Autoryzacja w punktach końcowych wsadowych

Punkty końcowe usługi Batch obsługują uwierzytelnianie w usłudze Microsoft Entra lub aad_token. To znaczy, że aby wywołać punkt końcowy Batch, należy przedstawić prawidłowy token uwierzytelniania Microsoft Entra identyfikatorowi URI punktu końcowego Batch. Autoryzacja jest wymuszana na poziomie punktu końcowego. W poniższym artykule wyjaśniono, jak prawidłowo współdziałać z punktami końcowymi wsadowymi i wymaganiami dotyczącymi zabezpieczeń.

Jak działa autoryzacja

Aby wywołać punkt końcowy wsadowy, użytkownik musi przedstawić prawidłowy token firmy Microsoft Entra reprezentujący podmiot zabezpieczeń. Ten podmiot zabezpieczeń może być jednostką użytkownika lub jednostką usługi. W każdym razie po wywołaniu punktu końcowego zadanie wdrożenia wsadowego jest tworzone w ramach tożsamości skojarzonej z tokenem. Tożsamość wymaga następujących uprawnień, aby pomyślnie utworzyć zadanie:

• Odczyt punktów końcowych/wdrożeń wsadowych.
• Utwórz zadania w punktach końcowych/wdrożeniu wnioskowania wsadowego.
• Tworzenie eksperymentów/przebiegów.
• Odczyt i zapis z/do magazynów danych.
• Wyświetla listę wpisów tajnych magazynu danych.

Aby uzyskać szczegółową listę uprawnień RBAC, zobacz Konfigurowanie kontroli dostępu opartej na rolach dla wywołania punktu końcowego wsadowego.

Ważne

Tożsamość używana do wywoływania punktu końcowego wsadowego może nie być używana do odczytywania danych bazowych w zależności od konfiguracji magazynu danych. Aby uzyskać więcej informacji, zobacz Konfigurowanie klastrów obliczeniowych na potrzeby dostępu do danych.

Jak uruchamiać zadania przy użyciu różnych typów poświadczeń

W poniższych przykładach pokazano różne sposoby uruchamiania zadań wdrażania wsadowego przy użyciu różnych typów poświadczeń:

Ważne

Podczas pracy z obszarami roboczymi z obsługą linków prywatnych nie można wywoływać punktów końcowych wsadowych z interfejsu użytkownika w usłudze Azure Machine Edukacja Studio. Zamiast tworzenia zadań użyj interfejsu wiersza polecenia usługi Azure Machine Edukacja w wersji 2.

Wymagania wstępne

• W tym przykładzie przyjęto założenie, że model został prawidłowo wdrożony jako punkt końcowy partii. W szczególności używamy klasyfikatora stanu serca utworzonego w samouczku Używanie modeli MLflow we wdrożeniach wsadowych.

Uruchamianie zadań przy użyciu poświadczeń użytkownika

W tym przypadku chcemy wykonać punkt końcowy wsadowy przy użyciu tożsamości aktualnie zalogowanego użytkownika. Wykonaj te kroki:

Interfejs wiersza polecenia platformy Azure

1. Użyj interfejsu wiersza polecenia platformy Azure, aby zalogować się przy użyciu uwierzytelniania kodu interaktywnego lub urządzenia:

   az login
   

2. Po uwierzytelnieniu użyj następującego polecenia, aby uruchomić zadanie wdrożenia wsadowego:

   az ml batch-endpoint invoke --name $ENDPOINT_NAME \
                               --input https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci
   

Python

1. Użyj zestawu SDK usługi Azure Machine Edukacja dla języka Python, aby zalogować się przy użyciu uwierzytelniania interakcyjnego lub urządzenia:

   from azure.ai.ml import MLClient
   from azure.identity import InteractiveAzureCredentials
   
   subscription_id = "<subscription>"
   resource_group = "<resource-group>"
   workspace = "<workspace>"
   
   ml_client = MLClient(InteractiveAzureCredentials(), subscription_id, resource_group, workspace)
   

2. Po uwierzytelnieniu użyj następującego polecenia, aby uruchomić zadanie wdrożenia wsadowego:

   job = ml_client.batch_endpoints.invoke(
           endpoint_name,
           input=Input(path="https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci")
       )
   

