфигурации:

  az ml workspace create --file workspace.yaml --resource-group rg --name ws
  

  В следующем примере YAML определяется рабочая область с управляемой виртуальной сетью:

  name: myworkspace
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Обновите существующую рабочую область:

  Предупреждение

  Перед обновлением существующей рабочей области для использования управляемой виртуальной сети нужно удалить все вычислительные ресурсы этой области. К ним относятся вычислительный экземпляр, вычислительный кластер и управляемые подключенные конечные точки.

  В следующем примере обновляется существующая рабочая область. Параметр --managed-network allow_internet_outbound настраивает управляемую виртуальную сеть для рабочей области:

  az ml workspace update --name ws --resource-group rg --managed-network allow_internet_outbound
  

  Чтобы обновить существующую рабочую область с помощью YAML-файла, используйте --file параметр и укажите ФАЙЛ YAML, содержащий параметры конфигурации:

  az ml workspace update --file workspace.yaml --name ws --resource-group MyGroup
  

  В следующем примере YAML определяется управляемая виртуальная сеть для рабочей области. В нем также показано, как добавить подключение частной конечной точки к ресурсу, используемому в рабочей области; в этом примере частная конечная точка для хранилища блобов.

  name: myworkspace
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Чтобы настроить управляемую виртуальную сеть, которая позволяет исходящим интернет-подключениям, используйте ManagedNetwork класс для определения сети с IsolationMode.ALLOW_INTERNET_OUTBOUND. Затем можно использовать ManagedNetwork объект для создания новой рабочей области или обновления существующей. Чтобы определить правила исходящего трафика для служб Azure, на которые используется рабочая область, используйте PrivateEndpointDestination класс для определения новой частной конечной точки для службы.

• Создайте новую рабочую область:

  В следующем примере создается новая рабочая область с именем myworkspace, с исходящим правилом под названием myrule, которое добавляет частную конечную точку для хранилища BLOB-объектов Azure.

  # Basic managed VNet configuration
  network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Workspace configuration
  ws = Workspace(
      name="myworkspace",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the workspace
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Обновите существующую рабочую область:

  Предупреждение

  Перед обновлением существующей рабочей области для использования управляемой виртуальной сети нужно удалить все вычислительные ресурсы этой области. К ним относятся вычислительный экземпляр, вычислительный кластер и управляемые подключенные конечные точки.

  В следующем примере показано, как создать управляемую виртуальную сеть для существующей рабочей области Машинное обучение Azure с именемmyworkspace:

  # Get the existing workspace
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the workspace
  ml_client.workspaces.begin_update(ws)
  

• Создайте новую рабочую область:

  1. Войдите в портал Azure и выберите Машинное обучение Azure в меню "Создать ресурс".

  2. Укажите необходимые сведения на вкладке "Основные сведения".

  3. На вкладке "Сеть" выберите "Приватный" с исходящим интернетом.

     

  4. Чтобы добавить правило исходящего трафика, выберите " Добавить определяемые пользователем правила исходящего трафика" на вкладке "Сеть ". На боковой панели правил исходящего трафика рабочей области укажите следующие сведения:

     • Имя правила: название для правила. Имя должно быть уникальным для этой рабочей области.
     • Тип назначения: частная конечная точка является единственным вариантом, если сетевая изоляция является частной с исходящим интернетом. Управляемая виртуальная сеть в системе машинного обучения Azure не поддерживает создание частной конечной точки для всех типов ресурсов Azure. См. список поддерживаемых ресурсов в разделе «Частные конечные точки».
     • Подписка: подписка, содержащая ресурс Azure, для которого требуется добавить частную конечную точку.
     • Группа ресурсов: группа ресурсов, содержащая ресурс Azure, для которой требуется добавить частную конечную точку.
     • Тип ресурса: тип ресурса Azure.
     • Имя ресурса: имя ресурса Azure.
     • Вложенный ресурс: вложенный ресурс типа ресурса Azure.
     • Включение Spark. Выберите этот параметр, если вы хотите включить бессерверные задания Spark для рабочей области. Этот параметр доступен только в том случае, если тип ресурса служба хранилища Azure.

     

     Выберите Сохранить, чтобы сохранить правило. Вы можете продолжать использовать функцию Добавить пользовательские правила исходящего трафика, чтобы добавлять правила.

  5. Продолжайте создавать рабочую область как обычно.

• Обновите существующую рабочую область:

  Предупреждение

  Перед обновлением существующей рабочей области для использования управляемой виртуальной сети нужно удалить все вычислительные ресурсы этой области. К ним относятся вычислительный экземпляр, вычислительный кластер и управляемые подключенные конечные точки.

