Een beveiligde werkruimte maken

In dit artikel leert u hoe u een beveiligde werkruimte Azure Machine Learning maken. Een beveiligde werkruimte maakt gebruik van Azure Virtual Network om een beveiligingsgrens te maken rond resources die worden gebruikt door Azure Machine Learning.

In deze zelfstudie gaat u de volgende taken uitvoeren:

Als uw omgeving voldoet aan de vereisten en u bekend bent met het gebruik van ARM-sjablonen, kunt u de eerste vijf stappen in deze zelfstudie ook uitvoeren door de knop Implementeren in Azure te selecteren. U kunt doorgaan met lezen van Verbinding maken naar de werkruimte.

Deploy naar Azure

Vereisten

• Bekendheid met virtuele Azure-netwerken en IP-netwerken
• Hoewel de meeste stappen in dit artikel gebruikmaken van de Azure Portal of Azure Machine Learning Studio, gebruiken sommige stappen de Azure CLI-extensie voor Machine Learning.

Een virtueel netwerk maken

Gebruik de volgende stappen om een virtueel netwerk te maken:

1. Selecteer in Azure Portalhet portalmenu in de linkerbovenhoek. Selecteer in het menu + Een resource maken en voer Virtual Network in het zoekveld in. Selecteer de Virtual Network en selecteer vervolgens Maken.

   

   

2. Selecteer op het tabblad Basisinformatie het Azure-abonnement dat u voor deze resource wilt gebruiken en selecteer of maak vervolgens een nieuwe resourcegroep. Voer onder Exemplaardetails een gebruiksvriendelijke naam in voor het virtuele netwerk en selecteer de regio waarin u het wilt maken.

   

3. Selecteer het tabblad IP-adressen. De standaardinstellingen moeten er ongeveer als volgt uit zien:

   

   Gebruik de volgende stappen om het IP-adres te configureren en een subnet te configureren voor trainings- en scorebronnen:

   Tip

   Hoewel u één subnet kunt gebruiken voor alle Azure ML-resources, laten de stappen in dit artikel zien hoe u twee subnetten maakt om de trainings- en & te scheiden.

   De werkruimte en andere afhankelijkheidsservices gaan naar het trainingssubnet. Ze kunnen nog steeds worden gebruikt door resources in andere subnetten, zoals het scoring-subnet.

   1. Bekijk de standaardwaarde voor de IPv4-adresruimte. In de schermopname is de waarde 172.17.0.0/16. De waarde kan voor u anders zijn. Hoewel u een andere waarde kunt gebruiken, zijn de rest van de stappen in deze zelfstudie gebaseerd op de waarde 172.17.0.0/16.

   2. Selecteer het standaardsubnet en selecteer subnet verwijderen.

      

   3. Als u een subnet wilt maken dat de werkruimte, afhankelijkheidsservices en resources bevat die worden gebruikt voor training, selecteert u + Subnet toevoegen en gebruikt u de volgende waarden voor het subnet:

      • Subnetnaam: Training
      • Subnetadresbereik: 172.17.0.0/24

      

      Tip

      Als u van plan bent een service-eindpunt te gebruiken om uw Azure Storage-account, Azure Key Vault en Azure Container Registry toe te voegen aan het VNet, selecteert u het volgende onder Services:

      • Microsoft.Storage
      • Microsoft.KeyVault
      • Microsoft.ContainerRegistry

      Als u van plan bent een privé-eindpunt te gebruiken om deze services toe te voegen aan het VNet, hoeft u deze vermeldingen niet te selecteren. In de stappen in dit artikel wordt een privé-eindpunt voor deze services gebruikt, dus u hoeft ze niet te selecteren wanneer u deze stappen volgt.

   4. Als u een subnet wilt maken voor rekenbronnen die worden gebruikt om uw modellen te scoren, selecteert u nogmaals + Subnet toevoegen en gebruikt u de volgende waarden:

      • Subnetnaam: Scoren
      • Subnetadresbereik: 172.17.1.0/24

      

      Tip

      Als u van plan bent een service-eindpunt te gebruiken om uw Azure Storage-account, Azure Key Vault en Azure Container Registry toe te voegen aan het VNet, selecteert u het volgende onder Services:

      • Microsoft.Storage
      • Microsoft.KeyVault
      • Microsoft.ContainerRegistry

      Als u van plan bent een privé-eindpunt te gebruiken om deze services toe te voegen aan het VNet, hoeft u deze vermeldingen niet te selecteren. In de stappen in dit artikel wordt een privé-eindpunt voor deze services gebruikt, dus u hoeft ze niet te selecteren wanneer u deze stappen volgt.

4. Selecteer Beveiliging. Selecteer voor BastionHost de optie Inschakelen. Azure Bastion biedt een veilige manier om toegang te krijgen tot de VM-jumpbox die u in een latere stap in het VNet maakt. Gebruik de volgende waarden voor de resterende velden:

   • Bastionnaam: een unieke naam voor dit Bastion-exemplaar
   • AzureBastionSubnetAddress-ruimte: 172.17.2.0/27
   • Openbaar IP-adres: maak een nieuw openbaar IP-adres.

   Laat voor de andere velden de standaardwaarden staan.

   

5. Selecteer Controleren + maken.

   

6. Controleer of de informatie juist is en selecteer vervolgens Maken.

   

Een opslagaccount maken

1. Selecteer in Azure Portalhet portalmenu in de linkerbovenhoek. Selecteer in het menu + Een resource maken en voer vervolgens Storage account in. Selecteer de Storage Account en selecteer vervolgens Maken.

2. Selecteer op het tabblad Basisinformatie het abonnement, de resourcegroep en de regio die u eerder hebt gebruikt voor het virtuele netwerk. Voer een unieke Storage accountnaam in en stel Redundantie in op Lokaal redundante opslag (LRS).

   

3. Selecteer op het tabblad Netwerken de optie Privé-eindpunt en selecteer vervolgens + Privé-eindpunt toevoegen.

   

4. Gebruik op het formulier Privé-eindpunt maken de volgende waarden:

   • Abonnement: hetzelfde Azure-abonnement dat de vorige resources bevat die u hebt gemaakt.
   • Resourcegroep: dezelfde Azure-resourcegroep die de vorige resources bevat die u hebt gemaakt.
   • Locatie: dezelfde Azure-regio die de vorige resources bevat die u hebt gemaakt.
   • Naam: een unieke naam voor dit privé-eindpunt.
   • Doelsubresource: blob
   • Virtueel netwerk: het virtuele netwerk dat u eerder hebt gemaakt.
   • Subnet: Training (172.17.0.0/24)
   • Privé-DNS integratie: Ja
   • Privé-DNS Zone: privatelink.blob.core.windows.net

   Selecteer OK om het privé-eindpunt te maken.

5. Selecteer Controleren + maken. Controleer of de gegevens juist zijn en selecteer vervolgens Maken.

6. Zodra het Storage account is gemaakt, selecteert u Ga naar resource:

   

7. Selecteer in het linkernavigatievenster Netwerken het tabblad Privé-eindpuntverbindingen en selecteer vervolgens + Privé-eindpunt:

   Notitie

   Terwijl u in de vorige stappen een privé-eindpunt voor Blob Storage hebt gemaakt, moet u er ook een maken voor File Storage.

   

8. Gebruik in het formulier Een privé-eindpunt maken hetzelfde abonnement, de resourcegroep en de regio die u voor eerdere resources hebt gebruikt. Voer een unieke naam in.

