Gerenciar o controle de acesso para armazenamento de recursos gerenciados

Este artigo descreve como gerenciar o acesso (autorização) a um repositório de recursos gerenciados do Azure Machine Learning. O controle de acesso baseado em função do Azure (Azure RBAC) gerencia o acesso aos recursos do Azure, incluindo a capacidade de criar novos recursos ou usar os existentes. Os usuários em sua ID do Microsoft Entra recebem funções específicas, que concedem acesso a recursos. O Azure fornece funções internas e a capacidade de criar funções personalizadas.

Identidades e tipos de usuário

O Azure Machine Learning dá suporte ao controle de acesso baseado em função para estes recursos de armazenamento de recursos gerenciados:

• loja de recursos
• entidade do repositório de recursos
• conjunto de recursos

Para controlar o acesso a esses recursos, considere os tipos de usuário mostrados aqui. Para cada tipo de usuário, a identidade pode ser uma identidade do Microsoft Entra, uma entidade de serviço ou uma identidade gerenciada do Azure (gerenciada pelo sistema e atribuída pelo usuário).

• Desenvolvedores de conjuntos de recursos (por exemplo, cientistas de dados, engenheiros de dados e engenheiros de aprendizado de máquina): eles trabalham principalmente com o espaço de trabalho do repositório de recursos e lidam com
  • O ciclo de vida do gerenciamento de recursos, da criação ao arquivamento
  • Materialização e configuração de backfill de recursos
  • Monitorização da frescura e qualidade das características
• Consumidores do conjunto de recursos (por exemplo, cientistas de dados e engenheiros de aprendizado de máquina): eles trabalham principalmente em um espaço de trabalho de projeto e usam recursos das seguintes maneiras:
  • Descoberta de recursos para reutilização de modelos
  • Experimentação com recursos durante o treinamento, para ver se esses recursos melhoram o desempenho do modelo
  • Configuração dos pipelines de treinamento/inferência que usam os recursos
• Administradores da loja de recursos: eles normalmente lidam:
  • Gerenciamento do ciclo de vida da loja de recursos (da criação à desativação)
  • Gerenciamento do ciclo de vida do acesso do usuário do repositório de recursos
  • Configuração do repositório de recursos: cota e armazenamento (lojas offline/online)
  • Gestão de custos

Esta tabela descreve as permissões necessárias para cada tipo de usuário:

Se o seu repositório de recursos exigir materialização, estas permissões também são necessárias:

Para obter mais informações sobre a criação de funções, visite o recurso criar função personalizada.

Recursos

A concessão de acesso envolve os seguintes recursos:

• o repositório de recursos gerenciados do Azure Machine Learning
• a conta de armazenamento do Azure (Gen2) que o repositório de recursos usa como um repositório offline
• a identidade gerenciada atribuída pelo usuário do Azure que o repositório de recursos usa para seus trabalhos de materialização
• as contas de armazenamento de usuário do Azure que hospedam os dados de origem do conjunto de recursos

Permissões necessárias para a feature store admin função

Para criar e/ou excluir um repositório de recursos gerenciados, recomendamos o interno Contributor e User Access Administrator as funções no grupo de recursos. Você também pode criar uma função personalizada Feature store admin com estas permissões mínimas:

Quando um repositório de recursos é provisionado, outros recursos são provisionados por padrão. No entanto, você pode usar os recursos existentes. Se forem necessários novos recursos, a identidade que cria o repositório de recursos deve ter estas permissões no grupo de recursos:

• Microsoft.Armazenamento/ContasDeArmazenamento/escrever
• Microsoft.Storage/storageAccounts/blobServices/containers/write
• Microsoft.Insights/componentes/gravação
• Microsoft.KeyVault/cofres/gravação
• Microsoft.ContainerRegistry/registos/escrever
• Microsoft.OperationalInsights/workspaces/write
• Microsoft.ManagedIdentity/userAssignedIdentities/write

Permissões necessárias para a feature set consumer função

Use estas funções internas para consumir os conjuntos de recursos definidos no repositório de recursos:

Para evitar o AzureML Data Scientist uso da função, você pode usar estas ações individuais:

Permissões necessárias para a feature set developer função

Para desenvolver conjuntos de recursos no repositório de recursos, use estas funções internas:

Para evitar o AzureML Data Scientist uso da função, você pode usar essas ações individuais (além das ações listadas para Featureset consumer)

Permissões necessárias para a feature store materialization managed identity função

Além de todas as permissões que a feature set consumer função exige, use estas funções internas:

Novas ações criadas para o repositório de recursos gerenciados

Estas novas ações são criadas para o uso do repositório de recursos gerenciados:

Não há ACL (lista de controle de acesso) para instâncias de uma entidade de armazenamento de recursos e um conjunto de recursos.

Próximos passos

• Noções básicas sobre entidades de nível superior no repositório de recursos gerenciados
• Gerir o acesso a uma área de trabalho do Azure Machine Learning
• Configurar a autenticação dos recursos e dos fluxos de trabalho do Azure Machine Learning