Oktatóanyag: Biztonságos munkaterület létrehozása sablonnal

A sablonok kényelmes módot nyújtanak a reprodukálható szolgáltatástelepítések létrehozására. A sablon határozza meg a létrehozandó elemet, és a sablon használatakor ön adott meg néhány információt. Megadhat például egy egyedi nevet az Azure Machine Tanulás-munkaterülethez.

Ebben az oktatóanyagban megtudhatja, hogyan hozhat létre Microsoft Bicep - és Hashicorp Terraform-sablont a következő Azure-erőforrások létrehozásához:

• Azure Virtual Network. A virtuális hálózat mögött a következő erőforrások vannak biztonságban:
  • Azure Machine Tanulás munkaterület
    • Azure Machine Learning számítási példány
    • Azure Machine Tanulás számítási fürt
  • Azure Storage-fiók
  • Azure Key Vault
  • Azure Application Insights
  • Azure Container Registry
  • Azure Bastion-gazdagép
  • Azure Machine Tanulás virtuális gép (Adattudomány virtuális gép)
  • A Bicep-sablon emellett létrehoz egy Azure Kubernetes Service-fürtöt és egy külön erőforráscsoportot is.

Tipp.

A Microsoft a jelen cikkben ismertetett lépések helyett az Azure Machine Tanulás felügyelt virtuális hálózatok használatát javasolja. Felügyelt virtuális hálózat esetén az Azure Machine Tanulás kezeli a munkaterület és a felügyelt számítások hálózatelkülönítési feladatait. Privát végpontokat is hozzáadhat a munkaterülethez szükséges erőforrásokhoz, például az Azure Storage-fiókhoz. További információ: Munkaterület kezelt hálózati elkülönítés.

Előfeltételek

A cikkben ismertetett lépések végrehajtása előtt Rendelkeznie kell egy Azure-előfizetéssel. Ha nem rendelkezik Azure-előfizetéssel, hozzon létre egy ingyenes fiókot.

Rendelkeznie kell Bash vagy Azure PowerShell parancssorsal is.

Tipp.

A cikk elolvasásakor az egyes szakaszok lapjaival kiválaszthatja, hogy meg szeretné-e tekinteni a Bicep- vagy Terraform-sablonok használatával kapcsolatos információkat.

Bicep

1. A parancssori eszközök telepítéséhez lásd : Bicep fejlesztési és üzembe helyezési környezetek beállítása.

2. A cikkben használt Bicep-sablon a következő helyen https://github.com/Azure/azure-quickstart-templates/blob/master/quickstarts/microsoft.machinelearningservices/machine-learning-end-to-end-securetalálható: . Az alábbi parancsokkal klónozza a GitHub-adattárat a fejlesztői környezetbe:

   Tipp.

   Ha nem rendelkezik a git fejlesztési környezetben található paranccsal, telepítheti a következőből https://git-scm.com/: .

   git clone https://github.com/Azure/azure-quickstart-templates
   cd azure-quickstart-templates/quickstarts/microsoft.machinelearningservices/machine-learning-end-to-end-secure
   

Terraform

1. A Terraform Azure-előfizetésben való telepítéséhez, konfigurálásához és hitelesítéséhez kövesse az alábbi cikkek egyikének lépéseit:

   • Azure Cloud Shell
   • Windows Bash-lel
   • Windows az Azure PowerShell-lel

2. A cikkben használt Terraform-sablonfájlok a következő helyen https://github.com/Azure/terraform/tree/master/quickstart/201-machine-learning-moderately-securetalálhatók: . Ha helyileg szeretné klónozni az adattárat, és módosítani szeretné a könyvtárat a sablonfájlok helyére, használja a következő parancsokat a parancssorból:

   Tipp.

   Ha nem rendelkezik a git fejlesztési környezetben található paranccsal, telepítheti a következőből https://git-scm.com/: .

   git clone https://github.com/Azure/terraform
   cd terraform/quickstart/201-machine-learning-moderately-secure
   

A sablon ismertetése

Bicep

A Bicep-sablon a main.bicep és a .bicep modulok alkönyvtárában található fájlokból áll. Az alábbi táblázat az egyes fájlok felelősségét ismerteti:

Fájl	Leírás
main.bicep	Paraméterek és változók. Paraméterek > változók átadása az modules alkönyvtár más moduljainak.
vnet.bicep	Meghatározza az Azure-beli virtuális hálózatot és az alhálózatokat.
nsg.bicep	Meghatározza a virtuális hálózat hálózati biztonsági csoportjának szabályait.
bastion.bicep	Meghatározza az Azure Bastion-gazdagépet és az alhálózatot. Az Azure Bastion lehetővé teszi a virtuális hálózaton belüli virtuális gépek egyszerű elérését a webböngésző használatával.
dsvmjumpbox.bicep	Meghatározza a Adattudomány virtuális gépet (DSVM). Az Azure Bastion segítségével a webböngészőn keresztül érheti el ezt a virtuális gépet.
storage.bicep	Meghatározza a munkaterület által az alapértelmezett tároláshoz használt Azure Storage-fiókot.
keyvault.bicep	Meghatározza a munkaterület által használt Azure Key Vaultot.
containerregistry.bicep	Meghatározza a munkaterület által használt Azure Container Registryt.
applicationinsights.bicep	Meghatározza a munkaterület által használt Azure-alkalmazás Elemzések példányt.
machinelearningnetworking.bicep	Meghatározza az Azure Machine Tanulás-munkaterület privát végpontjait és DNS-zónáit.
Machinelearning.bicep	Meghatározza az Azure Machine Tanulás-munkaterületet.
machinelearningcompute.bicep	Definiál egy Azure Machine-Tanulás számítási fürtöt és számítási példányt.
privateaks.bicep	Definiál egy Azure Kubernetes Services-fürtpéldányt.

Fontos

Előfordulhat, hogy a példasablonok nem mindig az Azure Machine Tanulás legújabb API-verzióját használják. A sablon használata előtt javasoljuk, hogy módosítsa a legújabb API-verziók használatára. Az Azure Machine Tanulás legújabb API-verzióival kapcsolatos információkért tekintse meg az Azure Machine Tanulás REST API-t.

Minden Azure-szolgáltatás saját API-verziókkal rendelkezik. Az adott szolgáltatás API-jára vonatkozó információkért tekintse meg a szolgáltatásinformációkat az Azure REST API-referenciában.

Az API-verzió frissítéséhez keresse meg az Microsoft.MachineLearningServices/<resource> erőforrástípus bejegyzését, és frissítse a legújabb verzióra. Az alábbi példa egy bejegyzés az Azure Machine Tanulás-munkaterülethez, amely a következő API-verziót 2022-05-01használja:

resource machineLearning 'Microsoft.MachineLearningServices/workspaces@2022-05-01' = {

Terraform

A sablon több fájlból áll. Az alábbi táblázat az egyes fájlok felelősségét ismerteti:

Fájl	Leírás
variables.tf	A sablon által használt változók és alapértelmezett értékek.
main.tf	Megadja az Azure Resource Manager-szolgáltatót, és meghatározza az erőforráscsoportot.
network.tf	Meghatározza az Azure-beli virtuális hálózatot, az alhálózatokat és a hálózati biztonsági csoportokat.
bastion.tf	Meghatározza az Azure Bastion-gazdagépet és a társított NSG-t. Az Azure Bastion lehetővé teszi a virtuális hálózaton belüli virtuális gépek egyszerű elérését a webböngésző használatával.
dsvm.tf	Meghatározza a Adattudomány virtuális gépet (DSVM). Az Azure Bastion segítségével a webböngészőn keresztül érheti el ezt a virtuális gépet.
workspace.tf	Meghatározza az Azure Machine Tanulás-munkaterületet. Beleértve az Azure Storage, a Key Vault, az Application Elemzések és a Container Registry függőségi erőforrásait is.
compute.tf	Definiál egy Azure Machine-Tanulás számítási példányt és -fürtöt.

Tipp.

A Terraform Azure-szolgáltató támogatja az oktatóanyagban nem használt további argumentumokat. A környezeti argumentum lehetővé teszi például a 21Vianet által üzemeltetett felhőrégiók, például az Azure Government és a Microsoft Azure célként való használatát.

Fontos

A DSVM és az Azure Bastion segítségével egyszerűen csatlakozhat az oktatóanyag biztonságos munkaterületéhez. Éles környezetben javasoljuk, hogy azure VPN-átjáróval vagy Azure ExpressRoute-tal közvetlenül a helyszíni hálózatról érje el a virtuális hálózaton belüli erőforrásokat.

A sablon konfigurálása

Bicep

A Bicep-sablon futtatásához használja a következő parancsokat a machine-learning-end-to-end-securemain.bicep fájl helyéről:

1. Új Azure-erőforráscsoport létrehozásához használja az alábbi parancsot. Cserélje le exampleRG az erőforráscsoport nevére és eastus a használni kívánt Azure-régióra:

   Azure CLI

   az group create --name exampleRG --location eastus
   

   Azure PowerShell

   New-AzResourceGroup -Name exampleRG -Location eastus
   

2. A sablon futtatásához használja az alábbi parancsot. Cserélje le a prefix helyére egy egyedi előtagot. Az előtagot az Azure Machine Tanulás szükséges Azure-erőforrások létrehozásakor fogja használni. Cserélje le a securepassword jump box biztonságos jelszavára. A jelszó a jump box bejelentkezési fiókjához tartozik (azureadmin az alábbi példákban):

   Tipp.

   A prefix karakternek legalább 5 karakternek kell lennie. Nem lehet teljesen numerikus, és nem tartalmazhatja a következő karaktereket: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

   Azure CLI

   az deployment group create \
       --resource-group exampleRG \
       --template-file main.bicep \
       --parameters \
       prefix=prefix \
       dsvmJumpboxUsername=azureadmin \
       dsvmJumpboxPassword=securepassword
   

   Azure PowerShell

   $dsvmPassword = ConvertTo-SecureString "mysecurepassword" -AsPlainText -Force
   New-AzResourceGroupDeployment -ResourceGroupName exampleRG `
       -TemplateFile ./main.bicep `
       -prefix "prefix" `
       -dsvmJumpboxUsername "azureadmin" `
       -dsvmJumpboxPassword $dsvmPassword
   

   Figyelmeztetés

   Ne használjon egyszerű szöveges sztringeket a szkriptben vagy a parancssorban. Az egyszerű szöveg megjeleníthető az eseménynaplókban és a parancselőzményekben. További információ: ConvertTo-SecureString.

Terraform

A Terraform-sablon futtatásához használja a következő parancsokat a 201-machine-learning-moderately-secure sablonfájlokat tartalmazó könyvtárból:

1. A Terraform használatához a címtár inicializálásához használja a következő parancsot:

   terraform init
   

2. Konfiguráció létrehozásához használja az alábbi parancsot. A paraméter használatával -var állítsa be a sablon által használt változók értékét. A változók teljes listáját a variables.tf fájlban találja:

   terraform plan \
       -var name=myworkspace \
       -var environment=dev \
       -var location=westus \
       -var dsvm_name=jumpbox \
       -var dsvm_host_password=secure_password \
       -out azureml.tfplan
   

   A parancs befejeződése után a konfiguráció megjelenik a terminálban. Ha újra meg szeretné jeleníteni, használja a terraform show azureml.tfplan parancsot.

3. A sablon futtatásához és a mentett konfiguráció Azure-előfizetésre való alkalmazásához használja a következő parancsot:

   terraform apply azureml.tfplan
   

   A folyamat a sablon feldolgozásakor jelenik meg.

Csatlakozás a munkaterületre

A sablon befejezése után a következő lépésekkel csatlakozhat a DSVM-hez:

1. Az Azure Portalon válassza ki a sablonhoz használt Azure-erőforráscsoportot. Ezután válassza ki a sablon által létrehozott Adattudomány virtuális gépet. Ha nem találja, a szűrők szakaszban szűrheti a típust a virtuális gépre.

   

2. A virtuális gép Áttekintés szakaszában válassza a Csatlakozás, majd a legördülő menü Bastion elemét.

   

3. Amikor a rendszer kéri, adja meg a sablon konfigurálásakor megadott felhasználónevet és jelszót, majd válassza a Csatlakozás.

   Fontos

   Amikor először csatlakozik a DSVM asztali verziójához, megnyílik egy PowerShell-ablak, és megkezdi a szkript futtatását. A következő lépés folytatása előtt engedélyezze ezt a műveletet.

4. A DSVM asztali verziójában indítsa el a Microsoft Edge-et, és adja meg https://ml.azure.com a címet. Jelentkezzen be az Azure-előfizetésbe, majd válassza ki a sablon által létrehozott munkaterületet. Megjelenik a munkaterület stúdiója.

Hibaelhárítás

Hiba: A Windows-számítógép neve nem lehet hosszabb 15 karakternél, nem lehet teljes szám, vagy a következő karaktereket tartalmazza

Ez a hiba akkor fordulhat elő, ha a DSVM jump box neve nagyobb 15 karakternél, vagy a következő karakterek egyikét tartalmazza: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

A Bicep-sablon használatakor a jump box neve programozott módon jön létre a sablonhoz megadott előtagérték használatával. Ha meg szeretné győződni arról, hogy a név nem haladja meg a 15 karaktert, vagy érvénytelen karaktereket tartalmaz, használjon 5 karakterből álló vagy annál kisebb előtagot, és ne használja az előtagban a következő karakterek egyikét sem: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

A Terraform-sablon használatakor a jump box neve a paraméterrel dsvm_name lesz átadva. A hiba elkerülése érdekében olyan nevet használjon, amely nem nagyobb 15 karakternél, és nem használja a következő karakterek egyikét sem a név részeként: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

Következő lépések

Fontos

A Adattudomány virtuális gép (DSVM) és a számítási példány erőforrásai a futtatásuk óránkénti számlái. A többletköltségek elkerülése érdekében le kell állítania ezeket az erőforrásokat, ha nincsenek használatban. További információért tekintse át az alábbi cikkeket:

• Virtuális gépek (Linux) létrehozása/kezelése.
• Virtuális gépek létrehozása/kezelése (Windows).
• Számítási példány létrehozása.

A biztonságos munkaterület DSVM-ből való használatának folytatásához tekintse meg az Azure Machine Tanulás egy nap alatt című oktatóanyagot.

A biztonságos munkaterület általános konfigurációiról és bemeneti/kimeneti követelményeiről az Azure Machine Tanulás biztonságos munkaterületi forgalomról szóló cikkben olvashat bővebben.