Azure Machine Learning で GitHub Actions を使用する

[アーティクル]
02/17/2024

適用対象:Azure CLI ml extension v2 (現行)Python SDK azure-ai-ml v2 (現行)

Azure Machine Learning でモデルをトレーニングするために GitHub Actions を使ってみましょう。

この記事では、機械学習モデルを構築して Azure Machine Learning にデプロイする GitHub Actions ワークフローを作成する方法について説明します。 NYC タクシーデータセットで scikit-learn 線形回帰モデルをトレーニングします。

GitHub Actions では、お使いのリポジトリの /.github/workflows/ パスにあるワークフロー YAML (.yml) ファイルが使用されます。この定義には、ワークフローを構成するさまざまな手順とパラメーターが含まれます。

前提条件

この記事の手順に従う前に、次の前提条件が満たされていることをご確認ください。

Azure Machine Learning ワークスペース。所有していない場合は、クイックスタート: ワークスペースリソースの作成に関する記事の手順に従って作成してください。
Python SDK v2 をインストールするには、次のコマンドを使用します。
```
pip install azure-ai-ml azure-identity
```
SDK の既存のインストールを最新バージョンに更新するには、次のコマンドを使用します。
```
pip install --upgrade azure-ai-ml azure-identity
```
詳細については、「Azure Machine Learning 用 Python SDK v2 のインストール」を参照してください。

GitHub アカウント。お持ちでない場合は、無料でサインアップしてください。

ステップ 1: コードを取得する

GitHub で次のリポジトリをフォークします。

https://github.com/azure/azureml-examples

フォークしたリポジトリをローカルで複製します。

git clone https://github.com/YOUR-USERNAME/azureml-examples

手順 2: Azure による認証

まず、Azure で認証する方法を定義する必要があります。サービスプリンシパルまたは OpenID Connect を使用できます。

Azure CLI で az ad sp create-for-rbac コマンドを使用して、サービスプリンシパルを作成します。このコマンドは、Azure portal で Azure Cloud Shell を使用するか、[試してみる] ボタンを選択して実行します。

az ad sp create-for-rbac --name "myML" --role contributor \
                            --scopes /subscriptions/<subscription-id>/resourceGroups/<group-name> \
                            --json-auth

--json-auth パラメーターは、Azure CLI バージョン 2.51.0 以降で使用できます。これ以前のバージョンでは --sdk-auth を使用し、非推奨の警告が表示されます。

上記の例で、プレースホルダーをご利用のサブスクリプション ID、リソースグループ名、アプリ名に置き換えます。これにより、以下のようなご自分の App Service アプリにアクセスするためのロールの割り当て資格情報を含む JSON オブジェクトが出力されます。この JSON オブジェクトを後のためにコピーします。

  {
    "clientId": "<GUID>",
    "clientSecret": "<GUID>",
    "subscriptionId": "<GUID>",
    "tenantId": "<GUID>",
    (...)
  }

OpenID Connect は、短期間のトークンを使用する認証方法です。 GitHub Actions を使用して OpenID Connect を設定すると、セキュリティが強化されたより複雑なプロセスになります。

既存のアプリケーションがない場合は、リソースにアクセスできる新しい Microsoft Entra アプリケーションとサービスプリンシパルを登録します。
```
az ad app create --display-name myApp
```
このコマンドにより、あなたの client-id である appId を持つ JSON が出力されます。この objectId は APPLICATION-OBJECT-ID であり、Graph API 呼び出しを使用してフェデレーション資格情報を作成するために使用されます。後で AZURE_CLIENT_ID の GitHub シークレットとして使用する値を保存します。
サービスプリンシパルを作成する。 $appID を、JSON 出力のアプリ ID に置き換えてください。このコマンドを実行すると、次のステップで使用される異なる objectId を持つ JSON 出力を生成します。新しい objectId は assignee-object-id です。

このコマンドにより、異なる objectId を持つ JSON 出力が生成され、次のステップで使用されます。新しい objectId は assignee-object-id です。

後で AZURE_TENANT_ID の GitHub シークレットとして使用するために、appOwnerTenantId をコピーします。
```
 az ad sp create --id $appId
```
サブスクリプションとオブジェクト別に新しいロールの割り当てを作成します。既定では、ロールの割り当ては既定のサブスクリプションに関連付けされます。 $subscriptionId をサブスクリプション ID に、$resourceGroupName をリソースグループ名に、$assigneeObjectId を生成された assignee-object-id (新しく作成されたサービスプリンシパルオブジェクト ID) に置き換えます。
```
az role assignment create --role contributor --subscription $subscriptionId --assignee-object-id  $assigneeObjectId --assignee-principal-type ServicePrincipal --scope /subscriptions/$subscriptionId/resourceGroups/$resourceGroupName
```
次のコマンドを実行して、Microsoft Entra アプリケーションの新しいフェデレーション ID 資格情報を作成します。
- APPLICATION-OBJECT-ID を Microsoft Entra アプリケーションの objectId (アプリの作成中に生成) に置き換えてください。
- 後で参照するには、CREDENTIAL-NAME の値を設定します。
- subject を設定します。この値は、ワークフローに応じて、GitHub によって定義されます。
  - GitHub Actions 環境のジョブ: repo:< Organization/Repository >:environment:< Name >
  - 環境に関連付けられていないジョブの場合は、ワークフローのトリガーに使用される ref パスに基づいて、ブランチ/タグの ref パスを含めます: repo:< Organization/Repository >:ref:< ref path>。たとえば、repo:n-username/ node_express:ref:refs/heads/my-branch または repo:n-username/ node_express:ref:refs/tags/my-tag です。
  - プル要求イベントによってトリガーされるワークフローの場合: repo:< Organization/Repository >:pull_request。
```
az ad app federated-credential create --id <APPLICATION-OBJECT-ID> --parameters credential.json
("credential.json" contains the following content)
{
    "name": "<CREDENTIAL-NAME>",
    "issuer": "https://token.actions.githubusercontent.com",
    "subject": "repo:octo-org/octo-repo:environment:Production",
    "description": "Testing",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}
```

シークレットを作成する

サービスプリンシパル
OpenID Connect

GitHub で、お使いのリポジトリに移動します。
ナビゲーションメニューで [設定] に移動します。
[Security] (セキュリティ) > [Secrets and variables] (シークレットと変数) > [Actions] (アクション) を選びます。
[New repository secret](新しいリポジトリシークレット) を選択します。
Azure CLI コマンドからの JSON 出力全体をシークレットの値フィールドに貼り付けます。シークレットに AZURE_CREDENTIALS と名前を付けます。
[Add secret](シークレットの追加) を選択します。

ログインアクションには、アプリケーションのクライアント ID、テナント ID、サブスクリプション IDを指定する必要があります。これらの値は、ワークフロー内で直接指定するか、GitHub シークレットに格納してワークフローで参照できます。 GitHub シークレットとして値を保存する方がより安全なオプションです。

GitHub で、お使いのリポジトリに移動します。
[Security] (セキュリティ) > [Secrets and variables] (シークレットと変数) > [Actions] (アクション) を選びます。
[New repository secret](新しいリポジトリシークレット) を選択します。

AZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_SUBSCRIPTION_ID のシークレットを作成します。 GitHub シークレットには、Microsoft Entra アプリケーションの次の値を使用します。

GitHub シークレット	Microsoft Entra アプリケーション
AZURE_CLIENT_ID	アプリケーション (クライアント) ID
AZURE_TENANT_ID	ディレクトリ (テナント) ID
AZURE_SUBSCRIPTION_ID	サブスクリプション ID

[Add secret](シークレットの追加) を選択して各シークレットを保存します。

手順 3: `setup.sh` を更新して Azure Machine Learning ワークスペースに接続する

ご自分のワークスペースに合わせて CLI セットアップファイル変数を更新する必要があります。

フォークしたリポジトリで、azureml-examples/cli/ に移動します。

setup.sh を編集してファイル内のこれらの変数を更新します。

変数	説明
GROUP	リソースグループの名前
LOCATION	ご自分のワークスペースの場所 (例: `eastus2`)
ワークスペース	Azure Machine Learning ワークスペースの名前

手順 4: コンピューティングクラスター名で `pipeline.yml` を更新する

pipeline.yml ファイルを使用して、Azure Machine Learning パイプラインをデプロイします。これは機械学習パイプラインであり、DevOps パイプラインではありません。コンピュータークラスター名に cpu-cluster 以外の名前を使用している場合にのみ、この更新を行う必要があります。

フォークしたリポジトリで、azureml-examples/cli/jobs/pipelines/nyc-taxi/pipeline.yml に移動します。
compute: azureml:cpu-cluster が表示されるたびに、cpu-cluster の値をご自分のコンピューティングクラスター名で更新します。たとえば、クラスター名がmy-cluster の場合、新しい値は azureml:my-cluster になります。 5 つの更新プログラムがあります。

手順 5: GitHub Actions ワークフローを実行する

このワークフローは、Azure で認証し、Azure Machine Learning CLI を設定し、CLI を使用して Azure Machine Learning でモデルをトレーニングします。

サービスプリンシパル
OpenID Connect

ワークフローファイルは、トリガーセクションとジョブで構成されます。

トリガーは、on セクションでワークフローを開始します。ワークフローは、既定で cron スケジュールで実行され、一致するブランチとパスから pull request が行われたときに実行されます。ワークフローをトリガーするイベントについて確認してください。
ワークフローのジョブセクションで、コードをチェックアウトし、ご自分のサービスプリンシパルシークレットを使用して Azure にログインします。
ジョブセクションには、Machine Learning CLI (v2) をインストールして設定するセットアップアクションも含まれています。 CLI がインストールされると、実行ジョブアクションによって Azure Machine Learning pipeline.yml ファイルが実行され、NYC タクシーデータを使用してモデルがトレーニングされます。

ワークフローを有効にする

フォークしたリポジトリで .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml を開き、ワークフローが次のようになっていることを確認します。

name: cli-jobs-pipelines-nyc-taxi-pipeline
on:
  workflow_dispatch:
  schedule:
    - cron: "0 0/4 * * *"
  pull_request:
    branches:
      - main
      - sdk-preview
    paths:
      - cli/jobs/pipelines/nyc-taxi/**
      - .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml
      - cli/run-pipeline-jobs.sh
      - cli/setup.sh
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
    - name: check out repo
      uses: actions/checkout@v2
    - name: azure login
      uses: azure/login@v1
      with:
        creds: ${{secrets.AZURE_CREDENTIALS}}
    - name: setup
      run: bash setup.sh
      working-directory: cli
      continue-on-error: true
    - name: run job
      run: bash -x ../../../run-job.sh pipeline.yml
      working-directory: cli/jobs/pipelines/nyc-taxi

[実行の表示] を選びます。
[自分のワークフローを理解し、先に進んで有効にする] を選んでワークフローを有効にします。
cli-jobs-pipelines-nyc-taxi-pipeline ワークフローを選び、[ワークフローを有効にする] を選びます。
[ワークフローの実行] を選び、今すぐ [ワークフローの実行] オプションを選びます。

ワークフローファイルは、トリガーセクションとジョブで構成されます。

トリガーは、on セクションでワークフローを開始します。ワークフローは、既定で cron スケジュールで実行され、一致するブランチとパスから pull request が行われたときに実行されます。ワークフローをトリガーするイベントについて確認してください。
ワークフローのジョブセクションで、コードをチェックアウトし、OpenID Connect を使用して Azure ログインアクションで Azure にログインします。
ジョブセクションには、Machine Learning CLI (v2) をインストールして設定するセットアップアクションも含まれています。 CLI がインストールされると、実行ジョブアクションによって Azure Machine Learning pipeline.yml ファイルが実行され、NYC タクシーデータを使用してモデルがトレーニングされます。

ワークフローを有効にする

フォークしたリポジトリで .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml を開き、ワークフローが次のようになっていることを確認します。

name: cli-jobs-pipelines-nyc-taxi-pipeline
on:
  workflow_dispatch:
  schedule:
    - cron: "0 0/4 * * *"
  pull_request:
    branches:
      - main
      - sdk-preview
    paths:
      - cli/jobs/pipelines/nyc-taxi/**
      - .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml
      - cli/run-pipeline-jobs.sh
      - cli/setup.sh
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
    - name: check out repo
      uses: actions/checkout@v2
    - name: azure login
      uses: azure/login@v1
      with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}
    - name: setup
      run: bash setup.sh
      working-directory: cli
      continue-on-error: true
    - name: run job
      run: bash -x ../../../run-job.sh pipeline.yml
      working-directory: cli/jobs/pipelines/nyc-taxi

[実行の表示] を選びます。
[自分のワークフローを理解し、先に進んで有効にする] を選んでワークフローを有効にします。
cli-jobs-pipelines-nyc-taxi-pipeline ワークフローを選び、[ワークフローを有効にする] を選びます。
[ワークフローの実行] を選び、今すぐ [ワークフローの実行] オプションを選びます。

手順 6: ワークフローの実行を確認する

完了したワークフロー実行を開き、ビルドジョブが正常に実行されたことを確認します。ジョブの横に緑色のチェックマークが表示されます。
Azure Machine Learning スタジオを開き、nyc-taxi-pipeline-example に移動します。ジョブの各部分 (準備、変換、トレーニング、予測、スコア) が完了し、緑色のチェックマークが表示されていることを確認します。

リソースをクリーンアップする

リソースグループとリポジトリが不要になったら、リソースグループと GitHub リポジトリを削除して、デプロイしたリソースをクリーンアップします。

次の手順

Python SDK を使用して運用 ML パイプラインを作成する

Azure Machine Learning で GitHub Actions を使用する

前提条件

ステップ 1: コードを取得する

手順 2: Azure による認証

デプロイ資格情報を生成する

シークレットを作成する

手順 3: setup.sh を更新して Azure Machine Learning ワークスペースに接続する

手順 4: コンピューティング クラスター名で pipeline.yml を更新する

手順 5: GitHub Actions ワークフローを実行する

ワークフローを有効にする

手順 6: ワークフローの実行を確認する

リソースをクリーンアップする

次の手順

その他のリソース

手順 3: `setup.sh` を更新して Azure Machine Learning ワークスペースに接続する

手順 4: コンピューティングクラスター名で `pipeline.yml` を更新する