Configuración de una red administrada para centros de Microsoft Foundry (clásico)

• Una suscripción Azure. Si no tiene una suscripción Azure, cree una cuenta gratuita antes de comenzar.

• Registre el proveedor de recursos Microsoft.Network para la suscripción de Azure. El centro usa este proveedor para crear puntos de conexión privados para la red virtual administrada.

  Para obtener información sobre cómo registrar proveedores de recursos, consulte Resolución de errores para el registro del proveedor de recursos.

• Use una identidad de Azure con las siguientes acciones Azure control de acceso basado en rol (Azure RBAC) para crear puntos de conexión privados para la red virtual administrada:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Propina

  El rol integrado Azure AI Enterprise Network Connection Approver incluye los siguientes permisos. Asigne este rol a la identidad administrada del centro para aprobar conexiones de punto de conexión privado.

• Una suscripción Azure. Si no tiene una suscripción Azure, cree una cuenta gratuita antes de comenzar.

• El proveedor de recursos Microsoft.Network debe estar registrado en su suscripción de Azure. El centro usa este proveedor de recursos al crear puntos de conexión privados para la red virtual administrada.

  Para obtener información sobre cómo registrar proveedores de recursos, consulte Resolución de errores para el registro del proveedor de recursos.

• Use una identidad de Azure con las siguientes acciones Azure control de acceso basado en rol (Azure RBAC) para crear puntos de conexión privados para la red virtual administrada:

  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/write

  Propina

  El rol integrado Azure AI Enterprise Network Connection Approver incluye los siguientes permisos. Asigne este rol a la identidad administrada del hub para aprobar conexiones de endpoint privado.

• Instale la extensión CLI de Azure y la extensión ml para el CLI de Azure. Para obtener más información, consulte Instalación, configuración y uso de la CLI (v2).

• Un shell compatible con Bash para ejecutar los ejemplos de la CLI de este artículo. Por ejemplo, use un sistema Linux o Subsistema de Windows para Linux.

• Los ejemplos de CLI de Azure de este artículo usan ws para el nombre del centro y rg para el nombre del grupo de recursos. Cambie estos valores según sea necesario cuando ejecute los comandos en la suscripción de Azure.

• Una suscripción Azure. Si no tiene una suscripción Azure, cree una cuenta gratuita antes de comenzar. Pruebe la versión gratuita o de pago.

• El proveedor de recursos Microsoft.Network debe estar registrado en su suscripción de Azure. El centro usa este proveedor de recursos al crear puntos de conexión privados para la red virtual administrada.

  Para obtener información sobre cómo registrar proveedores de recursos, consulte Resolución de errores para el registro del proveedor de recursos.

• La identidad de Azure que tú utilizas para desplegar una red administrada requiere las siguientes acciones de control de acceso basado en roles de Azure (Azure RBAC) para crear puntos de conexión privados:

  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/write

  Propina

  El rol integrado Azure AI Enterprise Network Connection Approver incluye los siguientes permisos. Asigne este rol a la identidad administrada del centro para aprobar conexiones de punto de conexión privado.

• Sdk de Azure Machine Learning Python v2. Para obtener más información sobre el SDK, consulte Install the Python SDK v2 for Azure Machine Learning.

• En los ejemplos de este artículo se supone que el código empieza con el siguiente código Python. Importa las clases necesarias para crear un centro con una red virtual administrada, establece variables para la suscripción y el grupo de recursos de Azure y crea el ml_client. En el ejemplo siguiente, reemplace el texto <SUBSCRIPTION_ID> del marcador de posición y <RESOURCE_GROUP> por sus propios valores:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

• Cree un nuevo centro:

  1. Inicie sesión en el portal Azure y seleccione Foundry en el menú Crear un recurso.

  2. Seleccione + New Azure AI.

  3. Escriba la información necesaria en la pestaña Aspectos básicos .

  4. En la pestaña Redes , seleccione Privado con Salida a Internet.

  5. Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes . En la barra lateral Reglas de salida , escriba la siguiente información:

     • Nombre de la regla: Un nombre para la regla. El nombre debe ser único para este centro.
     • Tipo de destino: el punto de conexión privado es la única opción cuando el aislamiento de red es Privado con salida a Internet. Una red virtual administrada por concentrador no admite la creación de puntos de conexión privados para todos los tipos de recursos Azure. Para obtener una lista de los recursos admitidos, consulte la sección Puntos de conexión privados .
     • Subscription: la suscripción que contiene el recurso Azure para el que desea agregar un punto de conexión privado.
     • Resource group: el grupo de recursos que contiene el recurso Azure para el que desea agregar un punto de conexión privado.
     • tipo de recurso: tipo del recurso de Azure.
     • Nombre de origen: nombre del recurso de Azure.
     • Sub Resource: subrecurso del tipo de recurso Azure.

     Seleccione Guardar. Para agregar más reglas, seleccione Agregar reglas de salida definidas por el usuario.

  6. Continúe creando el centro.

• Actualice un centro existente:

  1. Inicie sesión en el portal Azure y seleccione el centro para habilitar el aislamiento de red virtual administrada.

  2. Seleccione Networking>Redes privadas con Internet Saliente).

     • Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes . En la barra lateral Reglas de salida , proporcione la misma información que usó al crear un centro en la sección "Crear un nuevo centro".

     • Para eliminar una regla de salida, seleccione Eliminar para la regla.

  3. Seleccione Guardar en la parte superior de la página para aplicar los cambios a la red virtual administrada.

Para configurar una red virtual administrada que permita la salida de Internet, use el --managed-network allow_internet_outbound parámetro o un archivo de configuración de YAML con las siguientes entradas:

managed_network:
  isolation_mode: allow_internet_outbound

Defina reglas de salida a otros servicios de Azure en los que se basa el centro. Estas reglas definen puntos de conexión private que permiten que un recurso de Azure se comunique de forma segura con la red virtual administrada. En la siguiente regla se muestra cómo agregar un punto de conexión privado a una cuenta de Azure Blob Storage. En el ejemplo siguiente, reemplace el texto <SUBSCRIPTION_ID>del marcador de posición , <RESOURCE_GROUP>y <STORAGE_ACCOUNT_NAME> por sus propios valores.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Configure una red virtual administrada mediante los az ml workspace create comandos o az ml workspace update :

• Cree un nuevo centro:

  En el ejemplo siguiente se crea un nuevo centro. El --managed-network allow_internet_outbound parámetro configura una red virtual administrada para el centro:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para crear un centro mediante un archivo YAML, use el --file parámetro y especifique el archivo YAML que contiene los valores de configuración:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  En el ejemplo de YAML siguiente se define un centro con una red virtual administrada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Actualice un centro existente:

  Advertencia

  Antes de actualizar un área de trabajo existente para usar una red virtual administrada, debe eliminar todos los recursos informáticos del área de trabajo. Esto incluye instancias de proceso, clúster de proceso y puntos de conexión en línea administrados.

  En el ejemplo siguiente se actualiza un centro existente. El --managed-network allow_internet_outbound parámetro configura una red virtual administrada para el centro:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para actualizar un centro existente mediante un archivo YAML, use el parámetro --file y especifique el archivo YAML que contiene los valores de configuración:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  En el ejemplo de YAML siguiente se define una red virtual administrada para el centro. También se muestra cómo agregar una conexión de endpoint privado a un recurso que utiliza el hub. En este ejemplo, agrega un punto de conexión privado para una cuenta de Azure Blob Storage. En el ejemplo siguiente, reemplace el texto <SUBSCRIPTION_ID>del marcador de posición , <RESOURCE_GROUP>y <STORAGE_ACCOUNT_NAME> por sus propios valores:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referencias

• az ml workspace create
• az ml workspace update

Para configurar una red virtual administrada que permita la salida de Internet, use la ManagedNetwork clase con IsolationMode.ALLOW_INTERNET_OUTBOUND. A continuación, use el ManagedNetwork objeto para crear un nuevo centro o actualizar uno existente. Para definir reglas de salida para Azure servicios en los que se basa el centro, use la clase PrivateEndpointDestination para definir un nuevo punto de conexión privado al servicio.

• Cree un nuevo centro:

  En el ejemplo siguiente se crea un nuevo centro denominado myhub, con una regla de salida denominada myrule que agrega un punto de conexión privado para una cuenta de Azure Blob Storage. En el ejemplo siguiente, reemplace el texto <SUBSCRIPTION_ID>del marcador de posición , <RESOURCE_GROUP>y <STORAGE_ACCOUNT_NAME> por sus propios valores:

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint to Azure Blob Storage
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • Concentrador
  • PrivateEndpointDestination

• Actualice un centro existente:

  En el ejemplo siguiente se muestra cómo crear una red virtual administrada para un centro existente denominado myhub:

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get(name="myhub")
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • MLClient

• Cree un nuevo centro:

  1. Inicie sesión en el portal Azure y elija Foundry en el menú Crear un recurso.

  2. Seleccione + New Azure AI.

  3. Proporcione la información necesaria en la pestaña Aspectos básicos .

  4. En la pestaña Redes , seleccione Privado con salida aprobada.

  5. Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes . En la barra lateral Reglas de salida , proporcione la siguiente información:

     • Nombre de la regla: Un nombre para la regla. El nombre debe ser único para este centro.
     • Tipo de destino: punto de conexión privado, etiqueta de servicio o FQDN. La etiqueta de servicio y el FQDN solo están disponibles cuando el aislamiento de red es privado con salida aprobada.

     Si el tipo de destino es Punto de conexión privado, escriba la siguiente información:

     • Subscription: la suscripción que contiene el recurso Azure para el que desea agregar un punto de conexión privado.
     • Resource group: el grupo de recursos que contiene el recurso Azure para el que desea agregar un punto de conexión privado.
     • tipo de recurso: tipo del recurso de Azure.
     • Nombre de origen: nombre del recurso de Azure.
  • Sub Resource: subrecurso del tipo de recurso Azure.

  Propina

  La red virtual administrada del centro no admite puntos de conexión privados para todos los tipos de recursos de Azure. Para obtener una lista de los recursos admitidos, consulte la sección Puntos de conexión privados .

  Si el tipo de destino es Etiqueta de servicio, escriba la siguiente información:

  • Etiqueta de servicio: etiqueta de servicio que se va a agregar a las reglas de salida aprobadas.
  • Protocolo: El protocolo que se permite para la etiqueta de servicio.
  • Rangos de puertos: Los rangos de puertos permitidos para la etiqueta de servicio.

  Si el tipo de destino es FQDN, escriba la siguiente información:

  • Destino FQDN: El nombre de dominio completamente calificado que se va a agregar a las reglas de salida aprobadas.

    Seleccione Guardar para guardar la regla. Para agregar más reglas, seleccione Agregar reglas de salida definidas por el usuario de nuevo.

  1. Siga creando el centro como lo hace habitualmente.

• Actualice un centro existente:

  1. Inicie sesión en el portal Azure y seleccione el centro para el que desea habilitar el aislamiento de red virtual administrado.

  2. Seleccione Conexión de red>Privada con salida aprobada.

     • Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes . En la barra lateral Reglas de salida , escriba la misma información que al crear un centro en la sección anterior "Crear un nuevo centro".

     • Para eliminar una regla de salida, seleccione Eliminar para la regla.

  3. Seleccione Guardar en la parte superior de la página para guardar los cambios en la red virtual administrada.

Para configurar una red virtual administrada que solo permita la comunicación saliente aprobada, use el --managed-network allow_only_approved_outbound parámetro o un archivo de configuración de YAML que contenga las siguientes entradas:

managed_network:
  isolation_mode: allow_only_approved_outbound

También puede definir reglas de salida para la comunicación saliente aprobada. Cree una regla de salida de tipo service_tag, fqdno private_endpoint. En el ejemplo siguiente se agrega un punto de conexión privado a un recurso de blob de Azure, una etiqueta de servicio para Azure Data Factory y un FQDN para pypi.org. En el ejemplo siguiente, reemplace los marcadores de posición <SUBSCRIPTION_ID>, <RESOURCE_GROUP> y <STORAGE_ACCOUNT_NAME> con sus valores.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Puede configurar una red virtual administrada mediante los az ml workspace create comandos o az ml workspace update :

• Cree un nuevo centro:

  En el ejemplo siguiente se usa el --managed-network allow_only_approved_outbound parámetro para configurar la red virtual administrada:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  El siguiente archivo YAML define un centro con una red virtual administrada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Para crear un centro mediante el archivo YAML, use el --file parámetro :

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Actualización de un centro existente

  Advertencia

  Antes de actualizar un área de trabajo existente para usar una red virtual administrada, debe eliminar todos los recursos informáticos del área de trabajo. Esto incluye instancias de proceso, clúster de proceso y puntos de conexión en línea administrados.

  En el ejemplo siguiente se usa el --managed-network allow_only_approved_outbound parámetro para configurar la red virtual administrada para un centro existente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  El siguiente archivo YAML define una red virtual administrada para el centro y muestra cómo agregar reglas de salida aprobadas. En este ejemplo, se agregan reglas de salida para una etiqueta de servicio, un FQDN y un punto de conexión privado:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referencias

• az ml workspace create
• az ml workspace update

Para configurar una red virtual administrada que permita solo la comunicación saliente aprobada, use la ManagedNetwork clase para definir una red con IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND. Use el ManagedNetwork objeto para crear un nuevo centro o actualizar uno existente. Para definir reglas de salida, use las siguientes clases:

• Cree un nuevo centro:

  En el ejemplo siguiente se crea un nuevo centro denominado myhub, con varias reglas de salida:

  • myrule - Agrega un terminal privado para un almacén de blobs de Azure.
  • datafactory: agrega una regla de etiqueta de servicio para comunicarse con Azure Data Factory.

  Importante

  • Agregue una regla de salida para una etiqueta de servicio o un FQDN solo cuando configure la red virtual administrada en IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Si agrega reglas de salida, Microsoft no puede garantizar la protección contra la filtración de datos.

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination

• Actualice un centro existente:

  En el ejemplo siguiente se muestra cómo configurar una red virtual administrada para un centro existente denominado myhub. También agrega varias reglas de salida:

  • myrule: agrega un punto de conexión privado para un almacenamiento de blobs en Azure.
  • datafactory: agrega una regla de etiqueta de servicio para comunicarse con Azure Data Factory.

  Propina

  Puede agregar una regla de salida para una etiqueta de servicio o FQDN solo cuando configure la red virtual administrada para que use IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination
  • MLClient

Durante la creación del área de trabajo, seleccione Aprovisionar red administrada de forma proactiva al crear para configurar la red administrada. La facturación se inicia para los recursos de red, como los puntos de conexión privados, una vez configurada la red virtual. Esta opción solo está disponible durante la creación del área de trabajo.

En el ejemplo siguiente se muestra cómo aprovisionar una red virtual administrada durante la creación del centro de conectividad.

az ml workspace create -n my_ai_hub_name -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now true

En el ejemplo siguiente se muestra cómo aprovisionar una red virtual administrada.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Para comprobar que el aprovisionamiento está completo, ejecute el siguiente comando:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Referencias

• az ml workspace create
• az ml workspace provision-network
• az ml workspace show

Use el SDK para aprovisionar una red virtual administrada y, a continuación, compruebe su estado.

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

subscription_id = "00000000-0000-0000-0000-000000000000"
resource_group = "my_resource_group"
workspace_name = "my_ai_hub_name"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=workspace_name)

# Start provisioning the managed network for the workspace.
provision_result = ml_client.workspaces.begin_provision_network(workspace_name=workspace_name).result()

# Check the managed network status.
ws = ml_client.workspaces.get(name=workspace_name)
print(ws.managed_network.status)

Referencias

• MLClient
• begin_provision_network

1. Inicie sesión en el portal Azure y seleccione el centro para el que desea habilitar el aislamiento de red virtual administrado.
2. Seleccione Redes. La sección Acceso saliente de Foundry le permite gestionar las reglas salientes.

• Para agregar una regla de salida, seleccione Add reglas de salida definidas por el usuario en la pestaña Networking. En la barra lateral Azure ai outbound rules, escriba los valores necesarios.

• Para habilitar o deshabilitar una regla, use el botón de alternancia en la columna Activo .

• Para eliminar una regla de salida, seleccione Eliminar para la regla.

En los siguientes comandos, reemplace el texto de marcador de posición <workspace-name>, <resource-group> y <rule-name> con sus valores. Para enumerar las reglas de salida de red virtual administradas para un centro, ejecute:

az ml workspace outbound-rule list --workspace-name <workspace-name> --resource-group <resource-group>

Para ver los detalles de una regla de salida de red virtual administrada, ejecute:

az ml workspace outbound-rule show --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Para quitar una regla de salida de la red virtual administrada, ejecute:

az ml workspace outbound-rule remove --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Referencias

• az ml workspace outbound-rule list - Lista de reglas de salida del espacio de trabajo de Azure Machine Learning
• az ml workspace outbound-rule show
• az ml workspace outbound-rule remove

En el ejemplo siguiente se muestra cómo administrar reglas de salida para un centro denominado myhub. En el ejemplo, reemplace el texto <some-rule-name> del marcador de posición por el nombre de la regla:

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

# Connect to the hub
ws_name = "myhub"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=ws_name)

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Referencias

• MLClient

Después de seleccionar el modo permitir solo salidas aprobadas, aparece la opción para seleccionar la versión de Azure Firewall (SKU). Seleccione Estándar o Básico. Seleccione Guardar.

Para establecer la versión del firewall mediante CLI de Azure, use un archivo YAML y especifique firewall_sku. En el ejemplo siguiente se establece la SKU del firewall en basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Para establecer la versión del firewall mediante el SDK de Python, establezca la propiedad firewall_sku del objeto ManagedNetwork. En el ejemplo siguiente se establece la SKU del firewall en basic:

from azure.ai.ml.entities import ManagedNetwork, IsolationMode

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND,
                         firewall_sku='basic')

Referencias

• ManagedNetwork
• IsolationMode