Mengaudit dan mengelola Azure Machine Learning

  • Artikel

Saat tim berkolaborasi di Azure Pembelajaran Mesin, mereka mungkin menghadapi berbagai persyaratan untuk mengonfigurasi dan mengatur sumber daya. Tim pembelajaran mesin mungkin mencari fleksibilitas dalam cara mengatur ruang kerja untuk kolaborasi, atau cara mengukur kluster komputasi untuk persyaratan kasus penggunaannya. Dalam skenario ini, produktivitas dapat menguntungkan jika tim aplikasi dapat mengelola infrastruktur mereka sendiri.

Sebagai administrator platform, Anda dapat menggunakan kebijakan untuk meletakkan panduan bagi tim untuk mengelola sumber daya mereka sendiri. Azure Policy membantu mengaudit dan mengelola status sumber daya. Artikel ini menjelaskan cara menggunakan kontrol audit dan praktik tata kelola untuk Azure Pembelajaran Mesin.

Kebijakan untuk Azure Machine Learning

Azure Policy adalah alat tata kelola yang memungkinkan Anda memastikan bahwa sumber daya Azure mematuhi kebijakan Anda.

Azure Policy menyediakan serangkaian kebijakan yang dapat Anda gunakan untuk skenario umum dengan Azure Pembelajaran Mesin. Anda dapat menetapkan definisi kebijakan ini ke langganan yang sudah ada atau menggunakannya sebagai dasar untuk membuat definisi kustom Anda sendiri.

Tabel berikut mencantumkan kebijakan bawaan yang bisa Anda tetapkan dengan Azure Pembelajaran Mesin. Untuk daftar semua kebijakan bawaan Azure, lihat Kebijakan bawaan.

Nama
(portal Microsoft Azure)		 Deskripsi Efek Versi
(GitHub)
[Pratinjau]: Penyebaran Azure Pembelajaran Mesin Model Registry dibatasi kecuali untuk Registri yang diizinkan Hanya sebarkan Model Registri di Registri yang diizinkan dan yang tidak dibatasi. Tolak, Dinonaktifkan 1.0.0-preview
Instans Komputasi Azure Machine Learning harus memiliki pematian yang menganggur. Memiliki jadwal pematian yang menganggur mengurangi biaya dengan mematikan komputasi yang menganggur setelah periode aktivitas yang ditentukan sebelumnya. Audit, Tolak, Dinonaktifkan 1.0.0
Instans komputasi Azure Pembelajaran Mesin harus dibuat ulang untuk mendapatkan pembaruan perangkat lunak terbaru Pastikan instans komputasi Azure Pembelajaran Mesin berjalan pada sistem operasi terbaru yang tersedia. Keamanan ditingkatkan dan kerentanan berkurang dengan menjalankan dengan patch keamanan terbaru. Untuk informasi selengkapnya, kunjungi https://aka.ms/azureml-ci-updates/. [parameters('effects')] 1.0.3
Azure Pembelajaran Mesin Computes harus berada di jaringan virtual Azure Virtual Networks menyediakan keamanan dan isolasi yang ditingkatkan untuk Azure Pembelajaran Mesin Kluster dan Instans Komputasi Anda, serta subnet, kebijakan kontrol akses, dan fitur lainnya untuk membatasi akses lebih lanjut. Ketika komputasi dikonfigurasi dengan jaringan virtual, komputasi tidak dapat diatasi secara publik dan hanya dapat diakses dari komputer virtual dan aplikasi dalam jaringan virtual. Audit, Dinonaktifkan 1.0.1
Azure Pembelajaran Mesin Computes harus menonaktifkan metode autentikasi lokal Menonaktifkan metode autentikasi lokal meningkatkan keamanan dengan memastikan bahwa komputasi Pembelajaran Mesin memerlukan identitas Azure Active Directory secara eksklusif untuk autentikasi. Pelajari selengkapnya di: https://aka.ms/azure-ml-aad-policy. Audit, Tolak, Dinonaktifkan 2.1.0
Ruang kerja Azure Machine Learning harus dienkripsi dengan kunci yang dikelola pelanggan Kelola enkripsi pada data ruang kerja Azure Machine Learning lainnya dengan kunci yang dikelola pelanggan. Secara default, data pelanggan dienkripsi dengan kunci yang dikelola layanan, tetapi kunci yang dikelola pelanggan umumnya diperlukan untuk memenuhi standar kepatuhan peraturan. Kunci yang dikelola pelanggan memungkinkan data dienkripsi dengan kunci Azure Key Vault yang dibuat dan dimiliki oleh Anda. Anda memiliki kontrol dan tanggung jawab penuh atas siklus hidup kunci, termasuk perputaran dan manajemen. Pelajari lebih lanjut di https://aka.ms/azureml-workspaces-cmk. Audit, Tolak, Dinonaktifkan 1.0.3
Ruang Kerja Azure Pembelajaran Mesin harus menonaktifkan akses jaringan publik Menonaktifkan akses jaringan publik meningkatkan keamanan dengan memastikan bahwa ruang kerja Pembelajaran Mesin tidak terekspos di internet publik. Anda dapat mengontrol paparan ruang kerja Anda dengan membuat titik akhir privat sebagai gantinya. Pelajari lebih lanjut di: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2& tabs=azure-portal. Audit, Tolak, Dinonaktifkan 2.0.1
Ruang kerja Azure Machine Learning harus mengaktifkan V1LegacyMode untuk mendukung kompatibilitas mundur isolasi jaringan Azure ML sedang melakukan transisi ke platform V2 API baru di Azure Resource Manager dan Anda dapat mengontrol versi platform API menggunakan parameter V1LegacyMode. Mengaktifkan parameter V1LegacyMode akan memungkinkan Anda menjaga ruang kerja dalam isolasi jaringan yang sama seperti V1, meskipun Anda tidak akan menggunakan fitur V2 baru. Sebaiknya aktifkan V1 Legacy Mode hanya jika Anda ingin menyimpan data sarana kontrol AzureML di dalam jaringan privat Anda. Pelajari selengkapnya di: https://aka.ms/V1LegacyMode. Audit, Tolak, Dinonaktifkan 1.0.0
Ruang kerja Azure Machine Learning harus menggunakan tautan pribadi Azure Private Link memungkinkan Anda menyambungkan jaringan virtual ke layanan Azure tanpa alamat IP publik di sumber atau tujuan. Platform Private Link menangani konektivitas antara konsumen dan layanan melalui jaringan backbone Azure. Dengan memetakan titik akhir pribadi ke ruang kerja Azure Machine Learning, risiko kebocoran data berkurang. Pelajari selengkapnya tentang tautan privat di: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Audit, Dinonaktifkan 1.0.0
Ruang kerja Azure Machine Learning harus menggunakan identitas terkelola yang ditetapkan pengguna Akses Manange ke ruang kerja Azure ML dan sumber daya terkait, Azure Container Registry, KeyVault, Azure Storage, dan App Insights menggunakan identitas terkelola yang ditetapkan pengguna. Secara default, identitas terkelola yang ditetapkan sistem digunakan oleh ruang kerja Azure ML untuk mengakses sumber daya terkait. Identitas terkelola yang ditetapkan pengguna memungkinkan Anda untuk membuat identitas sebagai sumber daya Azure dan mempertahankan siklus hidup identitas tersebut. Pelajari lebih lanjut di https://docs.microsoft.com/azure/machine-learning/how-to-use-managed-identities?tabs=python. Audit, Tolak, Dinonaktifkan 1.0.0
Mengonfigurasi Azure Pembelajaran Mesin Computes untuk menonaktifkan metode autentikasi lokal Nonaktifkan metode autentikasi lokasi sehingga Komputasi Pembelajaran Mesin Anda memerlukan identitas Azure Active Directory khusus untuk autentikasi. Pelajari selengkapnya di: https://aka.ms/azure-ml-aad-policy. Ubah, Non-fungsikan 2.1.0
Mengonfigurasikan ruang kerja Azure Machine Learning untuk menggunakan zona DNS privat Gunakan zona DNS pribadi guna menimpa resolusi DNS untuk titik akhir pribadi. Zona DNS privat menautkan ke jaringan virtual Anda untuk mengatasi ke ruang kerja Azure Machine Learning. Pelajari selengkapnya di: https://docs.microsoft.com/azure/machine-learning/how-to-network-security-overview. DeployIfNotExists, Nonaktif 1.1.0
Mengonfigurasi Ruang Kerja Azure Pembelajaran Mesin untuk menonaktifkan akses jaringan publik Nonaktifkan akses jaringan publik untuk Ruang Kerja Azure Pembelajaran Mesin sehingga ruang kerja Anda tidak dapat diakses melalui internet publik. Ini membantu melindungi ruang kerja dari risiko kebocoran data. Anda dapat mengontrol paparan ruang kerja Anda dengan membuat titik akhir privat sebagai gantinya. Pelajari lebih lanjut di: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2& tabs=azure-portal. Ubah, Non-fungsikan 1.0.3
Konfigurasikan ruang kerja Azure Machine Learning dengan titik akhir privat Titik akhir privat menyambungkan jaringan virtual Anda ke layanan Azure tanpa alamat IP publik di sumber atau tujuan. Dengan memetakan titik akhir privat ke ruang kerja Azure Machine Learning Anda, Anda dapat mengurangi risiko kebocoran data. Pelajari selengkapnya tentang tautan privat di: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. DeployIfNotExists, Nonaktif 1.0.0
Mengonfigurasi pengaturan diagnostik untuk Ruang Kerja Azure Pembelajaran Mesin ke ruang kerja Analitik Log Menyebarkan pengaturan diagnostik untuk Ruang Kerja Azure Pembelajaran Mesin untuk mengalirkan log sumber daya ke Ruang Kerja Analitik Log saat Ruang Kerja Azure Pembelajaran Mesin yang tidak memiliki pengaturan diagnostik ini dibuat atau diperbarui. DeployIfNotExists, Nonaktif 1.0.1
Log sumber daya di Azure Pembelajaran Mesin Workspaces harus diaktifkan Log sumber daya memungkinkan pembuatan ulang jejak aktivitas untuk digunakan untuk tujuan investigasi ketika insiden keamanan terjadi atau ketika jaringan Anda disusupi. AuditIfNotExists, Dinonaktifkan 1.0.1

Kebijakan dapat diatur pada cakupan yang berbeda, seperti di tingkat grup langganan atau sumber daya. Untuk informasi selengkapnya, buka Dokumentasi Azure Policy.

Menetapkan kebijakan bawaan

Untuk melihat definisi kebijakan bawaan yang terkait dengan Azure Machine Learning, gunakan langkah-langkah berikut:

  1. Masuk ke Azure Policy di portal Microsoft Azure.
  2. Pilih Definisi.
  3. Untuk Jenis, pilih Bawaan. Untuk Kategori, pilih Pembelajaran Mesin.

Dari sini, Anda dapat memilih definisi kebijakan untuk melihatnya. Saat melihat definisi, Anda dapat menggunakan tautan Tetapkan untuk menetapkan kebijakan ke lingkup tertentu, dan mengonfigurasi parameter untuk kebijakan tersebut. Untuk informasi selengkapnya, lihat Membuat penetapan kebijakan untuk mengidentifikasi sumber daya yang tidak sesuai menggunakan portal Azure.

Anda juga dapat menetapkan kebijakan dengan menggunakan Azure PowerShell, Azure CLI, atau templat.

Kebijakan akses bersyarat

Untuk mengontrol siapa yang dapat mengakses ruang kerja Azure Pembelajaran Mesin Anda, gunakan Akses Bersyar Microsoft Entra. Untuk menggunakan Akses Bersyar untuk ruang kerja Azure Pembelajaran Mesin, tetapkan kebijakan Akses Bersyar ke aplikasi bernama Azure Pembelajaran Mesin. ID aplikasi adalah 0736f41a-0425-bdb5-1563eff02385.

Aktifkan layanan mandiri menggunakan zona pendaratan

Zona pendaratan adalah pola arsitektur yang mempertanggungjawabkan skala, tata kelola, keamanan, dan produktivitas saat menyiapkan lingkungan Azure. Zona pendaratan data adalah lingkungan yang dikonfigurasi administator yang digunakan tim aplikasi untuk meng-host beban kerja data dan analitik.

Tujuan zona pendaratan adalah untuk memastikan bahwa semua pekerjaan konfigurasi infrastruktur dilakukan ketika tim dimulai di lingkungan Azure. Misalnya, kontrol keamanan disiapkan dengan mematuhi standar organisasi dan konektivitas jaringan juga disiapkan.

Dengan menggunakan pola zona pendaratan, tim pembelajaran mesin dapat menyebarkan dan mengelola sumber daya mereka sendiri berdasarkan layanan mandiri. Dengan menggunakan kebijakan Azure sebagai administrator, Anda dapat mengaudit dan mengelola sumber daya Azure untuk kepatuhan.

Azure Machine Learning terintegrasi dengan zona pendaratan data dalam skenario manajemen data dan analitik Cloud Adoption Framework. Implementasi referensi ini menyediakan lingkungan yang dioptimalkan untuk memigrasikan beban kerja pembelajaran mesin ke Azure Pembelajaran Mesin dan mencakup kebijakan yang telah dikonfigurasi sebelumnya.

Mengonfigurasi kebijakan bawaan

Instans komputasi harus dimatikan diam

Kebijakan ini mengontrol apakah instans komputasi Azure Pembelajaran Mesin harus mengaktifkan matikan diam. Matikan diam secara otomatis menghentikan instans komputasi saat diam selama periode waktu tertentu. Kebijakan ini berguna untuk penghematan biaya dan untuk memastikan bahwa sumber daya tidak digunakan secara tidak perlu.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit, Tolak, atau Dinonaktifkan. Jika diatur ke Audit, Anda dapat membuat instans komputasi tanpa matikan diam diaktifkan dan peristiwa peringatan dibuat di log aktivitas.

Instans komputasi harus dibuat ulang untuk mendapatkan pembaruan perangkat lunak

Mengontrol apakah instans komputasi Azure Pembelajaran Mesin harus diaudit untuk memastikan instans tersebut menjalankan pembaruan perangkat lunak terbaru yang tersedia. Kebijakan ini berguna untuk memastikan bahwa instans komputasi menjalankan pembaruan perangkat lunak terbaru untuk menjaga keamanan dan performa. Untuk informasi selengkapnya, lihat Manajemen kerentanan untuk Azure Pembelajaran Mesin.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit atau Dinonaktifkan. Jika diatur ke Audit, peristiwa peringatan dibuat di log aktivitas saat komputasi tidak menjalankan pembaruan perangkat lunak terbaru.

Kluster dan instans komputasi harus berada dalam jaringan virtual

Mengontrol audit sumber daya instans dan kluster komputasi di belakang jaringan virtual.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit atau Dinonaktifkan. Jika diatur ke Audit, Anda dapat membuat komputasi yang tidak dikonfigurasi di belakang jaringan virtual dan peristiwa peringatan dibuat di log aktivitas.

Komputasi harus menonaktifkan metode autentikasi lokal.

Mengontrol apakah klaster atau instans komputasi Azure Machine Learning harus menonaktifkan autentikasi lokal (SSH).

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit, Tolak, atau Dinonaktifkan. Jika diatur ke Audit, Anda dapat membuat komputasi dengan SSH diaktifkan dan peristiwa peringatan dibuat di log aktivitas.

Jika kebijakan diatur ke Tolak, maka Anda tidak dapat membuat komputasi kecuali SSH dinonaktifkan. Mencoba membuat komputasi dengan SSH diaktifkan menghasilkan kesalahan. Kesalahan juga dicatat dalam log aktivitas. Pengidentifikasi kebijakan dikembalikan sebagai bagian dari kesalahan ini.

Ruang kerja harus dienkripsi dengan kunci yang dikelola pelanggan

Mengontrol apakah ruang kerja harus dienkripsi dengan kunci yang dikelola pelanggan, atau dengan kunci yang dikelola Microsoft untuk mengenkripsi metrik dan metadata. Untuk informasi selengkapnya tentang menggunakan kunci yang dikelola pelanggan, lihat bagian Azure Cosmos DB dari artikel enkripsi data.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit atau Tolak. Jika diatur ke Audit, Anda dapat membuat ruang kerja tanpa kunci yang dikelola pelanggan dan peristiwa peringatan dibuat di log aktivitas.

Jika kebijakan diatur ke Tolak, Maka Anda tidak dapat membuat ruang kerja kecuali menentukan kunci yang dikelola pelanggan. Mencoba membuat ruang kerja tanpa kunci yang dikelola pelanggan menghasilkan kesalahan yang mirip dengan Resource 'clustername' was disallowed by policy dan membuat kesalahan dalam log aktivitas. Pengidentifikasi kebijakan juga dikembalikan sebagai bagian dari kesalahan ini.

Mengonfigurasi ruang kerja untuk menonaktifkan akses jaringan publik

Mengontrol apakah ruang kerja harus menonaktifkan akses jaringan dari internet publik.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit, Tolak, atau Dinonaktifkan. Jika diatur ke Audit, Anda dapat membuat ruang kerja dengan akses publik dan peristiwa peringatan dibuat di log aktivitas.

Jika kebijakan diatur ke Tolak, Maka Anda tidak dapat membuat ruang kerja yang memungkinkan akses jaringan dari internet publik.

Ruang kerja harus mengaktifkan V1LegacyMode untuk mendukung kompatibilitas mundur isolasi jaringan

Mengontrol apakah ruang kerja harus mengaktifkan V1LegacyMode untuk mendukung kompatibilitas mundur isolasi jaringan. Kebijakan ini berguna jika Anda ingin menyimpan data sarana kontrol Azure Pembelajaran Mesin di dalam jaringan privat Anda. Untuk informasi selengkapnya, lihat Perubahan isolasi jaringan dengan platform API baru kami.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit atau Tolak, atau Dinonaktifkan. Jika diatur ke Audit, Anda dapat membuat ruang kerja tanpa mengaktifkan V1LegacyMode dan peristiwa peringatan dibuat di log aktivitas.

Jika kebijakan diatur ke Tolak, Maka Anda tidak dapat membuat ruang kerja kecuali mengaktifkan V1LegacyMode.

Mengontrol apakah ruang kerja harus menggunakan Azure Private Link untuk berkomunikasi dengan Azure Virtual Network. Untuk informasi selengkapnya tentang menggunakan tautan privat, lihat Mengonfigurasi titik akhir privat untuk ruang kerja Azure Pembelajaran Mesin.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit atau Tolak. Jika diatur ke Audit, Anda dapat membuat ruang kerja tanpa menggunakan tautan privat dan peristiwa peringatan dibuat di log aktivitas.

Jika kebijakan diatur ke Tolak, Maka Anda tidak dapat membuat ruang kerja kecuali menggunakan tautan privat. Mencoba membuat ruang kerja tanpa tautan privat menghasilkan kesalahan. Kesalahan juga dicatat dalam log aktivitas. Pengidentifikasi kebijakan dikembalikan sebagai bagian dari kesalahan ini.

Ruang kerja harus menggunakan identitas terkelola yang ditetapkan pengguna

Mengontrol apakah ruang kerja dibuat menggunakan identitas terkelola yang ditetapkan sistem (default) atau identitas terkelola yang ditetapkan pengguna. Identitas terkelola untuk ruang kerja digunakan untuk mengakses sumber daya terkait seperti Azure Storage, Azure Container Registry, Azure Key Vault, dan Azure Application Insights. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi antara Azure Pembelajaran Mesin dan layanan lainnya.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Audit, Tolak, atau Dinonaktifkan. Jika diatur ke Audit, Anda dapat membuat ruang kerja tanpa menentukan identitas terkelola yang ditetapkan pengguna. Identitas yang ditetapkan sistem digunakan dan kejadian peringatan dibuat di log aktivitas.

Jika kebijakan diatur ke Tolak, Maka Anda tidak dapat membuat ruang kerja kecuali Anda memberikan identitas yang ditetapkan pengguna selama proses pembuatan. Mencoba membuat ruang kerja tanpa memberikan identitas yang ditetapkan pengguna menghasilkan kesalahan. Kesalahan juga dicatat ke log aktivitas. Pengidentifikasi kebijakan dikembalikan sebagai bagian dari kesalahan ini.

Mengonfigurasi komputasi untuk mengubah/menonaktifkan autentikasi lokal

Kebijakan ini memodifikasi kluster komputasi azure Pembelajaran Mesin atau permintaan pembuatan instans untuk menonaktifkan autentikasi lokal (SSH).

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Ubah atau Non-fungsikan. Jika disetel Ubah, setiap pembuatan klaster komputasi atau instans dalam lingkup tempat kebijakan diterapkan akan secara otomatis menonaktifkan autentikasi lokal.

Mengonfigurasi ruang kerja untuk menggunakan zona DNS privat

Kebijakan ini mengonfigurasi ruang kerja untuk menggunakan zona DNS privat, mengganti resolusi DNS default untuk titik akhir privat.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke DeployIfNotExists. Atur privateDnsZoneId ke Azure Resource Manager ID dari zona DNS privat untuk digunakan.

Mengonfigurasi ruang kerja untuk menonaktifkan akses jaringan publik

Mengonfigurasi ruang kerja untuk menonaktifkan akses jaringan dari internet publik. Ini membantu melindungi ruang kerja dari risiko kebocoran data. Anda dapat mengakses ruang kerja Anda dengan membuat titik akhir privat. Untuk informasi selengkapnya, lihat Mengonfigurasi titik akhir privat untuk ruang kerja Azure Pembelajaran Mesin.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke Ubah atau Non-fungsikan. Jika diatur ke Ubah, pembuatan ruang kerja apa pun dalam lingkup tempat kebijakan berlaku akan secara otomatis menonaktifkan akses jaringan publik.

Mengonfigurasi ruang kerja dengan titik akhir privat

Mengonfigurasi ruang kerja untuk membuat titik akhir privat dalam subnet yang ditentukan dari Jaringan Virtual Azure.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke DeployIfNotExists. Atur privateEndpointSubnetID ke ID Azure Resource Manager subnet.

Mengonfigurasi ruang kerja diagnostik untuk mengirim log ke ruang kerja analitik log

Mengonfigurasi pengaturan diagnostik untuk ruang kerja Azure Pembelajaran Mesin untuk mengirim log ke ruang kerja Analitik Log.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke DeployIfNotExists atau Disabled. Jika diatur ke DeployIfNotExists, kebijakan membuat pengaturan diagnostik untuk mengirim log ke ruang kerja Analitik Log jika belum ada.

Log sumber daya di ruang kerja harus diaktifkan

Mengaudit apakah log sumber daya diaktifkan untuk ruang kerja Azure Pembelajaran Mesin. Log sumber daya menyediakan informasi terperinci tentang operasi yang dilakukan pada sumber daya di ruang kerja.

Untuk mengonfigurasi kebijakan ini, atur parameter efek ke AuditIfNotExists atau Disabled. Jika diatur ke AuditIfNotExists, kebijakan mengaudit jika log sumber daya tidak diaktifkan untuk ruang kerja.

Konten terkait