Share via

Proteger um ambiente de inferência do Serviço de Kubernetes do Azure

  • Artigo

Se você tiver um cluster do AKS (Serviço de Kubernetes do Azure) atrás da VNet, será necessário proteger os recursos do workspace do Azure Machine Learning e o ambiente de computação usando a mesma VNet ou uma emparelhada. Neste artigo, você aprenderá o seguinte:

  • O que é um ambiente de inferência do AKS seguro?
  • Como configurar um ambiente de inferência do AKS seguro

Limitações

  • Se o cluster do AKS estiver atrás de uma VNet, o seu workspace e os recursos associados a ele (armazenamento, cofre de chaves, Registro de Contêiner do Azure) deverão ter pontos de extremidade privados ou pontos de extremidade de serviço na mesma VNet que a VNet do cluster do AKS ou em uma VNet emparelhada. Para obter mais informações sobre como proteger o workspace e os recursos associados, confira criar um workspace seguro.
  • Se o seu espaço de trabalho tiver um ponto de extremidade privado, o cluster do Serviço de Kubernetes do Azure deverá estar na mesma região do Azure que o espaço de trabalho.
  • O uso de um FQDN (nome de domínio totalmente qualificado) público com um cluster AKS privadonão é compatível com o Azure Machine Learning.

O que é um ambiente de inferência do AKS seguro?

O ambiente de inferência do AKS do Azure Machine Learning consiste no workspace, no cluster do AKS e nos recursos associados ao workspace – Armazenamento do Azure, Azure Key Vault e ARC (Serviços de Contêiner do Azure). A tabela a seguir compara como os serviços acessam diferentes partes da rede do Azure Machine Learning com ou sem uma VNet.

Cenário Workspace Recursos associados (conta de armazenamento, Key Vault, ACR) Cluster do AKS
Sem rede virtual IP público IP público IP público
Espaço de trabalho público, todos os outros recursos em uma rede virtual IP público IP público (ponto de extremidade de serviço)
- ou -
IP privado (ponto de extremidade privado)		 IP Privado
Proteger recursos em uma rede virtual IP privado (ponto de extremidade privado) IP público (ponto de extremidade de serviço)
- ou -
IP privado (ponto de extremidade privado)		 IP Privado

Em um ambiente de inferência do AKS seguro, o cluster do AKS acessa diferentes partes dos serviços do Azure Machine Learning apenas com o ponto de extremidade privado (IP privado). O diagrama de rede a seguir mostra um workspace seguro do Azure Machine Learning com um cluster do AKS privado ou um cluster do AKS padrão atrás da VNet.

Um ambiente de inferência seguro do AKS: o cluster do AKS acessa diferentes partes dos serviços Azure Machine Learning com o ponto de extremidade privado, incluindo o workspace e os recursos associados

Como configurar um ambiente de inferência do AKS seguro

Para configurar um ambiente seguro de inferência do AKS, você deve ter informações da VNet para o AKS. A VNet pode ser criada de maneira independente ou durante a implantação do cluster do AKS. Há duas opções para o cluster do AKS em uma VNet:

  • Implantaar o cluster AKS padrão em sua VNet
  • Ou criar um cluster do AKS privado para sua VNet

Para o cluster do AKS padrão, você pode encontrar informações da VNet no grupo de recursos de MC_[rg_name][aks_name][region].

Depois de ter informações da VNet para o cluster do AKS e se você já tiver o workspace disponível, use as seguintes etapas para configurar um ambiente de inferência do AKS seguro:

  • Use as informações da VNet do cluster do AKS para adicionar novos pontos de extremidade privados à Conta de Armazenamento do Azure, ao Azure Key Vault e ao Registro de Contêiner do Azure usados pelo seu workspace. Esses pontos de extremidade privados devem existir na mesma VNet que o cluster do AKS ou em uma VNet emparelhada. Para obter mais informações, confira o artigo Proteger o workspace com um ponto de extremidade privado.
  • Caso você tenha outro armazenamento que seja usado pelas cargas de trabalho do Azure Machine Learning, adicione um novo ponto de extremidade privado para esse armazenamento. O ponto de extremidade privado deve existir na mesma VNet do cluster do AKS ou em uma VNet emparelhada, e deve ter a integração de zona DNS privada habilitada.
  • Adicione um novo ponto de extremidade privado ao workspace. Esse ponto de extremidade privado deve existir na mesma VNet do cluster do AKS ou em uma VNet emparelhada, e deve ter a integração de zona DNS privada habilitada.

Se você tiver o cluster do AKS pronto, mas ainda não tiver um workspace criado, poderá usar a VNet do cluster do AKS ao criar o workspace. Use as informações da VNet do cluster do AKS ao seguir o tutorial Criar workspace seguro. Depois que o workspace for criado, como última etapa, adicione um novo ponto de extremidade privado ao seu workspace. Para todas as etapas acima, é importante garantir que todos os pontos de extremidade privados existam na mesma VNet do cluster do AKS e tenham a integração de zona DNS privada habilitada.

Notas especiais para configurar um ambiente seguro de inferência do AKS:

  • Use a identidade gerenciada atribuída pelo sistema ao criar workspace, pois a conta de armazenamento com ponto de extremidade privado só permite acesso com a identidade gerenciada atribuída pelo sistema.
  • Ao anexar o cluster do AKS a um workspace HBI, designe uma identidade gerenciada atribuída pelo sistema com ambas as funções: Storage Blob Data Contributor e Storage Account Contributor.
  • Se estiver usando o ACR padrão criado pelo workspace, verifique se você tem a SKU premium para ACR. Habilite também Firewall exception para permitir que os serviços confiáveis da Microsoft acessem o ACR.
  • Se o workspace também estiver por trás de uma VNet, siga as instruções em Conectar-se com segurança ao seu workspace para acessar o workspace.
  • Para o ponto de extremidade privado da conta de armazenamento, habilite Allow Azure services on the trusted services list to access this storage account.

Observação

Se o AKS que está por trás de uma VNet tiver sido interrompido e reiniciado, será necessário:

  1. Primeiro, seguir as etapas em Parar e iniciar um cluster do AKS (Serviço de Kubernetes do Azure) para excluir e recriar um ponto de extremidade privado vinculado a esse cluster.
  2. Em seguida, reanexar as computações do Kubernetes anexadas a partir desse AKS em seu workspace.

Caso contrário, a criação, atualização e exclusão de pontos de extremidade/implantações nesse cluster do AKS falharão.

Próximas etapas

Este artigo faz parte de uma série sobre como proteger um fluxo de trabalho do Azure Machine Learning. Confira os outros artigos desta série: