Zabezpečení spravovaných online koncových bodů pomocí izolace sítě

Článek
10/18/2023

PLATÍ PRO:Rozšíření Azure CLI ml v2 (aktuální)Python SDK azure-ai-ml v2 (aktuální)

V tomto článku použijete izolaci sítě k zabezpečení spravovaného online koncového bodu. Vytvoříte spravovaný online koncový bod, který pro zabezpečenou příchozí komunikaci používá privátní koncový bod pracovního prostoru služby Azure Machine Učení. Pracovní prostor nakonfigurujete také se spravovanou virtuální sítí , která umožňuje pouze schválenou odchozí komunikaci pro nasazení. Nakonec vytvoříte nasazení, které pro odchozí komunikaci používá privátní koncové body spravované virtuální sítě pracovního prostoru.

Příklady, které používají starší metodu izolace sítě, najdete v souborech nasazení deploy-moe-vnet-legacy.sh (pro nasazení pomocí obecného modelu) a deploy-moe-vnet-mlflow-legacy.sh (pro nasazení pomocí modelu MLflow) v úložišti Azureml-examples Na GitHubu.

Požadavky

Pokud chcete používat Učení Azure Machine, musíte mít předplatné Azure. Pokud ještě nemáte předplatné Azure, vytvořte si napřed bezplatný účet. Vyzkoušejte si bezplatnou nebo placenou verzi služby Azure Machine Učení ještě dnes.
Nainstalujte a nakonfigurujte Azure CLI a ml rozšíření azure CLI. Další informace najdete v tématu Instalace, nastavení a použití rozhraní příkazového řádku (v2).
Tip

Virtuální síť spravovaná službou Azure Machine Učení byla představena 23. května 2023. Pokud máte starší verzi rozšíření ml, možná ho budete muset aktualizovat, aby příklady v tomto článku fungovaly. Pokud chcete rozšíření aktualizovat, použijte následující příkaz Azure CLI:
```
az extension update -n ml
```
Příklady rozhraní příkazového řádku v tomto článku předpokládají, že používáte prostředí Bash (nebo kompatibilní). Například ze systému Linux nebo Subsystém Windows pro Linux.
Musíte mít skupinu prostředků Azure, ve které potřebujete Contributor přístup vy (nebo instanční objekt, který používáte). Pokud jste nakonfigurovali ml rozšíření, budete mít takovou skupinu prostředků.
Pokud chcete použít spravovanou identitu přiřazenou uživatelem k vytváření a správě online koncových bodů a online nasazení, měla by mít identita správná oprávnění. Podrobnosti o požadovaných oprávněních najdete v tématu Nastavení ověřování služby. Musíte například přiřadit správné oprávnění RBAC pro Azure Key Vault pro identitu.

Migrace ze starší verze metody izolace sítě do spravované virtuální sítě

Pokud jste dříve použili starší metodu pro izolaci sítě spravovaných online koncových bodů a chcete migrovat na použití spravované virtuální sítě pracovního prostoru k zabezpečení koncových bodů, postupujte takto:

Odstraňte všechny výpočetní prostředky v pracovním prostoru.
Povolte spravovanou virtuální síť pro váš pracovní prostor. Další informace o tom, jak nakonfigurovat spravovanou síť pro váš pracovní prostor, najdete v tématu Izolace spravované virtuální sítě pracovního prostoru.
Nakonfigurujte privátní koncové body pro odchozí komunikaci s privátními prostředky, ke kterým potřebují přístup vaše spravované online koncové body. Mezi tyto privátní prostředky patří účet úložiště, Azure Key Vault a Azure Container Registry (ACR).
(Volitelné) Pokud integrujete s registrem uživatelů, nakonfigurujte privátní koncové body pro odchozí komunikaci s vaším registrem, jeho účtem úložiště a jeho ACR.

Omezení

Příznak v1_legacy_mode musí být u vašeho pracovního prostoru Azure Machine Learning zakázaný (false). Pokud je tento příznak povolený, nebudete moct vytvořit spravovaný online koncový bod. Další informace najdete v článku o izolaci sítě pomocí rozhraní API v2.
Pokud má váš pracovní prostor Azure Machine Učení privátní koncový bod vytvořený před 24. květnem 2022, musíte privátní koncový bod pracovního prostoru vytvořit znovu předtím, než nakonfigurujete online koncové body tak, aby používaly privátní koncový bod. Další informace o vytvoření privátního koncového bodu pro pracovní prostor najdete v článku o konfiguraci privátního koncového bodu pro pracovní prostor Azure Machine Learning.

Tip

Pokud chcete ověřit, kdy byl pracovní prostor vytvořen, můžete zkontrolovat vlastnosti pracovního prostoru.

V sadě Studio přejděte do Directory + Subscription + Workspace části (vpravo nahoře v sadě Studio) a vyberte View all properties in Azure Portal. V pravém horním rohu stránky Přehled vyberte zobrazení JSON a pak zvolte nejnovější verzi rozhraní API. Na této stránce můžete zkontrolovat hodnotu properties.creationTime.

Alternativně můžete použít az ml workspace show s rozhraním příkazového řádku, my_ml_client.workspace.get("my-workspace-name") se sadou SDK nebo curl v pracovním prostoru s rozhraním REST API.
Pokud používáte izolaci sítě s online koncovými body, můžete použít prostředky přidružené k pracovnímu prostoru (Azure Container Registry (ACR), účet úložiště, službu Key Vault a Přehledy aplikace) z jiné skupiny prostředků než pracovní prostor. Tyto prostředky ale musí patřit do stejného předplatného a tenanta jako váš pracovní prostor.

Poznámka:

Izolace sítě popsaná v tomto článku se týká operací roviny dat, to znamená operací, které jsou výsledkem bodovacích požadavků (nebo obsluhy modelu). Operace řídicí roviny (například žádosti o vytvoření, aktualizaci, odstranění nebo načtení ověřovacích klíčů) se posílají do Azure Resource Manageru přes veřejnou síť.

Příprava systému

Vytvořte proměnné prostředí používané v tomto příkladu spuštěním následujících příkazů. Nahraďte <YOUR_WORKSPACE_NAME> názvem, který se má použít pro váš pracovní prostor. Nahraďte <YOUR_RESOURCEGROUP_NAME> skupinou prostředků, která bude obsahovat váš pracovní prostor.

Tip

Před vytvořením nového pracovního prostoru musíte vytvořit skupinu prostředků Azure, která ji bude obsahovat. Další informace najdete v tématu Správa skupin prostředků Azure.
```
export RESOURCEGROUP_NAME="<YOUR_RESOURCEGROUP_NAME>"
export WORKSPACE_NAME="<YOUR_WORKSPACE_NAME>"
```
Vytvořte pracovní prostor. Parametr -m allow_only_approved_outbound nakonfiguruje spravovanou virtuální síť pro pracovní prostor a blokuje odchozí provoz s výjimkou schválených cílů.
```
az ml workspace create -g $RESOURCEGROUP_NAME -n $WORKSPACE_NAME -m allow_only_approved_outbound
```
Pokud chcete nasazení povolit odesílání odchozích přenosů na internet, odkomentujte následující kód a spusťte ho.
```
# az ml workspace create -g $RESOURCEGROUP_NAME -n $WORKSPACE_NAME -m allow_internet_outbound
```
Další informace o tom, jak vytvořit nový pracovní prostor nebo upgradovat stávající pracovní prostor tak, aby používal mangovanou virtuální síť, najdete v tématu Konfigurace spravované virtuální sítě pro povolení odchozího internetu.

Pokud je pracovní prostor nakonfigurovaný s privátním koncovým bodem, musí být služba Azure Container Registry pro tento pracovní prostor nakonfigurovaná tak, aby umožňovala přístup přes privátní koncový bod. Další informace najdete v článku Úrovně služby Azure Container Registry. Pracovní prostor by měl být také nastaven s image_build_compute vlastností, protože vytváření nasazení zahrnuje vytváření imagí. Další informace najdete v tématu Konfigurace sestavení imagí .
Nakonfigurujte výchozí hodnoty pro rozhraní příkazového řádku, abyste se vyhnuli předávání hodnot pro pracovní prostor a skupinu prostředků několikrát.
```
az configure --defaults workspace=$WORKSPACE_NAME group=$RESOURCEGROUP_NAME
```
Naklonujte úložiště příkladů, abyste získali ukázkové soubory pro koncový bod a nasazení, a pak přejděte do adresáře úložiště /cli .
```
git clone --depth 1 https://github.com/Azure/azureml-examples
cd /cli
```

Příkazy v tomto kurzu jsou v souboru deploy-managed-online-endpoint-workspacevnet.sh v cli adresáři a konfigurační soubory YAML jsou v endpoints/online/managed/sample/ podadresáři.