REST

Podczas pracy z architekturą REST zalecamy wywoływanie punktów końcowych wsadowych przy użyciu jednostki usługi. Jeśli jednak chcesz przetestować konkretne wdrożenie przy użyciu własnych poświadczeń, możesz to zrobić, generując token Microsoft Entra dla swojego konta. Wykonaj te kroki:

1. Najprostszym sposobem uzyskania prawidłowego tokenu dla konta użytkownika jest użycie interfejsu wiersza polecenia platformy Azure. W konsoli uruchom następujące polecenie:

   az account get-access-token --resource https://ml.azure.com \
                               --query "accessToken" \
                               --output tsv
   

2. Zanotuj wygenerowane dane wyjściowe.

3. Po uwierzytelnieniu prześlij żądanie do identyfikatora URI wywołania, zastępując <TOKEN> go uzyskanym wcześniej.

   Żądanie:

   POST jobs HTTP/1.1
   Host: <ENDPOINT_URI>
   Authorization: Bearer <TOKEN>
   Content-Type: application/json
   

   Treść:

   {
       "properties": {
           "InputData": {
               "mnistinput": {
                   "JobInputType" : "UriFolder",
                   "Uri":  "https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci"
               }
           }
       }
   }
   

Uruchamianie zadań przy użyciu jednostki usługi

W tym przypadku chcemy wykonać punkt końcowy wsadowy przy użyciu jednostki usługi utworzonej już w identyfikatorze Entra firmy Microsoft. Aby ukończyć uwierzytelnianie, należy utworzyć wpis tajny w celu przeprowadzenia uwierzytelniania. Wykonaj te kroki:

Interfejs wiersza polecenia platformy Azure

1. Utwórz wpis tajny do użycia do uwierzytelniania zgodnie z wyjaśnieniem w temacie Opcja 3: Tworzenie nowego wpisu tajnego klienta.

2. Aby uwierzytelnić się przy użyciu jednostki usługi, użyj następującego polecenia. Aby uzyskać więcej informacji, zobacz Logowanie się przy użyciu interfejsu wiersza polecenia platformy Azure.

   az login --service-principal \
            --tenant <tenant> \
            -u <app-id> \
            -p <password-or-cert> 
   

3. Po uwierzytelnieniu użyj następującego polecenia, aby uruchomić zadanie wdrożenia wsadowego:

   az ml batch-endpoint invoke --name $ENDPOINT_NAME \
                               --input https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci/
   

Python

1. Utwórz wpis tajny do użycia do uwierzytelniania zgodnie z wyjaśnieniem w temacie Opcja 3: Tworzenie nowego wpisu tajnego klienta.

2. Aby uwierzytelnić się przy użyciu jednostki usługi, wskaż identyfikator dzierżawy, identyfikator klienta i klucz tajny klienta jednostki usługi przy użyciu zmiennych środowiskowych, jak pokazano:

   from azure.ai.ml import MLClient
   from azure.identity import EnvironmentCredential
   
   os.environ["AZURE_TENANT_ID"] = "<TENANT_ID>"
   os.environ["AZURE_CLIENT_ID"] = "<CLIENT_ID>"
   os.environ["AZURE_CLIENT_SECRET"] = "<CLIENT_SECRET>"
   
   subscription_id = "<subscription>"
   resource_group = "<resource-group>"
   workspace = "<workspace>"
   
   ml_client = MLClient(EnvironmentCredential(), subscription_id, resource_group, workspace)
   

3. Po uwierzytelnieniu użyj następującego polecenia, aby uruchomić zadanie wdrożenia wsadowego:

   job = ml_client.batch_endpoints.invoke(
           endpoint_name,
           input=Input(path="https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci")
       )
   

REST

1. Utwórz wpis tajny do użycia do uwierzytelniania zgodnie z wyjaśnieniem w temacie Opcja 3: Tworzenie nowego wpisu tajnego klienta.

2. Użyj usługi logowania z platformy Azure, aby uzyskać token autoryzacji. Tokeny autoryzacji są wystawiane w określonym zakresie. Typ zasobu dla usługi Azure Machine Edukacja to https://ml.azure.com. Żądanie wygląda następująco:

   Żądanie:

   POST /{TENANT_ID}/oauth2/token HTTP/1.1
   Host: login.microsoftonline.com
   

   Treść:

   grant_type=client_credentials&client_id=<CLIENT_ID>&client_secret=<CLIENT_SECRET>&resource=https://ml.azure.com
   

   Ważne

   Zwróć uwagę, że zakres zasobów do wywoływania punktów końcowych wsadowych (https://ml.azure.com) różni się od zakresu zasobów używanego do zarządzania nimi. Wszystkie interfejsy API zarządzania na platformie Azure używają zakresu https://management.azure.comzasobów, w tym usługi Azure Machine Edukacja.

3. Po uwierzytelnieniu użyj zapytania, aby uruchomić zadanie wdrożenia wsadowego:

   Żądanie:

   POST jobs HTTP/1.1
   Host: <ENDPOINT_URI>
   Authorization: Bearer <TOKEN>
   Content-Type: application/json
   

   Treść:

   {
       "properties": {
           "InputData": {
               "mnistinput": {
                   "JobInputType" : "UriFolder",
                   "Uri":  "https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci"
               }
           }
       }
   }
   

Uruchamianie zadań przy użyciu tożsamości zarządzanej

Tożsamości zarządzane umożliwiają wywoływanie punktu końcowego i wdrożeń wsadowych. Zwróć uwagę, że ta tożsamość zarządzania nie należy do punktu końcowego wsadowego, ale jest to tożsamość używana do wykonywania punktu końcowego, a tym samym utworzenie zadania wsadowego. W tym scenariuszu mogą być używane zarówno tożsamości przypisane przez użytkownika, jak i przypisane przez system.

Interfejs wiersza polecenia platformy Azure

W przypadku zasobów skonfigurowanych do korzystania z tożsamości zarządzanych dla zasobów platformy Azure możesz logować się przy użyciu tożsamości zarządzanej. Aby zalogować się przy użyciu tożsamości zasobu, należy użyć flagi --identity. Aby uzyskać więcej informacji, zobacz Logowanie się przy użyciu interfejsu wiersza polecenia platformy Azure.

az login --identity

Po uwierzytelnieniu użyj następującego polecenia, aby uruchomić zadanie wdrożenia wsadowego:

az ml batch-endpoint invoke --name $ENDPOINT_NAME \
                            --input https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci

Python

W przypadku zasobów skonfigurowanych do korzystania z tożsamości zarządzanych dla zasobów platformy Azure możesz logować się przy użyciu tożsamości zarządzanej. Użyj identyfikatora zasobu wraz z obiektem ManagedIdentityCredential , jak pokazano w poniższym przykładzie:

from azure.ai.ml import MLClient
from azure.identity import ManagedIdentityCredential

subscription_id = "<subscription>"
resource_group = "<resource-group>"
workspace = "<workspace>"
resource_id = "<resource-id>"

ml_client = MLClient(ManagedIdentityCredential(resource_id), subscription_id, resource_group, workspace)

Po uwierzytelnieniu użyj następującego polecenia, aby uruchomić zadanie wdrożenia wsadowego:

job = ml_client.batch_endpoints.invoke(
        endpoint_name,
        input=Input(path="https://azuremlexampledata.blob.core.windows.net/data/heart-disease-uci")
    )

REST

Interfejs API REST usługi Azure Machine Edukacja umożliwia uruchomienie zadania punktów końcowych wsadowych przy użyciu tożsamości zarządzanej. Kroki różnią się w zależności od używanej usługi bazowej. Oto kilka przykładów (ale nie tylko):

• Tożsamość zarządzana dla usługi Azure Data Factory
• Jak używać tożsamości zarządzanych dla usług App Service i Azure Functions.
• Jak używać tożsamości zarządzanych dla zasobów platformy Azure na maszynie wirtualnej platformy Azure w celu uzyskania tokenu dostępu.

Możesz również użyć interfejsu wiersza polecenia platformy Azure, aby uzyskać token uwierzytelniania dla tożsamości zarządzanej i przekazać go do identyfikatora URI punktów końcowych wsadowych.

