Skydda en Azure Machine Learning utbildnings miljö med virtuella nätverkSecure an Azure Machine Learning training environment with virtual networks

I den här artikeln får du lära dig hur du skyddar utbildnings miljöer med ett virtuellt nätverk i Azure Machine Learning.In this article, you learn how to secure training environments with a virtual network in Azure Machine Learning.

Den här artikeln är del tre i en serie med fem delar som vägleder dig genom att skydda ett Azure Machine Learning-arbetsflöde.This article is part three of a five-part series that walks you through securing an Azure Machine Learning workflow. Vi rekommenderar starkt att du läser igenom del ett: VNet-översikt för att förstå den övergripande arkitekturen först.We highly recommend that you read through Part one: VNet overview to understand the overall architecture first.

Se de andra artiklarna i den här serien:See the other articles in this series:

1. VNet-översikt > 2. Skydda arbets ytan > 3. Skydda inlärnings miljö > 4. Skydda inferencing-miljön > 5. Aktivera Studio-funktioner1. VNet overview > 2. Secure the workspace > 3. Secure the training environment > 4. Secure the inferencing environment > 5. Enable studio functionality

I den här artikeln får du lära dig att skydda följande utbildnings beräknings resurser i ett virtuellt nätverk:In this article you learn how to secure the following training compute resources in a virtual network:

  • Azure Machine Learning beräknings klusterAzure Machine Learning compute cluster
  • Azure Machine Learning-beräkningsinstansAzure Machine Learning compute instance
  • Azure DatabricksAzure Databricks
  • Virtuell datorVirtual Machine
  • HDInsight-klusterHDInsight cluster

FörutsättningarPrerequisites

  • Läs artikeln Översikt över nätverks säkerhet för att förstå vanliga scenarier för virtuella nätverk och övergripande arkitektur för virtuella nätverk.Read the Network security overview article to understand common virtual network scenarios and overall virtual network architecture.

  • Ett befintligt virtuellt nätverk och undernät som ska användas med dina beräknings resurser.An existing virtual network and subnet to use with your compute resources.

  • För att distribuera resurser till ett virtuellt nätverk eller undernät måste ditt användar konto ha behörighet till följande åtgärder i rollbaserad åtkomst kontroll i Azure (Azure RBAC):To deploy resources into a virtual network or subnet, your user account must have permissions to the following actions in Azure role-based access control (Azure RBAC):

    • "Microsoft. Network/virtualNetworks/Join/Action" på den virtuella nätverks resursen."Microsoft.Network/virtualNetworks/join/action" on the virtual network resource.
    • "Microsoft. Network/virtualNetworks/Subnet/Join/Action" på under näts resursen."Microsoft.Network/virtualNetworks/subnet/join/action" on the subnet resource.

    Mer information om Azure RBAC med nätverk finns i inbyggda nätverks rollerFor more information on Azure RBAC with networking, see the Networking built-in roles

Beräknings kluster & instanserCompute clusters & instances

Om du vill använda en hanterad Azure Machine Learning beräknings mål eller en Azure Machine Learning beräknings instans i ett virtuellt nätverk måste följande nätverks krav uppfyllas:To use either a managed Azure Machine Learning compute target or an Azure Machine Learning compute instance in a virtual network, the following network requirements must be met:

