Kurz: Vytvoření zabezpečeného pracovního prostoru se spravovanou virtuální sítí

V tomto článku se dozvíte, jak vytvořit zabezpečený pracovní prostor Azure Machine Learning a připojit se k němu. Kroky v tomto článku používají virtuální síť spravovanou službou Azure Machine Learning k vytvoření hranice zabezpečení kolem prostředků používaných službou Azure Machine Learning.

V tomto kurzu provedete následující úlohy:

• Vytvořte virtuální počítač jump box a povolte Azure Bastion pro zabezpečený přístup založený na prohlížeči.
• Vytvořte pracovní prostor Azure Machine Learning nakonfigurovaný tak, aby používal spravovanou virtuální síť.
• Připojte se k pracovnímu prostoru přes jump box a Azure Machine Learning Studio.
• Vytvořte výpočetní instanci ve spravované síti.
• Povolte přístup studia k účtu úložiště pracovního prostoru.

Po dokončení tohoto kurzu máte následující architekturu:

• Pracovní prostor Azure Machine Learning, který ke komunikaci prostřednictvím spravované sítě používá privátní koncový bod.
• Účet úložiště Azure, který využívá privátní koncové body k tomu, aby umožnil službám úložiště, jako jsou blob a file, komunikovat prostřednictvím spravované sítě.
• Azure Container Registry, který ke komunikaci prostřednictvím spravované sítě používá privátní koncový bod.
• Azure Key Vault, který ke komunikaci prostřednictvím spravované sítě používá privátní koncový bod.
• Výpočetní instance a výpočetní cluster Azure Machine Learning zabezpečený spravovanou sítí.

Požadavky

• Předplatné Azure. Pokud ještě nemáte předplatné Azure, vytvořte si napřed bezplatný účet. Vyzkoušejte bezplatnou nebo placenou verzi služby Azure Machine Learning.
• Python 3.10 nebo novější

Vytvoření jump boxu (virtuální počítač)

K zabezpečenému pracovnímu prostoru se můžete připojit několika způsoby. V tomto kurzu použijte jump box. Jump box je virtuální počítač ve službě Azure Virtual Network. K němu se můžete připojit pomocí webového prohlížeče a služby Azure Bastion.

Následující tabulka uvádí několik dalších způsobů, jak se můžete připojit k zabezpečenému pracovnímu prostoru:

metoda	Popis
Azure VPN Gateway	Připojí místní sítě k virtuální síti Azure přes privátní připojení. V rámci této virtuální sítě se vytvoří privátní koncový bod pro váš pracovní prostor. Připojení se provádí přes veřejný internet.
ExpressRoute	Připojí místní sítě k cloudu přes privátní připojení. Připojení se provádí pomocí poskytovatele připojení.

Důležité

Při použití brány VPN nebo ExpressRoute naplánujte, jak probíhá překlad názvů mezi vašimi místními prostředky a prostředky v cloudu. Další informace najdete v tématu Použití vlastního serveru DNS.

Pomocí následujících kroků vytvořte virtuální počítač Azure, který se použije jako jump box. Z plochy virtuálního počítače můžete pomocí prohlížeče na virtuálním počítači připojit k prostředkům ve spravované virtuální síti, jako je Azure Machine Learning Studio. Nebo můžete na virtuální počítač nainstalovat vývojové nástroje.

Návod

Následující kroky vytvoří virtuální počítač s Windows 11 Enterprise. V závislosti na vašich požadavcích můžete chtít vybrat jinou image virtuálního počítače. Image Windows 11 (nebo 10) Enterprise je užitečná, pokud potřebujete připojit virtuální počítač k doméně vaší organizace.

1. Na webu Azure Portal vyberte nabídku portálu v levém horním rohu. V nabídce vyberte + Vytvořit prostředek a pak zadejte virtuální počítač. Vyberte položku Virtuální počítač a pak vyberte Vytvořit.

