Architettura di Studio AI della piattaforma Azure

Studio AI offre un'esperienza unificata per sviluppatori di intelligenza artificiale e data scientist per creare, valutare e distribuire modelli di intelligenza artificiale tramite un portale Web, un SDK o un'interfaccia della riga di comando. AI Studio si basa su funzionalità e servizi forniti da altri servizi di Azure.

Le risorse di Studio AI di primo livello (hub e progetto) si basano su Azure Machine Learning. Le risorse connesse, ad esempio Azure OpenAI, Servizi di Azure AI e Azure AI Search, vengono usate dall'hub e dal progetto in riferimento, ma seguono il proprio ciclo di vita di gestione delle risorse.

• Hub di intelligenza artificiale: l'hub è la risorsa di primo livello in Studio AI. Il provider di risorse di Azure per un hub è Microsoft.MachineLearningServices/workspaces e il tipo di risorsa è Hub. Offre le funzionalità seguenti:
  • Configurazione della sicurezza, compresa una rete gestita che si estende ai progetti e agli endpoint del modello.
  • Risorse di calcolo per lo sviluppo interattivo, l’ottimizzazione, l'open source e le distribuzioni di modelli serverless.
  • Connessioni ad altri servizi di Azure, ad esempio OpenAI di Azure, servizi di Azure AI e Azure AI Search. Le connessioni con ambito hub vengono condivise con i progetti creati dall'hub.
  • Gestione dei progetti. Un hub può avere più progetti figlio.
  • Un account di archiviazione di Azure associato per il caricamento dei dati e l'archiviazione degli artefatti.
• Progetto di intelligenza artificiale: un progetto è una risorsa figlio dell'hub. Il provider di risorse di Azure per un progetto è Microsoft.MachineLearningServices/workspaces e il tipo di risorsa è Project. Il progetto offre le funzionalità seguenti:
  • Accesso agli strumenti di sviluppo per la creazione e la personalizzazione di applicazioni di intelligenza artificiale.
  • Componenti riutilizzabili, tra cui set di dati, modelli e indici.
  • Contenitore isolato in cui caricare i dati (all'interno dell'archivio ereditato dall'hub).
  • Connessioni con ambito progetto. Ad esempio, i membri del progetto potrebbero richiedere l'accesso privato ai dati archiviati in un account di archiviazione di Azure senza concedere lo stesso accesso ad altri progetti.
  • Distribuzioni di modelli open source dal catalogo e dagli endpoint del modello ottimizzati.

Configurare e gestire centralmente l'uso degli hub

Gli hub offrono un modo centrale per un team di gestire la sicurezza, la connettività e l'elaborazione delle risorse tra playground e progetti. I progetti creati usando un hub ereditano le stesse impostazioni di sicurezza e accesso alle risorse condivise. Teams può creare tutti i progetti necessari per organizzare il lavoro, isolare i dati e/o limitare l'accesso.

Spesso, i progetti in un dominio business richiedono l'accesso alle stesse risorse aziendali, ad esempio indici vettoriali, endpoint modello o repository. In qualità di responsabile del team, è possibile preconfigurare la connettività con queste risorse all'interno di un hub, in modo che gli sviluppatori possano accedervi da qualsiasi nuova area di lavoro del progetto senza ritardi nell'IT.

Le connessioni consentono di accedere agli oggetti in Studio per intelligenza artificiale di Azure gestiti all'esterno dell'hub. Ad esempio, i dati caricati in un account di archiviazione di Azure o le distribuzioni di modelli in una risorsa OpenAI di Azure esistente. Una connessione può essere condivisa con ogni progetto o resa accessibile a un progetto specifico. Le connessioni possono essere configurate per l’uso dell’accesso basato su chiave o del passthrough di Microsoft Entra ID per autorizzare l'accesso agli utenti nella risorsa connessa. Gli amministratori possono tenere traccia, controllare e gestire le connessioni all'interno dell'organizzazione da una singola visualizzazione in AI Studio.

Organizzare per le esigenze del team

Il numero di hub e progetti necessari dipende dal modo di lavorare. Si potrebbe creare un singolo hub per un team di grandi dimensioni con esigenze di accesso ai dati simili. Questa configurazione ottimizza l'efficienza dei costi, la condivisione delle risorse e riduce al minimo il sovraccarico della configurazione. Ad esempio, un hub per tutti i progetti correlati al supporto clienti.

Se è necessario l'isolamento tra sviluppo, test e produzione come parte della strategia LLMOps o MLOps, è consigliabile creare un hub per ogni ambiente. A seconda dell'idoneità della soluzione per la produzione, è possibile decidere di replicare le aree di lavoro del progetto in ogni ambiente o solo in uno.

Tipi e provider di risorse di Azure

Azure AI Studio si basa sul provider di risorse di Azure Machine Learning e dipende da diversi altri servizi di Azure. I provider di risorse per questi servizi devono essere registrati nella sottoscrizione di Azure. La tabella seguente elenca i tipi di risorsa, il provider e la tipologia:

Tipo di risorsa	Provider di risorse	Tipologia
Hub di Studio AI della piattaforma Azure	Microsoft.MachineLearningServices/workspace	hub
Progetto di Studio AI della piattaforma Azure	Microsoft.MachineLearningServices/workspace	project
Servizi di Azure AI o Servizio OpenAI di Azure per intelligenza artificiale	Microsoft.CognitiveServices/account	AIServices OpenAI

Quando si crea una nuova risorsa dell'hub, è richiesto un set di risorse di Azure dipendenti per archiviare i dati, ottenere l’accesso ai modelli e fornire risorse di calcolo per la personalizzazione dell'intelligenza artificiale. La tabella seguente elenca le risorse di Azure dipendenti e i relativi provider di risorse:

Suggerimento

Se non si fornisce una risorsa dipendente durante la creazione di un hub e la dipendenza è obbligatoria, Studio AI crea automaticamente la risorsa.

Risorsa di Azure dipendente	Provider di risorse	Facoltativo	Nota
Azure AI Search	Microsoft.Search/searchServices	✔	Fornisce funzionalità di ricerca per i progetti.
Account di archiviazione di Azure	Microsoft.Storage/storageAccounts		Archivia gli artefatti per i progetti, ad esempio flussi e valutazioni. Per l'isolamento dei dati, i contenitori di archiviazione sono preceduti dal GUID del progetto e protetti in modo condizionale usando Azure ABAC per l'identità del progetto.
Azure Key Vault	Microsoft.KeyVault/vaults		Archivia segreti come stringhe di connessione per le connessioni alle risorse. Per l'isolamento dei dati, i segreti non possono essere recuperati nei diversi progetti tramite le API.
Registro Azure Container	Microsoft.ContainerRegistry/registries	✔	Archivia le immagini Docker create quando si usa il runtime personalizzato per il prompt flow. Per l'isolamento dei dati, le immagini Docker sono precedute dal GUID del progetto.
Azure Application Insights e Area di lavoro Log Analytics	Microsoft.Insights/components Microsoft.OperationalInsights/workspaces	✔	Usato come archiviazione log quando si acconsente esplicitamente alla registrazione a livello di applicazione per i prompt flow distribuiti.

Per informazioni sulla registrazione dei provider di risorse, vedere Registrare un provider di risorse di Azure.

Risorse ospitate da Microsoft

Sebbene la maggior parte delle risorse usate da Studio AI della piattaforma Azure si trovi nella sottoscrizione di Azure, alcune risorse si trovano in una sottoscrizione di Azure gestita da Microsoft. Il costo per queste risorse gestite viene visualizzato nella fattura di Azure come voce nel provider di risorse di Azure Machine Learning. Le risorse seguenti si trovano nella sottoscrizione di Azure gestita da Microsoft e non vengono visualizzate nella sottoscrizione di Azure dell'utente:

• Risorse di calcolo gestite: fornite dalle risorse di Azure Batch nella sottoscrizione Microsoft.

• Rete virtuale gestita: fornita dalle risorse della rete virtuale di Azure nella sottoscrizione Microsoft. Se le regole FQDN sono abilitate, viene aggiunto un Firewall di Azure (standard), addebitato alla sottoscrizione. Per altre informazioni, vedere Configurare una rete virtuale gestita per Studio AI della piattaforma Azure.

• Archiviazione dei metadati: fornita dalle risorse di Archiviazione di Azure nella sottoscrizione Microsoft.

  Nota

  Se si usano chiavi gestite dal cliente, le risorse di archiviazione dei metadati vengono create nella sottoscrizione. Per altre informazioni, vedere Chiavi gestite dal cliente.

Le risorse di calcolo gestite e le reti virtuali gestite esistono nella sottoscrizione Microsoft, ma sono gestite dall'utente. Ad esempio, è possibile controllare le dimensioni delle macchine virtuali usate per le risorse di calcolo e quali regole in uscita sono configurate per la rete virtuale gestita.

Le risorse di calcolo gestite richiedono anche la gestione delle vulnerabilità. La gestione delle vulnerabilità è una responsabilità condivisa tra l'utente e Microsoft. Per altre informazioni, vedere Gestione delle vulnerabilità.

Proxy del piano di controllo e controllo degli accessi in base al ruolo

I servizi di Azure AI e OpenAI di Azure forniscono endpoint del piano di controllo per operazioni come l'elenco distribuzioni dei modelli. Questi endpoint vengono protetti usando una configurazione separata del controllo degli accessi in base al ruolo di Azure (RBAC) rispetto a quella usata per l'hub.

Per ridurre la complessità della gestione del controllo degli accessi in base al ruolo di Azure, Studio AI fornisce un proxy del piano di controllo che consente di eseguire operazioni sui Servizi di Azure AI connessi e sulle risorse OpenAI di Azure. L'esecuzione di operazioni su queste risorse tramite il proxy del piano di controllo richiede solo le autorizzazioni di Controllo degli accessi in base al ruolo di Azure nell'hub. Il servizio Studio AI della piattaforma Azure esegue quindi la chiamata all'endpoint del piano di controllo dei servizi di Azure AI o OpenAI di Azure per conto dell'utente.

Per altre informazioni, vedere Controllo degli accessi in base al ruolo in Studio AI della piattaforma Azure.

Controllo di accesso basato su attributi

Ogni hub creato prevede un account di archiviazione predefinito. Ogni progetto figlio dell'hub artificiale eredita l'account di archiviazione dell'hub. L'account di archiviazione viene utilizzato per archiviare dati e artefatti.

Per proteggere l'account di archiviazione condiviso, Studio AI della piattaforma Azure usa il controllo degli accessi in base al ruolo di Azure e il controllo degli accessi in base all'attributo di Azure (ABAC di Azure). ABAC di Azure è un modello di sicurezza che definisce il controllo di accesso in base agli attributi associati all'utente, alla risorsa e all'ambiente. Ogni progetto dispone di:

• Un'entità servizio alla quale viene assegnato il ruolo di Collaboratore dati BLOB di archiviazione nell'account di archiviazione.
• Un ID univoco (ID area di lavoro).
• Un set di contenitori nell'account di archiviazione. Ogni contenitore ha un prefisso che corrisponde al valore ID dell'area di lavoro per il progetto.

L'assegnazione di ruolo per ogni entità servizio del progetto ha una condizione che consente solo all'entità servizio di accedere ai contenitori con il valore di prefisso corrispondente. Tale condizione garantisce che ogni progetto possa accedere solo ai propri contenitori.

Nota

Per la crittografia dei dati nell'account di archiviazione, l'ambito è l'intero spazio di archiviazione e non è basato sui contenitori. Pertanto, tutti i contenitori vengono crittografati utilizzando la stessa chiave (fornita da Microsoft o dal cliente).

Per altre informazioni sul controllo basato sugli accessi di Azure, vedere Informazioni sul controllo degli accessi in base agli attributi di Azure.

Contenitori nell'account di archiviazione

L'account di archiviazione predefinito per un hub include i contenitori riportati di seguito. Questi contenitori vengono creati per ogni progetto e il prefisso {workspace-id} corrisponde all'ID univoco per il progetto. I progetti accedono a un contenitore usando una connessione.

Suggerimento

Per trovare l'ID del progetto, passare a progetto nel portale di Azure. Espandere Impostazioni, quindi selezionare Proprietà. Viene visualizzato l'IDI area di lavoro.

Nome contenitore	Nome connessione	Descrizione
{workspace-ID}-azureml	workspaceartifactstore	Archiviazione per asset, quali metriche, modelli e componenti.
{workspace-ID}-blobstore	workspaceblobstore	Archiviazione per caricamento dei dati, snapshot del codice del processo e cache dei dati della pipeline.
{workspace-ID}-code	ND	Archiviazione per notebook, istanze di calcolo e prompt flow.
{workspace-ID}-file	ND	Contenitore alternativo per il caricamento dei dati.

Crittografia

Studio AI della piattaforma Azure usa la crittografia per proteggere i dati inattivi e in transito. Per impostazione predefinita, le chiavi gestite da Microsoft vengono usate per la crittografia. Tuttavia, è possibile usare le proprie chiavi di crittografia. Per altre informazioni, vedere Chiavi gestite dal cliente.

Rete virtuale

Un hub può essere configurato per l'uso di una rete virtuale gestita. La rete virtuale gestita protegge le comunicazioni tra hub, progetti e risorse gestite, ad esempio i calcoli. Se l'accesso pubblico dei servizi di dipendenza (Archiviazione di Azure, Key Vault e Registro Container) è disabilitato, viene creato un endpoint privato per ogni servizio di dipendenza al fine di proteggere la comunicazione tra hub e progetto e il servizio di dipendenza.

Nota

Se si desidera usare una rete virtuale per proteggere le comunicazioni tra i client e l'hub o il progetto, è necessario utilizzare una rete virtuale di Azure creata e gestita dall'utente. Ad esempio, una rete virtuale di Azure che usa una connessione VPN o ExpressRoute alla rete locale.

Per altre informazioni su come configurare una rete virtuale gestita, vedere Configurare una rete virtuale gestita per Studio AI della piattaforma Azure.

Monitoraggio di Azure

Monitoraggio di Azure e Azure Log Analytics forniscono monitoraggio e registrazione per le risorse sottostanti usate da Studio AI della piattaforma Azure. Poiché Studio AI della piattaforma Azure è basato su Azure Machine Learning, OpenAI di Azure, Servizi di Azure AI e Azure AI Search, consultare gli articoli seguenti per informazioni sul monitoraggio dei servizi:

Conto risorse	Monitoraggio e registrazione
Hub e progetto di Studio AI della piattaforma Azure	Monitorare Azure Machine Learning
OpenAI di Azure	Monitorare OpenAI di Azure
Servizi di Azure AI	Monitorare Azure per intelligenza artificiale (training)
Azure AI Search	Monitorare Azure AI Search

Prezzo e quota

Per altre informazioni su prezzo e quota, usare gli articoli seguenti:

• Pianificare e gestire i costi
• Prezzi del livello di impegno
• Gestione delle quote

Passaggi successivi

Creare un hub usando uno dei metodi seguenti:

• Studio AI della piattaforma Azure: creare un hub per iniziare.
• Portale di Azure: creare un hub con la rete personalizzata.
• Modello Bicep.