Uso de secretos de credenciales de autenticación en trabajos de Azure Machine Learning

SE APLICA A: SDK de Python azure-ai-ml v2 (actual)

Los datos de autenticación (por ejemplo, el nombre de usuario y la contraseña) son secretos. Por ejemplo, si se conecta a una base de datos externa para consultar datos de entrenamiento, deberá pasar el nombre de usuario y la contraseña al contexto de trabajo remoto. La codificación de estos valores en scripts de entrenamiento en texto no cifrado no es segura, ya que podría exponer el secreto.

Azure Key Vault permite almacenar y recuperar secretos de forma segura. En este artículo, aprenderá a recuperar secretos almacenados en un almacén de claves de un trabajo de entrenamiento que se ejecuta en un clúster de proceso.

Importante

El SDK de Python de Azure Machine Learning v2 y la extensión de la CLI de Azure v2 para el aprendizaje automático no proporcionan la funcionalidad de establecer u obtener secretos. En su lugar, la información de este artículo usa la biblioteca cliente de secretos de Azure Key Vault para Python.

Requisitos previos

Antes de seguir los pasos de este artículo, asegúrese de que tiene los siguientes requisitos previos:

Sugerencia

Muchos de los requisitos previos de esta sección requieren acceso de colaborador, propietario o equivalente a la suscripción de Azure o al grupo de recursos de Azure que contiene los recursos. Es posible que tenga que ponerse en contacto con el administrador de Azure para realizar estas acciones.

• Suscripción a Azure. Si no tiene una suscripción de Azure, cree una cuenta gratuita antes de empezar. Pruebe la versión gratuita o de pago de Azure Machine Learning.

• Un área de trabajo de Azure Machine Learning. Si no tienes uno, sigue los pasos del artículo Crear recursos para comenzar para crear uno.

• Una instancia de Azure Key Vault. Si usaste el artículo Crear recursos para comenzar para crear tu área de trabajo, se creó un almacén de claves para ti. También puede crear una instancia independiente del almacén de claves con la información del artículo Inicio rápido: Creación de un almacén de claves.

  Sugerencia

  No es necesario usar el mismo almacén de claves que el área de trabajo.

• (Opcional) Un clúster de proceso de Azure Machine Learning configurado para usar una identidad administrada. El clúster se puede configurar para una identidad administrada asignada por el sistema o por el usuario.

• Si su trabajo se ejecuta en un clúster de proceso, conceda a la identidad administrada del clúster de proceso acceso a los secretos almacenados en el almacén de claves. O bien, si el trabajo se ejecuta en un proceso sin servidor, conceda a la identidad administrada especificada para el trabajo acceso a los secretos. El método que se usa para conceder acceso depende de la configuración del almacén de claves:

  • Control de acceso basado en rol de Azure (Azure RBAC): cuando se configura para Azure RBAC, agregue la identidad administrada al rol Usuario de secretos de Key Vault en el almacén de claves.
  • Directiva de acceso de Azure Key Vault: cuando se configura para usar directivas de acceso, agregue una nueva directiva que conceda la operación get para secretos y asígnela a la identidad administrada.

• Valor de secreto almacenado en el almacén de claves. A continuación, este valor se puede recuperar mediante una clave. Para más información, consulte Inicio rápido: Establecimiento y recuperación de un secreto desde Azure Key Vault.

  Sugerencia

  El vínculo del inicio rápido proporciona acceso a los pasos para usar el SDK de Python de Azure Key Vault. En la tabla de contenido del área de navegación de la izquierda se proporcionan vínculos a otros métodos para establecer una clave.

Obtención de secretos

Hay dos maneras de obtener secretos durante el entrenamiento:

• Usando una identidad administrada asociada al recurso de proceso en el que se ejecuta el trabajo de entrenamiento.
• Con su identidad, haciendo que el proceso ejecute el trabajo en su nombre.

Identidad administrada

1. Agregue los paquetes azure-keyvault-secrets y azure-identity al entorno de Azure Machine Learning que se usa al entrenar el modelo. Por ejemplo, agregándolos al archivo conda que se usa para crear el entorno.

   El entorno se usa para crear la imagen de Docker en la que se ejecuta el trabajo de entrenamiento en el clúster de proceso.

2. En el código de entrenamiento, use el SDK de identidad de Azure y la biblioteca cliente de Key Vault para obtener las credenciales de identidad administrada y para autenticarse en el almacén de claves:

   from azure.identity import DefaultAzureCredential
   from azure.keyvault.secrets import SecretClient
   
   credential = DefaultAzureCredential()
   
   secret_client = SecretClient(vault_url="https://my-key-vault.vault.azure.net/", credential=credential)
   

3. Después de la autenticación, use la biblioteca cliente de Key Vault para recuperar un secreto proporcionando la clave asociada:

   secret = secret_client.get_secret("secret-name")
   print(secret.value)
   

Su identidad

1. Agregue los paquetes azure-keyvault-secrets, azure-identity y azure-ai-ml al entorno de Azure Machine Learning que se usa al entrenar el modelo. Por ejemplo, agregándolos al archivo conda que se usa para crear el entorno.

   El entorno se usa para crear la imagen de Docker en la que se ejecuta el trabajo de entrenamiento en el clúster de proceso.

2. En el código de entrenamiento, use el SDK de Azure Machine Learning y la biblioteca cliente de Key Vault para obtener las credenciales de identidad administrada y autenticarse en el almacén de claves. La clase AzureMLOnBehalfOfCredential se usa para autenticarse en nombre de la identidad de usuario:

   from azure.ai.ml.identity import AzureMLOnBehalfOfCredential
   from azure.keyvault.secrets import SecretClient
   
   credential = AzureMLOnBehalfOfCredential()
   secret_client = SecretClient(vault_url="https://my-key-vault.vault.azure.net/", credential=credential)
   

   Después de la autenticación, use la biblioteca cliente de Key Vault para recuperar un secreto proporcionando la clave asociada:

   secret = secret_client.get_secret("secret-name")
   print(secret.value)
   

3. Al enviar el trabajo de entrenamiento, debe especificar que se ejecute en nombre de su identidad mediante identity=UserIdentityConfiguration(). En el ejemplo siguiente se envía un trabajo mediante este parámetro:

   from azure.ai.ml import Input, command
   from azure.ai.ml.constants import AssetTypes
   from azure.ai.ml.entities import UserIdentityConfiguration
   
   job = command(
       code="./sdk/ml/azure-ai-ml/samples/src",
       command="python read_data.py --input_data ${{inputs.input_data}}",
       inputs={"input_data": Input(type=AssetTypes.MLTABLE, path="./sample_data")},
       environment="AzureML-sklearn-1.0-ubuntu20.04-py38-cpu:1",
       compute="cpu-cluster",
       identity=UserIdentityConfiguration(),
   )
   

   Para obtener un ejemplo de uso de la CLI de Azure para enviar un trabajo que use su identidad, visite Https://github.com/Azure/azureml-examples/blob/d4c90eead3c1fd97393d0657f7a78831490adf1c/cli/jobs/single-step/on-behalf-of/README.md.

Contenido relacionado

Para obtener un ejemplo de envío de un trabajo de entrenamiento mediante el SDK de Python v2 de Azure Machine Learning, consulte Entrenamiento de modelos con el SDK de Python v2.