  1. Войдите в портал Azure и выберите рабочую область Машинное обучение Azure, для которой требуется включить изоляцию управляемой виртуальной сети.

  2. Выберите "Сеть", "Управляемый исходящий доступ рабочей области", а затем "Разрешить исходящий доступ в Интернет".

     

     • Чтобы добавитьправило исходящего трафика, выберите "Добавить определяемые пользователем правила исходящего трафика". На боковой панели правил исходящего трафика рабочей области укажите те же сведения, что и при создании рабочей области в разделе "Создание новой рабочей области".

       

     • Чтобы удалить правило исходящего трафика, выберите команду delete для правила.

       

  3. Нажмите кнопку "Сохранить " в верхней части страницы, чтобы сохранить изменения в управляемой виртуальной сети.

Чтобы настроить управляемую виртуальную сеть, которая разрешает только утвержденные исходящие подключения, можно использовать --managed-network allow_only_approved_outbound параметр или файл конфигурации YAML, содержащий следующие записи:

managed_network:
  isolation_mode: allow_only_approved_outbound

Вы также можете определить правила исходящего соединения для утвержденной исходящей связи. Правило исходящего трафика можно создать для типа service_tag, fqdn или private_endpoint. В следующем правиле демонстрируется добавление частной конечной точки к ресурсу Azure Blob, тега службы в Azure Data Factory и полного доменного имени в pypi.org:

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Вы можете настроить управляемую виртуальную сеть с помощью команд az ml workspace create или az ml workspace update команд:

• Создайте новую рабочую область:

  В следующем примере используется --managed-network allow_only_approved_outbound параметр для настройки управляемой виртуальной сети:

  az ml workspace create --name ws --resource-group rg --managed-network allow_only_approved_outbound
  

  Следующий ФАЙЛ YAML определяет рабочую область с управляемой виртуальной сетью:

  name: myworkspace
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Чтобы создать рабочую область с помощью YAML-файла, используйте --file параметр:

  az ml workspace create --file workspace.yaml --resource-group rg --name ws
  

• Обновление существующей рабочей области

  Предупреждение

  Перед обновлением существующей рабочей области для использования управляемой виртуальной сети нужно удалить все вычислительные ресурсы этой области. К ним относятся вычислительный экземпляр, вычислительный кластер и управляемые подключенные конечные точки.

  В следующем примере используется --managed-network allow_only_approved_outbound параметр для настройки управляемой виртуальной сети для существующей рабочей области:

  az ml workspace update --name ws --resource-group rg --managed-network allow_only_approved_outbound
  

  Следующий ФАЙЛ YAML определяет управляемую виртуальную сеть для рабочей области. В нем также показано, как добавить утвержденный исходящий трафик в управляемую виртуальную сеть. В этом примере для тега службы добавляется правило исходящего трафика:

  Предупреждение

  Правила исходящего трафика полного доменного имени реализуются с помощью Брандмауэр Azure. Если вы используете правила для исходящего трафика FQDN, в ваши счета включается плата за брандмауэр Azure. Дополнительные сведения см. на странице цен.

  name: myworkspace_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Чтобы настроить управляемую виртуальную сеть, которая разрешает только утвержденные исходящие подключения, используйте ManagedNetwork класс для определения сети с IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND. Затем можно использовать ManagedNetwork объект для создания новой рабочей области или обновления существующей. Чтобы определить правила исходящего трафика, используйте следующие классы:

• Создайте новую рабочую область:

  В следующем примере создается новая рабочая область с именем myworkspace, с несколькими правилами исходящего трафика.

  • myrule — добавляет частную конечную точку для хранилища BLOB-объектов Azure.
  • datafactory— добавляет правило тега службы для взаимодействия с Azure Data Factory.

  Внимание

  • Добавление исходящего трафика для тега службы или полного доменного имени допустимо только в том случае, если управляемая виртуальная сеть настроена IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Если вы добавляете правила исходящего трафика, корпорация Майкрософт не может гарантировать защиту от утечки данных.

  Предупреждение

  Правила исходящего трафика для FQDN (полного доменного имени) реализуются с помощью межсетевого экрана Azure. Если вы используете правила для исходящего трафика FQDN, в ваши счета включается плата за брандмауэр Azure. Дополнительные сведения см. на странице цен.

  # Basic managed VNet configuration
  network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Workspace configuration
  ws = Workspace(
      name="myworkspace",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the workspace
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Обновите существующую рабочую область:

  Предупреждение

  Перед обновлением существующей рабочей области для использования управляемой виртуальной сети нужно удалить все вычислительные ресурсы этой области. К ним относятся вычислительный экземпляр, вычислительный кластер и управляемые подключенные конечные точки.

