Så här skapar du en säker arbetsyta

I den här artikeln får du lära dig hur du skapar och ansluter till en Azure Machine Learning arbetsyta. En säker arbetsyta använder Azure Virtual Network för att skapa en säkerhetsgräns runt resurser som används av Azure Machine Learning.

I den här självstudien utför du följande uppgifter:

Om din miljö uppfyller kraven och du är van att använda ARM-mallar kan du även slutföra de fem första stegen i den här självstudien genom att välja knappen Distribuera till Azure. Du kan fortsätta läsa från Anslut till arbetsytan.

Deploy to Azure

Krav

• Kunskaper om virtuella Azure-nätverk och IP-nätverk
• De flesta av stegen i den här artikeln använder Azure Portal eller Azure Machine Learning Studio, men i vissa steg används Azure CLI-tillägget för Machine Learning.

Skapa ett virtuellt nätverk

Använd följande steg för att skapa ett virtuellt nätverk:

1. I Azure Portalväljer du portalmenyn i det övre vänstra hörnet. I menyn väljer du + Skapa en resurs och anger Virtual Network i sökfältet. Välj Virtual Network post och välj sedan Skapa.

   

   

2. På fliken Grundläggande inställningar väljer du den Azure-prenumeration som ska användas för den här resursen och väljer eller skapar sedan en ny resursgrupp. Under Instansinformation anger du ett eget namn för det virtuella nätverket och väljer den region där du vill skapa det.

   

3. Välj fliken IP-adresser. Standardinställningarna bör likna följande bild:

   

   Använd följande steg för att konfigurera IP-adressen och konfigurera ett undernät för utbildnings- och bedömningsresurser:

   Tips

   Du kan använda ett enda undernät för alla Azure ML-resurser, men stegen i den här artikeln visar hur du skapar två undernät för att separera & bedömningsresurser.

   Arbetsytan och andra beroendetjänster kommer att gå till träningsundernätet. De kan fortfarande användas av resurser i andra undernät, till exempel undernätet för bedömning.

   1. Titta på standardvärdet för IPv4-adressutrymme. I skärmbilden är värdet 172.17.0.0/16. Värdet kan vara ett annat för dig. Du kan använda ett annat värde, men resten av stegen i den här självstudien baseras på värdet 172.17.0.0/16.

   2. Välj standardundernätet och välj sedan Ta bort undernät.

      

   3. Om du vill skapa ett undernät som ska innehålla arbetsytan, beroendetjänsterna och resurserna som används för träning väljer du + Lägg till undernät och använder följande värden för undernätet:

      • Undernätsnamn: Utbildning
      • Adressintervall för undernätet: 172.17.0.0/24

      

      Tips

      Om du planerar att använda en tjänstslutpunkt för att lägga till ditt Azure Storage-konto, Azure Key Vault och Azure Container Registry till det virtuella nätverket väljer du följande under Tjänster:

      • Microsoft.Storage
      • Microsoft.KeyVault
      • Microsoft.ContainerRegistry

      Om du planerar att använda en privat slutpunkt för att lägga till dessa tjänster i det virtuella nätverket behöver du inte välja dessa poster. Stegen i den här artikeln använder en privat slutpunkt för dessa tjänster, så du behöver inte välja dem när du följer dessa steg.

   4. Om du vill skapa ett undernät för beräkningsresurser som används för att poängsätter dina modeller väljer du + Lägg till undernät igen och använder följande värden:

      • Undernätsnamn: Bedömning
      • Adressintervall för undernätet: 172.17.1.0/24

      

      Tips

      Om du planerar att använda en tjänstslutpunkt för att lägga till ditt Azure Storage-konto, Azure Key Vault och Azure Container Registry till det virtuella nätverket väljer du följande under Tjänster:

      • Microsoft.Storage
      • Microsoft.KeyVault
      • Microsoft.ContainerRegistry

      Om du planerar att använda en privat slutpunkt för att lägga till dessa tjänster i det virtuella nätverket behöver du inte välja dessa poster. Stegen i den här artikeln använder en privat slutpunkt för dessa tjänster, så du behöver inte välja dem när du följer dessa steg.

4. Välj Säkerhet. För BastionHost väljer du Aktivera. Azure Bastion är ett säkert sätt att komma åt hoppboxen för virtuella datorer som du skapar i det virtuella nätverket i ett senare steg. Använd följande värden för de återstående fälten:

   • Skyddsnamn: Ett unikt namn för den här Bastion-instansen
   • AzureBastionSubnetAddress-utrymme: 172.17.2.0/27
   • Offentlig IP-adress: Skapa en ny offentlig IP-adress.

   Lämna standardvärdena för övriga fält.

   

5. Välj Granska + skapa.

   

6. Kontrollera att informationen är korrekt och välj sedan Skapa.

   

Skapa ett lagringskonto

1. I Azure Portalväljer du portalmenyn i det övre vänstra hörnet. I menyn väljer du + Skapa en resurs och anger sedan Storage konto. Välj Storage konto och välj sedan Skapa.

2. På fliken Grundläggande inställningar väljer du den prenumeration, resursgrupp och region som du tidigare använde för det virtuella nätverket. Ange ett unikt Storage och ange Redundans till Lokalt redundant lagring (LRS).

   

3. På fliken Nätverk väljer du Privat slutpunkt och sedan + Lägg till privat slutpunkt.

   

4. I formuläret Skapa privat slutpunkt använder du följande värden:

   • Prenumeration: Samma Azure-prenumeration som innehåller de tidigare resurser som du har skapat.
   • Resursgrupp: Samma Azure-resursgrupp som innehåller de tidigare resurserna som du har skapat.
   • Plats: Samma Azure-region som innehåller tidigare resurser som du har skapat.
   • Namn: Ett unikt namn för den här privata slutpunkten.
   • Målunderresurs: blob
   • Virtuellt nätverk: Det virtuella nätverk som du skapade tidigare.
   • Undernät: Träning (172.17.0.0/24)
   • Privat DNS integrering: Ja
   • Privat DNS Zone: privatelink.blob.core.windows.net

   Välj OK för att skapa den privata slutpunkten.

5. Välj Granska + skapa. Kontrollera att informationen är korrekt och välj sedan Skapa.

6. När Storage konto har skapats väljer du Gå till resurs:

   

7. I det vänstra navigeringsfönstret väljer du Nätverk på fliken Privata slutpunktsanslutningar och sedan + Privat slutpunkt:

   Anteckning

   När du skapade en privat slutpunkt för Blob Storage i föregående steg måste du också skapa en för File Storage.

   

8. I formuläret Skapa en privat slutpunkt använder du samma prenumeration, resursgrupp och region som du har använt för tidigare resurser. Ange ett unikt namn.

   

9. Välj Nästa: Resurs och ange sedan Målunderresurs till filen.

   

10. Välj Nästa: Konfiguration och använd sedan följande värden:

    • Virtuellt nätverk: Nätverket som du skapade tidigare
    • Undernät: Utbildning
    • Integrera med privat DNS-zon: Ja
    • Privat DNS zon: privatelink.file.core.windows.net

    

11. Välj Granska + skapa. Kontrollera att informationen är korrekt och välj sedan Skapa.

Skapa ett nyckelvalv

1. I Azure Portalväljer du portalmenyn i det övre vänstra hörnet. I menyn väljer du + Skapa en resurs och anger sedan Key Vault. Välj Key Vault och välj sedan Skapa.

2. På fliken Grundläggande inställningar väljer du prenumerationen, resursgruppen och regionen som du tidigare använde för det virtuella nätverket. Ange ett unikt nyckelvalv med namnet. Lämna standardvärdet för övriga fält.

   

3. På fliken Nätverk väljer du Privat slutpunkt och sedan + Lägg till.

   

4. I formuläret Skapa privat slutpunkt använder du följande värden:

   • Prenumeration: Samma Azure-prenumeration som innehåller de tidigare resurserna som du har skapat.
   • Resursgrupp: Samma Azure-resursgrupp som innehåller de tidigare resurserna som du har skapat.
   • Plats: Samma Azure-region som innehåller de tidigare resurserna som du har skapat.
   • Namn: Ett unikt namn för den här privata slutpunkten.
   • Målunderresurs: Valv
   • Virtuellt nätverk: Det virtuella nätverk som du skapade tidigare.
   • Undernät: Träning (172.17.0.0/24)
   • Privat DNS integrering: Ja
   • Privat DNS Zone: privatelink.vaultcore.azure.net

   Välj OK för att skapa den privata slutpunkten.

   

5. Välj Granska + skapa. Kontrollera att informationen är korrekt och välj sedan Skapa.

Skapa ett containerregister

1. I Azure Portalväljer du portalmenyn i det övre vänstra hörnet. I menyn väljer du + Skapa en resurs och anger sedan Container Registry. Välj Container Registry och välj sedan Skapa.

2. På fliken Grundläggande inställningar väljer du prenumerationen, resursgruppen och platsen som du tidigare använde för det virtuella nätverket. Ange ett unikt registernamn och ange SKU:n till Premium.

   

3. På fliken Nätverk väljer du Privat slutpunkt och sedan + Lägg till.

   

4. I formuläret Skapa privat slutpunkt använder du följande värden:

   • Prenumeration: Samma Azure-prenumeration som innehåller de tidigare resurserna som du har skapat.
   • Resursgrupp: Samma Azure-resursgrupp som innehåller de tidigare resurserna som du har skapat.
   • Plats: Samma Azure-region som innehåller de tidigare resurserna som du har skapat.
   • Namn: Ett unikt namn för den här privata slutpunkten.
   • Målunderresurs: register
   • Virtuellt nätverk: Det virtuella nätverk som du skapade tidigare.
   • Undernät: Träning (172.17.0.0/24)
   • Privat DNS integrering: Ja
   • Privat DNS Zon: privatelink.azurecr.io

   Välj OK för att skapa den privata slutpunkten.

   

5. Välj Granska + skapa. Kontrollera att informationen är korrekt och välj sedan Skapa.

6. När containerregistret har skapats väljer du Gå till resurs.

   

7. Till vänster på sidan väljer du Åtkomstnycklar och aktiverar sedan Administratörsanvändare. Den här inställningen krävs när du använder Azure Container Registry i ett virtuellt nätverk med Azure Machine Learning.

   

Skapa en arbetsyta

1. I Azure Portalväljer du portalmenyn i det övre vänstra hörnet. I menyn väljer du + Skapa en resurs och anger sedan Machine Learning. Välj Machine Learning och välj sedan Skapa.

   

2. På fliken Grundläggande inställningar väljer du prenumerationen, resursgruppen och den region som du tidigare använde för det virtuella nätverket. Använd följande värden för de andra fälten:

   • Namn på arbetsyta: Ett unikt namn för din arbetsyta.
   • Storage konto: Välj det lagringskonto som du skapade tidigare.
   • Nyckelvalv: Välj det nyckelvalv som du skapade tidigare.
   • Application Insights: Använd standardvärdet.
   • Containerregister: Använd det containerregister som du skapade tidigare.

   

3. På fliken Nätverk väljer du Privat slutpunkt och sedan + lägg till.

   

4. I formuläret Skapa privat slutpunkt använder du följande värden:

   • Prenumeration: Samma Azure-prenumeration som innehåller de tidigare resurserna som du har skapat.
   • Resursgrupp: Samma Azure-resursgrupp som innehåller de tidigare resurserna som du har skapat.
   • Plats: Samma Azure-region som innehåller de tidigare resurserna som du har skapat.
   • Namn: Ett unikt namn för den här privata slutpunkten.
   • Målunderresurs: amlworkspace
   • Virtuellt nätverk: Det virtuella nätverk som du skapade tidigare.
   • Undernät: Träning (172.17.0.0/24)
   • Privat DNS: Ja
   • Privat DNS zon: Låt de två privata DNS-zonerna ha standardvärdena för privatelink.api.azureml.ms och privatelink.notebooks.azure.net.

   Välj OK för att skapa den privata slutpunkten.

   

5. Välj Granska + skapa. Kontrollera att informationen är korrekt och välj sedan Skapa.

6. När arbetsytan har skapats väljer du Gå till resurs.

7. I avsnittet Inställningar till vänster väljer du Privata slutpunktsanslutningar och sedan länken i kolumnen Privat slutpunkt:

   

8. När informationen om den privata slutpunkten visas väljer du DNS-konfiguration till vänster på sidan. Spara IP-adressen och FQDN-informationen (fullständigt domännamn) på den här sidan, eftersom den kommer att användas senare.

   

Aktivera studio

Azure Machine Learning studio är ett webbaserat program som gör att du enkelt kan hantera din arbetsyta. Den behöver dock viss extra konfiguration innan den kan användas med resurser som skyddas i ett VNet. Använd följande steg för att aktivera Studio:

1. När du använder ett Azure Storage-konto som har en privat slutpunkt lägger du till tjänstens huvudnamn för arbetsytan som läsare för lagringens privata slutpunkter. Från Azure Portal väljer du ditt lagringskonto och sedan Nätverk. Välj sedan Privata slutpunktsanslutningar.

   

2. Använd följande steg för varje privat slutpunkt i listan:

   1. Välj länken i kolumnen Privat slutpunkt.

      

   2. Välj Åtkomstkontroll (IAM) på vänster sida.

   3. Välj + Lägg till och sedan Lägg till rolltilldelning (förhandsversion).

      

   4. Välj Läsare på fliken Roll.

      

   5. På fliken Medlemmar väljer du Användare, grupp eller tjänstens huvudnamn i området Tilldela åtkomst till och väljer sedan + Välj medlemmar. I dialogrutan Välj medlemmar anger du namnet som din Azure Machine Learning arbetsyta. Välj tjänstens huvudnamn för arbetsytan och använd sedan knappen Välj.

   6. På fliken Granska + tilldela väljer du Granska + tilldela för att tilldela rollen.

Anslut till arbetsytan

Det finns flera sätt att ansluta till den skyddade arbetsytan. Stegen i den här artikeln använder en jumpbox, som är en virtuell dator i det virtuella nätverket. Du kan ansluta till den via webbläsaren och Azure Bastion. I följande tabell visas flera andra sätt som du kan ansluta till den säkra arbetsytan:

Skapa en jumpbox (VM)

Använd följande steg för att skapa en Data Science Virtual Machine som ska användas som en jumpbox:

1. I Azure Portalväljer du portalmenyn i det övre vänstra hörnet. På menyn väljer du + Skapa en resurs och anger sedan Data science virtual machine. Välj posten Data science virtual machine - Windows och välj sedan Skapa.

2. På fliken Grundläggande inställningar väljer du den prenumeration, resursgrupp och region som du tidigare använde för det virtuella nätverket. Ange ett unikt namn på virtuell dator, användarnamn och lösenord. Lämna standardvärdena för övriga fält.

   

3. Välj Nätverk och välj sedan det virtuella nätverk som du skapade tidigare. Använd följande information för att ange återstående fält:

   • Välj undernätet Träning.
   • Ange Offentlig IP till Ingen.
   • Lämna standardvärdet för övriga fält.

   

4. Välj Granska + skapa. Kontrollera att informationen är korrekt och välj sedan Skapa.

Anslut till hoppboxen

1. När den virtuella datorn har skapats väljer du Gå till resurs.

2. Längst upp på sidan väljer du Anslut sedan Bastion.

   

3. Välj Använd Bastion och ange sedan din autentiseringsinformation för den virtuella datorn så upprättas en anslutning i webbläsaren.

   

Skapa ett beräkningskluster och en beräkningsinstans

Ett beräkningskluster används av dina träningsjobb. En beräkningsinstans ger en Jupyter Notebook på en delad beräkningsresurs som är kopplad till din arbetsyta.

1. Från en Azure Bastion anslutning till hoppboxen öppnar Microsoft Edge webbläsaren på fjärrskrivbordet.

2. I fjärrwebbläsaresessionen går du till https://ml.azure.com . Autentisera med ditt Azure AD-konto när du uppmanas till det.

3. Från Välkommen till Studio! väljer du den Machine Learning som du skapade tidigare och väljer sedan Kom igång.

   Tips

   Om ditt Azure AD-konto har åtkomst till flera prenumerationer eller kataloger använder du listrutan Katalog och prenumeration för att välja den som innehåller arbetsytan.

   

4. Från Studio väljer du Compute, Beräkningskluster och sedan + Ny.

   

5. I dialogrutan Virtuell dator väljer du Nästa för att acceptera standardkonfigurationen för den virtuella datorn.

   

6. I dialogrutan Konfigurera Inställningar anger du cpu-cluster som beräkningsnamn. Ange Undernät till Träning och välj sedan Skapa för att skapa klustret.

   Tips

   Beräkningskluster skalar noderna dynamiskt i klustret efter behov. Vi rekommenderar att du lämnar det minsta antalet noder på 0 för att minska kostnaderna när klustret inte används.

   

7. Från Studio väljer du Compute, Compute-instans och sedan + Ny.

   

8. I dialogrutan Virtuell dator anger du ett unikt datornamn och väljer Nästa: Avancerat Inställningar.

   

9. I dialogrutan Avancerad Inställningar anger du Undernät till Träning och väljer sedan Skapa.

   

Mer information om hur du skapar ett beräkningskluster och beräkningskluster, inklusive hur du gör det med Python och CLI, finns i följande artiklar:

• Skapa ett beräkningskluster
• Skapa en beräkningsinstans

Konfigurera avbildningsbyggen

När Azure Container Registry finns bakom det virtuella nätverket kan Azure Machine Learning använda det för att direkt skapa Docker-avbildningar (används för träning och distribution). Konfigurera i stället arbetsytan så att den använder beräkningsklustret som du skapade tidigare. Använd följande steg för att skapa ett beräkningskluster och konfigurera arbetsytan så att den använder den för att skapa avbildningar:

1. Gå till https://shell.azure.com/ för att öppna Azure Cloud Shell.

2. Från Cloud Shell du följande kommando för att installera 1.0 CLI för Azure Machine Learning:

   az extension add -n azure-cli-ml
   

3. Så här uppdaterar du arbetsytan till att använda beräkningsklustret för att skapa Docker-avbildningar. Ersätt docs-ml-rg med din resursgrupp. Ersätt docs-ml-ws med din arbetsyta. Ersätt cpu-cluster med beräkningsklustret som ska användas:

   az ml workspace update -g docs-ml-rg -w docs-ml-ws --image-build-compute cpu-cluster
   

   Anteckning

   Du kan använda samma beräkningskluster för att träna modeller och skapa Docker-avbildningar för arbetsytan.

Använda arbetsytan

Nu kan du använda Studio för att interaktivt arbeta med notebook-datorer på beräkningsinstansen och köra träningsjobb i beräkningsklustret. En självstudiekurs om hur du använder beräkningsinstansen och beräkningsklustret finns i Köra ett Python-skript.

Stoppa beräkningsinstans och jumpbox

Beräkningsklustret skalar dynamiskt mellan det lägsta och högsta antalet noder när du skapade det. Om du har accepterat standardvärdena är minimivärdet 0, vilket i praktiken stänger av klustret när det inte används.

Stoppa beräkningsinstansen

Från Studio väljer du Compute, Beräkningskluster och sedan beräkningsinstansen. Välj slutligen Stoppa överst på sidan.

Stoppa hoppboxen

När den har skapats väljer du den virtuella datorn i Azure Portal och använder sedan knappen Stoppa. När du är redo att använda den igen använder du knappen Start för att starta den.

Du kan också konfigurera hoppboxen så att den stängs av automatiskt vid en viss tidpunkt. Det gör du genom att välja Automatisk avstängning, Aktivera, ange en tid och sedan välja Spara.

Rensa resurser

Om du planerar att fortsätta använda den skyddade arbetsytan och andra resurser hoppar du över det här avsnittet.

Om du vill ta bort alla resurser som skapats i den här självstudien använder du följande steg:

1. I Azure-portalen väljer du Resursgrupper längst till vänster.

2. I listan väljer du den resursgrupp som du skapade i den här självstudien.

3. Välj Ta bort resursgrupp.

   

4. Ange resursgruppens namn och välj sedan Ta bort.

Nästa steg

Nu när du har skapat en säker arbetsyta och har åtkomst till Studio kan du lära dig hur du kör ett Python-skript med Azure Machine Learning.