   

9. Selecteer Volgende: Resource en stel doelsubresource in op bestand.

   

10. Selecteer Volgende: Configuratie en gebruik vervolgens de volgende waarden:

    • Virtueel netwerk: het netwerk dat u eerder hebt gemaakt
    • Subnet: training
    • Integreren met privé-DNS-zone: Ja
    • Privé-DNS zone: privatelink.file.core.windows.net

    

11. Selecteer Controleren + maken. Controleer of de gegevens juist zijn en selecteer vervolgens Maken.

Een sleutelkluis maken

1. Selecteer in Azure Portalhet portalmenu in de linkerbovenhoek. Selecteer in het menu + Een resource maken en voer vervolgens Key Vault. Selecteer de Key Vault en selecteer vervolgens Maken.

2. Selecteer op het tabblad Basisinformatie het abonnement, de resourcegroep en de regio die u eerder hebt gebruikt voor het virtuele netwerk. Voer een unieke sleutelkluisnaam in. Laat voor de andere velden de standaardwaarde staan.

   

3. Selecteer op het tabblad Netwerken de optie Privé-eindpunt en selecteer vervolgens + Toevoegen.

   

4. Gebruik op het formulier Privé-eindpunt maken de volgende waarden:

   • Abonnement: hetzelfde Azure-abonnement dat de vorige resources bevat die u hebt gemaakt.
   • Resourcegroep: dezelfde Azure-resourcegroep die de vorige resources bevat die u hebt gemaakt.
   • Locatie: dezelfde Azure-regio die de vorige resources bevat die u hebt gemaakt.
   • Naam: een unieke naam voor dit privé-eindpunt.
   • Doelsubresource: Kluis
   • Virtueel netwerk: het virtuele netwerk dat u eerder hebt gemaakt.
   • Subnet: Training (172.17.0.0/24)
   • Privé-DNS integratie: Ja
   • Privé-DNS Zone: privatelink.vaultcore.azure.net

   Selecteer OK om het privé-eindpunt te maken.

   

5. Selecteer Controleren + maken. Controleer of de gegevens juist zijn en selecteer vervolgens Maken.

Een containerregister maken

1. Selecteer in Azure Portalhet portalmenu in de linkerbovenhoek. Selecteer in het menu + Een resource maken en voer vervolgens Container Registry. Selecteer de Container Registry en selecteer vervolgens Maken.

2. Selecteer op het tabblad Basisinformatie het abonnement, de resourcegroep en de locatie die u eerder hebt gebruikt voor het virtuele netwerk. Voer een unieke registernaam in en stel de SKU in op Premium.

   

3. Selecteer op het tabblad Netwerken de optie Privé-eindpunt en selecteer vervolgens + Toevoegen.

   

4. Gebruik op het formulier Privé-eindpunt maken de volgende waarden:

   • Abonnement: hetzelfde Azure-abonnement dat de vorige resources bevat die u hebt gemaakt.
   • Resourcegroep: dezelfde Azure-resourcegroep die de vorige resources bevat die u hebt gemaakt.
   • Locatie: dezelfde Azure-regio die de vorige resources bevat die u hebt gemaakt.
   • Naam: een unieke naam voor dit privé-eindpunt.
   • Doelsubresource: register
   • Virtueel netwerk: het virtuele netwerk dat u eerder hebt gemaakt.
   • Subnet: Training (172.17.0.0/24)
   • Privé-DNS integratie: Ja
   • Privé-DNS Zone: privatelink.azurecr.io

   Selecteer OK om het privé-eindpunt te maken.

   

5. Selecteer Controleren + maken. Controleer of de gegevens juist zijn en selecteer vervolgens Maken.

6. Nadat het containerregister is gemaakt, selecteert u Ga naar resource.

   

7. Selecteer aan de linkerkant van de pagina Toegangssleutels en schakel vervolgens Gebruiker met beheerdersrechten in. Deze instelling is vereist bij het gebruik Azure Container Registry in een virtueel netwerk met Azure Machine Learning.