  • Det virtuella nätverket måste finnas i samma prenumeration och region som Azure Machine Learning-arbetsytan.The virtual network must be in the same subscription and region as the Azure Machine Learning workspace.
  • Under nätet som anges för beräknings instansen eller klustret måste ha tillräckligt många otilldelade IP-adresser för att rymma antalet virtuella datorer som är riktade.The subnet that's specified for the compute instance or cluster must have enough unassigned IP addresses to accommodate the number of VMs that are targeted. Om under nätet inte har tillräckligt med otilldelade IP-adresser, tilldelas ett beräknings kluster delvis.If the subnet doesn't have enough unassigned IP addresses, a compute cluster will be partially allocated.
  • Kontrol lera om dina säkerhets principer eller lås på det virtuella nätverkets prenumeration eller resurs grupp begränsar behörigheter för hantering av det virtuella nätverket.Check to see whether your security policies or locks on the virtual network's subscription or resource group restrict permissions to manage the virtual network. Om du planerar att skydda det virtuella nätverket genom att begränsa trafiken lämnar du vissa portar öppna för beräknings tjänsten.If you plan to secure the virtual network by restricting traffic, leave some ports open for the compute service. Mer information finns i avsnittet nödvändiga portar .For more information, see the Required ports section.
  • Om du ska lagra flera beräknings instanser eller kluster i ett virtuellt nätverk kan du behöva begära en kvot ökning för en eller flera av dina resurser.If you're going to put multiple compute instances or clusters in one virtual network, you might need to request a quota increase for one or more of your resources.
  • Om Azure Storage kontona för arbets ytan också är skyddade i ett virtuellt nätverk måste de finnas i samma virtuella nätverk och undernät som Azure Machine Learning beräknings instans eller kluster.If the Azure Storage Account(s) for the workspace are also secured in a virtual network, they must be in the same virtual network and subnet as the Azure Machine Learning compute instance or cluster.
  • För att Compute instance Jupyter-funktionen ska fungera kontrollerar du att WebSocket-kommunikation inte är inaktiverat.For compute instance Jupyter functionality to work, ensure that web socket communication is not disabled. Kontrol lera att nätverket tillåter WebSocket-anslutningar till *. instances.azureml.net och *. instances.azureml.ms.Please ensure your network allows websocket connections to *.instances.azureml.net and *.instances.azureml.ms.
  • När beräknings instansen distribueras i en privat länk arbets yta kan den bara nås från det virtuella nätverket.When compute instance is deployed in a private link workspace it can be only be accessed from within virtual network. Om du använder en anpassad DNS-eller Hosts-fil lägger du till en post för <instance-name>.<region>.instances.azureml.ms med privat IP-adress för arbets ytans privata slut punkt.If you are using custom DNS or hosts file please add an entry for <instance-name>.<region>.instances.azureml.ms with private IP address of workspace private endpoint. Mer information finns i den anpassade DNS- artikeln.For more information see the custom DNS article.
  • Det undernät som används för att distribuera beräknings kluster/instans ska inte delegeras till någon annan tjänst som ACIThe subnet used to deploy compute cluster/instance should not be delegated to any other service like ACI
  • Slut punkts principer för virtuella nätverks tjänster fungerar inte för beräknings kluster/instans system lagrings kontonVirtual network service endpoint policies do not work for compute cluster/instance system storage accounts

Tips

Machine Learning beräknings instans eller kluster allokerar automatiskt ytterligare nätverks resurser i resurs gruppen som innehåller det virtuella nätverket.The Machine Learning compute instance or cluster automatically allocates additional networking resources in the resource group that contains the virtual network. För varje beräknings instans eller kluster allokerar tjänsten följande resurser:For each compute instance or cluster, the service allocates the following resources:

  • En nätverks säkerhets gruppOne network security group
  • En offentlig IP-adress.One public IP address. Om du har en Azure-princip som förhindrar att offentliga IP skapas, kommer distributionen av kluster/instanser att Miss Miss senIf you have Azure policy prohibiting Public IP creation then deployment of cluster/instances will fail
  • En belastningsutjämnareOne load balancer

I kluster är de här resurserna borttagna (och återskapas) varje gång klustret skalar ned till 0 noder, men för en instans är resurserna kvar på till instansen helt borttagna (stoppa tar inte bort resurserna).In the case of clusters these resources are deleted (and recreated) every time the cluster scales down to 0 nodes, however for an instance the resources are held onto till the instance is completely deleted (stopping does not remove the resources). Dessa resurser begränsas av prenumerationens resurskvoter.These resources are limited by the subscription's resource quotas. Om den virtuella nätverks resurs gruppen är låst går det inte att ta bort beräknings kluster/instanser.If the virtual network resource group is locked then deletion of compute cluster/instance will fail. Det går inte att ta bort belastningsutjämnaren förrän beräknings klustret/instansen har tagits bort.Load balancer cannot be deleted until the compute cluster/instance is deleted. Kontrol lera också att det inte finns någon Azure-princip som förhindrar skapande av nätverks säkerhets grupper.Also please ensure there is no Azure policy which prohibits creation of network security groups.

Portar som krävsRequired ports

Om du planerar att skydda det virtuella nätverket genom att begränsa nätverks trafiken till/från det offentliga Internet måste du tillåta inkommande kommunikation från tjänsten Azure Batch.If you plan on securing the virtual network by restricting network traffic to/from the public internet, you must allow inbound communications from the Azure Batch service.

Batch-tjänsten lägger till nätverks säkerhets grupper (NSG: er) på nivån nätverks gränssnitt (NIC) som är anslutna till virtuella datorer.The Batch service adds network security groups (NSGs) at the level of network interfaces (NICs) that are attached to VMs. De här NSG:erna konfigurerar automatiskt regler för inkommande och utgående trafik för att tillåta följande trafik:These NSGs automatically configure inbound and outbound rules to allow the following traffic:

  • Inkommande TCP-trafik på portarna 29876 och 29877 från en service tag i BatchNodeManagement.Inbound TCP traffic on ports 29876 and 29877 from a Service Tag of BatchNodeManagement. Trafik över dessa portar är krypterad och används av Azure Batch för kommunikation i Scheduler/Node.Traffic over these ports is encrypted and is used by Azure Batch for scheduler/node communication.

    En regel för inkommande trafik som använder BatchNodeManagement-tjänst tag gen

  • Valfritt Inkommande TCP-trafik på port 22 för att tillåta fjärråtkomst.(Optional) Inbound TCP traffic on port 22 to permit remote access. Använd bara den här porten om du vill ansluta med SSH på den offentliga IP-adressen.Use this port only if you want to connect by using SSH on the public IP.

  • Utgående trafik på vilken port som helst till det virtuella nätverket.Outbound traffic on any port to the virtual network.

  • Utgående trafik på vilken port som helst till Internet.Outbound traffic on any port to the internet.

  • För Compute instance inkommande TCP-trafik på port 44224 från en service tag i AzureMachineLearning.For compute instance inbound TCP traffic on port 44224 from a Service Tag of AzureMachineLearning. Trafik över den här porten krypteras och används av Azure Machine Learning för kommunikation med program som körs på beräknings instanser.Traffic over this port is encrypted and is used by Azure Machine Learning for communication with applications running on Compute Instances.

Viktigt

Var försiktig om du ändrar eller lägger till regler för inkommande eller utgående trafik i Batch-konfigurerade NSG:er.Exercise caution if you modify or add inbound or outbound rules in Batch-configured NSGs. Om en NSG blockerar kommunikation till datornoderna, anger beräknings tjänsten status för datornoderna till oanvändbar.If an NSG blocks communication to the compute nodes, the compute service sets the state of the compute nodes to unusable.

Du behöver inte ange NSG: er på under näts nivån, eftersom Azure Batch tjänsten konfigurerar sin egen NSG: er.You don't need to specify NSGs at the subnet level, because the Azure Batch service configures its own NSGs. Men om det undernät som innehåller Azure Machine Learning Compute har tillhör ande NSG: er eller en brand vägg, måste du också tillåta trafiken som anges ovan.However, if the subnet that contains the Azure Machine Learning compute has associated NSGs or a firewall, you must also allow the traffic listed earlier.

Regel konfigurationen för NSG i Azure Portal visas i följande avbildningar:The NSG rule configuration in the Azure portal is shown in the following images:

Regler för inkommande NSG för Machine Learning-beräkning

Ingående NSG-regler för Machine Learning-beräkning

Begränsa utgående anslutning från det virtuella nätverketLimit outbound connectivity from the virtual network

Använd följande steg om du inte vill använda de utgående standard reglerna och du vill begränsa den utgående åtkomsten för ditt virtuella nätverk:If you don't want to use the default outbound rules and you do want to limit the outbound access of your virtual network, use the following steps:

  • Neka utgående Internet anslutning med NSG-reglerna.Deny outbound internet connection by using the NSG rules.

  • För en beräknings instans eller ett beräknings kluster begränsar du utgående trafik till följande objekt:For a compute instance or a compute cluster, limit outbound traffic to the following items:

    • Azure Storage med hjälp av tjänst tag gen för Storage. RegionName.Azure Storage, by using Service Tag of Storage.RegionName. Där {RegionName} är namnet på en Azure-region.Where {RegionName} is the name of an Azure region.
    • Azure Container Registry med hjälp av service tag gen för AzureContainerRegistry. RegionName.Azure Container Registry, by using Service Tag of AzureContainerRegistry.RegionName. Där {RegionName} är namnet på en Azure-region.Where {RegionName} is the name of an Azure region.
    • Azure Machine Learning med hjälp av service tag gen för AzureMachineLearningAzure Machine Learning, by using Service Tag of AzureMachineLearning
    • Azure Resource Manager med hjälp av service tag gen för AzureResourceManagerAzure Resource Manager, by using Service Tag of AzureResourceManager
    • Azure Active Directory med hjälp av service tag gen för AzureActiveDirectoryAzure Active Directory, by using Service Tag of AzureActiveDirectory

Regel konfigurationen för NSG i Azure Portal visas i följande bild:The NSG rule configuration in the Azure portal is shown in the following image:

Utgående NSG-regler för Machine Learning-beräkningThe outbound NSG rules for Machine Learning Compute

Anteckning

Om du planerar att använda standard Docker-avbildningar som tillhandahålls av Microsoft och aktiverar hanterade beroenden, måste du också använda följande service märken:If you plan on using default Docker images provided by Microsoft, and enabling user managed dependencies, you must also use the following Service Tags:

  • MicrosoftContainerRegistryMicrosoftContainerRegistry
  • AzureFrontDoor.FirstPartyAzureFrontDoor.FirstParty

Den här konfigurationen krävs när du har kod som liknar följande kodfragment som en del av dina utbildnings skript:This configuration is needed when you have code similar to the following snippets as part of your training scripts:

RunConfig-utbildningRunConfig training

# create a new runconfig object
run_config = RunConfiguration()

# configure Docker 
run_config.environment.docker.enabled = True
# For GPU, use DEFAULT_GPU_IMAGE
run_config.environment.docker.base_image = DEFAULT_CPU_IMAGE 
run_config.environment.python.user_managed_dependencies = True

Uppskattnings utbildningEstimator training

est = Estimator(source_directory='.',
                script_params=script_params,
                compute_target='local',
                entry_script='dummy_train.py',
                user_managed=True)
run = exp.submit(est)

Tvingad tunneltrafikForced tunneling

Om du använder Tvingad tunnel trafik med Azure Machine Learning Compute måste du tillåta kommunikation med det offentliga Internet från det undernät som innehåller beräknings resursen.If you're using forced tunneling with Azure Machine Learning compute, you must allow communication with the public internet from the subnet that contains the compute resource. Den här kommunikationen används för schemaläggning av aktiviteter och åtkomst till Azure Storage.This communication is used for task scheduling and accessing Azure Storage.

Du kan göra detta på två sätt:There are two ways that you can accomplish this:

  • Använd en Virtual Network NAT.Use a Virtual Network NAT. En NAT-gateway ger utgående Internet anslutning för ett eller flera undernät i det virtuella nätverket.A NAT gateway provides outbound internet connectivity for one or more subnets in your virtual network. Mer information finns i utforma virtuella nätverk med NAT-gateway-resurser.For information, see Designing virtual networks with NAT gateway resources.

  • Lägg till användardefinierade vägar (UDR) till det undernät som innehåller beräknings resursen.Add user-defined routes (UDRs) to the subnet that contains the compute resource. Upprätta en UDR för varje IP-adress som används av tjänsten Azure Batch i den region där dina resurser finns.Establish a UDR for each IP address that's used by the Azure Batch service in the region where your resources exist. Dessa UDR gör att batch-tjänsten kan kommunicera med datornoder för schemaläggning av aktiviteter.These UDRs enable the Batch service to communicate with compute nodes for task scheduling. Lägg också till IP-adressen för den Azure Machine Learning tjänsten, eftersom detta krävs för att få åtkomst till beräknings instanser.Also add the IP address for the Azure Machine Learning service, as this is required for access to Compute Instances. När du lägger till IP-adressen för tjänsten Azure Machine Learning måste du lägga till IP för både de primära och sekundära Azure-regionerna.When adding the IP for the Azure Machine Learning service, you must add the IP for both the primary and secondary Azure regions. Den primära regionen är den plats där din arbets yta finns.The primary region being the one where your workspace is located.

    Du hittar den sekundära regionen genom att se till att verksamhets kontinuiteten & haveri beredskap med Azure-kopplade regioner.To find the secondary region, see the Ensure business continuity & disaster recovery using Azure Paired Regions. Om din Azure Machine Learning-tjänst till exempel finns i USA, östra 2, är den sekundära regionen Central USA.For example, if your Azure Machine Learning service is in East US 2, the secondary region is Central US.

    Använd någon av följande metoder för att hämta en lista över IP-adresser för batch-tjänsten och Azure Machine Learning tjänsten:To get a list of IP addresses of the Batch service and Azure Machine Learning service, use one of the following methods:

    • Hämta Azure IP-intervall och service märken och Sök efter BatchNodeManagement.<region> och AzureMachineLearning.<region> , där <region> är din Azure-region.Download the Azure IP Ranges and Service Tags and search the file for BatchNodeManagement.<region> and AzureMachineLearning.<region>, where <region> is your Azure region.

    • Använd Azure CLI för att hämta informationen.Use the Azure CLI to download the information. I följande exempel hämtas IP-adressinformation och filtreras bort informationen för regionen USA, östra 2 (primär) och USA, centrala (sekundär):The following example downloads the IP address information and filters out the information for the East US 2 region (primary) and Central US region (secondary):

      az network list-service-tags -l "East US 2" --query "values[?starts_with(id, 'Batch')] | [?properties.region=='eastus2']"
      # Get primary region IPs
      az network list-service-tags -l "East US 2" --query "values[?starts_with(id, 'AzureMachineLearning')] | [?properties.region=='eastus2']"
      # Get secondary region IPs
      az network list-service-tags -l "Central US" --query "values[?starts_with(id, 'AzureMachineLearning')] | [?properties.region=='centralus']"
      

      Tips

      Om du använder regionerna US-Virginia, US-Arizona regioner eller Kina – öst – 2, returnerar dessa kommandon inga IP-adresser.If you are using the US-Virginia, US-Arizona regions, or China-East-2 regions, these commands return no IP addresses. Använd i stället någon av följande länkar för att hämta en lista över IP-adresser:Instead, use one of the following links to download a list of IP addresses:

    När du lägger till UDR definierar du vägen för varje relaterat batch-IP-adressprefix och anger nästa hopp typ till Internet.When you add the UDRs, define the route for each related Batch IP address prefix and set Next hop type to Internet. Följande bild visar ett exempel på den här UDR i Azure Portal:The following image shows an example of this UDR in the Azure portal:

    Exempel på en UDR för ett adressprefix

    Viktigt

    IP-adresserna kan ändras med tiden.The IP addresses may change over time.

    Förutom de UDR som du definierar måste utgående trafik till Azure Storage tillåtas via den lokala nätverks enheten.In addition to any UDRs that you define, outbound traffic to Azure Storage must be allowed through your on-premises network appliance. Mer specifikt är URL: erna för den här trafiken i följande format: <account>.table.core.windows.net , <account>.queue.core.windows.net och <account>.blob.core.windows.net .Specifically, the URLs for this traffic are in the following forms: <account>.table.core.windows.net, <account>.queue.core.windows.net, and <account>.blob.core.windows.net.

    Mer information finns i skapa en Azure Batch pool i ett virtuellt nätverk.For more information, see Create an Azure Batch pool in a virtual network.

Skapa ett beräknings kluster i ett virtuellt nätverkCreate a compute cluster in a virtual network

Använd följande steg för att skapa ett Machine Learning-beräkning kluster:To create a Machine Learning Compute cluster, use the following steps:

  1. Logga in på Azure Machine Learning Studiooch välj sedan din prenumeration och arbets yta.Sign in to Azure Machine Learning studio, and then select your subscription and workspace.

  2. Välj Beräkna till vänster.Select Compute on the left.

  3. Välj utbildnings kluster från mitten och välj sedan + .Select Training clusters from the center, and then select +.

  4. I dialog rutan nytt utbildnings kluster expanderar du avsnittet Avancerade inställningar .In the New Training Cluster dialog, expand the Advanced settings section.

  5. Om du vill konfigurera den här beräknings resursen för att använda ett virtuellt nätverk utför du följande åtgärder i avsnittet Konfigurera virtuellt nätverk :To configure this compute resource to use a virtual network, perform the following actions in the Configure virtual network section:

    1. I list rutan resurs grupp väljer du den resurs grupp som innehåller det virtuella nätverket.In the Resource group drop-down list, select the resource group that contains the virtual network.
    2. I list rutan virtuellt nätverk väljer du det virtuella nätverk som innehåller under nätet.In the Virtual network drop-down list, select the virtual network that contains the subnet.
    3. I list rutan undernät väljer du det undernät som ska användas.In the Subnet drop-down list, select the subnet to use.

    Inställningarna för virtuella nätverk för Machine Learning-beräkning

Du kan också skapa ett Machine Learning-beräkning-kluster med hjälp av Azure Machine Learning SDK.You can also create a Machine Learning Compute cluster by using the Azure Machine Learning SDK. Följande kod skapar ett nytt Machine Learning-beräkning-kluster i default under nätet för ett virtuellt nätverk med namnet mynetwork :The following code creates a new Machine Learning Compute cluster in the default subnet of a virtual network named mynetwork:

from azureml.core.compute import ComputeTarget, AmlCompute
from azureml.core.compute_target import ComputeTargetException

# The Azure virtual network name, subnet, and resource group
vnet_name = 'mynetwork'
subnet_name = 'default'
vnet_resourcegroup_name = 'mygroup'

# Choose a name for your CPU cluster
cpu_cluster_name = "cpucluster"

# Verify that cluster does not exist already
try:
    cpu_cluster = ComputeTarget(workspace=ws, name=cpu_cluster_name)
    print("Found existing cpucluster")
except ComputeTargetException:
    print("Creating new cpucluster")

    # Specify the configuration for the new cluster
    compute_config = AmlCompute.provisioning_configuration(vm_size="STANDARD_D2_V2",
                                                           min_nodes=0,
                                                           max_nodes=4,
                                                           vnet_resourcegroup_name=vnet_resourcegroup_name,
                                                           vnet_name=vnet_name,
                                                           subnet_name=subnet_name)

    # Create the cluster with the specified name and configuration
    cpu_cluster = ComputeTarget.create(ws, cpu_cluster_name, compute_config)

    # Wait for the cluster to be completed, show the output log
    cpu_cluster.wait_for_completion(show_output=True)

När du har skapat processen tränar du din modell genom att använda klustret i ett experiment.When the creation process finishes, you train your model by using the cluster in an experiment. Mer information finns i Välj och använda ett beräknings mål för utbildning.For more information, see Select and use a compute target for training.

Anteckning

Du kan välja att använda virtuella datorer med låg prioritet för att köra vissa eller alla arbets belastningar.You may choose to use low-priority VMs to run some or all of your workloads. Se så här skapar du en virtuell dator med låg prioritet.See how to create a low-priority VM.

Få åtkomst till data i en beräknings instans antecknings bokAccess data in a Compute Instance notebook

Om du använder antecknings böcker på en Azure-beräknings instans måste du se till att din bärbara dator körs på en beräknings resurs bakom samma virtuella nätverk och undernät som dina data.If you're using notebooks on an Azure Compute instance, you must ensure that your notebook is running on a compute resource behind the same virtual network and subnet as your data.

Du måste konfigurera beräknings instansen så att den är i samma virtuella nätverk när du skapar under Avancerade inställningar > Konfigurera virtuellt nätverk.You must configure your Compute Instance to be in the same virtual network during creation under Advanced settings > Configure virtual network. Det går inte att lägga till en befintlig beräknings instans i ett virtuellt nätverk.You cannot add an existing Compute Instance to a virtual network.

Azure DatabricksAzure Databricks

Om du vill använda Azure Databricks i ett virtuellt nätverk med din arbets yta måste följande krav uppfyllas:To use Azure Databricks in a virtual network with your workspace, the following requirements must be met:

  • Det virtuella nätverket måste finnas i samma prenumeration och region som Azure Machine Learning-arbetsytan.The virtual network must be in the same subscription and region as the Azure Machine Learning workspace.
  • Om Azure Storage kontona för arbets ytan också är skyddade i ett virtuellt nätverk måste de finnas i samma virtuella nätverk som Azure Databricks-klustret.If the Azure Storage Account(s) for the workspace are also secured in a virtual network, they must be in the same virtual network as the Azure Databricks cluster.
  • Förutom de databricks-privata och databricks-offentliga undernät som används av Azure Databricks, krävs även det standard -undernät som skapats för det virtuella nätverket.In addition to the databricks-private and databricks-public subnets used by Azure Databricks, the default subnet created for the virtual network is also required.

