Tok síťového provozu při použití zabezpečeného pracovního prostoru
Když umístíte pracovní prostor Azure Machine Učení a přidružené prostředky do virtuální sítě Azure, změní se síťový provoz mezi prostředky. Bez virtuální sítě proudí síťový provoz přes veřejný internet nebo v datacentru Azure. Po zavedení virtuální sítě můžete také chtít posílit zabezpečení sítě. Můžete například chtít blokovat příchozí a odchozí komunikaci mezi virtuální sítí a veřejným internetem. Azure Machine Učení ale vyžaduje přístup k některým prostředkům na veřejném internetu. Například používá Azure Resource Manager pro operace nasazení a správy.
Tento článek obsahuje seznam požadovaných přenosů do a z veřejného internetu. Vysvětluje také, jak síťový provoz proudí mezi vývojovým prostředím klienta a zabezpečeným pracovním prostorem Azure Machine Učení v následujících scénářích:
Použití studio Azure Machine Learning pro práci s:
- Váš pracovní prostor
- AutoML
- Návrhář
- Datové sady a úložiště dat
studio Azure Machine Learning je webové uživatelské rozhraní, které běží částečně ve webovém prohlížeči. Volá služby Azure k provádění úloh, jako je trénování modelu, použití návrháře nebo zobrazení datových sad. Některá z těchto volání používají jiný komunikační tok, než když používáte sadu Azure Machine Učení SDK, Azure CLI, rest API nebo Visual Studio Code.
Pomocí studio Azure Machine Learning, sady Azure Machine Učení SDK, Azure CLI nebo rozhraní REST API pro práci s:
- Výpočetní instance a clustery
- Azure Kubernetes Service (AKS)
- Image Dockeru, které azure Machine Učení spravuje
Pokud tady není uvedený scénář nebo úkol, měl by fungovat stejně s zabezpečeným pracovním prostorem nebo bez něj.
Předpoklady
Tento článek předpokládá následující konfiguraci:
- Pracovní prostor Azure Machine Učení používá privátní koncový bod ke komunikaci s virtuální sítí.
- Účet úložiště Azure, trezor klíčů a registr kontejnerů, které pracovní prostor používá ke komunikaci s virtuální sítí, používá také privátní koncový bod.
- Klientské pracovní stanice používají bránu VPN nebo Azure ExpressRoute pro přístup k virtuální síti.
Příchozí a odchozí požadavky
| Scénář | Požadovaný příchozí provoz | Požadovaný odchozí provoz | Další konfigurace |
|---|---|---|---|
| Přístup k pracovnímu prostoru ze studia | Nelze použít |
|
Možná budete muset použít vlastní server DNS. Další informace najdete v tématu Použití pracovního prostoru s vlastním serverem DNS. |
| Použití AutoML, návrháře, datové sady a úložiště dat ze studia | Nelze použít | Nelze použít |
|
| Použití výpočetní instance a výpočetního clusteru |
|
|
Pokud používáte bránu firewall, vytvořte trasy definované uživatelem. Další informace najdete v tématu Konfigurace příchozího a odchozího síťového provozu. |
| Použití služby Azure Kubernetes Service | Nelze použít | Informace o odchozí konfiguraci pro AKS najdete v tématu Zabezpečené prostředí odvozování služby Azure Kubernetes Service. | |
| Použití imagí Dockeru, které spravuje Azure Machine Učení | Nelze použít | Registr artefaktů Microsoft | Pokud je registr kontejneru pro váš pracovní prostor za virtuální sítí, nakonfigurujte pracovní prostor tak, aby k vytváření imagí používal výpočetní cluster. Další informace najdete v tématu Zabezpečení pracovního prostoru Učení počítače Azure s virtuálními sítěmi. |
Účel účtů úložiště
Azure Machine Učení používá více účtů úložiště. Každá ukládá různá data a má jiný účel:
Úložiště: Účty úložiště ve vašem předplatném Azure ukládají vaše data a artefakty, jako jsou modely, trénovací data, trénovací protokoly a skripty Pythonu. Například výchozí účet úložiště pro váš pracovní prostor je ve vašem předplatném. Počítač Azure Učení výpočetní instance a výpočetní cluster přistupovat k souborům a datům objektů blob v tomto úložišti přes porty 445 (SMB) a 443 (HTTPS).
Pokud používáte výpočetní instanci nebo výpočetní cluster, váš účet úložiště se připojí jako sdílená složka přes protokol SMB. Výpočetní instance a cluster používají tuto sdílenou složku k ukládání položek, jako jsou data, modely, poznámkové bloky Jupyter a datové sady. Výpočetní instance a cluster používají privátní koncový bod při přístupu k účtu úložiště.
Úložiště Microsoftu: Výpočetní instance a výpočetní cluster Azure Učení závisí na službě Azure Batch. Přistupují k úložišti umístěnému v předplatném Microsoftu. Toto úložiště se používá jenom pro správu výpočetní instance nebo clusteru. Žádná z vašich dat tady není uložená. Výpočetní instance a výpočetní cluster přistupují k datům objektů blob, tabulek a front v tomto úložišti pomocí portu 443 (HTTPS).
Machine Učení také ukládá metadata v instanci služby Azure Cosmos DB. Ve výchozím nastavení je tato instance hostovaná v předplatném Microsoftu a Microsoft ji spravuje. Volitelně můžete ve svém předplatném Azure použít instanci služby Azure Cosmos DB. Další informace najdete v tématu Šifrování dat pomocí služby Azure Machine Učení.
Scénář: Přístup k pracovnímu prostoru ze studia
Poznámka:
Informace v této části jsou specifické pro použití pracovního prostoru z studio Azure Machine Learning. Pokud používáte sadu Azure Machine Učení SDK, rozhraní REST API, Azure CLI nebo Visual Studio Code, informace v této části se na vás nevztahují.
Při přístupu k pracovnímu prostoru ze studia jsou toky síťového provozu následující:
- K ověření prostředků používá konfigurace ID Microsoft Entra.
- Pro operace správy a nasazení používá konfigurace Azure Resource Manager.
- Pro úlohy specifické pro Učení azure používá konfigurace službu Azure Machine Učení.
- Pro přístup k studio Azure Machine Learning tato konfigurace používá Službu Azure Front Door.
- U většiny operací úložiště provoz prochází privátním koncovým bodem výchozího úložiště pro váš pracovní prostor. Výjimky popisuje použití AutoML, návrháře, datové sady a úložiště dat z části Studio tohoto článku.
- Musíte také nakonfigurovat řešení DNS, které umožňuje přeložit názvy prostředků ve virtuální síti. Další informace najdete v tématu Použití pracovního prostoru s vlastním serverem DNS.
Scénář: Použití AutoML, návrháře, datové sady a úložiště dat ze studia
Profilaci dat používají následující funkce studio Azure Machine Learning:
- Datová sada: Prozkoumejte datovou sadu ze studia.
- Návrhář: Vizualizace výstupních dat modulu
- AutoML: Umožňuje zobrazit náhled dat nebo profil a zvolit cílový sloupec.
- Popisky: Použití popisků k přípravě dat pro projekt strojového učení
Profilace dat závisí na schopnosti spravované služby Azure Machine Učení přistupovat k výchozímu účtu úložiště Azure pro váš pracovní prostor. Spravovaná služba ve vaší virtuální síti neexistuje, takže nemá přímý přístup k účtu úložiště ve virtuální síti. Místo toho pracovní prostor používá instanční objekt pro přístup k úložišti.
Tip
Instanční objekt můžete poskytnout při vytváření pracovního prostoru. Pokud ne, je pro vás vytvořený a má stejný název jako váš pracovní prostor.
Pokud chcete povolit přístup k účtu úložiště, nakonfigurujte účet úložiště tak, aby umožňoval instanci prostředku pro váš pracovní prostor, nebo v seznamu důvěryhodných služeb vyberte Povolit službám Azure přístup k tomuto účtu úložiště. Toto nastavení umožňuje spravované službě přistupovat k úložišti prostřednictvím sítě datacentra Azure.
Dále přidejte instanční objekt pro pracovní prostor do role Čtenář do privátního koncového bodu účtu úložiště. Azure tuto roli používá k ověření informací o pracovním prostoru a podsíti úložiště. Pokud jsou stejné, Azure povolí přístup. Instanční objekt také vyžaduje přístup přispěvatele dat objektů blob k účtu úložiště.
Další informace najdete v části Zabezpečené účty úložiště Azure v pracovním prostoru Zabezpečení počítače Azure Učení s virtuálními sítěmi.
Scénář: Použití výpočetní instance a výpočetního clusteru
Výpočetní instance a výpočetní cluster Azure Učení jsou spravované služby, které hostuje Microsoft. Jsou postavené na službě Azure Batch. I když existují v prostředí spravovaném Microsoftem, vloží se také do vaší virtuální sítě.
Při vytváření výpočetní instance nebo výpočetního clusteru se ve vaší virtuální síti vytvoří také následující prostředky:
Skupina zabezpečení sítě s požadovanými odchozími pravidly. Tato pravidla umožňují příchozí přístup ze služby Azure Machine Učení (TCP na portu 44224) a Azure Batch (TCP na portech 29876–29877).
Důležité
Pokud k blokování přístupu k internetu do virtuální sítě používáte bránu firewall, musíte bránu firewall nakonfigurovat tak, aby umožňovala tento provoz. Pomocí služby Azure Firewall můžete například vytvářet trasy definované uživatelem. Další informace najdete v tématu Konfigurace příchozího a odchozího síťového provozu.
Nástroj pro vyrovnávání zatížení s veřejnou IP adresou.