   

Een werkruimte maken

1. Selecteer in Azure Portalhet portalmenu in de linkerbovenhoek. Selecteer in het menu + Een resource maken en voer vervolgens Machine Learning. Selecteer de Machine Learning en selecteer vervolgens Maken.

   

2. Selecteer op het tabblad Basisinformatie het abonnement, de resourcegroep en de regio die u eerder hebt gebruikt voor het virtuele netwerk. Gebruik de volgende waarden voor de andere velden:

   • Werkruimtenaam: een unieke naam voor uw werkruimte.
   • Storage account: selecteer het opslagaccount dat u eerder hebt gemaakt.
   • Sleutelkluis: selecteer de sleutelkluis die u eerder hebt gemaakt.
   • Application Insights: gebruik de standaardwaarde.
   • Containerregister: gebruik het containerregister dat u eerder hebt gemaakt.

   

3. Selecteer op het tabblad Netwerken de optie Privé-eindpunt en selecteer vervolgens + Toevoegen.

   

4. Gebruik op het formulier Privé-eindpunt maken de volgende waarden:

   • Abonnement: hetzelfde Azure-abonnement dat de vorige resources bevat die u hebt gemaakt.
   • Resourcegroep: dezelfde Azure-resourcegroep die de vorige resources bevat die u hebt gemaakt.
   • Locatie: dezelfde Azure-regio die de vorige resources bevat die u hebt gemaakt.
   • Naam: een unieke naam voor dit privé-eindpunt.
   • Doelsubresource: amlworkspace
   • Virtueel netwerk: het virtuele netwerk dat u eerder hebt gemaakt.
   • Subnet: Training (172.17.0.0/24)
   • Privé-DNS integratie: Ja
   • Privé-DNS Zone: laat de twee privé-DNS-zones op de standaardwaarden privatelink.api.azureml.ms en privatelink.notebooks.azure.net.

   Selecteer OK om het privé-eindpunt te maken.

   

5. Selecteer Controleren + maken. Controleer of de gegevens juist zijn en selecteer vervolgens Maken.

6. Zodra de werkruimte is gemaakt, selecteert u Ga naar resource.

7. Selecteer in Instellingen aan de linkerkant privé-eindpuntverbindingen en selecteer vervolgens de koppeling in de kolom Privé-eindpunt:

   

8. Zodra de gegevens van het privé-eindpunt worden weergegeven, selecteert u DNS-configuratie links op de pagina. Sla het IP-adres en de FQDN-gegevens (Fully Qualified Domain Name) op deze pagina op, aangezien deze later worden gebruikt.

   

Studio inschakelen

Azure Machine Learning Studio is een webtoepassing waarmee u uw werkruimte eenvoudig kunt beheren. Er is echter een extra configuratie nodig voordat deze kan worden gebruikt met resources die zijn beveiligd binnen een VNet. Gebruik de volgende stappen om Studio in teschakelen:

1. Wanneer u een Azure Storage-account met een privé-eindpunt gebruikt, voegt u de service-principal voor de werkruimte toe als lezer voor de privé-eindpunten van de opslag. Selecteer in Azure Portal opslagaccount en selecteer vervolgens Netwerken. Selecteer vervolgens Privé-eindpuntverbindingen.

   

2. Gebruik de volgende stappen voor elk privé-eindpunt dat wordt vermeld:

   1. Selecteer de koppeling in de kolom Privé-eindpunt.

      

   2. Selecteer Toegangsbeheer (IAM) aan de linkerzijde.

   3. Selecteer + Toevoegen en vervolgens Roltoewijzing toevoegen (preview).

      

   4. Selecteer op het tabblad Rol de optie Lezer.

      

   5. Selecteer op het tabblad Leden de optie Gebruiker, groep of service-principal in het gebied Toegang toewijzen aan en selecteer vervolgens + Leden selecteren. Voer in het dialoogvenster Leden selecteren de naam in als uw Azure Machine Learning werkruimte. Selecteer de service-principal voor de werkruimte en gebruik vervolgens de knop Selecteren.

   6. Selecteer op het tabblad Beoordelen en toewijzen de optie Beoordelen en toewijzen om de rol toe te wijzen.

Verbinding maken aan de werkruimte

Er zijn verschillende manieren waarop u verbinding kunt maken met de beveiligde werkruimte. In de stappen in dit artikel wordt een jumpbox gebruikt. Dit is een virtuele machine in het VNet. U kunt er verbinding mee maken via uw webbrowser en Azure Bastion. De volgende tabel bevat verschillende andere manieren waarop u verbinding kunt maken met de beveiligde werkruimte:

Een jumpbox (VM) maken

Gebruik de volgende stappen om een Data Science Virtual Machine te maken voor gebruik als jumpbox:

1. Selecteer in Azure Portalhet portalmenu in de linkerbovenhoek. Selecteer in het menu + Een resource maken en voer vervolgens Data Science Virtual Machine in. Selecteer de vermelding Data science virtual machine - Windows en selecteer vervolgens Maken.

2. Selecteer op het tabblad Basisinformatie het abonnement, de resourcegroep en de regio die u eerder hebt gebruikt voor het virtuele netwerk. Geef een unieke naam op voor de virtuele machine, gebruikersnaam en wachtwoord. Laat andere velden op de standaardwaarden staan.

   

3. Selecteer Netwerken en selecteer vervolgens het virtuele netwerk dat u eerder hebt gemaakt. Gebruik de volgende informatie om de resterende velden in te stellen:

   • Selecteer het subnet Training.
   • Stel het openbare IP-adres in op Geen.
   • Laat voor de andere velden de standaardwaarde staan.

   

4. Selecteer Controleren + maken. Controleer of de gegevens juist zijn en selecteer vervolgens Maken.

Verbinding maken naar de jumpbox

1. Zodra de virtuele machine is gemaakt, selecteert u Ga naar resource.

2. Selecteer boven aan de pagina Verbinding maken en vervolgens Bastion.

   

3. Selecteer Bastion gebruiken en geef uw verificatiegegevens voor de virtuele machine op. Er wordt dan een verbinding tot stand gebracht in uw browser.

   

Een rekencluster en reken-exemplaar maken

Uw trainingstaken gebruiken een rekencluster. Een rekenresource biedt een Jupyter Notebook ervaring op een gedeelde rekenresource die is gekoppeld aan uw werkruimte.

1. Open vanuit Azure Bastion verbinding met de jumpbox de Microsoft Edge browser op het externe bureaublad.

2. Ga in de externe browsersessie naar https://ml.azure.com . Wanneer u hier om wordt gevraagd, verifieert u met behulp van uw Azure AD-account.

3. Welkom bij studio! selecteert u de werkruimte Machine Learning u eerder hebt gemaakt en selecteert u vervolgens Aan de slag.

   Tip

   Als uw Azure AD-account toegang heeft tot meerdere abonnementen of directory's, gebruikt u de vervolgkeuzelijst Map en abonnement om het account te selecteren dat de werkruimte bevat.

   

4. Selecteer in Studio Compute, Compute-clusters en vervolgens + Nieuw.

   

5. Selecteer in het dialoogvenster Virtuele machine de optie Volgende om de standaardconfiguratie van de virtuele machine te accepteren.

   

6. Voer in het Instellingen configureren cpu-cluster in als de Compute-naam. Stel het Subnet in op Training en selecteer vervolgens Maken om het cluster te maken.

   Tip

   Rekenclusters schalen de knooppunten in het cluster naar behoefte dynamisch. We raden u aan het minimum aantal knooppunten op 0 te laten staan om de kosten te verlagen wanneer het cluster niet in gebruik is.

   

7. Selecteer in Studio Compute, Compute instance en vervolgens + New.

   

8. Voer in het dialoogvenster Virtuele machine een unieke computernaam in en selecteer Volgende: Geavanceerde Instellingen.

