Esercitazione: come creare un'area di lavoro sicura usando un modello

I modelli offrono un modo pratico per creare distribuzioni di servizi riproducibili. Il modello definisce ciò che verrà creato, con alcune informazioni fornite dall'utente quando si usa il modello. Ad esempio, specificando un nome univoco per l'area di lavoro di Azure Machine Learning.

Questa esercitazione illustra come usare un modello di Microsoft Bicep e Hashicorp Terraform per creare le risorse di Azure seguenti:

• Rete virtuale di Azure. Le risorse seguenti sono protette dietro questa rete virtuale:
  • Area di lavoro di Azure Machine Learning
    • Istanza di calcolo di Azure Machine Learning
    • Cluster di calcolo di Azure Machine Learning
  • Account di archiviazione di Azure
  • Azure Key Vault
  • Azure Application Insights
  • Registro Azure Container
  • Host Azure Bastion
  • Azure Machine Learning Virtual Machine (Data Science Virtual Machine)
  • Il modello Bicep crea anche un cluster del servizio Azure Kubernetes e un gruppo di risorse separato.

Suggerimento

Microsoft consiglia di usare reti virtuali gestite di Azure Machine Learning anziché i passaggi descritti in questo articolo. Con una rete virtuale gestita, Azure Machine Learning gestisce il processo di isolamento della rete per l'area di lavoro e i calcoli gestiti. È anche possibile aggiungere endpoint privati per le risorse necessarie per l'area di lavoro, ad esempio l'account di Archiviazione di Azure. Per altre informazioni, vedere Isolamento network gestito dell'area di lavoro.

Prerequisiti

Prima di usare la procedura descritta in questo articolo, è necessario disporre di una sottoscrizione di Azure. Se non hai una sottoscrizione di Azure, crea un account gratuito.

È anche necessario disporre di una riga di comando Bash o Azure PowerShell.

Suggerimento

Quando si legge questo articolo, usare le schede di ogni sezione per selezionare se visualizzare le informazioni sull'uso dei modelli Bicep o Terraform.

Bicep

1. Per installare gli strumenti a riga di comando, vedere Configurare ambienti di sviluppo e distribuzione di Bicep.

2. Il modello Bicep usato in questo articolo si trova in https://github.com/Azure/azure-quickstart-templates/blob/master/quickstarts/microsoft.machinelearningservices/machine-learning-end-to-end-secure. Usare i comandi seguenti per clonare il repository GitHub nell'ambiente di sviluppo:

   Suggerimento

   Se non si dispone del comando git nell'ambiente di sviluppo, è possibile installarlo da https://git-scm.com/.

   git clone https://github.com/Azure/azure-quickstart-templates
   cd azure-quickstart-templates/quickstarts/microsoft.machinelearningservices/machine-learning-end-to-end-secure
   

Terraform

1. Per installare, configurare e autenticare Terraform nella sottoscrizione di Azure, usare questa procedura in uno degli articoli seguenti:

   • Azure Cloud Shell
   • Windows con Bash
   • Windows con Azure PowerShell

2. I file modello Terraform usati in questo articolo si trovano in https://github.com/Azure/terraform/tree/master/quickstart/201-machine-learning-moderately-secure. Per clonare il repository in locale e modificare la directory in cui si trovano i file del modello, usare i comandi seguenti dalla riga di comando:

   Suggerimento

   Se non si dispone del comando git nell'ambiente di sviluppo, è possibile installarlo da https://git-scm.com/.

   git clone https://github.com/Azure/terraform
   cd terraform/quickstart/201-machine-learning-moderately-secure
   

Informazioni sul modello

Bicep

Il modello Bicep è costituito da main.bicep e dai file di .bicep nei moduli sottodirectory. La tabella seguente descrive i compiti di ogni file:

File	Descrizione
main.bicep	Parametri e variabili. Passaggio di parametri e variabili ad altri moduli nella sottodirectory modules.
vnet.bicep	Definisce la rete virtuale e le subnet di Azure.
nsg.bicep	Definisce le regole del gruppo di sicurezza di rete per la rete virtuale.
bastion.bicep	Definisce l'host e la subnet di Azure Bastion. Azure Bastion consente di accedere facilmente a una macchina virtuale all'interno della rete virtuale usando il Web browser.
dsvmjumpbox.bicep	Definisce la Data Science Virtual Machine (DSVM). Azure Bastion viene usato per accedere a questa macchina virtuale tramite il Web browser.
storage.bicep	Definisce l'account Archiviazione di Azure usato dall'area di lavoro per la risorsa di archiviazione predefinita.
keyvault.bicep	Definisce l'Azure Key Vault usato dall'area di lavoro.
containerregistry.bicep	Definisce il Registro Azure Container usato dall'area di lavoro.
applicationinsights.bicep	Definisce l'istanza di Azure Application Insights usata dall'area di lavoro.
machinelearningnetworking.bicep	Definisce gli endpoint privati e le zone DNS per l'area di lavoro di Azure Machine Learning.
Machinelearning.bicep	Definisce l'area di lavoro di Azure Machine Learning.
machinelearningcompute.bicep	Definisce un cluster di elaborazione e un'istanza di ambiente di calcolo di Azure Machine Learning.
privateaks.bicep	Definisce un'istanza del cluster del servizio Azure Kubernetes.

Importante

I modelli di esempio potrebbero non usare sempre la versione più recente dell'API per Azure Machine Learning. Prima di usare il modello, è consigliabile modificarlo per usare le versioni più recenti dell'API. Per informazioni sulle versioni più recenti dell'API per Azure Machine Learning, vedere API REST di Azure Machine Learning.

Ogni servizio di Azure ha un proprio set di versioni API. Per informazioni sull'API di un servizio specifico, vedere le informazioni sul servizio nel riferimento dell'API REST di Azure..

Per aggiornare la versione dell'API, trovare la voce Microsoft.MachineLearningServices/<resource> per il tipo di risorsa e aggiornarla alla versione più recente. L'esempio seguente è una voce per l'area di lavoro di Azure Machine Learning che usa una versione API di 2022-05-01:

resource machineLearning 'Microsoft.MachineLearningServices/workspaces@2022-05-01' = {

Terraform

Il modello è costituito da più file. La tabella seguente descrive i compiti di ogni file:

File	Descrizione
variables.tf	Variabili e valori predefiniti usati dal modello.
main.tf	Specifica il provider di Azure Resource Manager e definisce il gruppo di risorse.
network.tf	Definisce la rete virtuale, le subnet e i gruppi di sicurezza di rete di Azure.
bastion.tf	Definisce l'host Azure Bastion e il gruppo di sicurezza di rete associato. Azure Bastion consente di accedere facilmente a una macchina virtuale all'interno di una rete virtuale usando il Web browser.
dsvm.tf	Definisce la Data Science Virtual Machine (DSVM). Azure Bastion viene usato per accedere a questa macchina virtuale tramite il Web browser.
workspace.tf	Definisce l'area di lavoro di Azure Machine Learning. Incluse le risorse di dipendenza per Archiviazione di Azure, Key Vault, Application Insights e Registro Container.
compute.tf	Definisce un'istanza di ambiente di calcolo e un cluster di Azure Machine Learning.

Suggerimento

Il provider di Azure Terraform supporta argomenti aggiuntivi non usati in questa esercitazione. Ad esempio, l'argomento ambiente consente di specificare come destinazione aree cloud come Azure per enti pubblici e Microsoft Azure gestite da 21Vianet.

Importante

La DSVM e Azure Bastion vengono usati come modo semplice per connettersi all'area di lavoro protetta per questa esercitazione. In un ambiente di produzione è consigliabile usare un gateway VPN di Azure o Azure ExpressRoute per accedere alle risorse all'interno della rete virtuale direttamente dalla rete locale.

Configurare il modello

Bicep

Per eseguire il modello Bicep, usare i comandi seguenti da machine-learning-end-to-end-secure in cui si trova il file main.bicep:

1. Per creare un nuovo gruppo di risorse di Azure, usare il comando seguente. Sostituire exampleRG con il nome del gruppo di risorse e eastus con l'area di Azure da usare:

   Interfaccia della riga di comando di Azure

   az group create --name exampleRG --location eastus
   

   Azure PowerShell

   New-AzResourceGroup -Name exampleRG -Location eastus
   

2. Per eseguire il modello, usare il comando seguente. Sostituire prefix con un prefisso univoco. Il prefisso verrà nella creazione di risorse di Azure necessarie per Azure Machine Learning. Sostituire securepassword con una password sicura per la jump box. La password è per l'account di accesso per il jump box (azureadmin negli esempi seguenti):

   Suggerimento

   prefix deve contenere al massimo 5 caratteri. Non può essere interamente numerico o contenere i caratteri seguenti: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

   Interfaccia della riga di comando di Azure

   az deployment group create \
       --resource-group exampleRG \
       --template-file main.bicep \
       --parameters \
       prefix=prefix \
       dsvmJumpboxUsername=azureadmin \
       dsvmJumpboxPassword=securepassword
   

   Azure PowerShell

   $dsvmPassword = ConvertTo-SecureString "mysecurepassword" -AsPlainText -Force
   New-AzResourceGroupDeployment -ResourceGroupName exampleRG `
       -TemplateFile ./main.bicep `
       -prefix "prefix" `
       -dsvmJumpboxUsername "azureadmin" `
       -dsvmJumpboxPassword $dsvmPassword
   

   Avviso

   È consigliabile evitare di usare stringhe di testo semplice negli script o dalla riga di comando. Il testo normale può essere visualizzato nei registri eventi e nella cronologia dei comandi. Per altre informazioni, vedere ConvertTo-SecureString.

Terraform

Per eseguire il modello Terraform, usare i comandi seguenti dalla directory 201-machine-learning-moderately-secure in cui si trovano i file modello:

1. Per inizializzare la directory per l'uso di Terraform, usare il comando seguente:

   terraform init
   

2. Per creare una configurazione, usare il comando seguente. Usare il parametro -var per impostare il valore per le variabili usate dal modello. Per un elenco completo delle variabili, vedere il file variables.tf:

   terraform plan \
       -var name=myworkspace \
       -var environment=dev \
       -var location=westus \
       -var dsvm_name=jumpbox \
       -var dsvm_host_password=secure_password \
       -out azureml.tfplan
   

   Al termine di questo comando, la configurazione viene visualizzata nel terminale. Per visualizzarla di nuovo, usare il comando terraform show azureml.tfplan.

3. Per eseguire il modello e applicare la configurazione salvata alla sottoscrizione di Azure, usare il comando seguente:

   terraform apply azureml.tfplan
   

   Lo stato di avanzamento viene visualizzato durante l'elaborazione del modello.

Connettersi all'area di lavoro

Al termine del modello, seguire questa procedura per connettersi alla DSVM:

1. Nel portale di Azure selezionare il gruppo di risorse di Azure usato con il modello. Selezionare quindi la Data Science Virtual Machine creata dal modello. Se non si riesce a trovarlo, usare la sezione Filtri per filtrare ilTipo per macchina virtuale.

   

2. Nella sezione Panoramica della macchina virtuale selezionare Connetti, quindi selezionare Bastion dall'elenco a discesa.

   

3. Quando richiesto, specificare il nome utente e la password specificati durante la configurazione del modello, quindi selezionare Connetti.

   Importante

   La prima volta che ci si connette al desktop DSVM, si apre una finestra di PowerShell che inizia a eseguire uno script. Consentire il completamento prima di continuare con il passaggio successivo.

4. Dal desktop DSVM avviare Microsoft Edge e immettere https://ml.azure.com come indirizzo. Accedere alla sottoscrizione di Azure, quindi selezionare l'area di lavoro creata dal modello. Viene visualizzato lo studio dell'area di lavoro.

Risoluzione dei problemi

Errore: il nome computer Windows non può contenere più di 15 caratteri, non può essere interamente numerico e non può contenere i caratteri seguenti

Questo errore può verificarsi quando il nome della jump box DSVM è maggiore di 15 caratteri o include uno dei caratteri seguenti: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

Quando si usa il modello Bicep, il nome della jump box viene generato a livello di codice usando il valore del prefisso fornito al modello. Per assicurarsi che il nome non superi i 15 caratteri o contenga caratteri non validi, usare un prefisso di 5 caratteri o meno e non usare uno dei caratteri seguenti nel prefisso: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

Quando si usa il modello Terraform, il nome della jump box viene passato usando il parametro dsvm_name. Per evitare questo errore, usare un nome che non superi i 15 caratteri e che non usi uno dei caratteri seguenti come parte del nome: ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

Passaggi successivi

Importante

La Data Science Virtual Machine (DSVM) e tutte le risorse dell'istanza di ambiente di calcolo fatturano ogni ora in cui sono in esecuzione. Per evitare addebiti in eccesso, è consigliabile arrestare queste risorse quando non sono in uso. Per altre informazioni, vedere gli articoli seguenti:

• Creare/gestire macchine virtuali (Linux).
• Creare/gestire macchine virtuali (Windows).
• Creare un'istanza di calcolo.

Per altre informazioni su come usare l'area di lavoro protetta dalla DSVM, vedere Esercitazione: Azure Machine Learning in un giorno.

Per altre informazioni sulle configurazioni comuni dell'area di lavoro sicure e sui requisiti di input/output, vedere Flusso di traffico sicuro dell'area di lavoro di Azure Machine Learning.