För detaljerad information om hur du använder Azure Databricks med ett virtuellt nätverk, se distribuera Azure Databricks i Azure-Virtual Network.For specific information on using Azure Databricks with a virtual network, see Deploy Azure Databricks in your Azure Virtual Network.

Virtuell dator eller HDInsight-klusterVirtual machine or HDInsight cluster

Viktigt

Azure Machine Learning stöder bara virtuella datorer som kör Ubuntu.Azure Machine Learning supports only virtual machines that are running Ubuntu.

I det här avsnittet får du lära dig hur du använder en virtuell dator eller ett Azure HDInsight-kluster i ett virtuellt nätverk med din arbets yta.In this section you learn how to use a virtual machine or Azure HDInsight cluster in a virtual network with your workspace.

Skapa VM-eller HDInsight-klustretCreate the VM or HDInsight cluster

Skapa ett virtuellt dator kluster eller HDInsight-kluster med hjälp av Azure Portal eller Azure CLI och Lägg klustret i ett virtuellt Azure-nätverk.Create a VM or HDInsight cluster by using the Azure portal or the Azure CLI, and put the cluster in an Azure virtual network. Mer information finns i följande artiklar:For more information, see the following articles:

Konfigurera nätverks portarConfigure network ports

Tillåt Azure Machine Learning att kommunicera med SSH-porten på den virtuella datorn eller klustret och konfigurera en käll post för nätverks säkerhets gruppen.Allow Azure Machine Learning to communicate with the SSH port on the VM or cluster, configure a source entry for the network security group. SSH-porten är vanligt vis port 22.The SSH port is usually port 22. Utför följande åtgärder för att tillåta trafik från den här källan:To allow traffic from this source, do the following actions:

  1. I list rutan källa väljer du service tag.In the Source drop-down list, select Service Tag.

  2. I list rutan käll tjänst tag väljer du AzureMachineLearning.In the Source service tag drop-down list, select AzureMachineLearning.

    Regler för inkommande trafik för att utföra experimentering i ett virtuellt nätverk eller HDInsight-kluster i ett virtuellt nätverk

  3. I list rutan käll port intervall väljer du * .In the Source port ranges drop-down list, select *.

  4. I list rutan mål väljer du valfri.In the Destination drop-down list, select Any.

  5. I list rutan mål Port intervall väljer du 22.In the Destination port ranges drop-down list, select 22.

  6. Under protokoll väljer du valfri.Under Protocol, select Any.

  7. Under åtgärd väljer du Tillåt.Under Action, select Allow.

Behåll standard reglerna för utgående trafik för nätverks säkerhets gruppen.Keep the default outbound rules for the network security group. Mer information finns i standard säkerhets regler i säkerhets grupper.For more information, see the default security rules in Security groups.

Om du inte vill använda de utgående standard reglerna och du vill begränsa den utgående åtkomsten för ditt virtuella nätverk kan du läsa avsnittet begränsa utgående anslutningar från det virtuella nätverket .If you don't want to use the default outbound rules and you do want to limit the outbound access of your virtual network, see the Limit outbound connectivity from the virtual network section.

Anslut VM-eller HDInsight-klustretAttach the VM or HDInsight cluster

Anslut den virtuella datorn eller HDInsight-klustret till din Azure Machine Learning-arbetsyta.Attach the VM or HDInsight cluster to your Azure Machine Learning workspace. Mer information finns i Konfigurera beräknings mål för modell träning.For more information, see Set up compute targets for model training.

Nästa stegNext steps

Den här artikeln är del tre i en serie virtuella nätverks serier i fem delar.This article is part three of a five-part virtual network series. Se resten av artiklarna för att lära dig hur du skyddar ett virtuellt nätverk:See the rest of the articles to learn how to secure a virtual network:

Se även artikeln om hur du använder anpassad DNS för namn matchning.Also see the article on using custom DNS for name resolution.