Verwenden von GitHub Actions mit Azure Machine Learning

GILT FÜR:Azure CLI ML-Erweiterung v2 (aktuell)Python SDK azure-ai-ml v2 (aktuell)

Beginnen Sie mit dem Trainieren eines Modells in Azure Machine Learning mithilfe von GitHub Actions.

In diesem Artikel erfahren Sie, wie Sie einen GitHub Actions-Workflow erstellen, der ein Machine Learning-Modell für Azure Machine Learning erstellt und bereitstellt. Dazu trainieren Sie ein lineares scikit-learn-Regressionsmodell mit dem NYC Taxi-Dataset.

GitHub Actions verwendet für den Workflow eine YAML-Datei (.yml) unter dem Pfad /.github/workflows/ in Ihrem Repository. Diese Definition enthält die verschiedenen Schritte und Parameter, die den Workflow bilden.

Voraussetzungen

• Ein Azure Machine Learning-Arbeitsbereich. Schritte zum Erstellen eines Arbeitsbereichs finden Sie unter Erstellen des Arbeitsbereichs.

• Das Azure Machine Learning SDK für Python v2. Verwenden Sie den folgenden Befehl, um das SDK zu installieren:

  pip install azure-ai-ml azure-identity
  

  Verwenden Sie den folgenden Befehl, um eine vorhandene Installation des SDK auf die neueste Version zu aktualisieren:

  pip install --upgrade azure-ai-ml azure-identity
  

  Weitere Informationen finden Sie in der Clientbibliothek des Azure Machine Learning-Pakets für Python.

• Ein GitHub-Konto. Falls Sie noch nicht über ein Konto verfügen, können Sie sich kostenlos registrieren.

Schritt 1: Abrufen des Codes

Verzweigen Sie das folgende Repository auf GitHub:

https://github.com/azure/azureml-examples

Klonen Sie Ihr geforktes Repository lokal.

git clone https://github.com/YOUR-USERNAME/azureml-examples

Schritt 2: Authentifizieren bei Azure

Sie müssen zuerst angeben, wie die Authentifizierung bei Azure erfolgt. Die empfohlene, sicherere Option besteht darin, sich über OpenID Connect mit einer Microsoft Entra-Anwendung oder einer benutzerseitig zugewiesenen verwalteten Identität anzumelden. Bei Bedarf können Sie sich auch mit einem Dienstprinzipal und Geheimnis anmelden. Dieser Ansatz ist nicht so sicher und wird nicht empfohlen.

Generieren von Anmeldeinformationen für die Bereitstellung

OpenID Connect

Um die Aktion „Azure-Anmeldung“ mit OIDC zu verwenden, müssen Sie Anmeldeinformationen für eine Verbundidentität in einer Microsoft Entra-Anwendung oder eine benutzerseitig zugewiesene verwaltete Identität konfigurieren.

Option 1: Microsoft Entra-Anwendung

• Erstellen Sie eine Microsoft Entra-Anwendung mit einem Dienstprinzipal im Azure-Portal, mit Azure CLI oder Azure PowerShell.
• Kopieren Sie die Werte für Client-ID, Abonnement-ID, und Verzeichnis-ID (Mandanten-ID), um sie später in Ihrem GitHub Actions-Workflow zu verwenden.
• Weisen Sie Ihrem Dienstprinzipal über das Azure-Portal, die Azure CLI oder Azure PowerShell eine geeignete Rolle zu.
• Konfigurieren Sie Verbundidentitäts-Anmeldeinformationen für eine Microsoft Entra-Anwendung, um Token zu vertrauen, die von GitHub Actions an Ihr GitHub-Repository ausgestellt wurden.

Option 2: Benutzerseitig zugewiesene verwaltete Identität

• Erstellen einer benutzerseitig zugewiesenen verwalteten Identität.
• Kopieren Sie die Werte für Client-ID, Abonnement-ID, und Verzeichnis-ID (Mandanten-ID), um sie später in Ihrem GitHub Actions-Workflow zu verwenden.
• Weisen Sie der benutzerseitig zugewiesenen verwalteten Identität eine geeignete Rolle zu.
• Konfigurieren Sie Verbundidentitäts-Anmeldeinformationen für eine benutzerseitig zugewiesene verwaltete Identität, um Token zu vertrauen, die von GitHub Actions an Ihr GitHub-Repository ausgegeben werden.

