Disabilitare l'accesso con chiave condivisa per l'account di archiviazione dell'hub (anteprima) (versione classica)

Non applicabile.

1. Installare l'SDK v2.

   Importante

   Questo articolo richiede il pacchetto azure-ai-ml Python versione 1.31.0 o successiva. Per controllare la versione del pacchetto installata, usare il comando pip list dall'ambiente di sviluppo Python.

2. Installare azure-identity: pip install azure-identity. Se lavori in una cella del notebook, usa %pip install azure-identity.

3. Assicurati di avere i seguenti ruoli RBAC nell'account di archiviazione per gli utenti che necessitano di accesso:

   • Collaboratore ai dati dei BLOB di archiviazione e Collaboratore ai dati dei file di archiviazione con privilegi per l'accesso in lettura/scrittura
   • Lettore dei dati nel blob di archiviazione e Lettore privilegiato dei file di archiviazione per l'accesso in sola lettura

4. Specificare i dettagli della sottoscrizione:

   # Enter details of your subscription
   subscription_id = "<SUBSCRIPTION_ID>"
   resource_group = "<RESOURCE_GROUP>"

5. Ottieni un riferimento alla sottoscrizione. Tutto il codice Python in questo articolo usa ml_client.

   # get a handle to the subscription
   
   from azure.ai.ml import MLClient
   from azure.identity import DefaultAzureCredential
   
   ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)

   • (Facoltativo) Se disponi di più account, inserisci l'ID tenant di Microsoft Entra ID che desideri utilizzare in DefaultAzureCredential. Trovare l'ID del tenant nel portale Azure sotto Microsoft Entra ID>Identità Esterne.

     DefaultAzureCredential(interactive_browser_tenant_id="<TENANT_ID>")
     

   • (Facoltativo) Se si lavora nel Azure per enti pubblici - US o Azure gestito da 21Vianet, è necessario specificare il cloud in cui si vuole eseguire l'autenticazione. È possibile specificare queste aree in DefaultAzureCredential.

     from azure.identity import AzureAuthorityHosts
     DefaultAzureCredential(authority=AzureAuthorityHosts.AZURE_GOVERNMENT))
     

Per usare i comandi dell'interfaccia della riga di comando in questo articolo, sono necessari interfaccia della riga di comando di Azure e l'estensione Azure Machine Learning.

Se si usa Azure Cloud Shell, si accede all'interfaccia della riga di comando tramite il browser. Vive nel cloud.

{
    "azure-cli": "2.61.0",
    "azure-cli-core": "2.61.0",
    "azure-cli-telemetry": "1.1.0",
    "extensions": {
        "ml": "2.27.0"
    }
}

• Istanza di Azure Key Vault esistente.
• ID di Azure Resource Manager sia per l'account di archiviazione che per la key vault da utilizzare con l'hub.

1. Nel portale di Azure cercare Foundry. Nel menu a sinistra selezionare Hub di intelligenza artificiale e selezionare + Crea>hub.

   

2. Nella scheda Informazioni di base immettere i dettagli dell'hub e selezionare la scheda Archiviazione . Selezionare l'account di archiviazione creato in precedenza.

   

3. Nella scheda Identità impostare Accesso dell'account di archiviazioneall'accesso basato sull'identità. Abilitare Disabilita l'accesso con chiave condivisa.

   

4. Continuare il processo di creazione dell'hub. Quando viene creato l'hub, l'identità gestita ottiene automaticamente le autorizzazioni necessarie per accedere all'account di archiviazione.

Quando si crea il tuo hub utilizzando l'SDK, configura system_datastores_auth_mode="identity" per l'hub. Per usare un account di archiviazione esistente, usare il parametro storage_account per specificare l'ID Resource Manager di un account di archiviazione esistente:

# Creating a unique hub name with current datetime to avoid conflicts
from azure.ai.ml import MLClient
from azure.ai.ml.entities import Hub
from azure.identity import DefaultAzureCredential
import datetime

# ml_client is assumed to be authenticated as per prerequisites
# ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)

hub_name = "ai-hub-prod-" + datetime.datetime.now().strftime(
    "%Y%m%d%H%M"
)

ws_hub = Hub(
    name=hub_name,
    location="eastus",
    display_name="Hub-example",
    description="This example shows how to create a Hub",
    hbi_workspace=False,
    tags=dict(purpose="demo"),
    storage_account="{existing_storage_account with AllowSharedKeyAccess=false}",
    system_datastores_auth_mode="identity",
)

created_hub = ml_client.workspaces.begin_create(ws_hub).result()
print(created_hub)

Questo comando restituisce la configurazione dell'hub creata. È possibile verificare che l'hub sia stato creato correttamente controllando l'output per il nome dell'hub e il valore system_datastores_auth_mode.

Riferimento: classe Hub, classe MLClient

Per creare un nuovo hub con autorizzazione di Microsoft Entra ID per l'account di archiviazione, usare un file di configurazione YAML che imposta system_datastores_auth_mode su identity. È anche possibile specificare l'ID Resource Manager di un account di archiviazione esistente con la voce storage_account.

Questo file YAML di esempio illustra come impostare l'hub per usare un'identità gestita e un account di archiviazione esistente:

$schema: https://azuremlschemas.azureedge.net/latest/workspace.schema.json
name: mlw-basicex-prod
location: eastus
display_name: Bring your own dependent resources-example
description: This configuration specifies a workspace configuration with existing dependent resources
storage_account: <your-storage-account-resource-id>
system_datastores_auth_mode: identity
tags:
  purpose: demonstration

È possibile usare questo file YAML con il az ml workspace create comando e il --file parametro :

az ml workspace create -g <resource-group-name> --kind hub --file workspace.yml

Riferimento: az ml workspace create

Nell'esempio di modello JSON sostituire i propri valori con i segnaposto seguenti:

• <workspace-name>
• <workspace-friendly-name>
• <storage-account-arm-resource-id>
• <key-vault-arm-resource-id>

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources":
    [
        {
            "type": "Microsoft.MachineLearningServices/workspaces",
            "apiVersion": "2024-04-01",
            "name": "<workspace-name>",
            "location": "[resourceGroup().location]",
            "sku":
            {
                "name": "Basic",
                "tier": "Basic"
            },
            "kind": "Hub",
            "identity":
            {
                "type": "SystemAssigned"
            },
            "properties":
            {
                "friendlyName": "<workspace-friendly-name>",
                "storageAccount": "<storage-account-arm-resource-id>",
                "keyVault": "<key-vault-arm-resource-id>",
                "systemDatastoresAuthMode": "identity",
                "managedNetwork":
                {
                    "isolationMode": "Disabled"
                },
                "publicNetworkAccess": "Enabled"
            }
        }
    ]
}

Per informazioni su come distribuire un modello di Azure Resource Manager, consulta i seguenti articoli:

• Tutorial: distribuire un modello arm locale usando il interfaccia della riga di comando di Azure o Azure PowerShell
• Quickstart: Creare e distribuire modelli arm usando il portale di Azure

Dopo aver creato l'hub, identificare tutti gli utenti che devono usarlo, ad esempio data scientist. È necessario assegnare i ruoli di Collaboratore ai dati BLOB di archiviazione e Collaboratore privilegiato ai dati dei file di archiviazione nel controllo degli accessi basato sui ruoli di Azure per l'account di archiviazione. Se gli utenti necessitano solo dell'accesso in lettura, usare invece i ruoli Lettore dati blob di archiviazione e Lettore con privilegi per i file di archiviazione. Per altre informazioni, vedere Assegnazioni di ruolo.

1. Passare al portale di Azure e selezionare Hubfoundry.

2. Nel menu a sinistra selezionare Proprietà. Nella parte inferiore del riquadro, impostare Accesso dell'account di archiviazione su accesso basato su identità. Selezionare Salva nella parte superiore del riquadro per salvare la configurazione.

   

Per aggiornare un hub esistente, impostare system_datastores_auth_mode = "identity" per l'hub. L'esempio di codice seguente mostra un aggiornamento di un hub denominato test-ws1:

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

# subscription_id = "<your-subscription-id>"
# resource_group = "<your-resource-group>"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
ws = ml_client.workspaces.get(name="test-ws1")
ws.system_datastores_auth_mode = "identity"
ws = ml_client.workspaces.begin_update(workspace=ws).result()

Questa operazione restituisce la configurazione dell'hub aggiornata con system_datastores_auth_mode impostato su identity.

Riferimento: classe MLClient

Per aggiornare un hub esistente, usare il az ml workspace update comando e specificare --system-datastores-auth-mode identity. L'esempio seguente mostra un aggiornamento di un hub denominato myhub:

az ml workspace update --name myhub --system-datastores-auth-mode identity

Per verificare che la configurazione sia stata applicata, eseguire:

az ml workspace show --name myhub --query systemDatastoresAuthMode

L'output dovrebbe visualizzare identity.

Riferimento: az ml workspace update

Nell'esempio di modello JSON sostituire i propri valori con i segnaposto seguenti:

• <workspace-name>
• <workspace-friendly-name>
• <storage-account-arm-resource-id>
• <key-vault-arm-resource-id>

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources":
    [
        {
            "type": "Microsoft.MachineLearningServices/workspaces",
            "apiVersion": "2024-04-01",
            "name": "<workspace-name>",
            "location": "[resourceGroup().location]",
            "sku":
            {
                "name": "Basic",
                "tier": "Basic"
            },
            "kind": "Hub",
            "identity":
            {
                "type": "SystemAssigned"
            },
            "properties":
            {
                "friendlyName": "<workspace-friendly-name>",
                "storageAccount": "<storage-account-arm-resource-id>",
                "keyVault": "<key-vault-arm-resource-id>",
                "systemDatastoresAuthMode": "identity",
                "managedNetwork":
                {
                    "isolationMode": "Disabled"
                },
                "publicNetworkAccess": "Enabled"
            }
        }
    ]
}

Per informazioni su come distribuire un modello di Resource Manager, vedere gli articoli seguenti.

• Tutorial: distribuire un modello arm locale usando il interfaccia della riga di comando di Azure o Azure PowerShell
• Quickstart: Creare e distribuire modelli arm usando il portale di Azure

1. Passare a Proprietà e selezionare Accesso basato sulle credenziali.

   

2. Selezionare Salva.

Per configurare di nuovo l'hub per l'uso di una chiave condivisa, impostare system_datastores_auth_mode = "accesskey" per l'hub. Questo codice aggiorna un hub denominato test-ws1:

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

# subscription_id = "<your-subscription-id>"
# resource_group = "<your-resource-group>"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
ws = ml_client.workspaces.get(name="test-ws1")
ws.system_datastores_auth_mode = "accesskey"
ws = ml_client.workspaces.begin_update(workspace=ws).result()

Questo codice restituisce la configurazione dell'hub aggiornata con system_datastores_auth_mode impostato su accesskey.

Riferimento: classe MLClient

Per configurare l'hub per usare di nuovo una chiave condivisa, usare il az ml workspace update comando e specificare --system-datastores-auth-mode accesskey. Questo esempio aggiorna un hub denominato myhub:

az ml workspace update --name myhub --system-datastores-auth-mode accesskey

Riferimento: az ml workspace update

Se si dispone di un hub Foundry esistente, seguire la procedura descritta in questa sezione per aggiornare l'hub in modo da usare Microsoft Entra ID per autorizzare l'accesso all'account di archiviazione. Disabilitare quindi l'accesso con chiave condivisa nell'account di archiviazione.

Nell'esempio di modello JSON sostituire i propri valori con i segnaposto seguenti:

• <workspace-name>
• <workspace-friendly-name>
• <storage-account-arm-resource-id>
• <key-vault-arm-resource-id>

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources":
    [
        {
            "type": "Microsoft.MachineLearningServices/workspaces",
            "apiVersion": "2024-04-01",
            "name": "<workspace-name>",
            "location": "[resourceGroup().location]",
            "sku":
            {
                "name": "Basic",
                "tier": "Basic"
            },
            "kind": "Hub",
            "identity":
            {
                "type": "SystemAssigned"
            },
            "properties":
            {
                "friendlyName": "<workspace-friendly-name>",
                "storageAccount": "<storage-account-arm-resource-id>",
                "keyVault": "<key-vault-arm-resource-id>",
                "systemDatastoresAuthMode": "accesskey",
                "managedNetwork":
                {
                    "isolationMode": "Disabled"
                },
                "publicNetworkAccess": "Enabled"
            }
        }
    ]
}

Per informazioni su come distribuire un modello ARM, vedere gli articoli seguenti:

• Tutorial: Distribuire un modello di Resource Manager in locale usando interfaccia della riga di comando di Azure o Azure PowerShell.
• Quickstart: Creare e distribuire modelli arm usando il portale di Azure.

Dopo aver creato l'hub, identificare tutti gli utenti che lo useranno, ad esempio data scientist. Assegnare agli utenti i ruoli Collaboratore ai dati dei BLOB di archiviazione e Collaboratore ai dati dei file di archiviazione con privilegi in Azure controllo degli accessi in base al ruolo per l'account di archiviazione. Se gli utenti necessitano solo dell'accesso in lettura, usare invece i ruoli Lettore dati blob di archiviazione e Lettore con privilegi per i file di archiviazione. Per altre informazioni, vedere la sezione Assegnazioni di ruolo .