Como configurar uma rede gerenciada para hubs do Estúdio de IA do Azure

Importante

Alguns dos recursos descritos nesse artigo podem estar disponíveis apenas na versão prévia. Essa versão prévia é fornecida sem um contrato de nível de serviço e não recomendamos isso para cargas de trabalho de produção. Alguns recursos podem não ter suporte ou podem ter restrição de recursos. Para obter mais informações, consulte Termos de Uso Complementares de Versões Prévias do Microsoft Azure.

Temos dois aspectos do isolamento de rede. Uma das opções é o isolamento de rede para acessar um hub do Estúdio de IA do Azure. Outra é o isolamento da rede de recursos de computação para o hub e o projeto (como instância de computação, ponto de extremidade online gerenciado e sem servidor). Este documento explica o último realçado no diagrama. É possível usar o isolamento de rede integrado ao hub para proteger seus recursos de computação.

Você precisa definir as configurações de isolamento de rede a seguir.

• Escolha o modo de isolamento de rede. Você tem duas opções: o modo Permitir a saída da Internet ou o modo Permitir apenas a saída aprovada.
• Crie regras de saída de ponto de extremidade privado para seus recursos privados do Azure. Ainda não há suporte para a Pesquisa de IA Privada do Azure.
• Caso use a integração do Visual Studio Code com o modo Permitir apenas a saída aprovada, crie as regras de saída de FQDN descritas na seção usar o Visual Studio Code.
• Caso use os modelos do HuggingFace em Modelos com o modo Permitir apenas a saída aprovada, crie as regras de saída de FQDN descritas na seção usar modelos HuggingFace.

Arquitetura de isolamento de rede e modos de isolamento

Ao habilitar o isolamento da rede virtual gerenciada, é criada uma rede virtual gerenciada para o hub. Os recursos de computação gerenciados criados para o hub usam automaticamente essa rede virtual gerenciada. A rede virtual gerenciada pode usar pontos de extremidade privados para os recursos do Azure que são usados pelo hub, como o Armazenamento do Azure, o Azure Key Vault e o Registro de Contêiner do Azure.

Há três modos de configuração diferentes para o tráfego de saída da rede virtual gerenciada:

Modo de saída	Descrição	Cenários
Permitir a saída da Internet	Permita todo o tráfego de saída da Internet da rede virtual gerenciada.	Você deseja acesso irrestrito aos recursos de machine learning na Internet, como pacotes Python ou modelos pré-treinados.1
Permitir somente a saída aprovada	O tráfego de saída é permitido por meio da especificação de marcas de serviço.	* Você deseja minimizar o risco de exfiltração dos dados, mas precisa preparar todos os artefatos de machine learning necessários em seu ambiente privado. * Você deseja configurar o acesso de saída a uma lista aprovada de serviços, marcas de serviço ou FQDNs.
Desabilitadas	O tráfego de entrada e saída não é restrito.	Você quer entrada pública e saída do hub.

¹ Você pode usar regras de saída com o modo Permitir apenas a saída aprovada para obter o mesmo resultado que o uso do modo Permitir a saída da Internet. As diferenças são:

• Sempre use pontos de extremidade privados para acessar recursos do Azure.

  Importante

  Embora você possa criar um ponto de extremidade privado para a Pesquisa de IA do Azure, os serviços conectados precisam permitir a rede pública. Para obter mais informações, consulte Conectividade com outros serviços.

• Você deve adicionar regras para cada conexão de saída que precisa permitir.

• A adição de regras de saída de FQDN aumenta seus custos, pois esse tipo de regra usa o Firewall do Azure.

• As regras padrão para permitir apenas a saída aprovada são projetadas para minimizar o risco de exfiltração dos dados. Qualquer regra de saída adicionada poderá aumentar o risco.

A rede virtual gerenciada é pré-configurada com as regras padrão necessárias. Ela também é configurada para conexões de pontos de extremidade privados com o hub, o armazenamento padrão do hub, o registro de contêineres e o cofre de chaves, se estiverem configurados como privados ou se o modo de isolamento do hub estiver definido para permitir somente a saída aprovada. Depois de escolher o modo de isolamento, você só precisa levar em consideração outros requisitos de saída que talvez precise adicionar.

O diagrama a seguir mostra uma rede virtual gerenciada configurada para permitir a saída da Internet:

O diagrama a seguir mostra uma rede virtual gerenciada configurada para permitir apenas a saída aprovada:

Observação

Nessa configuração, o armazenamento, o cofre de chaves e o registro de contêineres usados pelo hub são sinalizados como privados. Como eles são sinalizados como privados, um ponto de extremidade privado é usado para se comunicar com eles.

Pré-requisitos

Antes de seguir as etapas neste artigo, verifique se você tem os seguintes pré-requisitos:

Portal do Azure

• Uma assinatura do Azure. Se você não tiver uma assinatura do Azure, crie uma conta gratuita antes de começar.

• O provedor de recursos Microsoft.Network deve ser registrado para a sua assinatura do Azure. Esse provedor de recursos é usado pelo hub ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre o registro de provedores de recursos, confira Resolver erros de registro de provedor de recursos.

• A identidade do Azure que você usa ao implantar uma rede gerenciada requer as seguintes ações de RBAC do Azure (controle de acesso baseado em função do Azure) para criar pontos de extremidade privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

CLI do Azure

• Uma assinatura do Azure. Se você não tiver uma assinatura do Azure, crie uma conta gratuita antes de começar.

• O provedor de recursos Microsoft.Network deve ser registrado para a sua assinatura do Azure. Esse provedor de recursos é usado pelo hub ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre o registro de provedores de recursos, confira Resolver erros de registro de provedor de recursos.

• A identidade do Azure que você usa ao implantar uma rede gerenciada requer as seguintes ações de RBAC do Azure (controle de acesso baseado em função do Azure) para criar pontos de extremidade privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• A CLI do Azure e a ml extensão na CLI do Azure. Para obter mais informações, confira Instalar, configurar e usar a CLI (v2).

• Os exemplos de CLI neste artigo pressupõem que você esteja usando o shell Bash (ou compatível). Por exemplo, de um sistema Linux ou Subsistema do Windows para Linux.

• Os exemplos da CLI do Azure neste artigo usam ws para representar o nome do hub e rg para representar o nome do grupo de recursos. Altere esses valores conforme o necessário ao usar os comandos com sua assinatura do Azure.

SDK do Python

• Uma assinatura do Azure. Caso não tenha uma assinatura do Azure, crie uma conta gratuita antes de começar. Experimente a versão gratuita ou paga do Azure Machine Learning.

• O provedor de recursos Microsoft.Network deve ser registrado para a sua assinatura do Azure. Esse provedor de recursos é usado pelo hub ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre o registro de provedores de recursos, confira Resolver erros de registro de provedor de recursos.

• A identidade do Azure que você usa ao implantar uma rede gerenciada requer as seguintes ações de RBAC do Azure (controle de acesso baseado em função do Azure) para criar pontos de extremidade privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• O SDK do Python do Azure Machine Learning v2. Para obter mais informações sobre o SDK, confira Instalar o SDK do Python v2 para Azure Machine Learning.

• Os exemplos neste artigo pressupõem que o seu código começa com o Python a seguir. Esse código importa as classes necessárias ao criar um hub com rede virtual gerenciada, define variáveis para sua assinatura do Azure e grupo de recursos e cria o ml_client:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

Limitações

• Atualmente, o Estúdio de IA do Azure não dá suporte a trazer sua própria rede virtual. Ele só dá suporte ao isolamento de rede virtual gerenciada.
• Depois de habilitar o isolamento da rede virtual gerenciada de sua IA do Azure, você não poderá desativá-lo.
• A rede virtual gerenciada usa a conexão de ponto de extremidade privado para acessar seus recursos privados. Você não pode ter um ponto de extremidade privado e um ponto de extremidade de serviço ao mesmo tempo para seus recursos do Azure, como uma conta de armazenamento. Recomendamos o uso de pontos de extremidade em todos os cenários.
• A rede virtual gerenciada será excluída quando a IA do Azure for excluída.
• A proteção contra exfiltração de dados é habilitada automaticamente para o único modo de saída aprovado. Se você adicionar outras regras de saída, como a FQDNs, a Microsoft não poderá garantir que você esteja protegido contra exfiltração de dados para esses destinos de saída.
• O uso de regras de saída de FQDN aumenta o custo da rede virtual gerenciada porque as regras do FQDN usam o Firewall do Azure. Para saber mais, consulte Preços.
• As regras de saída do FQDN só dão suporte às portas 80 e 443.
• Ao usar uma instância de computação com uma rede gerenciada, use o comando az ml compute connect-ssh para se conectar à computação usando SSH.