Konfigurowanie kontroli dostępu opartej na rolach dla wywołania punktów końcowych usługi Batch

Punkty końcowe usługi Batch udostępniają trwałym użytkownikom interfejsu API możliwość generowania zadań. Wywołanie żąda odpowiedniego uprawnienia, aby móc wygenerować te zadania. Możesz użyć jednej z wbudowanych ról zabezpieczeń lub utworzyć rolę niestandardową do celów.

Aby pomyślnie wywołać punkt końcowy wsadowy, potrzebne są następujące jawne akcje przyznane tożsamości używanej do wywoływania punktów końcowych. Zobacz Kroki przypisywania roli platformy Azure, aby uzyskać instrukcje dotyczące ich przypisywania.

"actions": [
    "Microsoft.MachineLearningServices/workspaces/read",
    "Microsoft.MachineLearningServices/workspaces/data/versions/write",
    "Microsoft.MachineLearningServices/workspaces/datasets/registered/read",
    "Microsoft.MachineLearningServices/workspaces/datasets/registered/write",
    "Microsoft.MachineLearningServices/workspaces/datasets/unregistered/read",
    "Microsoft.MachineLearningServices/workspaces/datasets/unregistered/write",
    "Microsoft.MachineLearningServices/workspaces/datastores/read",
    "Microsoft.MachineLearningServices/workspaces/datastores/write",
    "Microsoft.MachineLearningServices/workspaces/datastores/listsecrets/action",
    "Microsoft.MachineLearningServices/workspaces/listStorageAccountKeys/action",
    "Microsoft.MachineLearningServices/workspaces/batchEndpoints/read",
    "Microsoft.MachineLearningServices/workspaces/batchEndpoints/write",
    "Microsoft.MachineLearningServices/workspaces/batchEndpoints/deployments/read",
    "Microsoft.MachineLearningServices/workspaces/batchEndpoints/deployments/write",
    "Microsoft.MachineLearningServices/workspaces/batchEndpoints/deployments/jobs/write",
    "Microsoft.MachineLearningServices/workspaces/batchEndpoints/jobs/write",
    "Microsoft.MachineLearningServices/workspaces/computes/read",
    "Microsoft.MachineLearningServices/workspaces/computes/listKeys/action",
    "Microsoft.MachineLearningServices/workspaces/metadata/secrets/read",
    "Microsoft.MachineLearningServices/workspaces/metadata/snapshots/read",
    "Microsoft.MachineLearningServices/workspaces/metadata/artifacts/read",
    "Microsoft.MachineLearningServices/workspaces/metadata/artifacts/write",
    "Microsoft.MachineLearningServices/workspaces/experiments/read",
    "Microsoft.MachineLearningServices/workspaces/experiments/runs/submit/action",
    "Microsoft.MachineLearningServices/workspaces/experiments/runs/read",
    "Microsoft.MachineLearningServices/workspaces/experiments/runs/write",
    "Microsoft.MachineLearningServices/workspaces/metrics/resource/write",
    "Microsoft.MachineLearningServices/workspaces/modules/read",
    "Microsoft.MachineLearningServices/workspaces/models/read",
    "Microsoft.MachineLearningServices/workspaces/endpoints/pipelines/read",
    "Microsoft.MachineLearningServices/workspaces/endpoints/pipelines/write",
    "Microsoft.MachineLearningServices/workspaces/environments/read",
    "Microsoft.MachineLearningServices/workspaces/environments/write",
    "Microsoft.MachineLearningServices/workspaces/environments/build/action",
    "Microsoft.MachineLearningServices/workspaces/environments/readSecrets/action"
]

Konfigurowanie klastrów obliczeniowych na potrzeby dostępu do danych

Punkty końcowe usługi Batch zapewniają, że tylko autoryzowani użytkownicy mogą wywoływać wdrożenia wsadowe i generować zadania. Jednak w zależności od sposobu konfigurowania danych wejściowych inne poświadczenia mogą służyć do odczytywania danych bazowych. Skorzystaj z poniższej tabeli, aby zrozumieć, które poświadczenia są używane:

Typ danych wejściowych	Poświadczenia w magazynie	Używane poświadczenia	Dostęp udzielony przez
Magazyn danych	Tak	Poświadczenia magazynu danych w obszarze roboczym	Klucz dostępu lub sygnatura dostępu współdzielonego
Zasób danych	Tak	Poświadczenia magazynu danych w obszarze roboczym	Klucz dostępu lub sygnatura dostępu współdzielonego
Magazyn danych	Nie.	Tożsamość zadania i tożsamość zarządzana klastra obliczeniowego	RBAC
Zasób danych	Nie.	Tożsamość zadania i tożsamość zarządzana klastra obliczeniowego	RBAC
Azure Blob Storage	Nie dotyczy	Tożsamość zadania i tożsamość zarządzana klastra obliczeniowego	RBAC
Usługa Azure Data Lake Storage 1. generacji	Nie dotyczy	Tożsamość zadania i tożsamość zarządzana klastra obliczeniowego	POSIX
Azure Data Lake Storage Gen2	Nie dotyczy	Tożsamość zadania i tożsamość zarządzana klastra obliczeniowego	PoSIX i RBAC

W przypadku tych elementów w tabeli, w której jest wyświetlana tożsamość zadania i tożsamość zarządzana klastra obliczeniowego, tożsamość zarządzana klastra obliczeniowego jest używana do instalowania i konfigurowania kont magazynu. Jednak tożsamość zadania jest nadal używana do odczytywania danych bazowych, co pozwala uzyskać szczegółową kontrolę dostępu. Oznacza to, że aby pomyślnie odczytać dane z magazynu, tożsamość zarządzana klastra obliczeniowego, w którym jest uruchomione wdrożenie, musi mieć co najmniej dostęp czytelnika danych obiektu blob usługi Storage do konta magazynu.

Aby skonfigurować klaster obliczeniowy na potrzeby dostępu do danych, wykonaj następujące kroki:

1. Przejdź do usługi Azure Machine Edukacja Studio.

2. Przejdź do obszaru Obliczenia, a następnie pozycję Klastry obliczeniowe i wybierz klaster obliczeniowy używany przez wdrożenie.

3. Przypisz tożsamość zarządzaną do klastra obliczeniowego:

   1. W sekcji Tożsamość zarządzana sprawdź, czy środowisko obliczeniowe ma przypisaną tożsamość zarządzaną. Jeśli nie, wybierz opcję Edytuj.

   2. Wybierz pozycję Przypisz tożsamość zarządzaną i skonfiguruj ją zgodnie z potrzebami. Można użyć tożsamości zarządzanej przypisanej przez system lub tożsamości zarządzanej przypisanej przez użytkownika. W przypadku korzystania z tożsamości zarządzanej przypisanej przez system nazwa jest nazywana "[nazwa obszaru roboczego]/obliczenia/[nazwa klastra obliczeniowego]".

   3. Zapisz zmiany.

   

4. Przejdź do witryny Azure Portal i przejdź do skojarzonego konta magazynu, na którym znajdują się dane. Jeśli dane wejściowe są elementem zawartości danych lub magazynem danych, poszukaj konta magazynu, na którym znajdują się te zasoby.

5. Przypisz poziom dostępu Czytelnik danych obiektu blob usługi Storage na koncie magazynu:

   1. Przejdź do sekcji Kontrola dostępu (Zarządzanie dostępem i tożsamościami).

   2. Wybierz kartę Przypisanie roli, a następnie kliknij pozycję Dodaj>przypisanie roli.

   3. Wyszukaj rolę o nazwie Czytelnik danych obiektu blob usługi Storage, wybierz ją i kliknij przycisk Dalej.

   4. Kliknij pozycję Wybierz członków.

   5. Poszukaj utworzonej tożsamości zarządzanej. W przypadku korzystania z tożsamości zarządzanej przypisanej przez system nazwa jest nazywana "[nazwa obszaru roboczego]/obliczenia/[nazwa klastra obliczeniowego]".

   6. Dodaj konto i ukończ pracę kreatora.

   

6. Punkt końcowy jest gotowy do odbierania zadań i danych wejściowych z wybranego konta magazynu.

Następne kroki

• Izolacja sieci w punktach końcowych wsadowych
• Wywoływanie punktów końcowych wsadowych ze zdarzeń usługi Event Grid w magazynie.
• Wywoływanie punktów końcowych wsadowych z usługi Azure Data Factory.