  В следующем примере показано, как создать управляемую виртуальную сеть для существующей рабочей области Машинное обучение Azure с именемmyworkspace. В примере также добавляется несколько правил исходящего трафика для управляемой виртуальной сети:

  • myrule — добавляет частную конечную точку для хранилища BLOB-объектов Azure.
  • datafactory — добавляет правило тега службы для взаимодействия с Azure Data Factory.

  Совет

  Добавление исходящего трафика для тега службы или полного доменного имени допустимо только в том случае, если управляемая виртуальная сеть настроена IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  Предупреждение

  Правила для исходящего трафика FQDN реализуются с помощью Брандмауэра Azure. Если вы используете правила для исходящего трафика FQDN, в ваши счета включается плата за брандмауэр Azure. Дополнительные сведения см. на странице цен.

  # Get the existing workspace
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the workspace
  ml_client.workspaces.begin_update(ws)
  

• Создайте новую рабочую область:

  1. Войдите в портал Azure и выберите Машинное обучение Azure в меню "Создать ресурс".

  2. Укажите необходимые сведения на вкладке "Основные сведения".

  3. На вкладке "Сеть" выберите "Приватный" с утвержденным исходящим трафиком.

     

  4. Чтобы добавить правило исходящего трафика, выберите " Добавить определяемые пользователем правила исходящего трафика" на вкладке "Сеть ". На боковой панели правил исходящего трафика рабочей области укажите следующие сведения:

     • Имя правила: Название правила. Имя должно быть уникальным для этой рабочей области.
     • Тип назначения: частная конечная точка, тег службы или полное доменное имя. Тег службы и полное доменное имя доступны только в том случае, если сетевая изоляция является частной с утвержденным исходящим трафиком.

     Если тип назначения является частной конечной точкой, укажите следующие сведения:

     • Подписка: подписка, содержащая ресурс Azure, для которого требуется добавить частную конечную точку.
     • Группа ресурсов: группа ресурсов, содержащая ресурс Azure, для которой требуется добавить частную конечную точку.
     • Тип ресурса: тип ресурса Azure.
     • Имя ресурса: имя ресурса Azure.
     • Подресурс: подресурс типа ресурса Azure.
     • Включение Spark. Выберите этот параметр, если вы хотите включить бессерверные задания Spark для рабочей области. Этот параметр доступен только в том случае, если тип ресурса служба хранилища Azure.

     Совет

     Управляемая виртуальная сеть в Azure для машинного обучения не поддерживает создание частной конечной точки для всех типов ресурсов Azure. Смотрите список поддерживаемых ресурсов в разделе "Приватные конечные точки".

     

     Если тип назначения - это Service Tag, укажите следующие сведения:

     • Тег службы: тег службы, добавляемый в утвержденные правила исходящих соединений.
     • Протокол: протокол для тега службы.
     • Диапазоны портов: диапазоны портов, которые разрешаются для тега службы.

     

     Если тип назначения — полное доменное имя, укажите следующие сведения:

     Предупреждение

     Правила исходящего трафика FQDN (полного доменного имени) реализуются с помощью Azure Firewall. Если вы используете правила для исходящего трафика FQDN, в ваши счета включается плата за брандмауэр Azure. Дополнительные сведения см. на странице цен.

     • Назначение полного доменного имени: полное доменное имя для добавления в утвержденные правила исходящего трафика.

     

     Выберите Сохранить, чтобы сохранить правило. Вы можете продолжать использовать Добавить правила исходящего трафика, определяемые пользователем, чтобы добавлять правила.

  5. Продолжайте создавать рабочую область как обычно.

• Обновите существующую рабочую область:

  Предупреждение

  Перед обновлением существующей рабочей области для использования управляемой виртуальной сети нужно удалить все вычислительные ресурсы этой области. К ним относятся вычислительный экземпляр, вычислительный кластер и управляемые подключенные конечные точки.

  1. Войдите в портал Azure и выберите рабочую область Машинное обучение Azure, для которой требуется включить изоляцию управляемой виртуальной сети.

  2. Выберите Сеть, Управляемый исходящий доступ рабочего пространства, а затем выберите Частный с утвержденным исходящим доступом.

     

     • Чтобы добавитьправило исходящего трафика, выберите " Добавить определяемые пользователем правила исходящего трафика" на вкладке "Сеть ". На боковой панели правил исходящего трафика рабочей области укажите те же сведения, что и при создании рабочей области в предыдущем разделе "Создание новой рабочей области".

     • Чтобы удалить исходящее правило, выберите удалить для правила.

       

  3. Нажмите кнопку "Сохранить " в верхней части страницы, чтобы сохранить изменения в управляемой виртуальной сети.

В следующем примере показано, как подготовить управляемую виртуальную сеть во время создания рабочей области.

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

В следующем примере показано, как вручную подготовить управляемую виртуальную сеть.

az ml workspace provision-network -g my_resource_group -n my_workspace_name

Чтобы убедиться, что подготовка завершена, используйте следующую команду:

az ml workspace show -n my_workspace_name -g my_resource_group --query managed_network

Чтобы подготовить управляемую сеть во время создания рабочей области, установите флаг provision_network_now в True.

provision_network_now: True

В следующем примере показано, как подготовить управляемую виртуальную сеть:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")

# whether to provision Spark vnet as well
include_spark = True

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ws_name, include_spark=include_spark).result()

Чтобы убедиться, что рабочая область подготовлена, используйте ml_client.workspaces.get() для получения сведений о рабочей области. Свойство managed_network содержит состояние управляемой сети.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

При создании рабочей области выберите "Подготовить управляемую сеть сразу" для подготовки управляемой сети. Плата за использование сетевых ресурсов, таких как частные конечные точки, взимается после создания виртуальной сети. Этот параметр конфигурации доступен только во время создания рабочей области.

Чтобы обновить рабочую область для использования вычислительного кластера или вычислительного экземпляра для создания образов Docker, используйте az ml workspace update команду с параметром --image-build-compute :

az ml workspace update --name ws --resource-group rg --image-build-compute mycompute

В следующем примере показано, как обновить рабочую область для создания образов с помощью вычислительного кластера:

# import required libraries
from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

subscription_id = "<your subscription ID>"
resource_group = "<your resource group name>"
workspace = "<your workspace name>"

ml_client = MLClient(
    DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name=workspace
)

# Get workspace info
ws=ml_client.workspaces.get(name=workspace)
# Update to use cpu-cluster for image builds
ws.image_build_compute="mycompute"
ml_client.workspaces.begin_update(ws)
# To switch back to using ACR to build (if ACR is not in the virtual network):
# ws.image_build_compute = ''
# ml_client.workspaces.begin_update(ws)

В настоящее время невозможно задать вычисление сборки образа на портале Azure. Используйте вкладки Azure CLI или пакета SDK для Python, чтобы узнать, как вручную настроить сборки образов.

Чтобы получить список правил исходящего трафика управляемой виртуальной сети для рабочей области, используйте следующую команду:

az ml workspace outbound-rule list --workspace-name ws --resource-group rg

Чтобы просмотреть сведения о правиле исходящего трафика управляемой виртуальной сети, используйте следующую команду:

az ml workspace outbound-rule show --rule rule-name --workspace-name ws --resource-group rg

Чтобы удалить правило исходящего трафика из управляемой виртуальной сети, выполните следующую команду:

az ml workspace outbound-rule remove --rule rule-name --workspace-name ws --resource-group rg

В следующем примере показано, как управлять правилами исходящего трафика для рабочей области с именем myworkspace:

# Connect to the workspace
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a workspace
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a workspace
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

1. Войдите в портал Azure и выберите рабочую область Машинное обучение Azure, для которой требуется включить изоляцию управляемой виртуальной сети.

2. Выберите Сети. Раздел "Исходящий доступ к рабочей области" позволяет управлять правилами исходящего трафика.

   

• Чтобы добавитьправило исходящего трафика, выберите " Добавить определяемые пользователем правила исходящего трафика" на вкладке "Сеть ". На боковой панели правил исходящего трафика рабочей области укажите следующие сведения:

• Чтобы включить или отключить правило, используйте переключатель в столбце "Активный".

• Чтобы удалить правило исходящего трафика, выберите команду delete для правила.

После выбора режима "разрешить только утвержденный исходящий", появится возможность выбора версии Брандмауэра Azure (SKU). Выберите "Стандартный", чтобы использовать стандартную версию или базовую , чтобы использовать базовую версию. Нажмите кнопку Сохранить, чтобы сохранить конфигурацию.

Чтобы настроить версию брандмауэра из CLI, используйте YAML-файл и укажите firewall_sku. В следующем примере показан файл YAML, который задает SKU брандмауэра на basic.

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Чтобы настроить версию брандмауэра из пакета SDK для Python, задайте firewall_sku свойство ManagedNetwork объекта. В следующем примере показано, как задать SKU брандмауэра на basic.

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND,
                         firewall_sku='basic')