V tomto článku probereme aspekty architektury Azure související s analýzou a implementací běžných kontrolních mechanismů pro správu rizik zabezpečení informací (ISRM).
Architektura
Architektura je znázorněna v tomto diagramu a řídí se principem cílových zón na podnikové úrovni, konkrétně analýzy na podnikové úrovni a referenční architektury AI.
Stáhněte si soubor aplikace Visio s touto architekturou.
Workflow
Architektura se skládá z pracovního postupu popsaného v následujících částech. Každá komponenta architektury má v diagramu odpovídající číslo. Popisujeme hlavní účel komponenty, způsob, jakým zapadá do architektury, a všechny další důležité aspekty, které byste měli vzít při jeho přijetí:
- Předplatná platformy – základní předplatná Azure, která poskytují správu, připojení a identitu prostřednictvím ID Microsoft Entra. Nejsou zde uvedeny podrobněji a předpokládá se, že jsou připravené a dostupné jako součást základního nastavení na podnikové úrovni.
Správa dat
- Zóna správy dat – Zóna správy dat zodpovídá za zásady správného řízení dat napříč platformou a vynucuje ochranné mantinely, které poskytují větší flexibilitu v cílových zónách dat. Má vlastní předplatné a hostuje centralizované služby, jako jsou katalogizace dat, monitorování, audity atd. Toto prostředí je vysoce řízené a podléhá přísným auditům. Všechny typy klasifikace dat jsou uložené v centrálním katalogu dat (Azure Purview). V závislosti na metadatech se vynucují různé zásady a vzory přístupu. Pro celého tenanta existuje jenom jedno předplatné zóny správy dat. Zóna správy dat je v partnerském vztahu (prostřednictvím partnerského vztahu virtuálních sítí) se všemi ostatními cílovými zónami dat. Privátní koncové body se používají, kdykoli je to možné, abyste zajistili, že nasazené služby nebudou přístupné přes veřejný internet.
- Skupina síťových prostředků – Virtuální sítě Azure, skupiny zabezpečení sítě a všechny ostatní prostředky související se sítí potřebné pro zónu správy dat se zřídí v rámci skupiny síťových prostředků.
- Skupina prostředků nasazení – Skupina prostředků nasazení hostuje privátní agenty CI/CD Azure DevOps (virtuální počítače) potřebné pro zónu správy dat a službu Key Vault pro ukládání tajných kódů souvisejících s nasazením.
- Skupina prostředků zásad správného řízení dat – Azure Purview se používá jako řešení zásad správného řízení dat a katalogu dat a slouží k vynucení nezbytných mantinely pro datové sady, které splňují požadavky na data a předpisy pro data, které jsou uloženy zákonem nebo jinými entitami. Purview je hostovaný centrálně v rámci této skupiny prostředků spolu s instancí služby Key Vault pro ukládání tajných kódů.
- Centralizované prostředky – Centralizované prostředky hostují důležité a cenné prostředky, které jsou centrální pro platformu, například:
- Registry kontejnerů Azure, které hostují základní image používané v datových produktech založených na službě Azure Machine Learning (image, které byly dříve zkontrolovány a bez ohrožení zabezpečení)
- Modely AI/Machine Learning publikované a zpřístupněné uživatelům na platformě (aby je bylo možné v případě potřeby nasadit do jedné nebo více cílových zón dat).
- Další služby – Všechny další služby , které by měly být centralizované, je možné hostovat v jedné z těchto skupin prostředků, které můžou zahrnovat centralizované instance služby Azure API Management, software třetích stran atd.
- Skupina prostředků vizualizace dat – Tato skupina prostředků hostuje řešení vizualizace dat sdílená napříč cílovými zónami dat. Řešení můžou být Power BI, Tableau nebo jakékoli jiné řešení vizualizace.
- Další kontroly infrastruktury a zásady správného řízení – Microsoft Defender pro cloud a Azure Monitor se používají jako základní řešení zabezpečení a monitorování.
Cílové zóny dat
Cílová zóna dat 001 – Cílová zóna dat je předplatné, které představuje jednotku škálování v rámci datové platformy. Cílové zóny dat se nasazují na základě architektury základní cílové zóny dat (podrobný plán), včetně všech klíčových funkcí pro hostování analytické platformy a platformy AI. V rámci prostředí může existovat jedna nebo mnoho cílových zón dat. Azure Policy se používá k zachování přístupu a konfigurací různých služeb Azure v bezpečí. Cílová zóna dat je v partnerském vztahu (prostřednictvím partnerského vztahu virtuální sítě) se všemi ostatními cílovými zónami dat a zónou správy dat. Privátní koncové body se používají, kdykoli je to možné, abyste zajistili, že nasazené služby nebudou přístupné přes veřejný internet.
Skupina síťových prostředků – Virtuální sítě Azure, skupiny zabezpečení sítě a všechny ostatní prostředky související se sítěmi potřebné pro cílovou zónu dat se zřídí v rámci této skupiny prostředků.
Skupina prostředků nasazení – Skupina prostředků nasazení hostuje privátní agenty CI/CD Azure DevOps (virtuální počítače) potřebné pro cílovou zónu dat a službu Key Vault pro ukládání tajných kódů souvisejících s nasazením.
Skupina prostředků úložiště dat – Skupina prostředků úložiště dat obsahuje hlavní účty úložiště dat pro tuto cílovou zónu dat nasazené jako Azure Data Lake Storage Gen2 s hierarchickým oborem názvů. Jsou rozložené do tří hlavních oblastí:
- Raw – Data se ingestují ze zdroje dat v původním stavu.
- Kurátorovaná a rozšířená – data se čistí, ověřují a agregují
- Pracovní prostor – Konkrétní datové produkty můžou ukládat datové sady nebo výstupy modelů Machine Learning atd.
Šipky v diagramech zobrazují očekávaný tok dat, od nezpracovaných dat po kurátorovaná a rozšířená (důvěryhodná) data a přes pracovní prostor pro zkoumání, analýzu a poskytování dodatečné hodnoty z datového produktu.
Skupina prostředků integrace dat – Skupina prostředků integrace dat je hostitelem služby Azure Data Factory, která sdílí připojení s místním místním prostředím Integration Runtime (SHIR). Jejím hlavním účelem je navázat připojení. Jiné instance služby Data Factory ji opakovaně používají, aby se připojení zachovalo pouze na jednom místě. Jeho dalším účelem je hostovat místní prostředí Integration Runtime pro službu Azure Purview, aby mělo přístup ke zdrojům dat v této cílové zóně dat pro účely kontroly.
Skupina prostředků správy metadat – Skupina prostředků pro správu metadat hostuje metadata pro Azure Databricks (meta store Hive) a kanály pro příjem a zpracování ve službě Azure Data Factory. Je také hostitelem služby Key Vault pro ukládání tajných kódů pro přístup k datům. Azure SQL Database se používá k hostování metadat.
Skupina prostředků pro příjem dat – Skupina prostředků pro příjem dat hostuje instanci azure Data Factory, kde jsou nasazeny všechny kanály příjmu dat specifické pro datovou doménu. Azure Databricks se používá jako modul pro zpracování, který načítá a transformuje data a ukládá je do účtů Data Lake.
Analytická skupina prostředků – Skupina analytických prostředků zahrnuje dvě sdílené služby pro další analýzu a zkoumání dat: Azure Synapse a Azure Databricks. Obě tyto služby poskytují rozsáhlé výpočetní prostředky a škálování pro rozsáhlé účely zkoumání a analýzy dat.
Skupina prostředků datového produktu – Skupina prostředků datového produktu je podrobný plán pro datový produkt s skupinou prostředků obsahující základní prostředky Azure, které může datový produkt potřebovat. Nasazení by mělo být konfigurovatelné prostřednictvím kanálu Azure DevOps na základě konkrétních potřeb firmy. Základní služby Azure nasazené tady jsou následující:
- Pracovní prostor Azure Machine Learning jako základ pro jakýkoli projekt podnikového strojového učení se souvisejícími službami, jako je Key Vault (pro ukládání tajných kódů)
- Application Insights (pro monitorování modelů)
- Azure Storage (pro ukládání datových sad)
- Azure Container Registry pro ukládání imagí modelů během vývoje
Cognitive Services se nasazuje jako sada, která poskytuje přístup rozhraní API k několika službám založeným na umělé inteligenci a výpočetní instance a výpočetní clustery Azure Machine Learning se používají pro účely vývoje, sestavování modelů a testování. Azure Data Factory se v případě potřeby používá k orchestraci dávkového vyhodnocování modelů. Aplikace Azure Service a Azure Cosmos DB poskytují další vrstvu pro nasazení datového produktu, kde je možné hostovat vlastní aplikaci nebo rozhraní API s vlastním interním úložištěm dat.
Regulovaná odvětví mají obvykle přísná omezení přístupu k datům a obvykle umožňují hostování produkčních dat pouze v produkčním prostředí. Z tohoto důvodu se životní cyklus vývoje datových produktů vyskytuje pouze v cílové zóně produkčních dat a pro účely vývoje, testování a nasazení se zřizuje samostatné prostředí nebo skupina prostředků.
Další datové produkty – Tyto skupiny prostředků hostují jiné datové produkty, protože jedna cílová zóna dat může hostovat jeden nebo mnoho datových produktů.
Sdílená skupina prostředků výpočetních prostředků – Všechny sdílené výpočetní prostředky potřebné pro hostování a nasazování datových produktů se zřídí v rámci této skupiny prostředků. Příkladem je cluster Azure Kubernetes Service.
Další kontroly infrastruktury a zásady správného řízení – Microsoft Defender pro cloud a Azure Monitor se používají jako základní řešení zabezpečení a monitorování.
Cílová zóna dat 002 – Tato cílová zóna je zástupný symbol pro další předplatná Azure, která by se použila k hostování nových cílových zón dat. Jsou založeny na kritériích uvedených dříve, jako jsou požadavky na rezidenci dat, nebo na jiné obchodní jednotce, která má vlastní tým pro křížové funkce a sadu případů použití, které se mají doručit.
Komponenty
- Microsoft Entra ID
- Azure Purview
- Azure Virtual Network
- Azure DevOps
- Azure Container Registry
- Azure Machine Learning
- Microsoft Defender for Cloud
- Azure Monitor
- Azure Policy
- Azure Data Lake Storage
- Azure Data Factory
- Azure SQL Database
- Azure Databricks
- Azure Synapse Analytics
- Azure Kubernetes Service
Alternativy
V distribuovaných organizacích fungují obchodní skupiny nezávisle a s vysokou mírou samostatnosti. Proto můžou zvážit alternativní návrh řešení s úplnou izolací případů použití v cílových zónách Azure, které sdílejí minimální sadu běžných služeb. I když tento návrh umožňuje rychlý start, vyžaduje velké úsilí organizací IT a ISRM, protože návrh jednotlivých případů použití se může rychle lišit od návrhů podrobných plánů. Kromě toho vyžaduje nezávislé procesy ISRM a audity pro každý produkt AI a Machine Learning hostovaný v Azure.
Podrobnosti scénáře
Škálování iniciativ umělé inteligence a strojového učení v regulovaných prostředích představuje významné výzvy pro organizace bez ohledu na jejich digitální vyspělost a velikost. V tomto článku probereme klíčová rozhodnutí o architektuře, která je potřeba zvážit při přijímání služeb přípravy dat a strojového učení Azure v regulovaných odvětvích. Tato rozhodnutí jsou založena na tom, co se naučilo z nedávné implementace v globálním life science a zdravotnické společnosti Fortune 500.