2. Na kartě Základy vyberte předplatné, skupinu prostředků a oblast, ve které chcete vytvořit službu. Zadejte hodnoty pro následující pole:

   • Název virtuálního počítače: Jedinečný název virtuálního počítače.

   • Uživatelské jméno: Uživatelské jméno, které používáte pro přihlášení k virtuálnímu počítači.

   • Heslo: Heslo pro uživatelské jméno.

   • Typ zabezpečení: Standardní.

   • Obrázek: Windows 11 Enterprise.

   • Veřejné příchozí porty: Žádné

     Návod

     Pokud Windows 11 Enterprise není v seznamu pro výběr obrázku, použijte možnost Zobrazit všechny image_. Najděte položku Windows 11 od Microsoftu a pomocí rozevíracího seznamu Vybrat vyberte podnikovou image.

   Ostatní pole můžete ponechat na výchozích hodnotách.

3. Vyberte Sítě. V konfiguraci virtuální sítě ověřte, že adresní prostor nepoužívá rozsah IP adres 172.17.0.0/16. Pokud ano, vyberte jiný rozsah, například 172.16.0.0/16. Rozsah 172.17.0.0/16 může způsobit konflikty s Dockerem.

   Poznámka:

   Virtuální počítač Azure vytvoří vlastní virtuální síť Azure pro izolaci sítě. Tato síť je oddělená od spravované virtuální sítě používané službou Azure Machine Learning.

   

4. Vyberte možnost Kontrola a tvorba. Ověřte správnost informací a pak vyberte Vytvořit.

Povolení služby Azure Bastion pro virtuální počítač

Pomocí služby Azure Bastion se můžete připojit k ploše virtuálního počítače přes prohlížeč.

1. Na webu Azure Portal vyberte virtuální počítač, který jste vytvořili dříve. V části Připojit na stránce vyberte Bastion a pak nasaďte Bastion.

   

2. Jakmile portál nasadí službu Bastion, vrátí vás do dialogového okna připojení. Toto dialogové okno zatím nepoužívejte.

Vytvoření pracovního prostoru

1. Na webu Azure Portal vyberte nabídku portálu v levém horním rohu. V nabídce vyberte + Vytvořit prostředek a pak zadejte Azure Machine Learning. Vyberte položku Azure Machine Learning a pak vyberte Vytvořit.

2. Na kartě Základy vyberte předplatné, skupinu prostředků a oblast, ve které chcete vytvořit službu. Zadejte jedinečný název názvu pracovního prostoru. Zbývající pole ponechte na výchozích hodnotách. Portál vytvoří nové instance požadovaných služeb pro pracovní prostor.

   

3. Na kartě Příchozí přístup v části Příchozí přístup do pracovního prostoru vyberte možnost + Přidat.

4. Ve formuláři Vytvořit privátní koncový bod zadejte jedinečnou hodnotu do pole Název . Vyberte virtuální síť , kterou jste vytvořili dříve s virtuálním počítačem, a vyberte výchozí podsíť. Zbývající pole ponechte na výchozích hodnotách. Vyberte OK a koncový bod uložte.

   

5. Na kartě Odchozí přístup vyberte Povolit odchozí připojení k internetu.

   Poznámka:

   V tomto kurzu se používá odchozí přístup k internetu, aby bylo nastavení jednoduché. Pokud vaše organizace vyžaduje přísnější řízení výchozího přenosu dat, použijte konfiguraci spravované virtuální sítě, která umožňuje pouze schválený odchozí provoz.

   

6. Vyberte možnost Kontrola a tvorba. Ověřte správnost informací a pak vyberte Vytvořit.

7. Jakmile portál vytvoří pracovní prostor, vyberte Přejít k prostředku.

Připojení k desktopové verzi virtuálního počítače

1. Na webu Azure Portal vyberte virtuální počítač, který jste vytvořili dříve.

2. V části Připojit vyberte Bastion. Zadejte uživatelské jméno a heslo, které jste nakonfigurovali pro virtuální počítač, a pak vyberte Připojit.

   

Připojit se ke studiu

V tomto okamžiku se pracovní prostor vytvoří, ale spravovaná virtuální síť není. Při vytváření pracovního prostoru nakonfigurujete spravovanou virtuální síť. Pokud chcete vytvořit spravovanou virtuální síť, vytvořte výpočetní prostředek nebo síť zřiďte ručně.

Důležité

Pokud plánujete spouštět bezserverové úlohy Sparku, před odesláním úloh Sparku ručně spusťte zřizování spravovaných virtuálních sítí.

K vytvoření výpočetní instance použijte následující postup.

1. Na ploše virtuálního počítače otevřete pomocí prohlížeče studio Azure Machine Learning a vyberte pracovní prostor, který jste vytvořili dříve.

2. V sadě Studio vyberte Compute, Výpočetní instance a pak + Nový.

3. V dialogovém okně Konfigurovat požadovaná nastavení zadejte jako název výpočetních prostředků jedinečnou hodnotu. Zbývající výběry ponechte na výchozí hodnotě.

4. Vyberte Vytvořit. Vytvoření výpočetní instance trvá několik minut. Výpočetní instance se vytvoří v rámci spravované sítě.

   Návod

   Vytvoření prvního výpočetního prostředku může trvat několik minut. K tomuto zpoždění dochází, protože se vytváří také spravovaná virtuální síť. Spravovaná virtuální síť se nevytvořila, dokud se nevytvořil první výpočetní prostředek. Další spravované výpočetní prostředky se vytvářejí mnohem rychleji.

Povolit přístup studia k úložišti

Vzhledem k tomu, že Azure Machine Learning studio částečně běží ve webovém prohlížeči klienta, klient potřebuje přímý přístup k výchozímu účtu úložiště pro provádění operací s daty. Pokud chcete povolit přímý přístup, postupujte takto:

1. Na webu Azure Portal vyberte virtuální počítač jump box, který jste vytvořili dříve. V části Přehled zkopírujte veřejnou IP adresu.

2. Na webu Azure Portal vyberte pracovní prostor, který jste vytvořili dříve. V části Přehled vyberte odkaz pro položku Úložiště.

3. V účtu úložiště vyberte Networking a přidejte veřejnou IP adresu jump boxu do části Firewall.

   Návod

   Ve scénáři, kdy místo jump boxu používáte bránu VPN nebo ExpressRoute, můžete do služby Azure Virtual Network přidat privátní koncový bod nebo koncový bod služby pro účet úložiště. Pomocí privátního koncového bodu nebo koncového bodu služby může několik klientů, kteří se připojují přes azure Virtual Network, úspěšně provádět operace úložiště prostřednictvím studia.

   V tomto okamžiku můžete pomocí studia interaktivně pracovat s poznámkovými bloky ve výpočetní instanci a spouštět trénovací úlohy. Pro pokyny se podívejte do Návod: Vývoj modelů.

Uvolnění prostředků

Zatímco je výpočetní instance spuštěná, bude i nadále účtovat vaše předplatné. Pokud se chcete vyhnout nadbytečným nákladům, zastavte ho, když se nepoužívá: v nástroji Azure Machine Learning Studio vyberte Compute, Výpočetní instance, vyberte výpočetní instanci a pak vyberte Zastavit.

Pokud jste s kurzem hotovi a chcete odstranit všechny prostředky, které jste vytvořili, použijte následující postup:

1. Na webu Azure Portal vyberte skupiny prostředků.
2. V seznamu vyberte skupinu prostředků, kterou jste vytvořili v tomto kurzu.
3. Vyberte Odstranit skupinu prostředků.
4. Zadejte název skupiny prostředků a pak vyberte Odstranit.

Další kroky

Teď, když máte zabezpečený pracovní prostor a máte přístup k sadě Studio, zvažte následující zdroje informací:

• Nasazení modelu do online koncového bodu s izolací sítě
• Zabezpečení pracovního prostoru pomocí spravované virtuální sítě
• Kurz: Vývoj modelů na cloudové pracovní stanici