   

9. Stel in het Instellingen het subnet in op Training en selecteer vervolgens Maken.

   

Zie de volgende artikelen voor meer informatie over het maken van een rekencluster en rekencluster, waaronder hoe u dit doet met Python en de CLI:

• Een rekencluster maken
• Een rekenproces maken

Builds van afbeeldingen configureren

Wanneer Azure Container Registry zich achter het virtuele netwerk Azure Machine Learning kan het niet gebruiken om rechtstreeks Docker-installatie images te bouwen (gebruikt voor training en implementatie). Configureer in plaats daarvan de werkruimte voor het gebruik van het rekencluster dat u eerder hebt gemaakt. Gebruik de volgende stappen om een rekencluster te maken en de werkruimte te configureren voor het maken van afbeeldingen:

1. https://shell.azure.com/Navigeer naar om de Azure Cloud Shell.

2. Gebruik vanuit Cloud Shell opdracht de 1.0 CLI voor Azure Machine Learning:

   az extension add -n azure-cli-ml
   

3. De werkruimte bijwerken voor het gebruik van het rekencluster voor het bouwen van Docker-afbeeldingen. Vervang docs-ml-rg door uw resourcegroep. Vervang docs-ml-ws door uw werkruimte. Vervang cpu-cluster door het rekencluster dat u wilt gebruiken:

   az ml workspace update -g docs-ml-rg -w docs-ml-ws --image-build-compute cpu-cluster
   

   Notitie

   U kunt hetzelfde rekencluster gebruiken om modellen te trainen en Docker-afbeeldingen te bouwen voor de werkruimte.

De werkruimte gebruiken

Op dit moment kunt u Studio gebruiken om interactief met notebooks te werken op de reken-instantie en trainingstaken uit te voeren op het rekencluster. Zie Een Python-script uitvoeren voor een zelfstudie over het gebruik van het reken-exemplaar en het rekencluster.

Reken-exemplaar en jumpbox stoppen

Het rekencluster schaalt dynamisch tussen het minimum- en maximumaantal knooppunt dat is ingesteld toen u het maakte. Als u de standaardwaarden hebt geaccepteerd, is het minimum 0, waardoor het cluster effectief wordt uitgeschakeld wanneer het niet in gebruik is.

Het rekenproces stoppen

Selecteer in Studio Compute, Rekenclusters en selecteer vervolgens het reken exemplaar. Selecteer ten slotte Stoppen boven aan de pagina.

De jumpbox stoppen

Nadat de virtuele machine is gemaakt, selecteert u de virtuele machine in Azure Portal en gebruikt u vervolgens de knop Stoppen. Wanneer u klaar bent om deze opnieuw te gebruiken, gebruikt u de knop Start om deze te starten.

U kunt de jumpbox ook zo configureren dat deze automatisch op een bepaald tijdstip wordt afgesloten. Als u dit wilt doen, selecteert u Automatisch afsluiten, Inschakelen, stelt u een tijd in en selecteert u vervolgens Opslaan.

Resources opschonen

Als u van plan bent om de beveiligde werkruimte en andere resources te blijven gebruiken, slaat u deze sectie over.

Als u alle resources wilt verwijderen die in deze zelfstudie zijn gemaakt, gebruikt u de volgende stappen:

1. Selecteer Resourcegroepen links in Azure Portal.

2. Selecteer in de lijst de resourcegroep die u in deze zelfstudie hebt gemaakt.

3. Selecteer Resourcegroep verwijderen.

   

4. Voer de naam van de resourcegroep in en selecteer vervolgens Verwijderen.

Volgende stappen

Nu u een beveiligde werkruimte hebt gemaakt en toegang hebt tot Studio, kunt u leren hoe u een Python-script kunt uitvoeren met behulp van Azure Machine Learning.