Architektura uvedená v tomto článku se řídí návrhem referenční architektury AI na podnikové úrovni a jednou z jejích prvních implementací.
Pokud nastavíte projekty datových věd a vyvíjíte modely strojového učení v životních vědách a zdravotnických prostředích, budete v téměř všech případech potřebovat přístup ke zdrojům dat s vysokým obchodním dopadem (HBI). Tyto zdroje mohou být například informace protokolu klinického hodnocení bez údajů o pacientech, chemické vzorce molekuly nebo tajné kódy výrobních procesů.
V regulovaných odvětvích jsou IT systémy klasifikovány na základě klasifikace zdrojů dat, které tyto systémy přistupují. Prostředí AI a strojového učení spuštěná v Azure se klasifikují jako HBI a vyžadují, aby splňovaly rozsáhlou sadu zásad a ovládacích prvků ISRM.
Zásady návrhu
Tato architektura je založená na následujících principech:
- Podnikové škálování je přístup založený na architektuře a referenční implementace v souladu s plánem Azure a součástí architektury Microsoft Cloud Adoption Framework (CAF). Umožňuje efektivní výstavbu a operacionalizaci cílových zón v Azure ve velkém měřítku. Cílová zóna názvu se používá jako hranice, ve které se v Azure přistály nové nebo migrované aplikace. V tomto scénáři také odkazuje na části datové platformy, které se používají k hostování dat a modelů AI a Machine Learning.
- Tradiční monolitické architektury datových platforem mají vlastní omezení, které zpomaluje doručování funkcí a hodnot. Architektura popsaná zde umožňuje organizacím škálovat svá datová aktiva a řešit problémy centralizovaného monolitického datového jezera pomocí decentralizovaného přístupu s oddělením vlastnictví (datové sítě). Přístup umožňuje organizacím škálovat na tisíce kanálů a datových produktů a současně udržovat datovou platformu zabezpečenou a udržovatelnou díky oddělení základních datových platforem a služeb pro správu dat (nasazených v samostatné cílové zóně označované jako zóna správy dat) od datových domén a datových produktů (nasazených do jedné nebo více cílových zón dat).
- Předplatná se používají jako jednotky správy a škálování v souladu s obchodními potřebami a prioritami. Škálování se dosahuje poskytnutím nových předplatných (cílových zón dat) obchodním jednotkám na základě kritérií, jako jsou různé obchodní zúčastněné strany, různé obchodní cíle a požadavky a požadavky na rezidenci dat (kde je potřeba data hostovat v konkrétní geografické oblasti).
- Azure Policy se používá k zajištění mantinely a zajištění nepřetržitého dodržování předpisů v it prostředí společnosti.
- Jedna rovina řízení a správy (prostřednictvím webu Azure Portal) poskytuje konzistentní prostředí pro všechny prostředky Azure a kanály zřizování, které podléhají řízení na základě role a řízení na základě zásad. Služby a možnosti platformy nativní pro Azure se používají, kdykoli je to možné.
- Multifunkční týmy přebírají vlastnictví návrhu, vývoje a provozu, aby zkrátily dobu uvedení na trh a flexibilitu v rámci platformy. Základní principy, jako jsou DevOps, Infrastruktura jako kód (IaC) a odolné návrhy, se používají k zabránění lidské chybě a kritickým bodům selhání.
- Odborníci na danou doménu a zdroj dat můžou pomocí datových domén načíst datové prostředky z Azure, třetích stran nebo místních prostředí. Datová doména je skupina prostředků v cílové zóně dat, kterou mohou týmy napříč funkcemi používat pro vlastní příjem dat. V cílové zóně dat může existovat jedna nebo mnoho datových domén. Datové domény je možné zobrazit podobně jako domény v návrhu řízeném doménou, kde poskytují kontextovou hranici a jsou samostatné a izolované. Příkladem datové domény by byly údaje o klinických studiích nebo data dodavatelského řetězce.
Potenciální případy použití
Architektonické aspekty, které jsou popsány v tomto článku, mají svůj zdroj v oblasti věd o životě a zdravotnictví. Jsou ale také relevantní pro organizace v jiných regulovaných odvětvích, včetně těchto odvětví:
- Finanční služby
- Poskytovatelé zdravotní péče
- Ropa a plyn
Implementace referenční architektury analýzy na podnikové úrovni a referenční architektury AI v regulovaných prostředích se řídí podobnými vzory návrhu.
Důležité informace
Tyto aspekty implementují pilíře dobře architektuře Azure, což je sada hlavních principů, které je možné použít ke zlepšení kvality úlohy. Další informace naleznete v tématu Microsoft Azure Well-Architected Framework.
V této části probereme poznatky získané z implementace architektury popsané dříve v životním prostředí a regulovaném prostředí zdravotní péče. Zabýváme se také důležitými aspekty návrhu na vysoké úrovni, abychom splnili běžné kontroly a zásady ISRM.
Zabezpečení
Zabezpečení poskytuje záruky proti záměrným útokům a zneužití cenných dat a systémů. Další informace najdete v tématu Přehled pilíře zabezpečení.
Prostředí
V regulovaných prostředích musí it systémy klasifikované jako HBI mít více oddělených prostředí, jako je vývoj, kvalita a výroba nebo podobné prostředí. Přístup k chráněným zdrojům dat je autorizovaný pouze v produkčních certifikovaných prostředích.
Vzhledem k tomu, že vývoj umělé inteligence a strojového učení vyžaduje přístup k citlivým sadám dat, různé fáze provozního procesu strojového učení, jako je sestavení modelu, trénování a odvozování (nebo podobné), probíhají všechny v produkčním prostředí. Vývojová a kvalitní prostředí se obvykle omezují na infrastrukturu, provoz a typ práce přípravy dat, aby se zajistilo průběžné vylepšování, jakmile budou k dispozici nové služby a funkce Azure.
Aktivity vývoje umělé inteligence a datových věd by se měly provádět v produkčních prostředích s výjimkou sandboxu nebo dřívější průzkumné práce.
Šifrování
K implementaci specifických požadavků na správu šifrovacích klíčů, jako jsou zásady FIPS 140–2 úrovně 2 nebo 3, s integrací klíčů spravovaných zákazníkem (CMK) jsou vyžadovány systémy IT, které přistupují k citlivým obchodním datům, ukládání a zpracování citlivých obchodních dat. Chráněná data musí být vždy šifrovaná při nečinnosti a přenosu pomocí protokolů TLS 1.2 nebo vyšší.
Během návrhu architektury se vyžaduje pečlivá analýza podpory a integrace služeb Azure do infrastruktury CMK organizace. Všechny výjimky šifrování dat musí být zdokumentované. Podpora dodavatelů modulů hardwarového zabezpečení (HSM) se neustále rozšiřuje a další informace najdete v modulu zabezpečení spravovaného hardwaru služby Azure Key Vault.
Návrh sítě a kruhové šermování
Prostředí umělé inteligence a strojového učení musí mít zavedené kruhové ohraničení s implementovanou segmentací sítě a řízením přístupu k síti. Síťová komunikace mezi komponentami architektury je omezená na požadované toky dat a základní infrastrukturu, která funguje v přístupu na seznamu povolených. Měla by se použít analýza založená na podpisu a analýza založená na chování.
Vynucujte řízení přístupu k síti napříč několika vrstvami v architektuře, včetně bran Azure Firewall, kontroly příchozího a odchozího síťového připojení, skupin zabezpečení sítě a přístupu ke koncovému bodu webové aplikace chráněnému firewallem webových aplikací (WAF).
Správa autorizace
Prostředí umělé inteligence a strojového učení spuštěná v Azure musí být integrovaná s hlavním systémem zřizování účtů organizace, kde se odesílají, schválí a auditují žádosti o udělení přístupu k důležitým podnikovým aplikacím.
