Como configurar uma rede gerenciada para hubs do Microsoft Foundry (clássico)

• Uma assinatura Azure. Se você não tiver uma assinatura Azure, crie uma conta gratuita antes de começar.

• Registre o provedor de recursos Microsoft.Network para sua assinatura de Azure. O hub usa esse provedor para criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre como registrar provedores de recursos, consulte Resolver erros para o registro do provedor de recursos.

• Use uma identidade do Azure com as seguintes ações de controle de acesso baseado em papéis do Azure (Azure RBAC) para criar endpoints privados para a rede virtual gerida.

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Dica

  A função interna Azure AI Enterprise Network Connection Approver inclui essas permissões. Atribua este papel à identidade gerenciada do hub para aprovar conexões de endpoints privados.

• Uma assinatura Azure. Se você não tiver uma assinatura Azure, crie uma conta gratuita antes de começar.

• O provedor de recursos Microsoft.Network deve ser registrado para sua assinatura do Azure. O hub usa esse provedor de recursos ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre como registrar provedores de recursos, consulte Resolver erros para o registro do provedor de recursos.

• Use uma identidade do Azure com as seguintes ações de RBAC (controle de acesso baseado em função) do Azure para criar pontos de extremidade privados para a rede virtual gerenciada:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Dica

  A função interna Azure AI Enterprise Network Connection Approver inclui essas permissões. Atribua essa função à identidade gerenciada do hub para aprovar conexões de ponto de extremidade privado.

• Instale o CLI do Azure e a extensão ml para o CLI do Azure. Para obter mais informações, consulte Instalar, configurar e usar a CLI (v2).

• Um shell compatível com Bash para executar os exemplos da CLI neste artigo. Por exemplo, use um sistema Linux ou Subsistema do Windows para Linux.

• Os exemplos de CLI do Azure neste artigo usam ws para o nome do hub e rg para o nome do grupo de recursos. Altere esses valores conforme necessário ao executar os comandos em sua assinatura Azure.

• Uma assinatura Azure. Se você não tiver uma assinatura Azure, crie uma conta gratuita antes de começar. Experimente a versão gratuita ou paga.

• O provedor de recursos Microsoft.Network deve ser registrado para sua assinatura do Azure. O hub usa esse provedor de recursos ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre como registrar provedores de recursos, consulte Resolver erros para o registro do provedor de recursos.

• A identidade do Azure que você usa ao implantar uma rede gerenciada requer as seguintes ações de controle de acesso baseado em função do Azure (RBAC do Azure) para criar pontos de extremidade privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Dica

  A função interna Azure AI Enterprise Network Connection Approver inclui essas permissões. Atribua este papel à identidade gerenciada do hub para aprovar conexões de endpoints privados.

• O SDK do Azure Machine Learning Python v2. Para obter mais informações sobre o SDK, consulte Instale o SDK do Python v2 para Azure Machine Learning.

• Os exemplos neste artigo pressupõem que seu código começa com o código de Python a seguir. Ele importa as classes necessárias para criar um hub com uma rede virtual gerenciada, define variáveis para sua assinatura Azure e grupo de recursos e cria o ml_client. No exemplo a seguir, substitua o texto de espaço reservado <SUBSCRIPTION_ID> e <RESOURCE_GROUP> por seus próprios valores.

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

• Crie um novo hub:

  1. Entre no Azure portal e selecione Foundry no menu Criar um recurso.

  2. Selecione + Nova Azure IA.

  3. Insira as informações necessárias na guia Noções básicas .

  4. Na guia Rede , selecione Privado com Saída da Internet.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede . Na barra lateral de regras de saída , insira as seguintes informações:

     • Nome da regra: um nome para a regra. O nome deve ser exclusivo para esse hub.
     • Tipo de destino: o ponto de extremidade privado é a única opção quando o isolamento de rede é Privado com Saída da Internet. Uma rede virtual gerenciada por hub não dá suporte à criação de pontos de extremidade privados para todos os tipos de recursos Azure. Para obter uma lista de recursos com suporte, consulte a seção Pontos de extremidade privados.
     • Subscription: a assinatura que contém o recurso Azure para o qual você quer adicionar um endpoint privado.
     • Resource group: o grupo de recursos que contém o recurso Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Resource type: o tipo do recurso Azure.
     • Resource name: o nome do recurso Azure.
     • Sub Resource: o sub-recurso do tipo de recurso Azure.

     Selecione Salvar. Para adicionar mais regras, selecione Adicionar regras de saída definidas pelo usuário.

  6. Continue criando o hub.

• Atualize um hub existente:

  1. Entre no Azure portal e selecione o hub para habilitar o isolamento de rede virtual gerenciado.

  2. Selecione Rede>Privada com Saída da Internet.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede . Na barra lateral de regras de saída , forneça as mesmas informações usadas ao criar um hub na seção "Criar um novo hub".

     • Para excluir uma regra de saída, selecione excluir para a regra.

  3. Selecione Salvar na parte superior da página para aplicar as alterações à rede virtual gerenciada.

Para configurar uma rede virtual gerenciada que permita a saída da Internet, use o --managed-network allow_internet_outbound parâmetro ou um arquivo de configuração YAML com as seguintes entradas:

managed_network:
  isolation_mode: allow_internet_outbound

Defina regras de saída para outros serviços de Azure dos quais o hub depende. Essas regras definem pontos de extremidade privados que permitem que um recurso do Azure se comunique com segurança com a rede virtual gerenciada. A regra a seguir mostra como adicionar um ponto de extremidade privado a uma conta Armazenamento de Blobs do Azure. No exemplo a seguir, substitua o texto de espaço reservado <SUBSCRIPTION_ID>, <RESOURCE_GROUP> e <STORAGE_ACCOUNT_NAME> por seus próprios valores.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Configure uma rede virtual gerenciada usando os comandos az ml workspace create ou az ml workspace update.

• Crie um novo hub:

  O exemplo a seguir cria um novo hub. O --managed-network allow_internet_outbound parâmetro configura uma rede virtual gerenciada para o hub:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para criar um hub usando um arquivo YAML, use o --file parâmetro e especifique o arquivo YAML que contém as configurações:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  O exemplo yaml a seguir define um hub com uma rede virtual gerenciada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Atualize um hub existente:

  Aviso

  Antes de atualizar um workspace existente para usar uma rede virtual gerenciada, você deve excluir todos os recursos de computação para o workspace. Isso inclui instância de computação, cluster de computação e endpoints online gerenciados.

  O exemplo a seguir atualiza um hub existente. O --managed-network allow_internet_outbound parâmetro configura uma rede virtual gerenciada para o hub:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para atualizar um hub existente usando um arquivo YAML, use o --file parâmetro e especifique o arquivo YAML que contém as configurações:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  O exemplo yaml a seguir define uma rede virtual gerenciada para o hub. Ele também explica como adicionar uma conexão de ponto de extremidade privado a um recurso que o hub utiliza. Neste exemplo, ele adiciona um ponto de extremidade privado para uma Armazenamento de Blobs do Azure conta. No exemplo a seguir, substitua o texto dos espaços reservados <SUBSCRIPTION_ID>, <RESOURCE_GROUP> e <STORAGE_ACCOUNT_NAME> por seus próprios valores.

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referências

• Criar espaço de trabalho az ml
• atualização do espaço de trabalho az ml

Para configurar uma rede virtual gerenciada que permita o tráfego de saída para a Internet, use a ManagedNetwork classe com IsolationMode.ALLOW_INTERNET_OUTBOUND. Em seguida, use o ManagedNetwork objeto para criar um novo hub ou atualizar um existente. Para definir regras de saída para os serviços do Azure dos quais o hub depende, use a classe PrivateEndpointDestination para configurar um novo ponto de extremidade privado para o serviço.

• Crie um novo hub:

  O exemplo a seguir cria um novo hub chamado myhub, com uma regra de saída chamada myrule que adiciona um ponto de extremidade privado para uma conta de Armazenamento de Blobs do Azure. No exemplo a seguir, substitua o texto de espaço reservado <SUBSCRIPTION_ID>, <RESOURCE_GROUP> e <STORAGE_ACCOUNT_NAME> por seus próprios valores.

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint to Azure Blob Storage
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referências

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination

• Atualize um hub existente:

  O exemplo a seguir demonstra como criar uma rede virtual gerenciada para um hub existente chamado myhub:

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get(name="myhub")
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referências

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • MLClient

• Crie um novo hub:

  1. Entre no portal Azure e escolha Foundry no menu Criar um recurso.

  2. Selecione + Nova IA Azure.

  3. Forneça as informações necessárias na guia Noções básicas .

  4. Na guia Rede, selecione Privada com Saída da Internet.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede . Na barra lateral de regras de saída , forneça as seguintes informações:

     • Nome da regra: um nome para a regra. O nome deve ser exclusivo para esse hub.
     • Tipo de destino: Endpoint Privado, Marca de Serviço ou FQDN. A marca de serviço e o FQDN só estão disponíveis quando o isolamento de rede é privado com saída aprovada.