Vytvoření zabezpečeného spravovaného online koncového bodu

Pokud chcete vytvořit zabezpečený spravovaný online koncový bod, vytvořte koncový bod v pracovním prostoru a nastavte koncový bod public_network_access tak, aby disabled kontroluje příchozí komunikaci. Koncový bod pak bude muset pro příchozí komunikaci použít privátní koncový bod pracovního prostoru.

Vzhledem k tomu, že je pracovní prostor nakonfigurovaný tak, aby měl spravovanou virtuální síť, budou všechna nasazení koncového bodu používat privátní koncové body spravované virtuální sítě pro odchozí komunikaci.

Nastavte název koncového bodu.

export ENDPOINT_NAME="<YOUR_ENDPOINT_NAME>"

Vytvořte koncový bod se zakázaným public_network_access blokováním příchozího provozu.
```
az ml online-endpoint create --name $ENDPOINT_NAME -f endpoints/online/managed/sample/endpoint.yml --set public_network_access=disabled
```
Pokud zakážete přístup k veřejné síti pro koncový bod, jediným způsobem, jak koncový bod vyvolat, je použití privátního koncového bodu, který má přístup k pracovnímu prostoru ve vaší virtuální síti. Další informace najdete v tématu Zabezpečené příchozí žádosti o bodování a konfigurace privátního koncového bodu pro pracovní prostor azure machine Učení.

Případně pokud chcete koncovému bodu povolit příjem žádostí o bodování z internetu, odkomentujte následující kód a spusťte ho.
```
# az ml online-endpoint create --name $ENDPOINT_NAME -f endpoints/online/managed/sample/endpoint.yml
```

Vytvořte nasazení ve spravované virtuální síti pracovního prostoru.

az ml online-deployment create --name blue --endpoint $ENDPOINT_NAME -f endpoints/online/managed/sample/blue-deployment.yml --all-traffic

Získejte stav nasazení.

az ml online-endpoint show -n $ENDPOINT_NAME

Otestujte koncový bod pomocí žádosti o bodování pomocí rozhraní příkazového řádku.

az ml online-endpoint invoke --name $ENDPOINT_NAME --request-file endpoints/online/model-1/sample-request.json

Získejte protokoly nasazení.

az ml online-deployment get-logs --name blue --endpoint $ENDPOINT_NAME

Pokud už koncový bod nepotřebujete, odstraňte ho.

az ml online-endpoint delete --name $ENDPOINT_NAME --yes --no-wait

Odstraňte všechny prostředky vytvořené v tomto článku. Nahraďte <resource-group-name> názvem skupiny prostředků použitou v tomto příkladu:
```
az group delete --resource-group <resource-group-name>
```

Řešení problému

Online koncový bod se nepovede vytvořit se zprávou V1LegacyMode == true

Pracovní prostor Azure Machine Učení je možné nakonfigurovat pro v1_legacy_mode, což zakáže rozhraní API v2. Spravované online koncové body jsou funkcí platformy rozhraní API v2 a nebudou fungovat, pokud v1_legacy_mode je pro pracovní prostor povolený.

Důležité

Před zakázáním v1_legacy_modese obraťte na tým zabezpečení sítě. Je možné, že ho váš tým zabezpečení sítě z nějakého důvodu povolil.

Informace o zakázání v1_legacy_modenaleznete v tématu Izolace sítě s v2.

Vytvoření online koncového bodu s ověřováním na základě klíčů selže

Pomocí následujícího příkazu vypíšete pravidla sítě služby Azure Key Vault pro váš pracovní prostor. Nahraďte <keyvault-name> názvem trezoru klíčů:

az keyvault network-rule list -n <keyvault-name>

Odpověď pro tento příkaz je podobná následujícímu dokumentu JSON:

{
    "bypass": "AzureServices",
    "defaultAction": "Deny",
    "ipRules": [],
    "virtualNetworkRules": []
}

Pokud hodnota bypass není AzureServices, použijte pokyny v nastavení konfigurace sítě trezoru klíčů a nastavte ho na AzureServices.

Selhání online nasazení s chybou při stahování image