Een beheerd netwerk instellen voor Microsoft Foundry-hubs (klassiek)

• Een Azure-abonnement. Als u geen Azure-abonnement hebt, maakt u een gratis account voordat u begint.

• Registreer de Microsoft.Network-resourceprovider voor uw Azure-abonnement. De hub gebruikt deze provider om privé-eindpunten te maken voor het beheerde virtuele netwerk.

  Zie Fouten voor de registratie van resourceproviders oplossen voor informatie over het registreren van resourceproviders.

• Gebruik een Azure-identiteit met de volgende Azure op rollen gebaseerd toegangsbeheer (Azure RBAC) acties om privé-eindpunten te maken voor het beheerde virtuele netwerk:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Tip

  De ingebouwde rol Azure AI Enterprise Network Connection Approver bevat deze machtigingen. Wijs deze rol toe aan de beheerde identiteit van de hub om privé-eindpuntverbindingen goed te keuren.

• Een Azure-abonnement. Als u geen Azure-abonnement hebt, maakt u een gratis account voordat u begint.

• De Microsoft. Netwerk resourceprovider moet zijn geregistreerd voor uw Azure-abonnement. De hub gebruikt deze resourceprovider bij het maken van privé-eindpunten voor het beheerde virtuele netwerk.

  Zie Fouten voor de registratie van resourceproviders oplossen voor informatie over het registreren van resourceproviders.

• Gebruik een Azure-identiteit met de volgende Azure op rollen gebaseerd toegangsbeheer (Azure RBAC) acties om privé-eindpunten te maken voor het beheerde virtuele netwerk:

  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/write

  Tip

  De ingebouwde rol Azure AI Enterprise Network Connection Approver bevat deze machtigingen. Wijs deze rol toe aan de beheerde identiteit van de hub om privé-eindpuntverbindingen goed te keuren.

• Installeer de Azure CLI en de extensie ml voor de Azure CLI. Zie De CLI (v2) installeren, instellen en gebruiken voor meer informatie.

• Een Bash-compatibele shell voor het uitvoeren van de CLI-voorbeelden in dit artikel. Gebruik bijvoorbeeld een Linux-systeem of Windows-subsysteem voor Linux.

• De Azure CLI voorbeelden in dit artikel gebruiken ws voor de naam van de hub en rg voor de naam van de resourcegroep. Wijzig deze waarden indien nodig wanneer u de opdrachten in uw Azure-abonnement uitvoert.

• Een Azure-abonnement. Als u geen Azure-abonnement hebt, maakt u een gratis account voordat u begint. Probeer de gratis of betaalde versie.

• De Microsoft. Netwerk resourceprovider moet zijn geregistreerd voor uw Azure-abonnement. De hub gebruikt deze resourceprovider bij het maken van privé-eindpunten voor het beheerde virtuele netwerk.

  Zie Fouten voor de registratie van resourceproviders oplossen voor informatie over het registreren van resourceproviders.

• De Azure identiteit die u gebruikt bij het implementeren van een beheerd netwerk, vereist de volgende Azure op rollen gebaseerd toegangsbeheer (Azure RBAC) acties om privé-eindpunten te maken:

  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/write

  Tip

  De ingebouwde rol Azure AI Enterprise Network Connection Approver bevat deze machtigingen. Wijs deze rol toe aan de beheerde identiteit van de hub om privé-eindpuntverbindingen goed te keuren.

• De Azure Machine Learning Python SDK v2. Zie Install the Python SDK v2 for Azure Machine Learning voor meer informatie over de SDK.

• In de voorbeelden in dit artikel wordt ervan uitgegaan dat uw code begint met de volgende Python code. Hiermee importeert u de klassen die nodig zijn om een hub te maken met een beheerd virtueel netwerk, stelt u variabelen in voor uw Azure abonnement en resourcegroep en maakt u de ml_client. Vervang in het volgende voorbeeld de tekst <SUBSCRIPTION_ID> van de tijdelijke aanduiding en <RESOURCE_GROUP> door uw eigen waarden:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

• Een nieuwe hub maken:

  1. Meld u aan bij de Azure-portal en selecteer Foundry in het menu Maak een resource.

  2. Kies + Nieuw Azure AI.

  3. Voer de vereiste gegevens in op het tabblad Basisinformatie .

  4. Selecteer Privé met uitgaand internet op het tabblad Netwerken.

  5. Als u een uitgaande regel wilt toevoegen, selecteert u Door de gebruiker gedefinieerde uitgaande regels toevoegen op het tabblad Netwerken . Voer in de zijbalk voor uitgaande regels de volgende gegevens in:

     • Regelnaam: een naam voor de regel. De naam moet uniek zijn voor deze hub.
     • Doeltype: Privé-eindpunt is de enige optie wanneer netwerkisolatie privé is met uitgaand internet. Een virtueel netwerk dat door een hub wordt beheerd, biedt geen ondersteuning voor het maken van privé-eindpunten voor alle Azure resourcetypen. Zie de sectie Privé-eindpunten voor een lijst met ondersteunde resources.
     • Subscription: Het abonnement met de Azure resource waarvoor u een privé-eindpunt wilt toevoegen.
     • Resource-groep: De resourcegroep met de Azure resource waarvoor u een privé-eindpunt wilt toevoegen.
     • Brontype: het type Azure-bron.
     • Resource-naam: de naam van de Azure-resource.
     • Subresource: de subresource van het resourcetype Azure.

     Selecteer Opslaan. Als u meer regels wilt toevoegen, selecteert u Door de gebruiker gedefinieerde uitgaande regels toevoegen.

  6. Ga door met het maken van de hub.

• Een bestaande hub bijwerken:

  1. Meld u aan bij de Azure portal en selecteer de hub om beheerde virtuele netwerkisolatie in te schakelen.

  2. Selecteer Netwerken>Privé met uitgaande verbinding via internet.

     • Als u een uitgaande regel wilt toevoegen, selecteert u Door de gebruiker gedefinieerde uitgaande regels toevoegen op het tabblad Netwerken. Geef in de zijbalk voor uitgaande regels dezelfde informatie op als die wordt gebruikt bij het maken van een hub in de sectie Een nieuwe hub maken.

     • Als u een uitgaande regel wilt verwijderen , selecteert u Verwijderen voor de regel.

  3. Selecteer Opslaan boven aan de pagina om de wijzigingen toe te passen op het beheerde virtuele netwerk.

Als u een beheerd virtueel netwerk wilt configureren dat uitgaand internet toestaat, gebruikt u de --managed-network allow_internet_outbound parameter of een YAML-configuratiebestand met de volgende vermeldingen:

managed_network:
  isolation_mode: allow_internet_outbound

Definieer outbound-regels voor andere Azure-services waarop de hub afhankelijk is. Deze regels definiëren private-eindpunten waarmee een Azure-resource veilig kan communiceren met het beheerde virtuele netwerk. De volgende regel laat zien hoe u een privé-eindpunt toevoegt aan een Azure Blob Storage-account. Vervang in het volgende voorbeeld de plaatshoudertekst <SUBSCRIPTION_ID>, <RESOURCE_GROUP>, en <STORAGE_ACCOUNT_NAME> door uw eigen waarden.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Configureer een beheerd virtueel netwerk met behulp van de az ml workspace create of az ml workspace update opdrachten:

• Een nieuwe hub maken:

  In het volgende voorbeeld wordt een nieuwe hub gemaakt. De --managed-network allow_internet_outbound parameter configureert een beheerd virtueel netwerk voor de hub:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Als u een hub wilt maken met behulp van een YAML-bestand, gebruikt u de --file parameter en geeft u het YAML-bestand op dat de configuratie-instellingen bevat:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  In het volgende YAML-voorbeeld wordt een hub gedefinieerd met een beheerd virtueel netwerk:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Een bestaande hub bijwerken:

  Waarschuwing

  Voordat u een bestaande werkruimte bijwerkt om een beheerd virtueel netwerk te gebruiken, moet u alle rekenresources voor de werkruimte verwijderen. Dit omvat rekeninstanties, rekenclusters en beheerde online-eindpunten.

  In het volgende voorbeeld wordt een bestaande hub bijgewerkt. De --managed-network allow_internet_outbound parameter configureert een beheerd virtueel netwerk voor de hub:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Als u een bestaande hub wilt bijwerken met behulp van een YAML-bestand, gebruikt u de --file parameter en geeft u het YAML-bestand op dat de configuratie-instellingen bevat:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  In het volgende YAML-voorbeeld wordt een beheerd virtueel netwerk voor de hub gedefinieerd. Ook ziet u hoe u een privé-eindpuntverbinding toevoegt aan een resource die door de hub wordt gebruikt. In dit voorbeeld wordt een privé-eindpunt toegevoegd voor een Azure Blob Storage-account. Vervang in het volgende voorbeeld de tijdelijke aanduidingen <SUBSCRIPTION_ID>, <RESOURCE_GROUP> en <STORAGE_ACCOUNT_NAME> door uw eigen waarden:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Verwijzingen

• az ml workspace create
• az ml workspace update

Als u een beheerd virtueel netwerk wilt configureren dat uitgaand internet toestaat, gebruikt u de ManagedNetwork klasse met IsolationMode.ALLOW_INTERNET_OUTBOUND. Gebruik vervolgens het ManagedNetwork object om een nieuwe hub te maken of een bestaande hub bij te werken. Als u outbound-regels wilt definiëren om services te Azure waarop de hub afhankelijk is, gebruikt u de klasse PrivateEndpointDestination om een nieuw privé-eindpunt voor de service te definiëren.

• Een nieuwe hub maken:

  In het volgende voorbeeld wordt een nieuwe hub met de naam myhub gemaakt, met een uitgaande regel met de naam myrule waarmee een privé-eindpunt voor een Azure Blob Storage-account wordt toegevoegd. Vervang in het volgende voorbeeld de tijdelijke aanduidingen <SUBSCRIPTION_ID>, <RESOURCE_GROUP> en <STORAGE_ACCOUNT_NAME> door uw eigen waarden:

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint to Azure Blob Storage
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Verwijzingen

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination

• Een bestaande hub bijwerken:

  In het volgende voorbeeld ziet u hoe u een beheerd virtueel netwerk maakt voor een bestaande hub met de naam myhub:

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get(name="myhub")
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Verwijzingen

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • MLClient

• Een nieuwe hub maken:

  1. Meld u aan bij de Azure-portal en kies Foundry in het menu Een resource maken.

  2. Kies + Nieuw Azure AI.

  3. Geef de vereiste informatie op op het tabblad Basisinformatie .

  4. Selecteer Privé met goedgekeurd uitgaand verkeer op het tabblad Netwerken.

  5. Als u een uitgaande regel wilt toevoegen, selecteert u Door de gebruiker gedefinieerde uitgaande regels toevoegen op het tabblad Netwerken . Geef in de zijbalk voor uitgaande regels de volgende informatie op:

     • Regelnaam: een naam voor de regel. De naam moet uniek zijn voor deze hub.
     • Doeltype: privé-eindpunt, Service Tag of FQDN. Servicetag en FQDN zijn alleen beschikbaar wanneer de netwerkisolatie privé is met goedgekeurd uitgaand verkeer.

     Als het doeltype Privé-eindpunt is, voert u de volgende gegevens in:

     • Subscription: Het abonnement met de Azure resource waarvoor u een privé-eindpunt wilt toevoegen.
     • Resource-groep: De resourcegroep met de Azure resource waarvoor u een privé-eindpunt wilt toevoegen.
     • Brontype: het type Azure-bron.
     • Resource-naam: de naam van de Azure-resource.
  • Subresource: De subresource van het resourcetype Azure.

  Tip

  Het beheerde VNet van de hub biedt geen ondersteuning voor privé-eindpunten voor alle Azure resourcetypen. Zie de sectie Privé-eindpunten voor een lijst met ondersteunde resources.

  Als het doeltype servicetag is, voert u de volgende gegevens in:

  • Servicetag: de servicetag die moet worden toegevoegd aan de goedgekeurde uitgaande regels.
  • Protocol: het protocol dat de servicetag toestaat.
  • Poortbereiken: de poortbereiken waarmee de servicetag kan worden toegestaan.

  Als het doeltype FQDN is, voert u de volgende gegevens in:

  • FQDN-bestemming: de volledig gekwalificeerde domeinnaam die moet worden toegevoegd aan de goedgekeurde uitgaande regels.

    Selecteer Opslaan om de regel op te slaan. Als u meer regels wilt toevoegen, selecteert u gebruikersgedefinieerde uitgaande regels toevoegen opnieuw.

  1. Ga door met het maken van de hub zoals gebruikelijk.

• Een bestaande hub bijwerken:

  1. Meld u aan bij de Azure-portal en selecteer de hub waarvoor u beheerde virtuele netwerkisolatie wilt inschakelen.

  2. Selecteer Netwerken>Privé met goedgekeurd uitgaand verkeer.

     • Als u een uitgaande regel wilt toevoegen, selecteert u Door de gebruiker gedefinieerde uitgaande regels toevoegen op het tabblad Netwerken. Voer in de zijbalk voor uitgaande regels dezelfde informatie in als bij het maken van een hub in de vorige sectie 'Een nieuwe hub maken'.

     • Als u een uitgaande regel wilt verwijderen , selecteert u Verwijderen voor de regel.

  3. Selecteer Opslaan boven aan de pagina om de wijzigingen op te slaan in het beheerde virtuele netwerk.

Als u een beheerd virtueel netwerk wilt configureren dat alleen goedgekeurde uitgaande communicatie toestaat, gebruikt u de --managed-network allow_only_approved_outbound parameter of een YAML-configuratiebestand met de volgende vermeldingen:

managed_network:
  isolation_mode: allow_only_approved_outbound

U kunt ook uitgaande regels definiëren voor goedgekeurde uitgaande communicatie. Maak een uitgaande regel van het type service_tag, fqdnof private_endpoint. In het volgende voorbeeld wordt een privé-eindpunt toegevoegd aan een Azure Blob-resource, een servicetag voor Azure Data Factory en een FQDN voor pypi.org. Vervang in het volgende voorbeeld de tijdelijke aanduiding <SUBSCRIPTION_ID>, <RESOURCE_GROUP>, en <STORAGE_ACCOUNT_NAME> met uw waarden.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

U kunt een beheerd virtueel netwerk configureren met behulp van de az ml workspace create of az ml workspace update opdrachten:

• Een nieuwe hub maken:

  In het volgende voorbeeld wordt de --managed-network allow_only_approved_outbound parameter gebruikt om het beheerde virtuele netwerk te configureren:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Het volgende YAML-bestand definieert een hub met een beheerd virtueel netwerk:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Als u een hub wilt maken met behulp van het YAML-bestand, gebruikt u de --file parameter:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Een bestaande hub bijwerken

  Waarschuwing

  Voordat u een bestaande werkruimte bijwerkt om een beheerd virtueel netwerk te gebruiken, moet u alle rekenresources voor de werkruimte verwijderen. Dit omvat rekeninstanties, rekenclusters en beheerde online-eindpunten.

  In het volgende voorbeeld wordt de --managed-network allow_only_approved_outbound parameter gebruikt om het beheerde virtuele netwerk voor een bestaande hub te configureren:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Het volgende YAML-bestand definieert een beheerd virtueel netwerk voor de hub en laat zien hoe u goedgekeurde uitgaande regels toevoegt. In dit voorbeeld worden uitgaande regels toegevoegd voor een servicetag, een FQDN en een privé-eindpunt:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Verwijzingen

• az ml workspace create
• az ml workspace update

Als u een beheerd virtueel netwerk wilt configureren dat alleen goedgekeurde uitgaande communicatie toestaat, gebruikt u de ManagedNetwork klasse om een netwerk met IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUNDte definiëren. Gebruik het ManagedNetwork object om een nieuwe hub te maken of een bestaande hub bij te werken. Gebruik de volgende klassen om uitgaande regels te definiëren:

• Een nieuwe hub maken:

  In het volgende voorbeeld wordt een nieuwe hub gemaakt met de naam myhub, met verschillende uitgaande regels:

  • myrule - voegt een privé-eindpunt toe voor een Azure Blob-opslag.
  • datafactory : voegt een servicetagregel toe om te communiceren met Azure Data Factory.

  Belangrijk

  • Voeg alleen een uitgaande regel toe voor een servicetag of FQDN wanneer u het beheerde VNet configureert op IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Als u uitgaande regels toevoegt, kan Microsoft geen beveiliging garanderen tegen gegevensexfiltratie.

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Verwijzingen

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination

• Een bestaande hub bijwerken:

  In het volgende voorbeeld ziet u hoe u een beheerd virtueel netwerk configureert voor een bestaande hub met de naam myhub. Er worden ook verschillende uitgaande regels toegevoegd:

  • myrule - Voegt een privé-eindpunt toe voor een Azure Blob-opslag.
  • datafactory : voegt een servicetagregel toe om te communiceren met Azure Data Factory.

  Tip

  U kunt alleen een uitgaande regel voor een servicetag of FQDN toevoegen wanneer u het beheerde VNet configureert voor gebruik IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Verwijzingen

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination
  • MLClient

Selecteer tijdens het maken van de werkruimte de optie het beheerde netwerk proactief inrichten bij creatie om het beheerde netwerk in te stellen. Facturering wordt gestart voor netwerkbronnen, zoals privé-eindpunten, nadat het virtuele netwerk is ingesteld. Deze optie is alleen beschikbaar tijdens het maken van de werkruimte.

In het volgende voorbeeld ziet u hoe u een beheerd virtueel netwerk inricht tijdens het maken van de hub.

az ml workspace create -n my_ai_hub_name -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now true

In het volgende voorbeeld ziet u hoe u een beheerd virtueel netwerk inricht.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Voer de volgende opdracht uit om te controleren of het inrichten is voltooid:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Verwijzingen

• az ml workspace create
• az ml workspace provision-network
• az ml workspace show

Gebruik de SDK om een beheerd virtueel netwerk in te richten en controleer vervolgens de status ervan.

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

subscription_id = "00000000-0000-0000-0000-000000000000"
resource_group = "my_resource_group"
workspace_name = "my_ai_hub_name"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=workspace_name)

# Start provisioning the managed network for the workspace.
provision_result = ml_client.workspaces.begin_provision_network(workspace_name=workspace_name).result()

# Check the managed network status.
ws = ml_client.workspaces.get(name=workspace_name)
print(ws.managed_network.status)

Verwijzingen

• MLClient
• begin_provision_network

1. Meld u aan bij de Azure-portal en selecteer de hub waarvoor u beheerde virtuele netwerkisolatie wilt inschakelen.
2. Selecteer Netwerken. Met de sectie Uitgaande toegang van Foundry kunt u uitgaande regels beheren.

• Als u een uitgaande regel wilt toevoegen, selecteert u Door de gebruiker gedefinieerde uitgaande regels toevoegen op het tabblad Networking. Voer in de zijbalk Azure uitgaande AI-regels de vereiste waarden in.

• Als u een regel wilt in- of uitschakelen , gebruikt u de wisselknop in de kolom Actief .

• Als u een uitgaande regel wilt verwijderen , selecteert u Verwijderen voor de regel.

Vervang in de volgende opdrachten de tekst van de tijdelijke aanduiding <workspace-name><resource-group>en <rule-name> door uw waarden. Voer de volgende opdracht uit om uitgaande regels voor een beheerd virtueel netwerk voor een hub weer te geven:

az ml workspace outbound-rule list --workspace-name <workspace-name> --resource-group <resource-group>

Als u de details van een uitgaande regel voor een beheerd virtueel netwerk wilt weergeven, voert u het volgende uit:

az ml workspace outbound-rule show --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Als u een uitgaande regel uit het beheerde virtuele netwerk wilt verwijderen, voert u het volgende uit:

az ml workspace outbound-rule remove --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Verwijzingen

• az ml workspace outbound-rule list
• az ml workspace outbound-rule show
• az ml workspace outbound-rule remove

In het volgende voorbeeld ziet u hoe u uitgaande regels voor een hub met de naam myhubbeheert. Vervang in het voorbeeld de tekst <some-rule-name> van de tijdelijke aanduiding door de naam van de regel:

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

# Connect to the hub
ws_name = "myhub"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=ws_name)

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Verwijzingen

• MLClient

Nadat u de modus alleen goedgekeurd uitgaand toestaan hebt geselecteerd, verschijnt de optie om de Azure Firewall-versie (SKU) te selecteren. Selecteer Standaard of Basis. Selecteer Opslaan.

Als u de firewallversie wilt instellen met behulp van Azure CLI, gebruikt u een YAML-bestand en geeft u firewall_sku op. In het volgende voorbeeld wordt de firewall-SKU ingesteld op basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Als u de firewallversie wilt instellen met behulp van de Python SDK, stelt u de eigenschap firewall_sku van het ManagedNetwork-object in. In het volgende voorbeeld wordt de firewall-SKU ingesteld op basic:

from azure.ai.ml.entities import ManagedNetwork, IsolationMode

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND,
                         firewall_sku='basic')

Verwijzingen

• ManagedNetwork
• IsolationMode