Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Ten artykuł pomaga zaimplementować bezpieczną sieć dla obciążeń sztucznej inteligencji w usługach platformy Azure. Potrzebujesz bezpiecznej sieci, aby chronić poufne modele sztucznej inteligencji, zapewnić prywatność danych i zachować wymagania dotyczące zgodności. Właściwa konfiguracja sieci kontroluje dostęp do Foundry i narzędzi Foundry przy jednoczesnej optymalizacji wydajności trenowania i wdrażania modeli.
Używanie sieci wirtualnych
Sieci wirtualne ustanawiają bezpieczne granice komunikacji dla usług sztucznej inteligencji i uniemożliwiają nieautoryzowany dostęp z sieci publicznych. Prywatne punkty końcowe eliminują publiczne narażenie na internet przy zachowaniu pełnej funkcjonalności i wydajności usługi. Sieci wirtualne z prywatnymi punktami końcowymi należy używać do ochrony modeli, danych i usług sztucznej inteligencji przed zagrożeniami zewnętrznymi. Oto, jak to zrobić:
Tworzenie prywatnych punktów końcowych dla wszystkich usług platformy sztucznej inteligencji. Prywatne punkty końcowe zapewniają dedykowane interfejsy sieciowe w sieci wirtualnej, które łączą się bezpośrednio z usługami Azure. Ta konfiguracja usuwa publiczne narażenie na internet przy zachowaniu pełnej funkcjonalności i wydajności obciążeń sztucznej inteligencji. Użyj linku prywatnego dla narzędzia Foundry i zastosuj te same ograniczenia do narzędzi Foundry.
Wdrażanie usług pomocniczych w granicach sieci. Usługi pomocnicze, takie jak Azure Storage, Azure Key Vault i Azure Container Registry muszą działać w ramach tej samej bezpiecznej granicy sieci co usługi sztucznej inteligencji. Konfiguracja ta zapewnia spójne podejście do zabezpieczeń we wszystkich składnikach, jednocześnie utrzymując odpowiednie mechanizmy kontroli dostępu dla zależności związanych z obciążeniem pracą AI. Użyj prywatnych punktów końcowych, aby połączyć te usługi pomocnicze z zarządzanymi sieciami wirtualnymi, jak pokazano w architekturze referencyjnej czatu rozwiązania Baseline Foundry.
Sterowanie ruchem sieciowym
Kontrola ruchu sieciowego definiuje sposób przepływu danych między usługami sztucznej inteligencji i systemami zewnętrznymi. Odpowiednie ograniczenia ruchu chronią poufne dane sztucznej inteligencji i zapewniają bezpieczne operacje. Należy zaimplementować mechanizmy kontroli ruchu w celu ochrony obciążeń sztucznej inteligencji i zapewnienia bezpieczeństwa operacyjnego. Oto, jak to zrobić:
Wdrażanie bezpiecznego dostępu przy użyciu infrastruktury serwera przesiadkowego. Dostęp do serwera Jumpbox zapewnia scentralizowany punkt wejścia do środowiska sieciowego sztucznej inteligencji, jednocześnie utrzymując ścisłe granice bezpieczeństwa. Ta konfiguracja uniemożliwia bezpośrednie narażenie zasobów sztucznej inteligencji na sieci zewnętrzne przy jednoczesnym włączeniu bezpiecznego dostępu. Użyj serwera przesiadkowego w ramach sieci wirtualnej obciążenia sztucznej inteligencji lub sieci wirtualnej koncentratora łączności, a następnie skonfiguruj Azure Bastion w celu zapewnienia bezpiecznej łączności RDP/SSH bez uwidaczniania maszyn wirtualnych w publicznym Internecie.
Ogranicz ruch wychodzący do zatwierdzonych miejsc docelowych. Ograniczenia ruchu wychodzącego uniemożliwiają nieautoryzowaną eksfiltrację danych, umożliwiając jednocześnie niezbędną komunikację na potrzeby trenowania i wnioskowania modelu sztucznej inteligencji. Takie podejście chroni modele sztucznej inteligencji i dane szkoleniowe przy zachowaniu łączności dla legalnych operacji. Ogranicz ruch wychodzący do zatwierdzonych usług i w pełni kwalifikowanych nazw domen (FQDN), zgodnie z dokumentacją dotyczącą Foundry Tools i Foundry.
Przygotowywanie usług rozpoznawania nazw domen. Wdróż infrastrukturę Azure DNS w ramach Azure landing zone i skonfiguruj przekaźniki warunkowe dla odpowiednich stref. Ta konfiguracja zapewnia niezawodne rozpoznawanie nazw w celu zapewnienia bezpiecznej komunikacji między obciążeniami sztucznej inteligencji a systemami zewnętrznymi.
Konfigurowanie kontroli dostępu do sieci. Użyj sieciowych grup zabezpieczeń , aby zdefiniować i wymusić zasady dostępu dla ruchu przychodzącego i wychodzącego. Te mechanizmy kontroli implementują zasadę najniższych uprawnień, zapewniając, że dozwolona jest tylko niezbędna komunikacja.
Korzystanie z usług monitorowania sieci. Monitorowanie wydajności i kondycji sieci przy użyciu narzędzi, takich jak usługa Azure Monitor Network Insights i Azure Network Watcher. Aby uzyskać zaawansowane wykrywanie zagrożeń i reagowanie na nie, należy zintegrować Microsoft Sentinel ze strategią monitorowania sieci Azure.
Deploy Azure Firewall w celu zabezpieczenia ruchu wychodzącego. Azure Firewall wymusza zasady zabezpieczeń dla ruchu wychodzącego przed dotarciem do Internetu. Służy do kontrolowania i monitorowania ruchu wychodzącego, włączania protokołu SNAT na potrzeby translacji prywatnych adresów IP oraz zapewnienia bezpiecznej i możliwej do zidentyfikowania komunikacji wychodzącej.
Używ Azure Web Application Firewall (WAF) dla obciążeń internetowych. Azure WAF chroni obciążenia AI przed typowymi lukami w zabezpieczeniach sieci Web, takimi jak wstrzyknięcia SQL i ataki XSS. Skonfiguruj Azure WAF w usłudze Application Gateway, aby zwiększyć bezpieczeństwo obciążeń narażonych na złośliwy ruch internetowy.