     Se o tipo de destino for Ponto de Extremidade Privado, insira as seguintes informações:

     • Assinatura: A assinatura que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Resource group: o grupo de recursos que contém o recurso Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Resource type: o tipo do recurso Azure.
     • Resource name: o nome do recurso Azure.
  • Sub Resource: o sub-recurso do tipo de recurso do Azure.

  Dica

  A VNet gerenciada do hub não dá suporte a endpoints privados para todos os tipos de recursos do Azure. Para obter uma lista de recursos com suporte, consulte a seção Pontos de extremidade privados.

  Se o tipo de destino for Marca de Serviço, insira as seguintes informações:

  • Marca de serviço: a marca de serviço a ser adicionada às regras de saída aprovadas.
  • Protocolo: o protocolo para permitir a marca de serviço.
  • Intervalos de portas: os intervalos de porta para permitir a marca de serviço.

  Se o tipo de destino for FQDN, insira as seguintes informações:

  • Destino FQDN: o nome de domínio totalmente qualificado a ser adicionado às regras de saída aprovadas.

    Selecione Salvar para salvar a regra. Para adicionar mais regras, selecione Adicionar regras de saída definidas pelo usuário novamente.

  1. Continue criando o hub como de costume.

• Atualize um hub existente:

  1. Entre no Azure portal e selecione o hub para o qual você deseja habilitar o isolamento de rede virtual gerenciado.

  2. Selecione Rede>Privada com Saída Aprovada.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede . Na barra lateral de regras de saída , insira as mesmas informações que ao criar um hub na seção anterior 'Criar um novo hub'.

     • Para excluir uma regra de saída, selecione excluir para a regra.

  3. Selecione Salvar na parte superior da página para salvar as alterações na rede virtual gerenciada.

Para configurar uma rede virtual gerenciada que permita apenas a comunicação de saída aprovada, use o --managed-network allow_only_approved_outbound parâmetro ou um arquivo de configuração YAML que contenha as seguintes entradas:

managed_network:
  isolation_mode: allow_only_approved_outbound

Você também pode definir regras de saída para comunicação de saída aprovada. Criar uma regra de saída do tipo service_tag, fqdnou private_endpoint. O exemplo a seguir adiciona um ponto de extremidade privado a um recurso de Blob do Azure, uma marca de serviço para Azure Data Factory e um FQDN para pypi.org. No exemplo a seguir, substitua o texto do espaço reservado <SUBSCRIPTION_ID>, <RESOURCE_GROUP> e <STORAGE_ACCOUNT_NAME> por seus valores.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Você pode configurar uma rede virtual gerenciada usando o comando az ml workspace create ou o comando az ml workspace update.

• Crie um novo hub:

  O exemplo a seguir usa o --managed-network allow_only_approved_outbound parâmetro para configurar a rede virtual gerenciada:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O seguinte arquivo YAML define um hub com uma rede virtual gerenciada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Para criar um hub usando o arquivo YAML, use o --file parâmetro:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Atualizar um hub existente

  Aviso

  Antes de atualizar um workspace existente para usar uma rede virtual gerenciada, você deve excluir todos os recursos de computação para o workspace. Isso inclui instância de computação, cluster de computação e endpoints online gerenciados.

  O exemplo a seguir usa o --managed-network allow_only_approved_outbound parâmetro para configurar a rede virtual gerenciada para um hub existente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O arquivo YAML a seguir define uma rede virtual gerenciada para o hub e mostra como adicionar regras de saída aprovadas. Neste exemplo, as regras de saída são adicionadas para uma marca de serviço, um FQDN e um ponto de extremidade privado:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referências

• Criar espaço de trabalho az ml
• atualização do espaço de trabalho az ml

Para configurar uma rede virtual gerenciada que permite apenas a comunicação de saída aprovada, use a ManagedNetwork classe para definir uma rede com IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND. Use o ManagedNetwork objeto para criar um novo hub ou atualizar um existente. Para definir regras de saída, use as seguintes classes:

• Crie um novo hub:

  O exemplo a seguir cria um novo hub chamado myhub, com várias regras de saída:

  • myrule – Adiciona um ponto de extremidade privado para um repositório de Blobs do Azure.
  • datafactory – adiciona uma regra de tag de serviço para se comunicar com o Azure Data Factory.

  Importante

  • Adicione uma regra de saída para uma marca de serviço ou FQDN somente quando você configurar a VNet gerenciada para IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Se você adicionar regras de saída, Microsoft não poderá garantir a proteção contra a exfiltração de dados.

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referências

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination

• Atualize um hub existente:

  O exemplo a seguir mostra como configurar uma rede virtual gerenciada para um hub existente chamado myhub. Ele também adiciona várias regras de saída:

  • myrule – Adiciona um ponto de extremidade privado para um repositório de Blobs do Azure.
  • datafactory – adiciona uma regra de tag de serviço para se comunicar com Azure Data Factory.

  Dica

  Você pode adicionar uma regra de saída para uma marca de serviço ou FQDN somente quando você configurar a VNet gerenciada para usar IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referências

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination
  • MLClient

Durante a criação do workspace, selecione Provisionar rede gerenciada proativamente na criação para configurar a rede gerenciada. A cobrança começa para recursos de rede, como endpoints privados, após a configuração da rede virtual. Essa opção só está disponível durante a criação do workspace.

O exemplo a seguir mostra como provisionar uma rede virtual gerenciada durante a criação do hub.

az ml workspace create -n my_ai_hub_name -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now true

O exemplo a seguir mostra como provisionar uma rede virtual gerenciada.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Para verificar se o provisionamento está concluído, execute o seguinte comando:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Referências

• Criar espaço de trabalho az ml
• az ml workspace provision-network
• az ml workspace show

Use o SDK para provisionar uma rede virtual gerenciada e, em seguida, verifique seu status.

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

subscription_id = "00000000-0000-0000-0000-000000000000"
resource_group = "my_resource_group"
workspace_name = "my_ai_hub_name"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=workspace_name)

# Start provisioning the managed network for the workspace.
provision_result = ml_client.workspaces.begin_provision_network(workspace_name=workspace_name).result()

# Check the managed network status.
ws = ml_client.workspaces.get(name=workspace_name)
print(ws.managed_network.status)

Referências

• MLClient
• begin_provision_network

1. Entre no Azure portal e selecione o hub para o qual você deseja habilitar o isolamento de rede virtual gerenciado.
2. Selecione Rede. A seção Acesso de Saída do Foundry permite gerenciar as regras de saída.

• Para adicionar uma regra de saída, selecione Add regras de saída definidas pelo usuário na guia Networking. Nas regras de saída de IA Azure barra lateral, insira os valores necessários.

• Para habilitar ou desabilitar uma regra, use a alternância na coluna Ativa .

• Para excluir uma regra de saída, selecione excluir para a regra.

Nos comandos a seguir, substitua o texto de espaço reservado <workspace-name>, <resource-group> e <rule-name> com os seus valores. Para listar as regras de saída da rede virtual gerenciada para um hub, execute:

az ml workspace outbound-rule list --workspace-name <workspace-name> --resource-group <resource-group>

Para exibir os detalhes de uma regra de saída de rede virtual gerenciada, execute:

az ml workspace outbound-rule show --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Para remover uma regra de saída da rede virtual gerenciada, execute:

az ml workspace outbound-rule remove --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Referências

• az ml workspace outbound-rule list
• az ml workspace outbound-rule show
• az ml workspace outbound-rule remove (remove a regra de saída no workspace do Azure Machine Learning)

O exemplo a seguir mostra como gerenciar regras de saída para um hub chamado myhub. No exemplo, substitua o texto de espaço reservado <some-rule-name> pelo nome da regra.

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

# Connect to the hub
ws_name = "myhub"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=ws_name)

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Referências

• MLClient

Depois de selecionar o modo "permitir somente saída aprovada" , a opção para selecionar a versão do Firewall do Azure (SKU) será exibida. Selecione Padrão ou Básico. Selecione Salvar.

Para definir a versão do firewall usando CLI do Azure, use um arquivo YAML e especifique firewall_sku. O exemplo a seguir define o SKU de firewall como basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Para definir a versão do firewall usando o SDK do Python, defina a propriedade firewall_sku do objeto ManagedNetwork. O exemplo a seguir define o SKU de firewall como basic:

from azure.ai.ml.entities import ManagedNetwork, IsolationMode

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND,
                         firewall_sku='basic')

Referências

• ManagedNetwork
• IsolationMode