Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Tento článek vám pomůže implementovat zabezpečené sítě pro úlohy AI na Azure službách platformy. K ochraně citlivých modelů AI potřebujete zabezpečené sítě, zajištění ochrany osobních údajů v datech a udržování požadavků na dodržování předpisů. Správná konfigurace sítě řídí přístup k Foundry a Foundry Tools a současně optimalizuje výkon pro trénování a nasazení modelu.
Použití virtuálních sítí
Virtuální sítě vytvářejí zabezpečené komunikační hranice pro služby AI a brání neoprávněnému přístupu z veřejných sítí. Privátní koncové body eliminují vystavení veřejného internetu při zachování plné funkčnosti a výkonu služeb. Virtuální sítě s privátními koncovými body byste měli použít k ochraně modelů, dat a služeb AI před externími hrozbami. Postupujte následovně:
Vytvořte privátní koncové body pro všechny služby platformy AI. Privátní koncové body poskytují vyhrazená síťová rozhraní ve vaší virtuální síti, která se připojují přímo ke službám Azure. Tato konfigurace odebere vystavení veřejného internetu při zachování plné funkčnosti a výkonu vašich úloh umělé inteligence. Použijte privátní propojení pro Foundry a použijte stejná omezení pro Nástroje Foundry.
Nasaďte podpůrné služby v rámci hranice sítě. Podpůrné služby, jako jsou Azure Storage, Azure Key Vault a Azure Container Registry, musí fungovat ve stejné zabezpečené síťové hranici jako služby AI. Tato konfigurace zajišťuje konzistentní stav zabezpečení napříč všemi komponentami a přitom zachovává správné řízení přístupu pro závislosti úloh AI. Pomocí privátních koncových bodů připojte tyto podpůrné služby ke spravovaným virtuálním sítím, jak je uvedeno v referenční architektuře chatu Baseline Foundry.
Řízení síťového provozu
Řízení síťového provozu definuje, jak data proudí mezi službami AI a externími systémy. Správná omezení provozu chrání citlivá data AI a zajišťují zabezpečené operace. Pokud chcete chránit úlohy AI a udržovat provozní zabezpečení, musíte implementovat řízení provozu. Postupujte následovně:
Nasaďte zabezpečený přístup pomocí infrastruktury jumpboxu. Přístup k Jumpboxu poskytuje centralizovaný vstupní bod do síťového prostředí umělé inteligence při zachování striktních hranic zabezpečení. Tato konfigurace zabraňuje přímému vystavení prostředků AI externím sítím při povolování zabezpečeného přístupu. Použijte jumpbox ve virtuální síti úlohy AI nebo virtuální síti centra připojení a nakonfigurujte Azure Bastion pro zabezpečené připojení RDP/SSH bez vystavení virtuálních počítačů na veřejný internet.
Omezte odchozí provoz na schválené cíle. Omezení odchozího provozu brání neoprávněnému exfiltraci dat a zároveň umožňují potřebnou komunikaci pro trénování a odvozování modelu AI. Tento přístup chrání modely AI a trénovací data při zachování připojení pro legitimní operace. Omezte odchozí provoz na schválené služby a plně kvalifikované názvy domén (FQDN), jak je dokumentováno pro Foundry Tools a Foundry.
Připravte služby rezoluce názvů domén. Nasaďte infrastrukturu Azure DNS jako součást cílové zóny Azure a nakonfigurujte pro příslušné zóny conditional forwarders. Toto nastavení zajišťuje spolehlivé překlad názvů pro zabezpečenou komunikaci mezi úlohami AI a externími systémy.
Nakonfigurujte řízení přístupu k síti. Pomocí skupin zabezpečení sítě (NSG) definujte a vynucujte zásady přístupu pro příchozí a odchozí provoz. Tyto kontroly implementují zásadu nejnižších oprávnění a zajišťují, aby byla povolena pouze důležitá komunikace.
Používejte služby monitorování sítě. Monitorování výkonu a stavu sítě pomocí nástrojů, jako jsou Azure Monitor Network Insights a Azure Network Watcher Pro pokročilou detekci hrozeb a reakci integrujte Microsoft Sentinel do strategie monitorování sítě Azure.
Deploy Azure Firewall k zabezpečení odchozího provozu. Azure Firewall vynucuje zásady zabezpečení pro odchozí provoz před dosažením internetu. Umožňuje řídit a monitorovat odchozí provoz, povolit SNAT pro privátní překlad IP adres a zajistit zabezpečenou a identifikovatelnou odchozí komunikaci.
Použití Azure Web Application Firewall (WAF) pro internetové úlohy Azure WAF chrání úlohy AI před běžnými webovými ohroženími zabezpečení, jako jsou injektáže SQL a útoky skriptování mezi weby. Nakonfigurujte Azure WAF na Application Gateway pro zvýšení zabezpečení úloh vystavených škodlivému webovému provozu.