Azure Machine Learning kayıt defterleriyle ağ yalıtımı

Bu makalede, Azure Sanal Ağ ve özel uç noktaları kullanarak Azure Machine Learning kayıt defterinin güvenliğini sağlamayı öğreneceksiniz.

Azure'da özel uç noktalar, Azure hizmetlerine bir sanal ağ (VNet) içindeki özel IP adresi üzerinden erişilmesini sağlayarak ağ yalıtımı sağlar. Sanal ağ, Azure kaynakları arasındaki bağlantıların güvenliğini sağlar ve hassas verilerin genel İnternet'e açıklanmasını önler.

Özel uç noktalarla ağ yalıtımı kullanmak, ağ trafiğinin genel İnternet üzerinden geçmesini engeller ve Azure Machine Learning kayıt defteri hizmetini Sanal ağınıza getirir. Özel uç noktalar kullanıldığında tüm ağ trafiği Azure Özel Bağlantı üzerinden gerçekleşir.

Önkoşullar

• Azure Machine Learning kayıt defteri. Kayıt defterleri oluşturmak ve yönetmek için kayıt defterlerini oluşturma ve yönetme makalesindeki adımları kullanın.
• Aşağıdaki makaleler hakkında bilgi:
  • Azure Sanal Ağlar
  • IP ağı
  • Özel uç nokta ile Azure Machine Learning çalışma alanı
  • Ağ Güvenlik Grupları (NSG)
  • Ağ güvenlik duvarları

Azure Machine Learning kayıt defterinin güvenliğini sağlama

Not

Kolaylık olması için, bu makale bir çalışma alanını, ilişkili kaynakları ve bunların bir parçası olduğu sanal ağı güvenli çalışma alanı yapılandırması olarak ifade eder. Mevcut yapılandırmanın bir parçası olarak Azure Machine Learning kayıt defterlerinin nasıl ekleneceğini keşfeder.

Aşağıdaki diyagramda temel bir ağ yapılandırması ve Azure Machine Learning kayıt defterinin nasıl uyum gösterdiği gösterilmektedir. Azure Machine Learning çalışma alanını zaten kullanıyorsanız ve tüm kaynakların sanal ağın parçası olduğu güvenli bir çalışma alanı yapılandırmanız varsa, mevcut sanal ağdan Azure Machine Learning kayıt defterine ve ilişkili kaynaklara (depolama ve ACR) özel bir uç nokta oluşturabilirsiniz.

Güvenli bir çalışma alanı yapılandırmanız yoksa Azure portalında güvenli çalışma alanı oluşturma makalesini, Bicep şablonunu veya Terraform şablonunu kullanarak oluşturabilirsiniz.

Sınırlamalar

Ağ yalıtımıyla bir Azure Machine Learning kayıt defteri kullanıyorsanız Azure Machine Learning Stüdyosu'da model varlıklarını görüntüleyebilirsiniz. Diğer varlık türlerini görüntüleyemezsiniz. Studio kullanarak Azure Machine Learning kayıt defterinde veya altındaki varlıklarda herhangi bir işlem gerçekleştiremezsiniz. Bunun yerine Azure Machine Learning CLI veya SDK'sını kullanın.

Senaryo: Çalışma alanı yapılandırması güvenli ve Azure Machine Learning kayıt defteri geneldir.

Bu bölümde, güvenli bir çalışma alanı yapılandırmanız varsa ancak genel kayıt defteri kullanıyorsanız senaryolar ve gerekli ağ yapılandırması açıklanmaktadır.

Yerel dosyalardan kayıt defterinde varlık oluşturma

tr-TR: Kayıt defterinde varlık oluşturmak için kullanılan kimlik (örneğin, bir Veri Bilimci'nin Microsoft Entra kullanıcı kimliği) Azure Rol Tabanlı erişim denetiminde AzureML Kayıt Defteri Kullanıcısı, sahibi veya katılımcı rolü atanmalıdır. Daha fazla bilgi için Azure Machine Learning erişimini yönetme makalesine bakın.

Varlıkları çalışma alanından kayıt defterine paylaşma

Not

Azure Machine Learning çalışma alanından Azure Machine Learning kayıt defterine bileşen paylaşımı şu anda desteklenmiyor.

Veri sızdırma koruması nedeniyle, varlığı içeren depolama hesabında genel erişim devre dışı bırakılmışsa, bir varlığı güvenli çalışma alanından genel kayıt defterine paylaşmak mümkün değildir. Çalışma alanından kayıt defterine varlık paylaşımını etkinleştirmek için:

• Çalışma alanına bağlı depolama hesabının Ağ bölümüne gidin (varlıkların kayıt defterine paylaşımına izin vermek istediğiniz yerden)
• Seçili sanal ağlardan ve IP adreslerinden Genel ağ erişiminiEtkin olarak ayarlayın
• Aşağı kaydırın ve Kaynak örnekleri bölümüne gidin. Kaynak türünü Microsoft.MachineLearningServices/registries olarak seçin ve çalışma alanından paylaşımı etkinleştirmek istediğiniz Örnek adını Azure Machine Learning kayıt defteri kaynağının adı olarak ayarlayın.
• Ağ yapılandırmanıza göre ayarların geri kalanını denetlediğinden emin olun.

Çalışma alanında kayıt defterindeki varlıkları kullanma

Örnek işlemler:

• Kayıt defterindeki bir varlığı kullanan bir iş gönderin.
• İşlem hattında kayıt dizininden bir bileşen kullanın.
• Bir bileşende kayıt defterinden bir ortam kullanın.

Varlıkların kayıt defterinden güvenli bir çalışma alanına kullanılması, kayıt defterine giden erişimin yapılandırılmasını gerektirir.

Kayıttan çalışma alanına modeli dağıt

Modeli kayıt defterinden güvenli bir yönetilen çevrimiçi uç noktaya dağıtmak için dağıtımın ayarlanmış olması egress_public_network_access=disabled gerekir. Azure Machine Learning, uç nokta dağıtımı sırasında kayıt defterinde gerekli özel uç noktaları oluşturur. Daha fazla bilgi için bkz . Güvenli yönetilen çevrimiçi uç noktalar oluşturma.

İpucu

Yönetilen çevrimiçi uç noktalardan giden iletişimin güvenliğini sağlamak için önerilen yaklaşım , çalışma alanı tarafından yönetilen sanal ağ yalıtımıdır. egress_public_network_access=disabled Burada açıklanan bayrak eski bir ağ yalıtım yöntemidir.

Azure Machine Learning kayıt defterlerinden herhangi birine erişmek için ağ çıkış yapılandırması

Hizmet etiketi	Protokol ve bağlantı noktaları	Amaç
AzureMachineLearning	TCP: 443, 8787, 18881 UDP: 5831	Azure Machine Learning hizmetlerini kullanma.
Storage.<region>	TCP: 443	İşlem kümeleri ve işlem örnekleri için Azure Depolama Hesabında depolanan verilere erişin. Bu giden trafik, verileri sızdırmak için kullanılabilir. Daha fazla bilgi için bkz. Veri sızdırma koruması.
MicrosoftContainerRegistry.<region>	TCP: 443	Microsoft tarafından sağlanan Docker görüntülerine erişin.
AzureContainerRegistry.<region>	TCP: 443	Ortamlar için Docker görüntülerine erişin.

Not

Bu kurallar, Azure Machine Learning çalışma alanları için gerekli giden kurallarına ek olarak geçerlidir.

Senaryo: Çalışma alanı yapılandırması güvenlidir ve Azure Machine Learning kayıt defteri özel uç noktaları kullanarak sanal ağlara bağlanır

Bu bölümde, özel uç nokta kullanılarak sanal ağa bağlanan Azure Machine Learning kayıt defterleriyle güvenli bir çalışma alanı yapılandırmanız varsa senaryolar ve gerekli ağ yapılandırması açıklanmaktadır.

Azure Machine Learning kayıt defteri ilişkili depolama/ACR hizmet örneklerini kullanır. Bu hizmet örnekleri, yapılandırmanın güvenliğini sağlamak için özel uç noktalar kullanılarak sanal ağa da bağlanabilir. Daha fazla bilgi için Özel uç nokta oluşturma bölümüne bakın.

Kayıt defteriniz tarafından kullanılan Azure Depolama Hesabını ve Azure Container Registry'yi bulma

Azure Machine Learning kayıt defteriniz tarafından kullanılan depolama hesabı ve ACR, Azure aboneliğinizdeki yönetilen bir kaynak grubu altında oluşturulur. Yönetilen kaynak grubunun adı azureml-rg-<name-of-your-registry>_<GUID> desenini izler. GUID, rastgele oluşturulan bir dizedir. Örneğin, kayıt defterinizin adı "contosoreg" ise, yönetilen kaynak grubunun adı olacaktır azureml-rg-contosoreg_<GUID>.

Azure portalında, araması yaparak azureml_rg-<name-of-your-registry>bu kaynak grubunu bulabilirsiniz. Kayıt defterinizin tüm depolama ve ACR kaynakları bu kaynak grubu altında kullanılabilir.

Yerel dosyalardan kayıt defterinde varlık oluşturma

Not

Bir ortam varlığı oluşturma, ilişkili ACR'nin genel erişimi kapalı olan özel bir kayıt defterinde desteklenmemektedir. Geçici bir çözüm olarak, Azure Machine Learning çalışma alanında bir ortam oluşturabilir ve bunu Azure Machine Learning kayıt defteriyle paylaşabilirsiniz.

İstemcilerin, kayıt defterinin özel bir uç noktayla bağlandığı sanal ağa bağlanması gerekir.

Kayıt defterinize güvenli bir şekilde bağlanma

Sanal ağın arkasında güvenliği sağlanan bir kayıt defterine bağlanmak için aşağıdaki yöntemlerden birini kullanın:

• Azure VPN ağ geçidi - Şirket içi ağları özel bir bağlantı üzerinden sanal ağa bağlar. Bağlantı genel İnternet üzerinden yapılır. Kullanabileceğiniz iki tür VPN ağ geçidi vardır:

  • Noktadan siteye: Her istemci bilgisayar sanal ağa bağlanmak için bir VPN istemcisi kullanır.

  • Siteden siteye: Bir VPN cihazı VNet'i yerindeki ağınıza bağlar.

• ExpressRoute - Şirket içi ağları özel bir bağlantı üzerinden buluta bağlar. Bağlantı, bir bağlantı sağlayıcısı kullanılarak yapılır.

• Azure Bastion - Bu senaryoda sanal ağ içinde bir Azure Sanal Makinesi (bazen atlama kutusu olarak adlandırılır) oluşturursunuz. Ardından Azure Bastion kullanarak VM'ye bağlanırsınız. Bastion, yerel web tarayıcınızdan RDP veya SSH oturumu kullanarak VM'ye bağlanmanızı sağlar. Ardından atlama kutusunu geliştirme ortamınız olarak kullanırsınız. Sanal ağın içinde olduğundan kayıt defterine doğrudan erişebilir.

Varlıkları çalışma alanından kayıt defterine paylaşma

Not

Azure Machine Learning çalışma alanından Azure Machine Learning kayıt defterine bileşen paylaşımı şu anda desteklenmiyor.

Veri sızdırma koruması nedeniyle, varlığı içeren depolama hesabında genel erişim devre dışı bırakılmışsa, bir varlığı güvenli çalışma alanından özel bir kayıt defterine paylaşmak mümkün değildir. Çalışma alanından kayıt defterine varlık paylaşımını etkinleştirmek için:

• Çalışma alanına bağlı depolama hesabının Ağ bölümüne gidin (varlıkların kayıt defterine paylaşımına izin vermek istediğiniz yerden)
• Seçili sanal ağlardan ve IP adreslerinden Genel ağ erişiminiEtkin olarak ayarlayın
• Aşağı kaydırın ve Kaynak örnekleri bölümüne gidin. Kaynak türünü Microsoft.MachineLearningServices/registries olarak seçin ve çalışma alanından paylaşımı etkinleştirmek istediğiniz Örnek adını Azure Machine Learning kayıt defteri kaynağının adı olarak ayarlayın.
• Ağ yapılandırmanıza göre ayarların geri kalanını denetlediğinden emin olun.

Çalışma alanında kayıt defterindeki varlıkları kullanma

Örnek işlemler:

• Kayıt defterindeki bir varlığı kullanan bir iş gönderin.
• İşlem hattında kayıt dizininden bir bileşen kullanın.
• Bir bileşende kayıt defterinden bir ortam kullanın.

Azure Machine Learning çalışma alanının özel uç noktasıyla aynı alt ağda kayıt defteri, depolama ve ACR için özel bir uç nokta oluşturun. Birden çok kayıt defterine bağlanmaya çalışıyorsanız, her kayıt defteri ve ilişkili depolama ve ACL'ler için özel uç nokta oluşturun. Daha fazla bilgi için Özel uç nokta oluşturma bölümüne bakın.

Kayıttan çalışma alanına modeli dağıt

Modeli kayıt defterinden güvenli bir yönetilen çevrimiçi uç noktaya dağıtmak için dağıtımın ayarlanmış olması egress_public_network_access=disabled gerekir. Azure Machine Learning, uç nokta dağıtımı sırasında kayıt defterinde gerekli özel uç noktaları oluşturur. Daha fazla bilgi için bkz . Güvenli yönetilen çevrimiçi uç noktalar oluşturma.

İpucu

Yönetilen çevrimiçi uç noktalardan giden iletişimin güvenliğini sağlamak için önerilen yaklaşım , çalışma alanı tarafından yönetilen sanal ağ yalıtımıdır. egress_public_network_access=disabled Burada açıklanan bayrak eski bir ağ yalıtım yöntemidir.

Özel uç nokta oluşturma

Var olan bir kayıt defterine özel uç nokta ekleme veya özel uç noktası olan yeni bir kayıt defteri oluşturma yönergelerini görüntülemek için sekmeleri kullanın:

Mevcut kayıt defteri

1. Azure portalında Özel uç nokta için arama yapın ve Özel bağlantı merkezine gitmek için Özel uç noktalar girişini seçin.

2. Özel bağlantı merkezi genel bakış sayfasında + Oluştur'u seçin.

3. İstenen bilgileri sağlayın. Bölge alanı için Azure Sanal Ağ ile aynı bölgeyi seçin. İleri'yi seçin.

4. Kaynak sekmesinde, Kaynak türü'nü seçerken, Microsoft.MachineLearningServices/registries öğesini seçin. Kaynak alanını Azure Machine Learning kayıt defteri adınız olarak ayarlayın ve İleri'yi seçin.

5. Sanal ağ sekmesinden Azure Machine Learning kaynaklarınız için sanal ağı ve alt ağı seçin. Devam etmek için İleri'yi seçin.

6. ÖZEL DNS tümleştirme gereksinimleriniz yoksa DNS sekmesinde varsayılan değerleri bırakın. Devam etmek için İleri'yi seçin.

7. Gözden Geçir + Oluştur sekmesinde Oluştur'u seçerek özel uç noktayı oluşturun.

8. Genel ağ erişimini devre dışı olarak ayarlamak istiyorsanız aşağıdaki komutu kullanın. Depolamanın ve ACR'nin genel ağ erişiminin de devre dışı bırakıldığını onaylayın.

   az ml registry update --public-network-access Disabled --name <name-of-registry>
   

Yeni kayıt defteri

1. Azure portalında yeni bir kayıt defteri oluştururken, Ağ sekmesinde Genel erişimi devre dışı bırak ve özel uç noktaları kullan'ı seçin.
2. Özel uç nokta'nın altında Ekle'yi seçin ve gerekli bilgileri sağlayın.
3. Azure Machine Learning kaynaklarınız için Sanal Ağ ve Alt Ağı seçin.
4. Diğer seçenekleri belirleyin ve ardından Tamam'ı seçin.
5. Kayıt defteri oluşturma işlemini tamamlayın. Oluşturma işlemi tamamlandıktan sonra, yeni kayıt defteri sanal ağ ile iletişim kurmak için özel bir uç nokta kullanacak şekilde yapılandırılır.

Kayıt defteriniz tarafından kullanılan Azure Depolama Hesabını ve Azure Container Registry'yi bulma

Azure Machine Learning kayıt defteriniz tarafından kullanılan depolama hesabı ve ACR, Azure aboneliğinizdeki yönetilen bir kaynak grubu altında oluşturulur. Yönetilen kaynak grubunun adı azureml-rg-<name-of-your-registry>_<GUID> desenini izler. GUID, rastgele oluşturulan bir dizedir. Örneğin, kayıt defterinizin adı "contosoreg" ise, yönetilen kaynak grubunun adı olacaktır azureml-rg-contosoreg_<GUID>.

Azure portalında, araması yaparak azureml_rg-<name-of-your-registry>bu kaynak grubunu bulabilirsiniz. Kayıt defterinizin tüm depolama ve ACR kaynakları bu kaynak grubu altında kullanılabilir.

Azure Depolama Hesabı için özel uç nokta oluşturma

Kayıt defteriniz tarafından kullanılan depolama hesabı için özel bir uç nokta oluşturmak için aşağıdaki adımları kullanın:

1. Azure portalında Özel uç nokta için arama yapın ve Özel bağlantı merkezine gitmek için Özel uç noktalar girişini seçin.
2. Özel bağlantı merkezi genel bakış sayfasında + Oluştur'u seçin.
3. İstenen bilgileri sağlayın. Bölge alanı için Azure Sanal Ağ ile aynı bölgeyi seçin. İleri'yi seçin.
4. Kaynak sekmesinde, Kaynak türü'nü seçerken, Microsoft.Storage/storageAccounts öğesini seçin. Kaynak alanını depolama hesabı adı olarak ayarlayın. Alt kaynağı Blob olarak ayarlayın ve İleri'yi seçin.
5. Sanal ağ sekmesinden Azure Machine Learning kaynaklarınız için sanal ağı ve alt ağı seçin. Devam etmek için İleri'yi seçin.
6. ÖZEL DNS tümleştirme gereksinimleriniz yoksa DNS sekmesinde varsayılan değerleri bırakın. Devam etmek için İleri'yi seçin.
7. Gözden Geçir + Oluştur sekmesinde Oluştur'u seçerek özel uç noktayı oluşturun.

Veri sızdırma koruması

Azure Machine Learning kayıt defteri oluşturan bir kullanıcı için kayıt defteri, yönetilen depolama hesabı ve yönetilen ACR için özel bir uç nokta kullanmanızı öneririz.

Depolama hesabı için /services/Azure/MachineLearning takma adını kullanarak bir Hizmet Uç Noktası İlkesi oluşturmanızı sistem kayıt defteri için öneririz. Daha fazla bilgi için bkz . Veri sızdırma önlemeyi yapılandırma.

Kayıt sisteminin tam nitelikli etki alanı adını nasıl bulabilirsiniz?

Not

Azure DNS tarafından özyinelemeli olarak çözümlenen genel bir kaynağa özgü FQDN olmadığından, DNS'nizin bu biçimdeki özel kayıt defteri FQDN'sini çözümleyebildiğinden emin olun.

Aşağıdaki örneklerde, kayıt defterinizin tam etki alanı adını (FQDN) almak için bulma URL'sinin nasıl kullanılacağı gösterilmektedir. Bulma URL'sini çağırırken, istek üst bilgisinde bir Azure erişim belirteci sağlamanız gerekir. Aşağıdaki örneklerde erişim belirteci alma ve bulma URL'sini çağırma gösterilmektedir:

İpucu

Bulma URL'sinin biçimi, https://<region>.api.azureml.ms/registrymanagement/v1.0/registries/<registry_name>/discoveryburada <region> kayıt defterinizin bulunduğu bölgedir ve <registry_name> kayıt defterinizin adıdır. URL'yi çağırmak için bir GET isteği oluşturun:

   GET https://<region>.api.azureml.ms/registrymanagement/v1.0/registries/<registry_name>/discovery 

• Azure PowerShell

$region = "<region>"
$registryName = "<registry_name>"
$accessToken = (az account get-access-token | ConvertFrom-Json).accessToken 
(Invoke-RestMethod -Method Get `
                   -Uri "https://$region.api.azureml.ms/registrymanagement/v1.0/registries/$registryName/discovery" `
                   -Headers @{ Authorization="Bearer $accessToken" }).registryFqdns

• REST API

Not

Azure REST API'lerini kullanma hakkında daha fazla bilgi için bkz . Azure REST API başvurusu.

1. Azure erişim belirtecini alın. Belirteç almak için aşağıdaki Azure CLI komutunu kullanabilirsiniz:

   az account get-access-token --query accessToken
   

2. Bulma URL'sine get isteğinde bulunmak için Curl gibi bir REST istemcisi kullanın. Yetkilendirme için önceki adımda alınan erişim belirtecini kullanın. Aşağıdaki örnekte, <region> yerine kayıt defterinizin bulunduğu bölge adını ve <registry_name> yerine kayıt defterinizin adını kullanın. değerini önceki adımda alınan erişim belirteci ile değiştirin <token> :

   curl -X GET "https://<region>.api.azureml.ms/registrymanagement/v1.0/registries/<registry_name>/discovery" -H "Authorization: Bearer <token>" -H "Content-Type: application/json"
   

Sonraki adım

Kayıt defterleriyle çalışma alanlarında modelleri, bileşenleri ve ortamları paylaşmayı öğrenin.