Povolte také odchozí přístup k následujícím značek služeb. Pro každou značku nahraďte region oblastí Azure výpočetní instance nebo clusteru:
Storage.region: Tento odchozí přístup slouží k připojení k účtu úložiště Azure v rámci spravované virtuální sítě Azure Batch.Keyvault.region: Tento odchozí přístup slouží k připojení k účtu služby Azure Key Vault v rámci spravované virtuální sítě Azure Batch.
Přístup k datům z výpočetní instance nebo clusteru prochází privátním koncovým bodem účtu úložiště pro vaši virtuální síť.
Pokud ve výpočetní instanci používáte Visual Studio Code, musíte povolit jiný odchozí provoz. Další informace najdete v tématu Konfigurace příchozího a odchozího síťového provozu.
Scénář: Použití online koncových bodů
Zabezpečení příchozí a odchozí komunikace konfigurujete samostatně pro spravované online koncové body.
Příchozí komunikace
Můžete pomoct zabezpečit příchozí komunikaci s bodovací adresou URL online koncového bodu pomocí public_network_access příznaku na koncovém bodu. Nastavením příznaku zajistítedisabled, že online koncový bod přijímá provoz pouze z virtuální sítě klienta prostřednictvím privátního koncového bodu pracovního prostoru služby Azure Machine Učení.
Příznak public_network_access pracovního prostoru Azure Machine Učení také řídí viditelnost online koncového bodu. Pokud je disabledtento příznak , koncové body bodování jsou přístupné pouze z virtuálních sítí, které obsahují privátní koncový bod pro pracovní prostor. Pokud je enabledpříznakem tento příznak, může být bodovací koncový bod přístupný z virtuální sítě a veřejných sítí.
Odchozí komunikace
Můžete pomoct zabezpečit odchozí komunikaci z nasazení na úrovni pracovního prostoru pomocí izolace spravované virtuální sítě pro váš pracovní prostor Učení Azure. Použití tohoto nastavení způsobí, že azure Machine Učení vytvoří spravovanou virtuální síť pro pracovní prostor. Všechna nasazení ve spravované virtuální síti pracovního prostoru můžou pro odchozí komunikaci používat privátní koncové body virtuální sítě.
Starší metoda izolace sítě pro zabezpečení odchozí komunikace fungovala zakázáním příznaku egress_public_network_access nasazení. Důrazně doporučujeme, abyste místo toho pomohli zabezpečit odchozí komunikaci pro nasazení pomocí virtuální sítě spravované pracovním prostorem. Na rozdíl od starší verze přístupu egress_public_network_access se příznak pro nasazení už nepoužije při použití virtuální sítě spravované pracovním prostorem s nasazením. Místo toho pravidla, která jste nastavili pro komunikaci odchozí komunikace spravované virtuální sítě pracovního prostoru.
Scénář: Použití služby Azure Kubernetes Service
Informace o požadované odchozí konfiguraci pro službu Azure Kubernetes Service najdete v tématu Zabezpečení prostředí azure machine Učení odvozování s virtuálními sítěmi.
Poznámka:
Nástroj pro vyrovnávání zatížení služby Azure Kubernetes Service není stejný jako nástroj pro vyrovnávání zatížení, který Učení Azure Machine. Pokud chcete model hostovat jako zabezpečenou aplikaci, která je dostupná jenom ve virtuální síti, použijte interní nástroj pro vyrovnávání zatížení, který azure machine Učení vytvoří. Pokud chcete povolit veřejný přístup, použijte veřejný nástroj pro vyrovnávání zatížení, který Učení Azure Machine vytvoří.
Pokud váš model vyžaduje další příchozí nebo odchozí připojení, například k externímu zdroji dat, použijte skupinu zabezpečení sítě nebo bránu firewall k povolení provozu.
Scénář: Použití imagí Dockeru, které azure Machine Učení spravuje
Azure Machine Učení poskytuje image Dockeru, které můžete použít k trénování modelů nebo provádění odvozování. Tyto image jsou hostované na Registr artefaktů Microsoft.
Pokud zadáte vlastní image Dockeru, jako je registr kontejneru, který zadáte, nebudete potřebovat odchozí komunikaci se službou Artifact Registry.
Tip
Pokud je registr kontejneru ve virtuální síti zabezpečený, Azure Machine Učení ho nemůže použít k vytváření imagí Dockeru. Místo toho musíte určit výpočetní cluster Azure Učení pro vytváření imagí. Další informace najdete v tématu Zabezpečení pracovního prostoru Učení počítače Azure s virtuálními sítěmi.
Další kroky
Teď, když jste se dozvěděli, jak síťový provoz prochází zabezpečenou konfigurací, přečtěte si další informace o zabezpečení služby Azure Machine Učení ve virtuální síti v přehledu článku o izolaci virtuální sítě a ochraně osobních údajů.
Informace o osvědčenýchpostupechch Učení ch