Share via

Azure Machine Learning controleren en beheren

  • Artikel

Wanneer teams samenwerken aan Azure Machine Learning, kunnen ze te maken krijgen met verschillende vereisten voor het configureren en organiseren van resources. Machine learning-teams kunnen op zoek zijn naar flexibiliteit bij het organiseren van werkruimten voor samenwerking of het aanpassen van de grootte van rekenclusters voor de vereisten van hun use cases. In deze scenario's kan productiviteit profiteren als toepassingsteams hun eigen infrastructuur kunnen beheren.

Als platformbeheerder kunt u beleidsregels gebruiken om kaders in te delen voor teams om hun eigen resources te beheren. Azure Policy helpt bij het controleren en beheren van de resourcestatus. In dit artikel wordt uitgelegd hoe u controlebesturingselementen en governanceprocedures voor Azure Machine Learning kunt gebruiken.

Beleid voor Azure Machine Learning

Azure Policy is een beheerprogramma waarmee u ervoor kunt zorgen dat Azure-resources compatibel zijn met uw beleid.

Azure Policy biedt een set beleidsregels die u kunt gebruiken voor algemene scenario's met Azure Machine Learning. U kunt deze beleidsdefinities toewijzen aan uw bestaande abonnement of als basis gebruiken om uw eigen aangepaste definities te maken.

De volgende tabel bevat de ingebouwde beleidsregels die u kunt toewijzen met Azure Machine Learning. Zie Ingebouwde beleidsregels voor een lijst met alle ingebouwde Azure-beleidsregels.

Naam
(Azure-portal)		 Beschrijving Gevolg(en) Versie
(GitHub)
[Preview]: Registerimplementaties van Azure Machine Learning-modellen zijn beperkt, met uitzondering van het toegestane register Implementeer alleen registermodellen in het toegestane register en die niet zijn beperkt. Weigeren, Uitgeschakeld 1.0.0-preview
Azure Machine Learning Compute Instance moet inactief zijn afgesloten. Als u een inactiviteitsschema hebt, vermindert u de kosten door berekeningen af te sluiten die niet actief zijn na een vooraf bepaalde periode van activiteit. Controleren, Weigeren, Uitgeschakeld 1.0.0
Azure Machine Learning-rekeninstanties moeten opnieuw worden gemaakt om de nieuwste software-updates op te halen Zorg ervoor dat Azure Machine Learning-rekeninstanties worden uitgevoerd op het meest recente beschikbare besturingssysteem. Beveiliging wordt verbeterd en beveiligingsproblemen worden verminderd door te worden uitgevoerd met de nieuwste beveiligingspatches. U vindt meer informatie op https://aka.ms/azureml-ci-updates/. [parameters('effecten')] 1.0.3
Azure Machine Learning Computes moet zich in een virtueel netwerk bevinden Azure Virtual Networks bieden verbeterde beveiliging en isolatie voor uw Azure Machine Learning Compute-clusters en -exemplaren, evenals subnetten, toegangsbeheerbeleid en andere functies om de toegang verder te beperken. Wanneer een berekening is geconfigureerd met een virtueel netwerk, is het niet openbaar adresseerbaar en kan deze alleen worden geopend vanuit virtuele machines en toepassingen binnen het virtuele netwerk. Controle, uitgeschakeld 1.0.1
Azure Machine Learning Computes moet lokale verificatiemethoden hebben uitgeschakeld Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Voor Machine Learning Computes uitsluitend Azure Active Directory-identiteiten zijn vereist voor verificatie. Zie voor meer informatie: https://aka.ms/azure-ml-aad-policy. Controleren, Weigeren, Uitgeschakeld 2.1.0
Azure Machine Learning-werkruimten moeten worden versleuteld met een door de klant beheerde sleutel Versleuteling at rest van Azure Machine Learning-werkruimtegegevens beheren met door de klant beheerde sleutels. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault-sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt de volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, met inbegrip van rotatie en beheer. Meer informatie op https://aka.ms/azureml-workspaces-cmk. Controleren, Weigeren, Uitgeschakeld 1.0.3
Azure Machine Learning-werkruimten moeten openbare netwerktoegang uitschakelen Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat de Machine Learning-werkruimten niet beschikbaar zijn op het openbare internet. U kunt de blootstelling van uw werkruimten beheren door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2& tabs=azure-portal. Controleren, Weigeren, Uitgeschakeld 2.0.1
Azure Machine Learning-werkruimten moeten V1LegacyMode inschakelen om achterwaartse compatibiliteit met netwerkisolatie te ondersteunen Azure ML maakt een overgang naar een nieuw V2 API-platform in Azure Resource Manager en u kunt de VERSIE van het API-platform beheren met behulp van de parameter V1LegacyMode. Als u de parameter V1LegacyMode inschakelt, kunt u uw werkruimten in dezelfde netwerkisolatie houden als V1, maar u hebt geen gebruik van de nieuwe V2-functies. Het is raadzaam om de verouderde V1-modus alleen in te schakelen wanneer u de gegevens van het AzureML-besturingsvlak in uw privénetwerken wilt bewaren. Zie voor meer informatie: https://aka.ms/V1LegacyMode. Controleren, Weigeren, Uitgeschakeld 1.0.0
Azure Machine Learning-werkruimten moeten gebruikmaken van Private Link Met Azure Private Link kunt u uw virtuele netwerk met services in Azure verbinden zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Backbone-netwerk van Azure. Door privé-eindpunten toe te staan aan Azure Machine Learning-werkruimten, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Controle, uitgeschakeld 1.0.0
Azure Machine Learning-werkruimten moeten een door de gebruiker toegewezen beheerde identiteit gebruiken Toegang tot de Azure ML-werkruimte en bijbehorende resources, Azure Container Registry, KeyVault, Storage en App Insights met behulp van door de gebruiker toegewezen beheerde identiteit. Standaard wordt door het systeem toegewezen beheerde identiteit door de Azure ML-werkruimte gebruikt voor toegang tot de gekoppelde resources. Door de gebruiker toegewezen beheerde identiteit kunt u de identiteit maken als een Azure-resource en de levenscyclus van die identiteit onderhouden. Meer informatie op https://docs.microsoft.com/azure/machine-learning/how-to-use-managed-identities?tabs=python. Controleren, Weigeren, Uitgeschakeld 1.0.0
Azure Machine Learning Computes configureren om lokale verificatiemethoden uit te schakelen Schakel locatieverificatiemethoden uit, zodat voor uw Machine Learning Computes uitsluitend Azure Active Directory-identiteiten zijn vereist voor verificatie. Zie voor meer informatie: https://aka.ms/azure-ml-aad-policy. Wijzigen, uitgeschakeld 2.1.0
Azure Machine Learning-werkruimte configureren voor het gebruik van privé-DNS-zones Gebruik privé-DNS-zones om de DNS-resolutie voor een privé-eindpunt te overschrijven. Een privé-DNS-zone is gekoppeld aan uw virtuele netwerk om te worden omgezet in Azure Machine Learning-werkruimten. Zie voor meer informatie: https://docs.microsoft.com/azure/machine-learning/how-to-network-security-overview. DeployIfNotExists, uitgeschakeld 1.1.0
Azure Machine Learning-werkruimten configureren om openbare netwerktoegang uit te schakelen Schakel openbare netwerktoegang voor Azure Machine Learning-werkruimten uit, zodat uw werkruimten niet toegankelijk zijn via het openbare internet. Dit helpt de werkruimten te beschermen tegen risico's van gegevenslekken. U kunt de blootstelling van uw werkruimten beheren door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2& tabs=azure-portal. Wijzigen, uitgeschakeld 1.0.3
Azure Machine Learning-werkruimten configureren met privé-eindpunten Privé-eindpunten verbinden uw virtuele netwerk met Azure-services zonder een openbaar IP-adres bij de bron of bestemming. Door privé-eindpunten toe te voegen aan uw Azure Machine Learning-werkruimte, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. DeployIfNotExists, uitgeschakeld 1.0.0
Diagnostische instellingen configureren voor Azure Machine Learning-werkruimten naar Log Analytics-werkruimte Hiermee worden de diagnostische instellingen voor Azure Machine Learning-werkruimten geïmplementeerd om resourcelogboeken te streamen naar een Log Analytics-werkruimte wanneer een Azure Machine Learning-werkruimte waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt. DeployIfNotExists, uitgeschakeld 1.0.1
Resourcelogboeken in Azure Machine Learning-werkruimten moeten zijn ingeschakeld Met resourcelogboeken kunnen activiteitentrails opnieuw worden gemaakt voor onderzoeksdoeleinden wanneer er een beveiligingsincident optreedt of wanneer uw netwerk wordt aangetast. AuditIfNotExists, uitgeschakeld 1.0.1

Beleidsregels kunnen worden ingesteld op verschillende bereiken, zoals op abonnements- of resourcegroepniveau. Zie de documentatie van Azure Policy voor meer informatie.

Ingebouwd beleid toewijzen

Als u de ingebouwde beleidsdefinities met betrekking tot Azure Machine Learning wilt weergeven, gebruikt u de volgende stappen:

  1. Ga naar Azure Policy in Azure Portal.
  2. Selecteer Definities.
  3. Voor Type selecteert u Ingebouwd. Selecteer Machine Learning voor Categorie.

Hier kunt u beleidsdefinities selecteren om ze weer te geven. Tijdens het weergeven van een definitie kunt u de koppeling Toewijzen gebruiken om het beleid toe te wijzen aan een specifiek bereik en de parameters voor het beleid te configureren. Zie Een beleidstoewijzing maken om niet-compatibele resources te identificeren met behulp van Azure Portal voor meer informatie.

U kunt ook beleidsregels toewijzen met behulp van Azure PowerShell, Azure CLI of sjablonen.

Beleid voor voorwaardelijke toegang

Als u wilt bepalen wie toegang heeft tot uw Azure Machine Learning-werkruimte, gebruikt u voorwaardelijke toegang van Microsoft Entra. Als u voorwaardelijke toegang wilt gebruiken voor Azure Machine Learning-werkruimten, wijst u het beleid voor voorwaardelijke toegang toe aan de app met de naam Azure Machine Learning. De app-id is 0736f41a-0425-bdb5-1563eff02385.

Selfservice inschakelen met landingszones

Landingszones zijn een architectuurpatroon dat is bedoeld voor schaalaanpassing, governance, beveiliging en productiviteit bij het instellen van Azure-omgevingen. Een gegevenslandingszone is een door een beheerder geconfigureerde omgeving die een toepassingsteam gebruikt om een gegevens- en analyseworkload te hosten.

Het doel van de landingszone is ervoor te zorgen dat alle infrastructuurconfiguratiewerkzaamheden worden uitgevoerd wanneer een team in de Azure-omgeving begint. Beveiligingscontroles worden bijvoorbeeld ingesteld in overeenstemming met de organisatiestandaarden en netwerkconnectiviteit is ingesteld.

Met behulp van het patroon landingszones kunnen machine learning-teams hun eigen resources implementeren en beheren op selfservicebasis. Door Azure Policy als beheerder te gebruiken, kunt u Azure-resources controleren en beheren voor naleving.

Azure Machine Learning kan worden geïntegreerd met landingszones voor gegevens in het cloud Adoption Framework-scenario voor gegevensbeheer en analyse. Deze referentie-implementatie biedt een geoptimaliseerde omgeving voor het migreren van machine learning-workloads naar Azure Machine Learning en bevat vooraf geconfigureerde beleidsregels.

Ingebouwd beleid configureren

Rekenproces moet inactief zijn afgesloten

Met dit beleid bepaalt u of een Azure Machine Learning-rekenproces niet-actief afsluiten moet hebben ingeschakeld. Afsluiten inactief stopt automatisch het rekenproces wanneer het gedurende een bepaalde periode niet actief is. Dit beleid is handig voor kostenbesparingen en om ervoor te zorgen dat resources niet onnodig worden gebruikt.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren, Weigeren of Uitgeschakeld. Als deze optie is ingesteld op Controle, kunt u een rekenproces maken zonder inactiviteit ingeschakeld en wordt er een waarschuwingsgebeurtenis gemaakt in het activiteitenlogboek.

Rekeninstanties moeten opnieuw worden gemaakt om software-updates op te halen

Hiermee bepaalt u of Azure Machine Learning-rekeninstanties moeten worden gecontroleerd om ervoor te zorgen dat ze de meest recente beschikbare software-updates uitvoeren. Dit beleid is handig om ervoor te zorgen dat rekeninstanties de nieuwste software-updates uitvoeren om beveiliging en prestaties te behouden. Zie Beveiligingsproblemen beheren voor Azure Machine Learning voor meer informatie.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren of Uitgeschakeld. Als deze optie is ingesteld op Controle, wordt er een waarschuwingsgebeurtenis gemaakt in het activiteitenlogboek wanneer de meest recente software-updates niet worden uitgevoerd op een berekening.

Het rekencluster en het exemplaar moeten zich in een virtueel netwerk bevinden

Hiermee bepaalt u de controle van rekencluster- en exemplaarresources achter een virtueel netwerk.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren of Uitgeschakeld. Als deze optie is ingesteld op Controle, kunt u een berekening maken die niet is geconfigureerd achter een virtueel netwerk en een waarschuwingsgebeurtenis wordt gemaakt in het activiteitenlogboek.

Voor berekeningen moeten lokale verificatiemethoden zijn uitgeschakeld.

Hiermee bepaalt u of een Azure Machine Learning-rekencluster of -exemplaar lokale verificatie (SSH) moet uitschakelen.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren, Weigeren of Uitgeschakeld. Als deze optie is ingesteld op Controle, kunt u een berekening maken waarvoor SSH is ingeschakeld en er een waarschuwingsgebeurtenis wordt gemaakt in het activiteitenlogboek.

Als het beleid is ingesteld op Weigeren, kunt u geen berekening maken, tenzij SSH is uitgeschakeld. Als u een berekening probeert te maken waarvoor SSH is ingeschakeld, treedt er een fout op. De fout wordt ook vastgelegd in het activiteitenlogboek. De beleids-id wordt geretourneerd als onderdeel van deze fout.

Werkruimten moeten worden versleuteld met door de klant beheerde sleutel

Hiermee bepaalt u of een werkruimte moet worden versleuteld met een door de klant beheerde sleutel of met een door Microsoft beheerde sleutel om metrische gegevens en metagegevens te versleutelen. Zie de sectie Azure Cosmos DB van het artikel over gegevensversleuteling voor meer informatie over het gebruik van door de klant beheerde sleutel.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren of Weigeren. Als deze optie is ingesteld op Controle, kunt u een werkruimte maken zonder een door de klant beheerde sleutel en wordt er een waarschuwingsgebeurtenis gemaakt in het activiteitenlogboek.

Als het beleid is ingesteld op Weigeren, kunt u geen werkruimte maken, tenzij er een door de klant beheerde sleutel wordt opgegeven. Als u een werkruimte probeert te maken zonder een door de klant beheerde sleutel, resulteert dit in een fout die vergelijkbaar is Resource 'clustername' was disallowed by policy met een fout in het activiteitenlogboek. De beleids-id wordt ook geretourneerd als onderdeel van deze fout.

Werkruimten configureren om openbare netwerktoegang uit te schakelen

Hiermee bepaalt u of een werkruimte netwerktoegang van het openbare internet moet uitschakelen.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren, Weigeren of Uitgeschakeld. Als deze optie is ingesteld op Controle, kunt u een werkruimte maken met openbare toegang en wordt er een waarschuwingsgebeurtenis gemaakt in het activiteitenlogboek.

Als het beleid is ingesteld op Weigeren, kunt u geen werkruimte maken die netwerktoegang vanaf het openbare internet toestaat.

Werkruimten moeten V1LegacyMode inschakelen om achterwaartse compatibiliteit met netwerkisolatie te ondersteunen

Hiermee bepaalt u of een werkruimte V1LegacyMode moet inschakelen ter ondersteuning van achterwaartse compatibiliteit met netwerkisolatie. Dit beleid is handig als u gegevens van het azure Machine Learning-besturingsvlak in uw privénetwerken wilt bewaren. Zie Netwerkisolatiewijziging met ons nieuwe API-platform voor meer informatie.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren of Weigeren of Uitgeschakeld. Als deze optie is ingesteld op Controle, kunt u een werkruimte maken zonder V1LegacyMode in te schakelen en wordt er een waarschuwingsgebeurtenis gemaakt in het activiteitenlogboek.

Als het beleid is ingesteld op Weigeren, kunt u geen werkruimte maken, tenzij dit V1LegacyMode inschakelt.

Hiermee bepaalt u of een werkruimte Azure Private Link moet gebruiken om te communiceren met Azure Virtual Network. Zie Een privé-eindpunt configureren voor een Azure Machine Learning-werkruimte voor meer informatie over het gebruik van private link.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren of Weigeren. Als deze optie is ingesteld op Controle, kunt u een werkruimte maken zonder private link te gebruiken en wordt er een waarschuwingsgebeurtenis gemaakt in het activiteitenlogboek.

Als het beleid is ingesteld op Weigeren, kunt u geen werkruimte maken, tenzij er een privékoppeling wordt gebruikt. Als u een werkruimte probeert te maken zonder een privékoppeling, treedt er een fout op. De fout wordt ook vastgelegd in het activiteitenlogboek. De beleids-id wordt geretourneerd als onderdeel van deze fout.

Werkruimten moeten een door de gebruiker toegewezen beheerde identiteit gebruiken

Hiermee bepaalt u of een werkruimte wordt gemaakt met een door het systeem toegewezen beheerde identiteit (standaard) of een door de gebruiker toegewezen beheerde identiteit. De beheerde identiteit voor de werkruimte wordt gebruikt voor toegang tot gekoppelde resources, zoals Azure Storage, Azure Container Registry, Azure Key Vault en Azure-toepassing Insights. Zie Verificatie instellen tussen Azure Machine Learning en andere services voor meer informatie.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Controleren, Weigeren of Uitgeschakeld. Als deze optie is ingesteld op Controle, kunt u een werkruimte maken zonder een door de gebruiker toegewezen beheerde identiteit op te geven. Er wordt een door het systeem toegewezen identiteit gebruikt en er wordt een waarschuwingsgebeurtenis gemaakt in het activiteitenlogboek.

Als het beleid is ingesteld op Weigeren, kunt u geen werkruimte maken, tenzij u een door de gebruiker toegewezen identiteit opgeeft tijdens het maken. Als u een werkruimte probeert te maken zonder een door de gebruiker toegewezen identiteit op te geven, treedt er een fout op. De fout wordt ook vastgelegd in het activiteitenlogboek. De beleids-id wordt geretourneerd als onderdeel van deze fout.

Berekeningen configureren om lokale verificatie te wijzigen/uit te schakelen

Met dit beleid wijzigt u een Azure Machine Learning-rekencluster of aanvraag voor het maken van exemplaren om lokale verificatie (SSH) uit te schakelen.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Wijzigen of Uitgeschakeld. Als u Wijzigen instelt, wordt bij het maken van een rekencluster of exemplaar binnen het bereik waarop het beleid van toepassing is automatisch lokale verificatie uitgeschakeld.

Werkruimte configureren voor het gebruik van privé-DNS-zones

Met dit beleid configureert u een werkruimte voor het gebruik van een privé-DNS-zone, waarbij de standaard-DNS-resolutie voor een privé-eindpunt wordt overschreven.

Als u dit beleid wilt configureren, stelt u de effectparameter in op DeployIfNotExists. Stel de privateDnsZoneId in op de Azure Resource Manager-id van de privé-DNS-zone die moet worden gebruikt.

Werkruimten configureren om openbare netwerktoegang uit te schakelen

Hiermee configureert u een werkruimte om netwerktoegang van het openbare internet uit te schakelen. Dit helpt de werkruimten te beschermen tegen risico's van gegevenslekken. U kunt in plaats daarvan toegang krijgen tot uw werkruimte door privé-eindpunten te maken. Zie Een privé-eindpunt configureren voor een Azure Machine Learning-werkruimte voor meer informatie.

Als u dit beleid wilt configureren, stelt u de effectparameter in op Wijzigen of Uitgeschakeld. Als deze optie is ingesteld op Wijzigen, wordt het maken van een werkruimte binnen het bereik waarop het beleid van toepassing is automatisch openbare netwerktoegang uitgeschakeld.

Werkruimten configureren met privé-eindpunten

Hiermee configureert u een werkruimte om een privé-eindpunt te maken binnen het opgegeven subnet van een virtueel Azure-netwerk.

Als u dit beleid wilt configureren, stelt u de effectparameter in op DeployIfNotExists. Stel de privateEndpointSubnetID in op de Azure Resource Manager-id van het subnet.

Diagnostische werkruimten configureren voor het verzenden van logboeken naar Log Analytics-werkruimten

Hiermee configureert u de diagnostische instellingen voor een Azure Machine Learning-werkruimte om logboeken naar een Log Analytics-werkruimte te verzenden.

Als u dit beleid wilt configureren, stelt u de effectparameter in op DeployIfNotExists of Disabled. Als dit is ingesteld op DeployIfNotExists, maakt het beleid een diagnostische instelling om logboeken naar een Log Analytics-werkruimte te verzenden als deze nog niet bestaat.

Resourcelogboeken in werkruimten moeten zijn ingeschakeld

Controleert of resourcelogboeken zijn ingeschakeld voor een Azure Machine Learning-werkruimte. Resourcelogboeken bieden gedetailleerde informatie over bewerkingen die worden uitgevoerd op resources in de werkruimte.

Als u dit beleid wilt configureren, stelt u de effectparameter in op AuditIfNotExists of Disabled. Als dit is ingesteld op AuditIfNotExists, controleert het beleid of resourcelogboeken niet zijn ingeschakeld voor de werkruimte.

Gerelateerde inhoud