Conectividade com outros serviços

• A Pesquisa de IA do Azure deve ser pública com o hub do Estúdio de IA do Azure privado provisionado.
• O recurso "Adicionar seus dados" no playground do Estúdio de IA do Azure não dá suporte ao uso de uma rede virtual ou ponto de extremidade privado nos seguintes recursos:
  • IA do Azure Search
  • OpenAI do Azure
  • Recurso de armazenamento

Configurar uma rede virtual gerenciada para permitir a saída da Internet

Dica

A criação da VNet gerenciada é adiada até que um recurso de computação seja criado ou até que o provisionamento seja iniciado manualmente. Ao permitir a criação automática, pode levar cerca de 30 minutos para criar o primeiro recurso de computação, pois ele também está provisionando a rede.

Portal do Azure

• Criar um novo hub:

  1. Entre no portal do Azure e escolha Estúdio de IA do Azure no menu “Criar um recurso”.

  2. Selecione + Nova IA do Azure.

  3. Preencha as informações necessárias na guia Noções básicas.

  4. Na guia Rede , selecione Privado com Saída da Internet.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as seguintes informações:

     • Nome da regra: um nome para a regra. O nome deve ser exclusivo para esse hub.
     • Tipo de destino: o ponto de extremidade privado é a única opção quando o isolamento de rede é privado com saída da Internet. A rede virtual gerenciada pelo hub não dá suporte à criação de um ponto de extremidade privado para todos os tipos de recursos do Azure. Para obter uma lista de recursos com suporte, confira a seção pontos de extremidade privados.
     • Assinatura: a assinatura que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Grupo de recursos: o grupo de recursos que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Tipo de recurso: o tipo do recurso do Azure.
     • Nome do recurso: o nome do recurso do Azure.
     • Sub-recurso: o sub-recurso do tipo de recurso do Azure.

     Selecione Salvar para salvar a regra. Você pode continuar usando Adicionar regras de saída definidas pelo usuário para adicionar regras.

  6. Continue a criar o hub normalmente.

• Atualizar um hub existente:

  1. Entre no portal do Azure e selecione o hub para o qual você pretende habilitar o isolamento da rede virtual gerenciada.

  2. Na guia Rede, selecione Privada com Saída da Internet.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as mesmas informações usadas ao criar um hub na seção “Criar um novo hub”.

     • Para excluir uma regra de saída, selecione excluir para a regra.

  3. Selecione Salvar na parte superior da página para salvar as alterações na rede virtual gerenciada.

CLI do Azure

Para configurar uma rede virtual gerenciada que permita comunicações de saída da Internet, você pode usar o parâmetro --managed-network allow_internet_outbound ou um arquivo de configuração YAML que contenha as seguintes entradas:

managed_network:
  isolation_mode: allow_internet_outbound

Você também pode definir as regras de saída para outros serviços do Azure dos quais o hub depende. Essas regras definem os pontos de extremidade privados que permitem que um recurso do Azure se comunique com segurança com a rede virtual gerenciada. A regra a seguir demonstra como adicionar um ponto de extremidade privado a um recurso de Blob do Azure.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Você pode configurar uma rede virtual gerenciada usando os comandos az ml workspace create ou az ml workspace update:

• Criar um novo hub:

  O exemplo a seguir cria um novo hub. O parâmetro --managed-network allow_internet_outbound configura uma rede virtual gerenciada para o hub:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para criar um hub usando um arquivo YAML, use o parâmetro --file e especifique o arquivo YAML que contém as configurações:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  O exemplo YAML a seguir define um hub com uma rede virtual gerenciada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Atualizar um hub existente:

  Aviso

  Antes de atualizar um workspace existente para usar uma rede virtual gerenciada, você deve excluir todos os recursos de computação do workspace. Isso inclui a instância de computação, o cluster de computação e pontos de extremidade online gerenciados.

  O exemplo a seguir atualiza um hub existente. O parâmetro --managed-network allow_internet_outbound configura uma rede virtual gerenciada para o hub:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para atualizar um hub existente usando o arquivo YAML, use o parâmetro --file e especifique o arquivo YAML que contém as configurações:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  O exemplo YAML a seguir define uma rede virtual gerenciada para o hub. Ele também demonstra como adicionar uma conexão de ponto de extremidade privado a um recurso usado pelo hub; nesse exemplo, um ponto de extremidade privado para um armazenamento de blob:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

SDK do Python

Para configurar uma rede virtual gerenciada que permite comunicações de saída da Internet, use a classe ManagedNetwork para definir uma rede com IsolationMode.ALLOW_INTERNET_OUTBOUND. Você pode usar o objeto ManagedNetwork para criar um novo hub ou atualizar um existente. Para definir as regras de saída para os serviços do Azure dos quais o hub depende, use a classe PrivateEndpointDestination para definir um novo ponto de extremidade privado para o serviço.

• Criar um novo hub:

  O exemplo a seguir cria um novo hub chamado myhub, com uma regra de saída chamada myrule que adiciona um ponto de extremidade privado para um armazenamento de Blobs do Azure:

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Atualizar um hub existente:

  O exemplo a seguir demonstra como criar uma rede virtual gerenciada para um hub existente chamado myhub:

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Configurar uma rede virtual gerenciada para permitir apenas saídas aprovadas

Dica

A VNet gerenciada é provisionada automaticamente quando você cria um recurso de computação. Ao permitir a criação automática, pode levar cerca de 30 minutos para criar o primeiro recurso de computação, pois ele também está provisionando a rede. Se você configurou regras de saída de FQDN, a primeira regra de FQDN adicionará cerca de 10 minutos ao tempo de provisionamento.

Portal do Azure

• Criar um novo hub:

  1. Entre no portal do Azure e escolha Estúdio de IA do Azure no menu “Criar um recurso”.

  2. Selecione + Nova IA do Azure.

  3. Preencha as informações necessárias na guia Noções básicas.

  4. Na guia Rede, selecione Privada com Saída da Internet.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as seguintes informações:

     • Nome da regra: um nome para a regra. O nome deve ser exclusivo para esse hub.
     • Tipo de destino: ponto de extremidade privado, marca de serviço ou FQDN. A marca de serviço e o FQDN só estão disponíveis quando o isolamento de rede é privado com saída aprovada.

     Se o tipo de destino for ponto de extremidade privado, forneça as seguintes informações:

     • Assinatura: a assinatura que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Grupo de recursos: o grupo de recursos que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Tipo de recurso: o tipo do recurso do Azure.
     • Nome do recurso: o nome do recurso do Azure.
     • Sub-recurso: o sub-recurso do tipo de recurso do Azure.

     Dica

     A VNet gerenciada pelo hub não dá suporte à criação de um ponto de extremidade privado para todos os tipos de recursos do Azure. Para obter uma lista de recursos com suporte, confira a seção pontos de extremidade privados.

     Se o tipo de destino for marca de serviço, forneça as seguintes informações:

     • Marca de serviço: a marca de serviço a ser adicionada às regras de saída aprovadas.
     • Protocolo: o protocolo a ser permitido para a marca de serviço.
     • Intervalos de portas: os intervalos de portas a serem permitidos para a marca de serviço.

     Se o tipo de destino for FQDN, forneça as seguintes informações:

     Aviso

     As regras de saída de FQDN são implementadas usando o Firewall do Azure. Se você usar regras FQDN de saída, os encargos de Firewall do Azure serão incluídos na sua cobrança. Para saber mais, consulte Preços.

     • Destino FQDN: o nome de domínio totalmente qualificado a ser adicionado às regras de saída aprovadas.

     Selecione Salvar para salvar a regra. Você pode continuar usando Adicionar regras de saída definidas pelo usuário para adicionar regras.

  6. Continue a criar o hub normalmente.

• Atualizar um hub existente:

  1. Entre no portal do Azure e selecione o hub para o qual você pretende habilitar o isolamento da rede virtual gerenciada.

  2. Selecione Rede e, em seguida, selecione Privada com Saída da Internet.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as mesmas informações fornecidas ao criar um hub na seção anterior “Criar um novo hub”.

     • Para excluir uma regra de saída, selecione excluir para a regra.

  3. Selecione Salvar na parte superior da página para salvar as alterações na rede virtual gerenciada.

CLI do Azure

Para configurar uma rede virtual gerenciada que permita apenas comunicações de saída aprovadas, você pode usar o parâmetro --managed-network allow_only_approved_outbound ou um arquivo de configuração YAML que contenha as seguintes entradas:

managed_network:
  isolation_mode: allow_only_approved_outbound

Você também pode definir as regras de saída para definir a comunicação de saída aprovada. Uma regra de saída pode ser criada para um tipo de service_tag, fqdn e private_endpoint. A regra a seguir demonstra como adicionar um ponto de extremidade privado a um recurso de Blob do Azure, uma marca de serviço para o Azure Data Factory e um FQDN a pypi.org:

Importante

• A adição de uma saída para uma marca de serviço ou FQDN só é válida quando a VNet gerenciada estiver configurada para allow_only_approved_outbound.
• Se você adicionar regras de saída, a Microsoft não poderá garantir a exfiltração de dados.

Aviso

As regras de saída de FQDN são implementadas usando o Firewall do Azure. Caso use as regras de saída de FQDN, os encargos de Firewall do Azure serão adicionados à sua cobrança. Para saber mais, consulte Preços.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Você pode configurar uma rede virtual gerenciada usando os comandos az ml workspace create ou az ml workspace update:

• Criar um novo hub:

  O exemplo a seguir usa o parâmetro --managed-network allow_only_approved_outbound para configurar a rede virtual gerenciada:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O arquivo YAML a seguir define um hub com uma rede virtual gerenciada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Para criar um hub usando o arquivo YAML, use o parâmetro --file:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Atualizar um hub existente

  Aviso

  Antes de atualizar um workspace existente para usar uma rede virtual gerenciada, você deve excluir todos os recursos de computação do workspace. Isso inclui a instância de computação, o cluster de computação e pontos de extremidade online gerenciados.

  O exemplo a seguir usa o parâmetro --managed-network allow_only_approved_outbound para configurar a rede virtual gerenciada para um hub existente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O arquivo YAML a seguir define uma rede virtual gerenciada para o hub. Ele também demonstra como adicionar uma saída aprovada à rede virtual gerenciada. Neste exemplo, uma regra de saída é adicionada para ambas as marcas de serviço:

  Aviso

  As regras de saída de FQDN são implementadas usando o Firewall do Azure. Caso use as regras de saída de FQDN, os encargos de Firewall do Azure serão adicionados à sua cobrança. Para saber mais, consulte Preços.

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

SDK do Python

Para configurar uma rede virtual gerenciada que permita apenas comunicações de saída aprovadas, use a classe ManagedNetwork para definir uma rede com IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND. Você pode usar o objeto ManagedNetwork para criar um novo hub ou atualizar um existente. Para definir regras de saída, use as seguintes classes:

Destino	Classe
Serviço do Azure no qual o hub depende	PrivateEndpointDestination
Marca de serviço do Azure	ServiceTagDestination
FQDN (nome de domínio totalmente qualificado)	FqdnDestination

• Criar um novo hub:

  O exemplo a seguir cria um novo hub chamado myhub, com várias regras de saída:

  • myrule – Adiciona um ponto de extremidade privado para um repositório de Blobs do Azure.
  • datafactory– Adiciona uma regra de marca de serviço para se comunicar com o Azure Data Factory.

  Importante

  • A adição de uma saída para uma marca de serviço ou FQDN só é válida quando a VNet gerenciada estiver configurada para IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Se você adicionar regras de saída, a Microsoft não poderá garantir a exfiltração de dados.

  Aviso

  As regras de saída de FQDN são implementadas usando o Firewall do Azure. Caso use as regras de saída de FQDN, os encargos de Firewall do Azure serão adicionados à sua cobrança. Para saber mais, consulte Preços.

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Atualizar um hub existente:

  O exemplo a seguir demonstra como criar uma rede virtual gerenciada para um hub do Azure Machine Learning existente chamado myhub. O exemplo também adiciona várias regras de saída para a rede virtual gerenciada:

  • myrule – Adiciona um ponto de extremidade privado para um repositório de Blobs do Azure.
  • datafactory– Adiciona uma regra de marca de serviço para se comunicar com o Azure Data Factory.

  Dica

  A adição de uma saída para uma marca de serviço ou FQDN só é válida quando a VNet gerenciada estiver configurada para IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  Aviso

  As regras de saída de FQDN são implementadas usando o Firewall do Azure. Caso use as regras de saída de FQDN, os encargos de Firewall do Azure serão adicionados à sua cobrança. Para saber mais, consulte Preços.

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Gerenciar regras de saída

Portal do Azure

1. Entre no portal do Azure e selecione o hub para o qual você pretende habilitar o isolamento da rede virtual gerenciada.
2. Selecione Rede. A seção Acesso de saída da IA do Azure permite que você gerencie as regras de saída.

• Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída da IA do Azure, forneça as seguintes informações:

• Para habilitar ou desabilitar uma regra, use a alternância na coluna Ativo.

• Para excluir uma regra de saída, selecione excluir para a regra.

CLI do Azure

Para listar as regras de saída da rede virtual gerenciada para um hub, use o seguinte comando:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Para exibir os detalhes de uma regra de saída da rede virtual gerenciada, use o seguinte comando:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Para remover uma regra de saída da rede virtual gerenciada, use o seguinte comando:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

SDK do Python

O exemplo a seguir demonstra como gerenciar regras de saída para um hub chamado myhub:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Lista de regras necessárias

Dica

Essas regras são adicionadas automaticamente à VNet gerenciada.

Pontos de extremidade privados:

• Quando o modo de isolamento da rede virtual gerenciada for Allow internet outbound, as regras de saída do ponto de extremidade privado serão criadas automaticamente como regras necessárias da rede virtual gerenciada para o hub e os recursos associados com acesso à rede pública desabilitado (Key Vault, Conta de Armazenamento, Registo de Contêiner, hub).
• Quando o modo de isolamento da rede virtual gerenciada for Allow only approved outbound, as regras de saída do ponto de extremidade privado serão criadas automaticamente como regras necessárias da rede virtual gerenciada para o hub os recursos associados, independentemente do modo de acesso à rede pública para esses recursos(Key Vault, Conta de Armazenamento, Registo de Contêiner, hub).

Regras de marca de serviço de saída:

• AzureActiveDirectory
• Azure Machine Learning
• BatchNodeManagement.region
• AzureResourceManager
• AzureFrontDoor.FirstParty
• MicrosoftContainerRegistry
• AzureMonitor

Regras de marca de serviço de entrada:

• AzureMachineLearning

Lista de regras de saída específicas do cenário

Cenário: Acessar pacotes públicos de aprendizado de máquina

Para permitir a instalação de pacotes do Python para treinamento e implantação, adicione regras de FQDN de saída para permitir o tráfego aos seguintes nomes de host:

Aviso

As regras de saída de FQDN são implementadas usando o Firewall do Azure. Se você usar regras FQDN de saída, os encargos de Firewall do Azure serão incluídos na sua cobrança. Para saber mais, consulte Preços.

Observação

Esta não é uma lista completa dos hosts necessários para todos os recursos do Python na Internet. Ela inclui somente os mais usados. Por exemplo, caso você precise de acesso a um repositório GitHub ou outro host, identifique e adicione os hosts necessários para esse cenário.

Nome do host	Finalidade
anaconda.com *.anaconda.com	Usado para instalar pacotes padrão.
*.anaconda.org	Usado para obter dados do repositório.
pypi.org	Usado para listar dependências com base no índice padrão, se houver, quando o índice não foi substituído pelas configurações do usuário. Se o índice tiver sido substituído, você deverá permitir também *.pythonhosted.org.
pytorch.org *.pytorch.org	Usado por alguns exemplos com base em PyTorch.
*.tensorflow.org	Usado por alguns exemplos com base em Tensorflow.

Cenário: Usar o Visual Studio Code

O Visual Studio Code depende de hosts e portas específicos para estabelecer uma conexão remota.

Hosts

Se você planeja usar o Visual Studio Code com o hub, adicione regras de FQDN de saída para permitir o tráfego para os seguintes hosts:

Aviso

As regras de saída de FQDN são implementadas usando o Firewall do Azure. Se você usar regras FQDN de saída, os encargos de Firewall do Azure serão incluídos na sua cobrança. Para saber mais, consulte Preços.

• *.vscode.dev
• vscode.blob.core.windows.net
• *.gallerycdn.vsassets.io
• raw.githubusercontent.com
• *.vscode-unpkg.net
• *.vscode-cdn.net
• *.vscodeexperiments.azureedge.net
• default.exp-tas.com
• code.visualstudio.com
• update.code.visualstudio.com
• *.vo.msecnd.net
• marketplace.visualstudio.com
• pkg-containers.githubusercontent.com
• github.com

Portos

Você deve permitir o tráfego de rede nas portas 8704 a 8710. O servidor do VS Code seleciona dinamicamente a primeira porta disponível dentro desse intervalo.

Cenário: Usar os modelos do HuggingFace

Se você planeja usar modelos HuggingFace com o hub, adicione regras de FQDN de saída para permitir o tráfego para os seguintes hosts:

Aviso

As regras de saída de FQDN são implementadas usando o Firewall do Azure. Se você usar regras FQDN de saída, os encargos de Firewall do Azure serão incluídos na sua cobrança. Para saber mais, consulte Preços.

• docker.io
• *.docker.io
• *.docker.com
• production.cloudflare.docker.com
• cnd.auth0.com
• cdn-lfs.huggingface.co

Pontos de extremidade privados

Atualmente, há suporte para pontos de extremidade privados para os seguintes serviços do Azure:

• Hub do Estúdio de IA
• Azure Machine Learning
• Registros do Azure Machine Learning
• Armazenamento do Microsoft Azure (todos os tipos de sub-recursos)
• Registro de Contêiner do Azure
• Cofre de Chave do Azure
• Serviços de IA do Azure
• Pesquisa de IA do Azure.
• Azure SQL Server
• Azure Data Factory
• Azure Cosmos DB (todos os sub-tipos de recursos)
• Hubs de eventos do Azure
• Cache Redis do Azure
• Azure Databricks
• Banco de Dados do Azure para MariaDB
• Servidor Único do Banco de Dados do Azure para PostgreSQL
• Banco de Dados do Azure para MySQL
• Instância Gerenciada do Azure SQL
• Gerenciamento de API do Azure

Importante

Embora você possa criar um ponto de extremidade privado para os serviços de IA do Azure e a Pesquisa de IA do Azure, os serviços conectados devem permitir a rede pública. Para obter mais informações, consulte Conectividade com outros serviços.

Ao criar um ponto de extremidade privado, você fornece o tipo de recurso e o sub-recurso ao qual o ponto de extremidade se conecta. Alguns recursos têm vários tipos e sub-recursos. Para obter mais informações, confira o que é um ponto de extremidade privado.

Ao criar um ponto de extremidade privado para recursos de dependência de hub, como o Armazenamento do Azure, o Registro de Contêiner do Azure e o Azure Key Vault, o recurso poderá estar em uma assinatura diferente do Azure. No entanto, o recurso precisará estar no mesmo locatário que o hub.

Um ponto de extremidade privado será criado automaticamente para uma conexão se o recurso de destino for um recurso do Azure listado acima. Uma ID de destino válida é esperada para o ponto de extremidade privado. Uma ID de destino válida para a conexão pode ser a ID do Azure Resource Manager de um recurso pai. A ID de destino também é esperada no destino da conexão ou na metadata.resourceid. Para saber mais sobre conexões, confira Como adicionar uma nova conexão no Estúdio de IA do Azure.

Preços

O recurso de rede virtual gerenciada pelo hub é gratuito. No entanto, você é cobrado pelos seguintes recursos que são usados pela rede virtual gerenciada:

• Link Privado do Azure – os pontos de extremidade privados usados para proteger as comunicações entre a rede virtual gerenciada e os recursos do Azure dependem de Link Privado do Azure. Para obter mais informações sobre preços, confira preços do Link Privado do Azure.

• Regras de saída do FQDN – as regras de saída do FQDN são implementadas usando o Firewall do Azure. Se você usar regras FQDN de saída, os encargos de Firewall do Azure serão incluídos na sua cobrança. O SKU do Firewall do Azure é padrão. O Firewall do Azure é provisionado pelo hub.

  Importante

  O firewall não é criado até que você adicione uma regra de FQDN de saída. Se você não usar regras de FQDN, não será cobrado pelo Firewall do Azure. Para obter informações sobre preços, confira preços do Firewall do Azure.

Conteúdo relacionado

• Criar o hub e o projeto do Estúdio de IA usando o SDK