Protección de un entorno de inferencia de Azure Machine Learning con redes virtuales

  • Artículo

En este artículo, aprenderá a proteger los entornos de inferencia (punto de conexión en línea) con una red virtual en Azure Machine Learning. Hay dos opciones de inferencia que se pueden proteger mediante una red virtual:

  • Puntos de conexión en línea administrados de Azure Machine Learning

    Sugerencia

    Microsoft recomienda usar Redes virtuales administradas de Azure Machine Learning (versión preliminar) en lugar de los pasos de este artículo al proteger puntos de conexión en línea administrados. Con una red virtual administrada, Azure Machine Learning se hace cargo del trabajo de aislamiento de red para el área de trabajo y los procesos administrados. También puede agregar puntos de conexión privados para los recursos necesarios para el área de trabajo, como la cuenta de Azure Storage. Para más información, consulte Aislamiento de red gestionada del área de trabajo.

  • Azure Kubernetes Service

Sugerencia

Este artículo forma parte de una serie sobre la protección de un flujo de trabajo de Azure Machine Learning. Consulte los demás artículos de esta serie:

Para ver un tutorial sobre cómo crear un área de trabajo seguro, consulte Tutorial: Creación de un área de trabajo seguro o Tutorial: Creación de un área de trabajo seguro mediante una plantilla.

Requisitos previos

  • Lea el artículo Introducción a la seguridad de red para comprender los escenarios comunes de redes virtuales y la arquitectura de red virtual general.

  • Una red y subred virtual existentes que se usan para proteger el área de trabajo de Azure Machine Learning.

  • Para implementar recursos en una red virtual o subred, la cuenta de usuario debe tener permisos para realizar las siguientes acciones en los controles de acceso basados en roles de Azure (Azure RBAC):

    • "Microsoft.Network/*/read" en el recurso de red virtual. Este permiso no es necesario para las implementaciones de plantillas de Azure Resource Manager (ARM).
    • "Microsoft.Network/virtualNetworks/join/action" en el recurso de red virtual.
    • "Microsoft.Network/virtualNetworks/subnets/join/action" en el recurso de subred.

    Para obtener más información sobre Azure RBAC con redes, consulte los roles integrados de redes.

Protección de los puntos de conexión en línea administrados

Para obtener información sobre cómo proteger los puntos de conexión en línea administrados, consulte el artículo Uso del aislamiento de red con puntos de conexión en línea administrados.

Puntos de conexión seguros en línea de Azure Kubernetes Service

Para utilizar el clúster Azure Kubernetes Service en la inferencia segura, siga estos pasos:

  1. Cree o configure un entorno de inferencia de Kubernetes seguro.

  2. Implementación de la extensión de Azure Machine Learning

  3. Adjunte el clúster de Kubernetes al área de trabajo.

  4. La implementación de modelo con el punto de conexión en línea de Kubernetes se puede realizar mediante CLI v2, Python SDK v2 y Studio UI.

Limitación de la conectividad saliente de la red virtual

Si no quiere usar las reglas de salida predeterminadas y quiere limitar el acceso de salida de la red virtual, debe permitir el acceso a Azure Container Registry. Por ejemplo, asegúrese de que los grupos de seguridad de red (NSG) contienen una regla que permita el acceso a la etiqueta de servicio AzureContainerRegistry.RegionName, donde {RegionName} es el nombre de una región de Azure.

Pasos siguientes

Este artículo forma parte de una serie sobre la protección de un flujo de trabajo de Azure Machine Learning. Consulte los demás artículos de esta serie: