Come configurare una rete gestita per gli hub Studio AI della piattaforma Azure

Importante

Alcune funzionalità descritte in questo articolo potrebbero essere disponibili solo in anteprima. Questa anteprima viene fornita senza un contratto di servizio e non è consigliabile per i carichi di lavoro di produzione. Alcune funzionalità potrebbero non essere supportate o potrebbero presentare funzionalità limitate. Per altre informazioni, vedere le Condizioni supplementari per l'uso delle anteprime di Microsoft Azure.

L'isolamento rete ha due aspetti. Uno è l'isolamento rete per accedere all'hub di Studio AI della piattaforma Azure. Un altro è l'isolamento rete delle risorse di calcolo per l'hub e il progetto, ad esempio l'istanza di calcolo, l'endpoint online serverless e quello online gestito. Questo documento illustra quest'ultimo evidenziato nel diagramma. È possibile usare l'isolamento rete predefinito dell'hub per proteggere le risorse di calcolo.

È necessario impostare le configurazioni di isolamento rete seguenti.

• Scegliere la modalità di isolamento rete. Sono disponibili due opzioni: la modalità Consenti Internet in uscita o la modalità Consenti solo il traffico in uscita approvato.
• Creare regole in uscita dell'endpoint privato per le risorse di Azure private. I Servizi di Azure AI privati e Azure AI Search non sono ancora supportati.
• Se si usa l'integrazione di Visual Studio Code con la modalità Consenti solo il traffico in uscita approvato, creare le regole in uscita FQDN descritte nella sezione Usare Visual Studio Code.
• Se si usano modelli HuggingFace in Modelli con la modalità Consenti solo il traffico in uscita approvato, creare le regole FQDN in uscita descritte nella sezione Usare i modelli HuggingFace.

Architettura dell'isolamento rete e modalità di isolamento

Quando si abilita l'isolamento della rete virtuale gestita, viene creata una rete virtuale gestita per l'hub. Le risorse di calcolo gestite create per l'hub usano automaticamente questa rete virtuale gestita. La rete virtuale gestita può usare endpoint privati per le risorse di Azure usate dall'hub, ad esempio Archiviazione di Azure, Azure Key Vault e Registro Azure Container.

Esistono tre diverse modalità di configurazione per il traffico in uscita dalla rete virtuale gestita:

Modalità in uscita	Descrizione	Scenari
Consenti Internet in uscita	Consentire tutto il traffico Internet in uscita dalla rete virtuale gestita.	Si vuole accedere senza restrizioni alle risorse di Machine Learning su Internet, ad esempio pacchetti Python o modelli con training preliminare.1
Consenti solo il traffico in uscita approvato	Il traffico in uscita è consentito specificando i tag del servizio.	* Si vuole ridurre al minimo il rischio di esfiltrazione di dati, ma è necessario preparare tutti gli artefatti di apprendimento automatico necessari nell'ambiente privato. * Si vuole configurare l'accesso in uscita a un elenco approvato di servizi, tag del servizio o FQDN.
Disabilitata	Il traffico in ingresso e in uscita non è limitato.	Si vuole il traffico in ingresso e in uscita pubblico dall'hub.

¹: È possibile usare le regole in uscita con la modalità Consenti solo il traffico in uscita approvato per ottenere lo stesso risultato dell'uso previsto dalla modalità di Consenti Internet in uscita. Le differenze sono le seguenti:

• Usare sempre gli endpoint privati per accedere alle risorse di Azure.

  Importante

  Anche se è possibile creare un endpoint privato per i Servizi di Azure AI e Azure AI Search, i servizi connessi devono consentire la rete pubblica. Per altre informazioni, vedere Connettività ad altri servizi.

• È necessario aggiungere regole per ogni connessione in uscita che bisogna consentire.

• L'aggiunta di regole in uscita FQDN aumenta i costi perché questo tipo di regola usa il Firewall di Azure.

• Le regole predefinite per Consenti solo il traffico in uscita approvato sono progettate per ridurre al minimo il rischio di esfiltrazione di dati. Eventuali regole in uscita aggiunte possono aumentare il rischio.

La rete virtuale gestita è preconfigurata con le regole predefinite necessarie. Viene configurato anche per le connessioni endpoint private all'hub, all'archiviazione predefinita dell'hub, al registro contenitori e all'insieme di credenziali delle chiavi se sono configurati come privati o la modalità di isolamento dell'hub è impostata per consentire solo il traffico in uscita approvato. Dopo aver scelto la modalità di isolamento, potrebbe essere necessario considerare solo altri requisiti in uscita da aggiungere.

Il diagramma seguente mostra una rete virtuale gestita configurata per consentire Internet in uscita:

Il diagramma seguente mostra una rete virtuale gestita configurata per consentire solo i valori in uscita approvati:

Nota

In questa configurazione, l'archiviazione, l'insieme di credenziali delle chiavi e il registro contenitori usati dall'hub vengono contrassegnati come privati. Poiché vengono contrassegnati come privati, viene usato un endpoint privato per comunicare con questi.

Prerequisiti

Prima di seguire la procedura descritta in questo articolo, assicurarsi di disporre dei prerequisiti seguenti:

Azure portal

• Una sottoscrizione di Azure. Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.

• Il provider di risorse Microsoft.Network deve essere registrato per la sottoscrizione di Azure. Questo provider di risorse viene usato dall'hub quando si creano endpoint privati per la rete virtuale gestita.

  Per informazioni sulla registrazione dei provider di risorse, vedere Risoluzione degli errori di registrazione del provider di risorse.

• L'identità di Azure usata per la distribuzione di una rete gestita richiede le azioni di controllo degli accessi in base al ruolo di Azure seguenti per creare endpoint privati:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

Interfaccia della riga di comando di Azure

• Una sottoscrizione di Azure. Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.

• Il provider di risorse Microsoft.Network deve essere registrato per la sottoscrizione di Azure. Questo provider di risorse viene usato dall'hub quando si creano endpoint privati per la rete virtuale gestita.

  Per informazioni sulla registrazione dei provider di risorse, vedere Risoluzione degli errori di registrazione del provider di risorse.

• L'identità di Azure usata per la distribuzione di una rete gestita richiede le azioni di controllo degli accessi in base al ruolo di Azure seguenti per creare endpoint privati:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• L'interfaccia della riga di comando di Azure e l'estensione ml per l'interfaccia della riga di comando di Azure. Per altre informazioni, vedere Installare, configurare e usare l'interfaccia della riga di comando (v2).

• Gli esempi dell'interfaccia della riga di comando in questo articolo presuppongono che si usi la shell Bash (o compatibile). Ad esempio, di un sistema Linux o sottosistema Windows per Linux.

• Gli esempi dell'interfaccia della riga di comando di Azure in questo articolo usano ws per rappresentare il nome dell'hub e rg per rappresentare il nome del gruppo di risorse. Modificare questi valori in base alle esigenze quando si usano i comandi con la sottoscrizione di Azure.

Python SDK

• Una sottoscrizione di Azure. Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare. Provare la versione gratuita o a pagamento di Azure Machine Learning.

• Il provider di risorse Microsoft.Network deve essere registrato per la sottoscrizione di Azure. Questo provider di risorse viene usato dall'hub quando si creano endpoint privati per la rete virtuale gestita.

  Per informazioni sulla registrazione dei provider di risorse, vedere Risoluzione degli errori di registrazione del provider di risorse.

• L'identità di Azure usata per la distribuzione di una rete gestita richiede le azioni di controllo degli accessi in base al ruolo di Azure seguenti per creare endpoint privati:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Python SDK v2 di Azure Machine Learning. Per altre informazioni sull'SDK, vedere Installare Python SDK v2 per Azure Machine Learning.

• Gli esempi riportati in questo articolo presuppongono che il codice inizi con il codice Python seguente. Questo codice importa le classi necessarie quando si crea un hub con rete virtuale gestita, imposta le variabili per la sottoscrizione di Azure e il gruppo di risorse in uso e crea ml_client:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

Limiti

• Studio AI della piattaforma Azure attualmente non supporta l'uso della propria rete virtuale, ma supporta solo l'isolamento rete virtuale gestita.
• Dopo aver abilitato l'isolamento della rete virtuale gestita di Azure per intelligenza artificiale, non è possibile disabilitarlo.
• La rete virtuale gestita usa la connessione dell'endpoint privato per accedere alle risorse private. Non è possibile avere un endpoint privato e un endpoint di servizio contemporaneamente per le risorse di Azure, ad esempio un account di archiviazione. È consigliabile usare gli endpoint privati in tutti gli scenari.
• La rete virtuale gestita viene eliminata quando Azure per intelligenza artificiale viene eliminato.
• La protezione dell'esfiltrazione di dati viene abilitata automaticamente per la di solo traffico in uscita approvato. Se si aggiungono altre regole in uscita, ad esempio i nomi di dominio completi, Microsoft non può garantire la protezione dall'esfiltrazione di dati a tali destinazioni in uscita.
• L'uso delle regole in uscita FQDN aumenta il costo della rete virtuale gestita perché le regole FQDN usano Firewall di Azure. Per altre informazioni, vedere Prezzi.
• Quando si usa un'istanza di calcolo con una rete gestita, usare il comando az ml compute connect-ssh per connettersi al calcolo tramite SSH.

Connettività ad altri servizi

• I servizi di intelligenza artificiale di Azure di cui è stato effettuato il provisioning con l'hub di Azure AI Studio e ricerca di intelligenza artificiale di Azure collegati devono essere pubblici.
• La funzionalità "Aggiungi dati" nel playground di Studio AI della piattaforma Azure non supporta l'uso di una rete virtuale o di un endpoint privato nelle risorse seguenti:
  • Azure AI Search
  • OpenAI di Azure
  • Risorsa di archiviazione

Configurare una rete virtuale gestita per consentire Internet in uscita

Suggerimento

La creazione della rete virtuale gestita viene posticipata fino a quando non viene creata una risorsa di calcolo o il provisioning non viene avviato manualmente. Quando si consente la creazione automatica, potrebbero essere necessari circa 30 minuti per creare la prima risorsa di calcolo perché esegue anche il provisioning della rete.

Azure portal

• Creare un nuovo hub:

  1. Accedere al portale di Azure e scegliere Studio AI della piattaforma Azure dal menu Crea una risorsa.

  2. Selezionare + Nuovo Azure per intelligenza artificiale.

  3. Specificare le informazioni necessarie nella scheda Informazioni di base.

  4. Dalla scheda Rete, selezionare Privato con Internet in uscita.

  5. Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla scheda Rete. Nella barra laterale Regole in uscita specificare le informazioni seguenti:

     • Nome della regola: un nome della regola. Il nome deve essere univoco per questo hub.
     • Tipo di destinazione: Endpoint privato è l'unica opzione quando l'isolamento rete è privato con Internet in uscita. La rete virtuale gestita dell'hub non supporta la creazione di un endpoint privato per tutti i tipi di risorse di Azure. Per un elenco delle risorse supportate, vedere la sezione Endpoint privati.
     • Sottoscrizione: la sottoscrizione contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
     • Gruppo di risorse: gruppo di risorse contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
     • Tipo di risorsa: tipo di risorsa di Azure.
     • Nome della risorsa: nome della risorsa di Azure.
     • Risorsa secondaria: risorsa secondaria del tipo di risorsa di Azure.

     Seleziona Salva per salvare la regola. È possibile continuare a usare Aggiungi regole in uscita definite dall'utente per aggiungere regole.

  6. Continuare a creare l'hub come di consueto.

• Aggiornare un hub esistente:

  1. Accedere al portale di Azure e selezionare l'hub per cui si vuole abilitare l'isolamento della rete virtuale gestita.

  2. Selezionare Rete, quindi selezionare Privato con Internet in uscita.

     • Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla schedaRete. Nella barra laterale Regole in uscita specificare le stesse informazioni usate durante la creazione di un hub nella sezione "Crea un nuovo hub".

     • Per eliminare una regola in uscita, selezionare elimina per la regola.

  3. Selezionare Salva nella parte superiore della pagina per salvare le modifiche apportate alla rete virtuale gestita.

Interfaccia della riga di comando di Azure

Per configurare una rete virtuale gestita che consenta le comunicazioni in uscita su Internet, è possibile usare il parametro --managed-network allow_internet_outbound o un file di configurazione YAML contenente le voci seguenti:

managed_network:
  isolation_mode: allow_internet_outbound

È anche possibile definire le regole in uscita ad altri servizi di Azure su cui si basa l'hub. Queste regole definiscono endpoint privati che consentono a una risorsa di Azure di comunicare in modo sicuro con la rete virtuale gestita. La regola seguente illustra l'aggiunta di un endpoint privato a una risorsa BLOB di Azure.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

È possibile configurare una rete virtuale gestita usando i comandi az ml workspace create o az ml workspace update:

• Creare un nuovo hub:

  Nell'esempio seguente viene creato un nuovo hub. Il parametro --managed-network allow_internet_outbound configura una rete virtuale gestita per l'hub:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Per creare un hub usando invece un file YAML, usare il parametro --file e specificare il file YAML che contiene le impostazioni di configurazione:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  L'esempio YAML seguente definisce un hub con una rete virtuale gestita:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Aggiornare un hub esistente:

  Avviso

  Prima di aggiornare un'area di lavoro esistente per usare una rete virtuale gestita, è necessario eliminare tutte le risorse di calcolo per l'area di lavoro. Sono inclusi l'istanza di calcolo, il cluster di elaborazione e gli endpoint online gestiti.

  Nell'esempio seguente viene aggiornato un hub esistente. Il parametro --managed-network allow_internet_outbound configura una rete virtuale gestita per l'hub:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Per aggiornare un hub esistente usando il file YAML, usare il parametro --file e specificare il file YAML che contiene le impostazioni di configurazione:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  L'esempio YAML seguente definisce una rete virtuale gestita per l'hub. Viene inoltre illustrato come aggiungere una connessione di un endpoint privato a una risorsa usata dall'hub; in questo esempio, un endpoint privato per un archivio BLOB:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Python SDK

Per configurare una rete virtuale gestita che consente le comunicazioni internet in uscita, usare la classe ManagedNetwork per definire una rete con IsolationMode.ALLOW_INTERNET_OUTBOUND. È quindi possibile usare l'oggetto ManagedNetwork per creare un nuovo hub o aggiornare una nuova area di lavoro esistente. Per definire le regole in uscita per i servizi di Azure su cui si basa l'hub, usare la classe PrivateEndpointDestination per definire un nuovo endpoint privato per il servizio.

• Creare un nuovo hub:

  L'esempio seguente crea un nuovo hub denominato myhub, con una regola in uscita denominata myrule che aggiunge un endpoint privato per un archivio BLOB di Azure:

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Aggiornare un hub esistente:

  L'esempio seguente illustra come creare una rete virtuale gestita per un hub esistente denominato myhub:

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Configurare una rete virtuale gestita per consentire solo il traffico in uscita approvato

Suggerimento

Il provisioning della rete virtuale gestita viene eseguito automaticamente quando si crea una risorsa di calcolo. Quando si consente la creazione automatica, potrebbero essere necessari circa 30 minuti per creare la prima risorsa di calcolo perché esegue anche il provisioning della rete. Se sono state configurate regole in uscita FQDN, la prima regola FQDN aggiunge circa 10 minuti al tempo di provisioning.

Azure portal

• Creare un nuovo hub:

  1. Accedere al portale di Azure e scegliere Studio AI della piattaforma Azure dal menu Crea una risorsa.

  2. Selezionare + Nuovo Azure per intelligenza artificiale.

  3. Specificare le informazioni necessarie nella scheda Informazioni di base.

  4. Dalla scheda Rete, selezionare Privato con traffico in uscita approvato.

  5. Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla scheda Rete. Nella barra laterale Regole in uscita specificare le informazioni seguenti:

     • Nome della regola: un nome della regola. Il nome deve essere univoco per questo hub.
     • Tipo di destinazione: endpoint privato, tag del servizio o FQDN. I tag del servizio e il nome di dominio completo sono disponibili solo quando l'isolamento rete è privato traffico in uscita approvato.

     Se il tipo di destinazione è Endpoint privato, fornire le informazioni seguenti:

     • Sottoscrizione: la sottoscrizione contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
     • Gruppo di risorse: gruppo di risorse contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
     • Tipo di risorsa: tipo di risorsa di Azure.
     • Nome della risorsa: nome della risorsa di Azure.
     • Risorsa secondaria: risorsa secondaria del tipo di risorsa di Azure.

     Suggerimento

     La rete virtuale gestita dell'hub non supporta la creazione di un endpoint privato per tutti i tipi di risorse di Azure. Per un elenco delle risorse supportate, vedere la sezione Endpoint privati.

     Se il tipo di destinazione è Tag del servizio, specificare le informazioni seguenti:

     • Tag del servizio: il tag del servizio da aggiungere alle regole in uscita approvate.
     • Protocollo: il protocollo da consentire per il tag del servizio.
     • Intervalli porte: intervalli di porte da consentire per il tag del servizio.

     Se il tipo di destinazione è FQDN, specificare le informazioni seguenti:

     Avviso

     Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole del nome di dominio completo in uscita, i costi per Firewall di Azure vengono inclusi nella fatturazione. Per altre informazioni, vedere Prezzi.

     • Destinazione FQDN: il nome di dominio completo da aggiungere alle regole in uscita approvate.

     Seleziona Salva per salvare la regola. È possibile continuare a usare Aggiungi regole in uscita definite dall'utente per aggiungere regole.

  6. Continuare a creare l'hub come di consueto.

• Aggiornare un hub esistente:

  1. Accedere al portale di Azure e selezionare l'hub per cui si vuole abilitare l'isolamento della rete virtuale gestita.

  2. Selezionare Rete, quindi Privato con traffico in uscita approvato.

     • Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla schedaRete. Nella barra laterale Regole in uscita specificare le stesse informazioni usate durante la creazione di un hub nella sezione "Crea un nuovo hub" precedente.

     • Per eliminare una regola in uscita, selezionare elimina per la regola.

  3. Selezionare Salva nella parte superiore della pagina per salvare le modifiche apportate alla rete virtuale gestita.

Interfaccia della riga di comando di Azure

Per configurare una rete virtuale gestita che consenta solo le comunicazioni in uscita approvate, è possibile usare il parametro --managed-network allow_only_approved_outbound o un file di configurazione YAML contenente le voci seguenti:

managed_network:
  isolation_mode: allow_only_approved_outbound

È anche possibile definire regole in uscita per definire le comunicazioni in uscita approvate. È possibile creare una regola in uscita per un tipo di service_tag, fqdn e private_endpoint. La regola seguente illustra l'aggiunta di un endpoint privato a una risorsa BLOB di Azure, un tag del servizio ad Azure Data Factory e un FQDN a pypi.org:

Importante

• L'aggiunta di traffico in uscita per un tag del servizio o FQDN è valida solo quando la rete virtuale gestita è configurata su allow_only_approved_outbound.
• Se si aggiungono regole in uscita, Microsoft non può garantire l'esfiltrazione di dati.

Avviso

Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole FQDN in uscita, gli addebiti per Firewall di Azure vengono aggiunti alla fatturazione. Per altre informazioni, vedere Prezzi.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

È possibile configurare una rete virtuale gestita usando i comandi az ml workspace create o az ml workspace update:

• Creare un nuovo hub:

  L'esempio seguente usa il parametro --managed-network allow_only_approved_outbound per configurare la rete virtuale gestita:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Il file YAML seguente definisce un hub con una rete virtuale gestita:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Per creare un hub usando il file YAML, usare il parametro --file:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Aggiornare un hub esistente

  Avviso

  Prima di aggiornare un'area di lavoro esistente per usare una rete virtuale gestita, è necessario eliminare tutte le risorse di calcolo per l'area di lavoro. Sono inclusi l'istanza di calcolo, il cluster di elaborazione e gli endpoint online gestiti.

  L'esempio seguente usa il parametro --managed-network allow_only_approved_outbound per configurare la rete virtuale gestita per un hub esistente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Il file YAML seguente definisce una rete virtuale gestita per l'hub. Illustra anche come aggiungere una rete in uscita approvata alla rete virtuale gestita. In questo esempio viene aggiunta una regola in uscita per entrambi i tag del servizio:

  Avviso

  Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole FQDN in uscita, gli addebiti per Firewall di Azure vengono aggiunti alla fatturazione. Per altre informazioni, vedere Prezzi.

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Python SDK

Per configurare una rete virtuale gestita che consente solo le comunicazioni in uscita approvate, usare la classe ManagedNetwork per definire una rete con IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND. È quindi possibile usare l'oggetto ManagedNetwork per creare un nuovo hub o aggiornare una nuova area di lavoro esistente. Per definire le regole in uscita, usare le classi seguenti:

Destinazione	Classe
Servizio di Azure su cui si basa l'hub	PrivateEndpointDestination
Tag del servizio di Azure	ServiceTagDestination
nome di dominio completo (FQDN)	FqdnDestination

• Creare un nuovo hub:

  L'esempio seguente crea un nuovo hub denominato myhub, con diverse regole in uscita:

  • myrule: aggiunge un endpoint privato per un archivio BLOB di Azure.
  • datafactory: aggiunge una regola di tag del servizio per comunicare con Azure Data Factory.

  Importante

  • L'aggiunta di traffico in uscita per un tag del servizio o FQDN è valida solo quando la rete virtuale gestita è configurata su IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Se si aggiungono regole in uscita, Microsoft non può garantire l'esfiltrazione di dati.

  Avviso

  Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole FQDN in uscita, gli addebiti per Firewall di Azure vengono aggiunti alla fatturazione. Per altre informazioni, vedere Prezzi.

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Aggiornare un hub esistente:

  L'esempio seguente illustra come creare una rete virtuale gestita per un hub Azure Machine Learning esistente denominato myhub. Nell'esempio vengono aggiunte anche diverse regole in uscita per la rete virtuale gestita:

  • myrule: aggiunge un endpoint privato per un archivio BLOB di Azure.
  • datafactory: aggiunge una regola di tag del servizio per comunicare con Azure Data Factory.

  Suggerimento

  L'aggiunta di traffico in uscita per un tag del servizio o FQDN è valida solo quando la rete virtuale gestita è configurata su IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  Avviso

  Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole FQDN in uscita, gli addebiti per Firewall di Azure vengono aggiunti alla fatturazione. Per altre informazioni, vedere Prezzi.

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Gestire le regole in uscita

Azure portal

1. Accedere al portale di Azure e selezionare l'hub per cui si vuole abilitare l'isolamento della rete virtuale gestita.
2. Selezionare Rete. La sezione Accesso in uscita di Azure per intelligenza artificiale consente di gestire le regole in uscita.

• Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla schedaRete. Nella barra laterale Regole in uscita di Azure per intelligenza artificiale specificare le informazioni seguenti:

• Per abilitare o disabilitare una regola, usare l'interruttore nella colonna Attiva.

• Per eliminare una regola in uscita, selezionare elimina per la regola.

Interfaccia della riga di comando di Azure

Per elencare le regole in uscita della rete virtuale gestita per un hub, usare il comando seguente:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Per visualizzare i dettagli di una regola in uscita della rete virtuale gestita, usare il comando seguente:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Per rimuovere una regola in uscita dalla rete virtuale gestita, usare il comando seguente:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

Python SDK

L'esempio seguente illustra come gestire le regole in uscita per un hub denominato myhub:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Elenco delle regole obbligatorie

Suggerimento

Queste regole vengono aggiunte automaticamente alla rete virtuale gestita.

Endpoint privati:

• Quando la modalità di isolamento per la rete virtuale gestita è Allow internet outbound, le regole in uscita dell'endpoint privato vengono create automaticamente come regole necessarie dalla rete virtuale gestita per l'hub e le risorse associate con accesso alla rete pubblica disabilitato (insieme di credenziali delle chiavi, account di archiviazione, registro contenitori, hub).
• Quando la modalità di isolamento per la rete virtuale gestita è Allow only approved outbound, le regole in uscita dell'endpoint privato vengono create automaticamente come regole necessarie dalla rete virtuale gestita per l'hub e le risorse associate indipendentemente dalla modalità di accesso alla rete pubblica per queste risorse (insieme di credenziali delle chiavi, account di archiviazione, registro contenitori, hub).

Regole dei tag del servizio in uscita:

• AzureActiveDirectory
• Azure Machine Learning
• BatchNodeManagement.region
• AzureResourceManager
• AzureFrontDoor.FirstParty
• MicrosoftContainerRegistry
• AzureMonitor

Regole dei tag del servizio in ingresso :

• AzureMachineLearning

Elenco di regole in uscita specifiche dello scenario

Scenario: accedere ai pacchetti di apprendimento automatico pubblici

Per consentire l'installazione di pacchetti Python per il training e la distribuzione, aggiungere regole FQDN in uscita per consentire il traffico verso i nomi host seguenti:

Avviso

Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole FQDN in uscita, i costi per Firewall di Azure sono inclusi nella fatturazione. Per altre informazioni, vedere Prezzi.

Nota

Questo non è un elenco completo degli host necessari per tutte le risorse di Python su Internet, ma solo dei più usati. Ad esempio, se è necessario accedere a un repository GitHub o a un altro host, occorre identificare e aggiungere gli host necessari per tale scenario.

Nome host	Scopo
anaconda.com *.anaconda.com	Usato per installare i pacchetti predefiniti.
*.anaconda.org	Usato per ricevere i dati del repository.
pypi.org	Usato per elencare le dipendenze dall'indice predefinito, se presenti e se l'indice non viene sovrascritto dalle impostazioni utente. Se l'indice è sovrascritto, è necessario consentire anche *.pythonhosted.org.
pytorch.org *.pytorch.org	Usato da alcuni esempi basati su PyTorch.
*.tensorflow.org	Usato da alcuni esempi basati su Tensorflow.

Scenario: usare Visual Studio Code

Visual Studio Code si basa su host e porte specifici per stabilire una connessione remota.

Hosts

Se si prevede di usare Visual Studio Code con l'hub, aggiungere regole FQDN in uscita per consentire il traffico agli host seguenti:

Avviso

Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole del nome di dominio completo in uscita, i costi per Firewall di Azure vengono inclusi nella fatturazione. Per altre informazioni, vedere Prezzi.

• *.vscode.dev
• vscode.blob.core.windows.net
• *.gallerycdn.vsassets.io
• raw.githubusercontent.com
• *.vscode-unpkg.net
• *.vscode-cdn.net
• *.vscodeexperiments.azureedge.net
• default.exp-tas.com
• code.visualstudio.com
• update.code.visualstudio.com
• *.vo.msecnd.net
• marketplace.visualstudio.com
• pkg-containers.githubusercontent.com
• github.com

Porti

È necessario consentire il traffico di rete verso le porte comprese tra la 8704 e la 8710. Il server di VS Code seleziona in modo dinamico la prima porta disponibile compresa in questo intervallo.

Scenario: usare modelli HuggingFace

Se si prevede di usare modelli HuggingFace con l'hub, aggiungere regole FQDN in uscita per consentire il traffico verso gli host seguenti:

Avviso

Le regole in uscita del nome di dominio completo vengono implementate tramite Firewall di Azure. Se si usano regole del nome di dominio completo in uscita, i costi per Firewall di Azure vengono inclusi nella fatturazione. Per altre informazioni, vedere Prezzi.

• docker.io
• *.docker.io
• *.docker.com
• production.cloudflare.docker.com
• cnd.auth0.com
• cdn-lfs.huggingface.co

Endpoint privati

Gli endpoint privati sono attualmente supportati per i servizi di Azure seguenti:

• Hub di Studio AI
• Azure Machine Learning
• Registri di Azure Machine Learning
• Archiviazione di Azure (tutti i tipi di risorse secondarie)
• Registro Azure Container
• Azure Key Vault
• Servizi di Azure AI
• Azure AI Search
• Azure SQL Server
• Azure Data Factory
• Azure Cosmos DB (tutti i tipi di risorse secondarie)
• Hub eventi di Azure
• Cache Redis di Azure
• Azure Databricks
• Database di Azure per MariaDB
• Database di Azure per PostgreSQL - Server singolo
• Database di Azure per MySQL
• Istanza gestita di SQL di Azure
• Gestione API di Azure

Importante

Anche se è possibile creare un endpoint privato per i Servizi di Azure AI e Azure AI Search, i servizi connessi devono consentire la rete pubblica. Per altre informazioni, vedere Connettività ad altri servizi.

Quando si crea un endpoint privato, si specifica il tipo di risorsa e la risorsa secondaria a cui si connette l'endpoint. Alcune risorse hanno più tipi e risorse secondarie. Per altre informazioni, vedere Che cos'è un endpoint privato.

Quando si crea un endpoint privato per le risorse di dipendenza dell'hub, ad esempio Archiviazione di Azure, Registro Azure Container e Azure Key Vault, la risorsa può trovarsi in una sottoscrizione di Azure diversa. Tuttavia, la risorsa deve trovarsi nello stesso tenant dell'hub.

Un endpoint privato viene creato automaticamente per una connessione se la risorsa di destinazione è una risorsa di Azure elencata in precedenza. È previsto un ID di destinazione valido per l'endpoint privato. Un ID di destinazione valido per la connessione può essere l'ID Azure Resource Manager di una risorsa padre. L'ID di destinazione è previsto anche nella destinazione della connessione o in metadata.resourceid. Per altre informazioni sulle connessioni, vedere Come aggiungere una nuova connessione in Studio AI della piattaforma Azure.

Prezzi

La funzionalità di rete virtuale gestita dall'hub è gratuita. Tuttavia, vengono addebitati i costi per le seguenti risorse usate dalla rete virtuale gestita:

• Collegamento privato di Azure: gli endpoint privati usati per proteggere le comunicazioni tra la rete virtuale gestita e le risorse di Azure si basano sul collegamento privato di Azure. Per altre informazioni sui prezzi, vedere Prezzi di Collegamento privato di Azure.

• Regole in uscita FQDN: le regole in uscita FQDN vengono implementate tramite Firewall di Azure. Se si usano regole del nome di dominio completo in uscita, i costi per Firewall di Azure vengono inclusi nella fatturazione. Lo SKU di Firewall di Azure è standard. Viene effettuato il provisioning di Firewall di Azure per hub.

  Importante

  Il firewall non viene creato fino a quando non si aggiunge una regola FQDN in uscita. Se non si usano regole FQDN, non verranno addebitati i costi per Firewall di Azure. Per altre informazioni sui prezzi, vedere Prezzi di Firewall di Azure.

Contenuto correlato

• Creare un hub e un progetto di Studio AI usando l'SDK