Dienstprinzipal

• Erstellen Sie eine Microsoft Entra-Anwendung mit einem Dienstprinzipal im Azure-Portal, mit Azure CLI oder Azure PowerShell.
• Erstellen Sie über das Azure-Portal, die Azure CLI oder Azure PowerShell einen geheimen Clientschlüssel für Ihren Dienstprinzipal.
• Kopieren Sie die Werte für Client-ID, Geheimer Clientschlüssel, Abonnement-ID,und Verzeichnis-ID (Mandanten-ID), um sie später in Ihrem GitHub Actions-Workflow zu verwenden.
• Weisen Sie Ihrem Dienstprinzipal über das Azure-Portal, die Azure CLI oder Azure PowerShell eine geeignete Rolle zu.

Erstellen von Geheimnissen

OpenID Connect

Sie müssen die Client-ID Ihrer Anwendung, die Verzeichnis-ID (Mandanten-ID) und die Abonnement-ID für die Anmeldeaktion bereitstellen. Diese Werte können entweder direkt im Workflow bereitgestellt werden oder in GitHub-Geheimnissen gespeichert und darauf in Ihrem Workflow verwiesen werden. Das Speichern der Werte als GitHub-Geheimnisse ist die sicherere Option.

1. Wechseln Sie in GitHub zu Ihrem Repository.

2. Wählen Sie Security > Secrets and variables > Actions (Sicherheit > Geheimnisse und Variablen > Aktionen) aus.

   

3. Wählen Sie New repository secret (Neues Repositorygeheimnis) aus.

   Hinweis

   Um die Sicherheit von Workflows in öffentlichen Repositorys zu verbessern, verwenden Sie Umgebungsgeheimnisse anstelle von geheimen Repositorygeheimnissen. Wenn für die Umgebung eine Genehmigung erforderlich ist, kann ein Auftrag erst dann auf Umgebungsgeheimnisse zugreifen, wenn einer der erforderlichen Reviewer den Auftrag genehmigt hat.

4. Erstellen Sie Geheimnisse für AZURE_CLIENT_ID, AZURE_TENANT_ID und AZURE_SUBSCRIPTION_ID. Kopieren Sie diese Werte aus Ihrer Microsoft Entra-Anwendung oder benutzerseitig zugewiesenen verwalteten Identität für Ihre GitHub-Geheimnisse:

   GitHub-Geheimnis	Microsoft Entra-Anwendung oder benutzerseitig zugewiesene verwaltete Identität
   AZURE_CLIENT_ID	Client-ID
   AZURE_SUBSCRIPTION_ID	Abonnement-ID
   AZURE_TENANT_ID (Azure-Mandanten-ID)	Verzeichnis-ID (Mandant)

   Hinweis

   Aus Sicherheitsgründen empfehlen wir die Verwendung von GitHub-Geheimnissen, anstatt Werte direkt an den Workflow zu übergeben.

Dienstprinzipal

1. Wechseln Sie in GitHub zu Ihrem Repository.

2. Gehen Sie im Navigationsmenü auf Einstellungen.

3. Wählen Sie Security > Secrets and variables > Actions (Sicherheit > Geheimnisse und Variablen > Aktionen) aus.

   

4. Wählen Sie New repository secret (Neues Repositorygeheimnis) aus.

5. Fügen Sie die gesamte JSON-Ausgabe aus dem Azure CLI-Befehl in das Wertfeld des Geheimnisses ein. Geben Sie dem Geheimnis den Namen AZURE_CREDENTIALS.

6. Klicken Sie auf Add secret (Geheimnis hinzufügen).

Schritt 3: Aktualisieren von setup.sh zum Herstellen einer Verbindung mit Ihrem Azure Machine Learning-Arbeitsbereich

Sie müssen die CLI-Setup-Dateivariablen Ihrem Arbeitsbereich entsprechend aktualisieren.

1. Wechseln Sie in Ihrem geforkten Repository zu azureml-examples/cli/.

2. Bearbeiten Sie setup.sh und aktualisieren Sie diese Variablen in der Datei.

   Variable	Beschreibung
   GRUPPE	Name der Ressourcengruppe
   LAGERPLATZ	Speicherort Ihres Arbeitsbereichs (Beispiel: eastus2)
   ARBEITSBEREICH	Name des Azure Machine Learning-Arbeitsbereichs

Schritt 4: Aktualisieren von pipeline.yml mit Ihrem Computeclusternamen

Sie verwenden eine pipeline.yml-Datei zum Bereitstellen Ihrer Azure Machine Learning-Pipeline. Die Pipeline ist eine Machine Learning-Pipeline und keine DevOps-Pipeline. Sie müssen diese Aktualisierung nur vornehmen, wenn Sie einen anderen Namen als cpu-cluster für Ihren Computerclusternamen verwenden.

1. Wechseln Sie in Ihrem geforkten Repository zu azureml-examples/cli/jobs/pipelines/nyc-taxi/pipeline.yml.
2. Wenn compute: azureml:cpu-cluster angezeigt wird, aktualisieren Sie den Wert cpu-cluster mit Ihrem Computeclusternamen. Heißt Ihr Cluster z. B. my-cluster, wäre der neue Wert azureml:my-cluster. Es gibt fünf Aktualisierungen.

Schritt 5: Ausführen des GitHub Actions-Workflows

Ihr Workflow führt die Authentifizierung bei Azure durch, richtet die Azure Machine Learning-CLI ein und verwendet die CLI, um ein Modell in Azure Machine Learning zu trainieren.

OpenID Connect

Ihre Workflowdatei besteht aus einem Auslöserabschnitt und Aufträgen:

• Ein Auslöser startet den Workflow im Abschnitt on. Der Workflow wird standardmäßig gemäß einem Cron-Zeitplan ausgeführt sowie wenn eine Pull-Anforderung aus übereinstimmenden Zweigen und Pfaden erfolgt. Erfahren Sie mehr über Ereignisse zum Auslösen von Workflows.
• Im Abschnitt „Aufträge“ des Workflows können Sie Code auschecken und sich mit der Azure-Anmeldeaktion über OpenID Connect bei Azure anmelden.
• Der Abschnitt „Aufträge“ enthält außerdem eine Setup-Aktion, die die Machine Learning-CLI (v2) installiert und einrichtet. Nachdem die CLI installiert wurde, führt die Aktion „Auftrag ausführen“ Ihre Azure Machine Learning pipeline.yml-Datei aus und trainiert ein Modell mit NYC-Taxidaten.

Aktivieren Ihres Workflows

1. Öffnen Sie im geforkten Repository .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml und überprüfen Sie, ob Ihr Workflow wie folgt aussieht.

   name: cli-jobs-pipelines-nyc-taxi-pipeline
   on:
     workflow_dispatch:
     schedule:
       - cron: "0 0/4 * * *"
     pull_request:
       branches:
         - main
         - sdk-preview
       paths:
         - cli/jobs/pipelines/nyc-taxi/**
         - .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml
         - cli/run-pipeline-jobs.sh
         - cli/setup.sh
   jobs:
     build:
       runs-on: ubuntu-latest
       steps:
       - name: check out repo
         uses: actions/checkout@v2
       - name: azure login
         uses: azure/login@v2
         with:
             client-id: ${{ secrets.AZURE_CLIENT_ID }}
             tenant-id: ${{ secrets.AZURE_TENANT_ID }}
             subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}
       - name: setup
         run: bash setup.sh
         working-directory: cli
         continue-on-error: true
       - name: run job
         run: bash -x ../../../run-job.sh pipeline.yml
         working-directory: cli/jobs/pipelines/nyc-taxi
   

2. Wählen Sie Ausführungen anzeigen aus.

3. Aktivieren Sie Workflows, indem Sie die Option „I understand my workflows, go ahead and enable them“ (Ich verstehe meine Workflows, und sie sollen aktiviert werden) auswählen.

4. Wählen Sie den Workflow cli-jobs-pipelines-nyc-taxi-pipeline aus und wählen Sie Workflow aktivieren.

   

5. Wählen Sie Workflow ausführen aus und wählen Sie aus, dass der Workflow jetzt ausgeführt werden soll.

   

Dienstprinzipal

Ihre Workflowdatei besteht aus einem Auslöserabschnitt und Aufträgen:

• Ein Auslöser startet den Workflow im Abschnitt on. Der Workflow wird standardmäßig gemäß einem Cron-Zeitplan ausgeführt sowie wenn eine Pull-Anforderung aus übereinstimmenden Zweigen und Pfaden erfolgt. Erfahren Sie mehr über Ereignisse zum Auslösen von Workflows.
• Im Abschnitt „Aufträge“ des Workflows können Sie Code auschecken und sich mit Ihrem Dienstprinzipalschlüssel bei Azure anmelden.
• Der Abschnitt „Aufträge“ enthält außerdem eine Setup-Aktion, die die Machine Learning-CLI (v2) installiert und einrichtet. Nachdem die CLI installiert wurde, führt die Aktion „Auftrag ausführen“ Ihre Azure Machine Learning pipeline.yml-Datei aus und trainiert ein Modell mit NYC-Taxidaten.

Aktivieren Ihres Workflows

1. Öffnen Sie im geforkten Repository .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml und überprüfen Sie, ob Ihr Workflow wie folgt aussieht.

   name: cli-jobs-pipelines-nyc-taxi-pipeline
   on:
     workflow_dispatch:
     schedule:
       - cron: "0 0/4 * * *"
     pull_request:
       branches:
         - main
         - sdk-preview
       paths:
         - cli/jobs/pipelines/nyc-taxi/**
         - .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml
         - cli/run-pipeline-jobs.sh
         - cli/setup.sh
   jobs:
     build:
       runs-on: ubuntu-latest
       steps:
       - name: check out repo
         uses: actions/checkout@v2
       - name: azure login
         uses: azure/login@v2
         with:
           creds: ${{secrets.AZURE_CREDENTIALS}}
       - name: setup
         run: bash setup.sh
         working-directory: cli
         continue-on-error: true
       - name: run job
         run: bash -x ../../../run-job.sh pipeline.yml
         working-directory: cli/jobs/pipelines/nyc-taxi
   

2. Wählen Sie Ausführungen anzeigen aus.

3. Aktivieren Sie Workflows, indem Sie die Option „I understand my workflows, go ahead and enable them“ (Ich verstehe meine Workflows, und sie sollen aktiviert werden) auswählen.

4. Wählen Sie den Workflow cli-jobs-pipelines-nyc-taxi-pipeline aus und wählen Sie Workflow aktivieren.

5. Wählen Sie Workflow ausführen aus und wählen Sie aus, dass der Workflow jetzt ausgeführt werden soll.

Schritt 6: Überprüfen der Workflowausführung

1. Öffnen Sie den abgeschlossenen Workflow und überprüfen Sie, ob der Buildauftrag erfolgreich ausgeführt wurde. Neben dem Auftrag wird ein grünes Häkchen angezeigt.

2. Öffnen Sie Azure Machine Learning Studio und navigieren Sie zu nyc-taxi-pipeline-example. Stellen Sie sicher, dass alle Teile Ihres Auftrags abgeschlossen wurden (prep, transform, train, predict, score) und dass ein grünes Häkchen angezeigt wird.

   

Bereinigen von Ressourcen

Wenn Ihre Ressourcengruppe und das Repository nicht mehr benötigt werden, bereinigen Sie die bereitgestellten Ressourcen, indem Sie die Ressourcengruppe und Ihr GitHub-Repository löschen.

Nächste Schritte

Erstellen von ML-Produktionspipelines mit dem Python SDK