Očekává se, že se systémy zřizování účtů budou připojovat ke službě Active Directory a ID Microsoft Entra organizace, aby se role autorizace firmy mapují na odpovídající skupiny zabezpečení Služby Active Directory a Microsoft Entra.
Prostředí umělé inteligence a strojového učení se řídí modelem řízení přístupu na základě role. Autorizace řízení na úrovni přístupu zajišťují, že uživatelé můžou provádět pouze úlohy a akce pro jejich roli a obchodní požadavky. Očekává se, že případy použití strojového učení budou vysoce odděleny, protože datoví vědci pracující v konkrétním případě použití mají přístup pouze k prostředkům, které jsou součástí tohoto případu použití, a to v souladu se zásadou nejnižších oprávnění. Mezi tyto prostředky patří:
- Účty úložiště
- Pracovní prostory Azure Machine Learning
- Výpočetní instance
Řízení přístupu na základě role používá skupiny zabezpečení v Microsoft Entra ID.
Vícefaktorové ověřování
Vícefaktorové ověřování musí být zavedeno a implementováno pro přístup ke všem prostředím běžícím v Azure a klasifikovaný jako vysoký obchodní dopad. Vícefaktorové ověřování lze vynutit pomocí vícefaktorových ověřovacích služeb Microsoft Entra. Koncové body aplikací – včetně Azure DevOps, portálu pro správu Azure, Azure Machine Learning, Azure Databricks a Azure Kubernetes Services – by se měly nakonfigurovat v zásadách řízení přístupu k vícefaktorovým ověřováním.
Vícefaktorové ověřování musí být vynuceno všem uživatelům, včetně správců služeb Azure, datových inženýrů a datových vědců.
Provozní dokonalost
Efektivita provozu zahrnuje provozní procesy, které nasazují aplikaci a udržují ji spuštěnou v produkčním prostředí. Další informace najdete v tématu Přehled pilíře efektivity provozu.
Protokolování a monitorování
Všechny služby Azure musí ingestovat události zabezpečení do platformy SECURITY Operations Center (SOC) organizace a zaznamenat by se měly následující události zabezpečení:
- Úspěšné a neúspěšné pokusy o ověření
- Přístup k citlivým datům
- Změny zásad zabezpečení
- Změny skupin uživatelů, uživatelů nebo rolí správců
- Pokud je to možné, přenese se citlivá data do externích umístění
- Aktivace a deaktivace systémů ochrany, jako jsou řízení přístupu na základě atributů (ABAC)
- Aktualizovaný přístup k protokolům a přerušení protokolování
Protokoly zabezpečení Azure je možné ingestovat do SOC různými vzory:
- Centrální pracovní prostor Služby Azure Log Analytics
- Centrum událostí připojené k systémům platformy SOC, jako je Splunk
- Virtuální počítač s Windows a další výpočetní prostředky nasazené s agenty SOC
DevOps
V regulovaných prostředích musí IT systémy dodržovat přísné procesy řízení kvality ve stylu vodopádů, s formálními schváleními (nebo branami) mezi fázemi procesu – jako jsou specifikace požadavků na uživatele, funkční specifikace, návrh a testování nebo podobné – s rozsáhlou a časově náročnou podpůrnou dokumentací.
Prostředí Azure a vývoj datových věd sledují iterativní procesy ukotvené v jazykové verzi DevOps. Značné úsilí při škálování iniciativ umělé inteligence a strojového učení se věnuje komunikaci pilířů organizace DevOps a vytváření automatizovaného kompletního mapování sledovatelnosti mezi náměty, funkcemi, uživatelskými příběhy, testovacími plány a kanály CI/CD a požadovanými entitami kontroly kvality a důkazy.
Efektivita výkonu
Efektivita výkonu je schopnost úlohy škálovat se tak, aby efektivním způsobem splňovala požadavky, které na ni kladou uživatelé. Další informace najdete v tématu Přehled pilíře efektivity výkonu.
Pokud chcete škálovat AI a strojové učení v regulovaných prostředích a řídit rychlý přechod napříč obchodními oblastmi organizace, doporučujeme navrhnout a zavést architekturu přechodu, která bude měřit, monitorovat a vyhodnocovat hodnotu vytvořenou službami Azure. V našem příkladu z oblasti životního života a zdravotnického průmyslu byly vyhodnoceny následující obchodní hodnoty a klíčové ukazatele výkonu:
Škálovatelnost – Pro zajištění škálování architektury Azure spolu s obchodními požadavky se doporučuje bez ohledu na bod škálování následující klíčové ukazatele výkonu:
- Počet výpočetníchinstancích
- Počet spuštěných experimentů
- Počet nasazených modelů
Zrychlení vývoje umělé inteligence – Pro zrychlení vývoje řešení umělé inteligence a strojového učení se navrhují následující klíčové ukazatele výkonu:
- Počet různých obchodních jednotek využívajících služby AI a strojového učení Azure
- Počet uživatelů nasazených v jednotlivých kategoriích – například datoví inženýři, datoví vědci, datoví vědci, datoví vědci a podnikoví uživatelé
- Počet spuštěných experimentů
- Čas mezi onboardingem uživatelů a aktivním využitím
- Doba zřizování služeb – od žádosti o změnu konfigurace až po dokončení zřizování služeb
Dodržování předpisů – Pro zajištění nepřetržitého dodržování předpisů nasazených řešení umělé inteligence a strojového učení se navrhují následující klíčové ukazatele výkonu:
- Celková kompliancy s příslušnými ovládacími prvky ISRM
- Počet upozornění ohrožení zabezpečení
- Počet bezpečnostních incidentů za poslední období
Uživatelské prostředí – Pro zajištění vysoké kvality a konzistentního uživatelského prostředí jsou k dispozici následující klíčové ukazatele výkonu:
- Počet žádostí helpdesku uživatelů
- Net Promoter Score (NPS)
Zabezpečené základy – K zajištění bezpečného a zabezpečeného základu jsou navrženy následující klíčové ukazatele výkonu:
- Dostupnost kritických služeb
- Počet nahlášených incidentů souvisejících s dostupností výkonu
Optimalizace nákladů
Optimalizace nákladů se zabývá způsoby, jak snížit zbytečné výdaje a zlepšit efektivitu provozu. Další informace najdete v tématu Přehled pilíře optimalizace nákladů.
Správa nákladů je důležitou součástí návrhu při implementaci škálovatelných platforem umělé inteligence a strojového učení, protože provozní náklady nedržují jednoduché a předvídatelné vzory. Náklady jsou primárně řízeny počtem a velikostí experimentů umělé inteligence a strojového učení, které se spouští na platformě, a konkrétně na počtu a skladových počtech výpočetních prostředků používaných při trénování a odvozování modelů.
Tady je několik postupů, které doporučujeme:
- Přiřaďte každý případ použití a produkt AI a strojové učení vlastní rozpočet služeb Azure, což je dobrý postup správy nákladů.
- Vytvoření transparentního nákladového modelu pro sdílené služby platformy
- Používejte značky konzistentně k přidružení případů použití a prostředků produktů k nákladovým centrům.
- Pomocí Azure Advisoru a rozpočtu Azure zjistěte, kde se prostředky nepoužívají nejoptimálnějším způsobem, a pravidelně kontrolujte konfigurace.
Přispěvatelé
Tento článek spravuje Microsoft. Původně byla napsána následujícími přispěvateli.
Hlavní autor:
- Eran Sagi | Architekt řešení AI
Další kroky
Naučte se trénovat a nasazovat modely a spravovat životní cyklus strojového učení pomocí služby Azure Machine Learning. Kurzy, příklady kódu, reference k rozhraní API a další, dostupné tady:
Naučte se implementovat cílovou zónu na podnikové úrovni pro analýzu dat a AI v Azure:
Dokumentace k produktu:
Související prostředky
Články s přehledem centra architektury Azure: