Använda GitHub Actions med Azure Mašinsko učenje

GÄLLER FÖR:Azure CLI ml extension v2 (current)Python SDK azure-ai-ml v2 (aktuell)

Kom igång med GitHub Actions och lär dig hur du tränar en modell med Azure Machine Learning.

Den här artikeln lär dig hur du skapar ett GitHub Actions-arbetsflöde som skapar och distribuerar en maskininlärningsmodell till Azure Mašinsko učenje. Du tränar en scikit-learn linjär regressionsmodell på NYC Taxi-datauppsättningen.

GitHub Actions använder en YAML-arbetsflödesfil (.yml) i /.github/workflows/ sökvägen på lagringsplatsen. Den här definitionen innehåller de olika steg och parametrar som utgör arbetsflödet.

Förutsättningar

Innan du följer stegen i den här artikeln kontrollerar du att du har följande förutsättningar:

• En Azure Machine Learning-arbetsyta. Om du inte har någon använder du stegen i artikeln Snabbstart: Skapa arbetsyteresurser för att skapa en.

• Om du vill installera Python SDK v2 använder du följande kommando:

  pip install azure-ai-ml azure-identity
  

  Om du vill uppdatera en befintlig installation av SDK:et till den senaste versionen använder du följande kommando:

  pip install --upgrade azure-ai-ml azure-identity
  

  Mer information finns i Installera Python SDK v2 för Azure Mašinsko učenje.

• Ett GitHub-konto. Om du inte har ett sådant kan du registrera dig utan kostnad.

Steg 1: Hämta koden

Förgrena följande lagringsplats på GitHub:

https://github.com/azure/azureml-examples

Klona din förgrenade lagringsplats lokalt.

git clone https://github.com/YOUR-USERNAME/azureml-examples

Steg 2: Autentisera med Azure

Du måste först definiera hur du ska autentisera med Azure. Du kan använda tjänstens huvudnamn eller OpenID Connect.

Generera autentiseringsuppgifter för distribution

Tjänstens huvud

Skapa ett huvudnamn för tjänsten med kommandot az ad sp create-for-rbac i Azure CLI. Kör det här kommandot med Azure Cloud Shell i Azure-portalen eller genom att välja knappen Prova .

az ad sp create-for-rbac --name "myML" --role contributor \
                            --scopes /subscriptions/<subscription-id>/resourceGroups/<group-name> \
                            --json-auth

Parametern --json-auth är tillgänglig i Azure CLI-versioner >= 2.51.0. Versioner före den här användningen --sdk-auth med en utfasningsvarning.

I exemplet ovan ersätter du platshållarna med ditt prenumerations-ID, resursgruppsnamn och appnamn. Utdata är ett JSON-objekt med autentiseringsuppgifterna för rolltilldelning som ger åtkomst till din App Service-app på liknande sätt som nedan. Kopiera det här JSON-objektet för senare.

  {
    "clientId": "<GUID>",
    "clientSecret": "<GUID>",
    "subscriptionId": "<GUID>",
    "tenantId": "<GUID>",
    (...)
  }

OpenID Connect

OpenID Connect är en autentiseringsmetod som använder kortlivade token. Att konfigurera OpenID Connect med GitHub Actions är en mer komplex process som ger förstärkt säkerhet.

1. Om du inte har ett befintligt program registrerar du ett nytt Microsoft Entra-program och tjänstens huvudnamn som kan komma åt resurser.

   az ad app create --display-name myApp
   

   Det här kommandot matar ut JSON med en appId som är din client-id. is objectId APPLICATION-OBJECT-ID och används för att skapa federerade autentiseringsuppgifter med Graph API-anrop. Spara värdet som ska användas som AZURE_CLIENT_ID GitHub-hemlighet senare.

2. Skapa ett huvudnamn för tjänsten. $appID Ersätt med appId från dina JSON-utdata. Det här kommandot genererar JSON-utdata med en annan objectId som används i nästa steg. Den nya objectId är assignee-object-id.

   Det här kommandot genererar JSON-utdata med en annan objectId och används i nästa steg. Den nya objectId är assignee-object-id.

   Kopiera som appOwnerTenantId ska användas som en GitHub-hemlighet för AZURE_TENANT_ID senare.

    az ad sp create --id $appId
   

3. Skapa en ny rolltilldelning efter prenumeration och objekt. Som standard är rolltilldelningen kopplad till din standardprenumeration. Ersätt $subscriptionId med ditt prenumerations-ID, $resourceGroupName med resursgruppens namn och $assigneeObjectId med genererat assignee-object-id (det nyligen skapade objekt-ID:t för tjänstens huvudnamn).

   az role assignment create --role contributor --subscription $subscriptionId --assignee-object-id  $assigneeObjectId --assignee-principal-type ServicePrincipal --scope /subscriptions/$subscriptionId/resourceGroups/$resourceGroupName
   

4. Kör följande kommando för att skapa en ny federerad identitetsautentiseringsuppgift för ditt Microsoft Entra-program.

   • Ersätt APPLICATION-OBJECT-ID med objectId (genereras när du skapar appen) för ditt Microsoft Entra-program.
   • Ange ett värde som CREDENTIAL-NAME ska refereras senare.
   • subjectAnge . Värdet för detta definieras av GitHub beroende på ditt arbetsflöde:
     • Jobb i din GitHub Actions-miljö: repo:< Organization/Repository >:environment:< Name >
     • För Jobb som inte är knutna till en miljö inkluderar du referenssökvägen för gren/tagg baserat på referenssökvägen som används för att utlösa arbetsflödet: repo:< Organization/Repository >:ref:< ref path>. Exempel: repo:n-username/ node_express:ref:refs/heads/my-branch eller repo:n-username/ node_express:ref:refs/tags/my-tag.
     • För arbetsflöden som utlöses av en pull-begärandehändelse: repo:< Organization/Repository >:pull_request.

   az ad app federated-credential create --id <APPLICATION-OBJECT-ID> --parameters credential.json
   ("credential.json" contains the following content)
   {
       "name": "<CREDENTIAL-NAME>",
       "issuer": "https://token.actions.githubusercontent.com",
       "subject": "repo:octo-org/octo-repo:environment:Production",
       "description": "Testing",
       "audiences": [
           "api://AzureADTokenExchange"
       ]
   }
   

Skapa hemligheter

Tjänstens huvud

1. Gå till din lagringsplats i GitHub.

2. Gå till Inställningar i navigeringsmenyn.

3. Välj Säkerhetshemligheter > och variabler > Åtgärder.

   

4. Välj Ny lagringsplatshemlighet.

5. Klistra in hela JSON-utdata från Azure CLI-kommandot i hemlighetens värdefält. Ge hemligheten namnet AZURE_CREDENTIALS.

6. Välj Add secret (Lägg till hemlighet).

OpenID Connect

Du måste ange programmets klient-ID, klient-ID och prenumerations-ID för inloggningsåtgärden. Dessa värden kan antingen anges direkt i arbetsflödet eller lagras i GitHub-hemligheter och refereras till i arbetsflödet. Att spara värdena som GitHub-hemligheter är det säkrare alternativet.

1. Gå till din lagringsplats i GitHub.

2. Välj Säkerhetshemligheter > och variabler > Åtgärder.

   

3. Välj Ny lagringsplatshemlighet.

4. Skapa hemligheter för AZURE_CLIENT_ID, AZURE_TENANT_IDoch AZURE_SUBSCRIPTION_ID. Använd dessa värden från ditt Microsoft Entra-program för dina GitHub-hemligheter:

   GitHub-hemlighet	Microsoft Entra-program
   AZURE_CLIENT_ID	App-ID (klient-ID)
   AZURE_TENANT_ID	Katalog-ID (klientorganisation)
   AZURE_SUBSCRIPTION_ID	Prenumerations-ID:t

5. Spara varje hemlighet genom att välja Lägg till hemlighet.

Steg 3: Uppdatera setup.sh för att ansluta till din Azure Mašinsko učenje-arbetsyta

Du måste uppdatera cli-konfigurationsfilvariablerna så att de matchar din arbetsyta.

1. I din förgrenade lagringsplats går du till azureml-examples/cli/.

2. Redigera setup.sh och uppdatera dessa variabler i filen.

   Olika	beskrivning
   GRUPP	Namn på resursgrupp
   PLATS	Plats för din arbetsyta (exempel: eastus2)
   ARBETSYTA	Namnet på Azure Mašinsko učenje-arbetsytan

Steg 4: Uppdatera pipeline.yml med namnet på beräkningsklustret

Du använder en pipeline.yml fil för att distribuera din Azure Mašinsko učenje pipeline. Det här är en maskininlärningspipeline och inte en DevOps-pipeline. Du behöver bara göra den här uppdateringen om du använder ett annat namn än cpu-cluster för datorklusternamnet.

1. I din förgrenade lagringsplats går du till azureml-examples/cli/jobs/pipelines/nyc-taxi/pipeline.yml.
2. Varje gång du ser compute: azureml:cpu-clusteruppdaterar du värdet cpu-cluster för med ditt beräkningsklusternamn. Om klustret till exempel heter my-clusterblir azureml:my-clusterdet nya värdet . Det finns fem uppdateringar.

Steg 5: Kör ditt GitHub Actions-arbetsflöde

Ditt arbetsflöde autentiseras med Azure, konfigurerar Azure Mašinsko učenje CLI och använder CLI för att träna en modell i Azure Mašinsko učenje.

Tjänstens huvud

Arbetsflödesfilen består av ett utlösaravsnitt och jobb:

• En utlösare startar arbetsflödet i avsnittet on . Arbetsflödet körs som standard enligt ett cron-schema och när en pull-begäran görs från matchande grenar och sökvägar. Läs mer om händelser som utlöser arbetsflöden.
• I jobbavsnittet i arbetsflödet checkar du ut kod och loggar in på Azure med din hemlighet för tjänstens huvudnamn.
• Avsnittet Jobb innehåller också en konfigurationsåtgärd som installerar och konfigurerar Mašinsko učenje CLI (v2). När CLI har installerats kör körningsjobbåtgärden din Azure Mašinsko učenje-fil pipeline.yml för att träna en modell med NYC-taxidata.

Aktivera arbetsflödet

1. Öppna och kontrollera att arbetsflödet ser ut så här på den förgrenade lagringsplatsen .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml .

   name: cli-jobs-pipelines-nyc-taxi-pipeline
   on:
     workflow_dispatch:
     schedule:
       - cron: "0 0/4 * * *"
     pull_request:
       branches:
         - main
         - sdk-preview
       paths:
         - cli/jobs/pipelines/nyc-taxi/**
         - .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml
         - cli/run-pipeline-jobs.sh
         - cli/setup.sh
   jobs:
     build:
       runs-on: ubuntu-latest
       steps:
       - name: check out repo
         uses: actions/checkout@v2
       - name: azure login
         uses: azure/login@v1
         with:
           creds: ${{secrets.AZURE_CREDENTIALS}}
       - name: setup
         run: bash setup.sh
         working-directory: cli
         continue-on-error: true
       - name: run job
         run: bash -x ../../../run-job.sh pipeline.yml
         working-directory: cli/jobs/pipelines/nyc-taxi
   

2. Välj Visa körningar.

3. Aktivera arbetsflöden genom att välja Jag förstår mina arbetsflöden, gå vidare och aktivera dem.

4. Välj arbetsflödet cli-jobs-pipelines-nyc-taxi-pipeline och välj Aktivera arbetsflöde.

5. Välj Kör arbetsflöde och välj alternativet för att Köra arbetsflöde nu.

OpenID Connect

Arbetsflödesfilen består av ett utlösaravsnitt och jobb:

• En utlösare startar arbetsflödet i avsnittet on . Arbetsflödet körs som standard enligt ett cron-schema och när en pull-begäran görs från matchande grenar och sökvägar. Läs mer om händelser som utlöser arbetsflöden.
• I jobbavsnittet i arbetsflödet checkar du ut kod och loggar in på Azure med Azure-inloggningsåtgärden med Hjälp av OpenID Connect.
• Avsnittet Jobb innehåller också en konfigurationsåtgärd som installerar och konfigurerar Mašinsko učenje CLI (v2). När CLI har installerats kör körningsjobbåtgärden din Azure Mašinsko učenje-fil pipeline.yml för att träna en modell med NYC-taxidata.

Aktivera arbetsflödet

1. Öppna och kontrollera att arbetsflödet ser ut så här på den förgrenade lagringsplatsen .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml .

   name: cli-jobs-pipelines-nyc-taxi-pipeline
   on:
     workflow_dispatch:
     schedule:
       - cron: "0 0/4 * * *"
     pull_request:
       branches:
         - main
         - sdk-preview
       paths:
         - cli/jobs/pipelines/nyc-taxi/**
         - .github/workflows/cli-jobs-pipelines-nyc-taxi-pipeline.yml
         - cli/run-pipeline-jobs.sh
         - cli/setup.sh
   jobs:
     build:
       runs-on: ubuntu-latest
       steps:
       - name: check out repo
         uses: actions/checkout@v2
       - name: azure login
         uses: azure/login@v1
         with:
             client-id: ${{ secrets.AZURE_CLIENT_ID }}
             tenant-id: ${{ secrets.AZURE_TENANT_ID }}
             subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}
       - name: setup
         run: bash setup.sh
         working-directory: cli
         continue-on-error: true
       - name: run job
         run: bash -x ../../../run-job.sh pipeline.yml
         working-directory: cli/jobs/pipelines/nyc-taxi
   

2. Välj Visa körningar.

3. Aktivera arbetsflöden genom att välja Jag förstår mina arbetsflöden, gå vidare och aktivera dem.

4. Välj arbetsflödet cli-jobs-pipelines-nyc-taxi-pipeline och välj Aktivera arbetsflöde.

   

5. Välj Kör arbetsflöde och välj alternativet för att Köra arbetsflöde nu.

   

Steg 6: Verifiera att arbetsflödet körs

1. Öppna den slutförda arbetsflödeskörningen och kontrollera att byggjobbet har körts. Du ser en grön bock bredvid jobbet.

2. Öppna Azure Mašinsko učenje studio och gå till exemplet nyc-taxi-pipeline-. Kontrollera att varje del av jobbet (förberedelse, transformering, träning, förutsägelse, poäng) har slutförts och att du ser en grön bockmarkering.

   

Rensa resurser

När resursgruppen och lagringsplatsen inte längre behövs rensar du de resurser som du har distribuerat genom att ta bort resursgruppen och GitHub-lagringsplatsen.

Nästa steg

Skapa ML-pipelines för produktion med Python SDK