Konfigurieren eines verwalteten Netzwerks für Azure KI Studio-Hubs

Artikel
11/19/2024

Wir haben zwei Aspekte der Netzwerkisolation. Eines ist die Netzwerkisolation für den Zugriff auf einen Azure KI Studio-Hub. Ein anderes ist die Netzwerkisolation von Computingressourcen für Ihren Hub und Ihr Projekt (z. B. Compute-Instanz, serverlos und verwalteter Onlineendpunkt). Dieses Dokument erklärt den letzteren, im Diagramm hervorgehobenen Punkt. Sie können die integrierte Netzwerkisolation verwenden, um Ihre Computingressourcen zu schützen.

Sie müssen die folgenden Konfigurationen für die Netzwerkisolation konfigurieren.

Wählen Sie den Netzwerkisolationsmodus aus. Wir haben zwei Optionen: Den Modus „ausgehenden Internetdatenverkehr zulassen“ oder den Modus „nur genehmigten ausgehenden Datenverkehr zulassen“.
Wenn Sie die Visual Studio Code-Integration mit dem Modus „nur genehmigten ausgehenden Datenverkehr zulassen“ verwenden, erstellen Sie FQDN-Ausgangsregeln, die im Abschnitt zur Verwendung von Video Studio Code beschrieben sind.
Wenn Sie Hugging Face-Modelle in Modellen mit dem Modus „nur zugelassenen ausgehenden Datenverkehr“ verwenden, erstellen Sie FQDN-Ausgangsregeln, die im Abschnitt zur Verwendung von Hugging Face-Modellen beschrieben sind.
Wenn Sie eines der Open-Source-Modelle mit nur genehmigtem ausgehendem Modus verwenden, erstellen Sie FQDN-Ausgehende Regeln, die im Abschnitt von Azure KI kuratiert wurden.

Netzwerkisolationsarchitektur und Isolationsmodi

Wenn Sie die Isolation verwalteter virtueller Netzwerke aktivieren, wird ein verwaltetes virtuelles Netzwerk für den Hub erstellt. Verwaltete Computeressourcen, die Sie für den Hub erstellen, verwenden automatisch dieses verwaltete virtuelle Netzwerk. Das verwaltete virtuelle Netzwerk kann private Endpunkte für Azure-Ressourcen verwenden, die von Ihrem Hub verwendet werden (z. B. Azure Storage, Azure Key Vault und Azure Container Registry).

Es gibt drei verschiedene Konfigurationsmodi für ausgehenden Datenverkehr aus dem verwalteten virtuellen Netzwerk:

Ausgehender Modus	BESCHREIBUNG	Szenarien
Ausgehenden Internetdatenverkehr zulassen	Lassen Sie den gesamten ausgehenden Internetdatenverkehr des verwalteten virtuellen Netzwerks zu.	Es empfiehlt sich der uneingeschränkte Zugriff auf Ressourcen für maschinelles Lernen im Internet, z. B. Python-Pakete oder vortrainierte Modelle.¹
Nur genehmigten ausgehenden Datenverkehr zulassen	Ausgehender Datenverkehr wird durch Angabe von Diensttags zugelassen.	* Sie sollten das Risiko der Datenexfiltration minimieren, aber Sie müssen alle erforderlichen Artefakte des maschinellen Lernens in Ihrer privaten Umgebung vorbereiten. * Sie sollten den ausgehenden Zugriff auf eine genehmigte Liste von Diensten, Diensttags oder FQDNs konfigurieren.
Disabled	Eingehender und ausgehender Datenverkehr ist nicht eingeschränkt.	Sie möchten ein- und ausgehende öffentliche Daten aus dem Hub.

¹ Sie können Ausgangsregeln im Modus nur genehmigten ausgehenden Datenverkehr zulassen verwenden, um damit dasselbe Ergebnis wie im Modus „ausgehenden Internetdatenverkehr zulassen“ zu erzielen. Folgende Unterschiede bestehen:

Verwenden Sie immer private Endpunkte, um auf Azure-Ressourcen zuzugreifen.
Sie müssen Regeln für jede ausgehende Verbindung hinzufügen, die Sie zulassen müssen.
Das Hinzufügen von FQDN-Ausgangsregeln erhöht Ihre Kosten, da dieser Regeltyp Azure Firewall verwendet. Wenn Sie ausgehende FQDN-Regeln verwenden, sind Gebühren für Azure Firewall in Ihrer Abrechnung enthalten. Weitere Informationen finden Sie unter Preise.
Die Standardregeln für Nur genehmigten ausgehenden Datenverkehr zulassen sind so konzipiert, dass das Risiko einer Datenexfiltration minimiert wird. Alle Ausgangsregeln, die Sie hinzufügen, erhöhen möglicherweise das Risiko.

Das verwaltete virtuelle Netzwerk ist mit erforderlichen Standardregeln vorkonfiguriert. Es ist auch für Verbindungen mit privaten Endpunkten zu Ihrem Hub, dem Standardspeicher des Hubs, der Containerregistrierung und dem Schlüsseltresor konfiguriert, wenn diese als privat konfiguriert sind, oder der Hubisolationsmodus ist so festgelegt, dass nur genehmigter ausgehender Datenverkehr zugelassen wird. Nachdem Sie den Isolationsmodus ausgewählt haben, müssen Sie nur noch weitere Anforderungen für ausgehenden Datenverkehr berücksichtigen, die Sie möglicherweise hinzufügen müssen.

Das folgende Diagramm zeigt ein verwaltetes virtuelles Netzwerk, das für den ausgehenden Internetzugriff konfiguriert ist:

Das folgende Diagramm zeigt ein verwaltetes virtuelles Netzwerk, das für nur genehmigtes ausgehendes Internet zulassen konfiguriert ist:

Hinweis

In dieser Konfiguration werden der vom Hub verwendete Speicher, der Schlüsseltresor und die Containerregistrierung als privat gekennzeichnet. Da sie als privat gekennzeichnet sind, wird ein privater Endpunkt für die Kommunikation mit ihnen verwendet.

Voraussetzungen

Stellen Sie vor dem Ausführen der Schritte in diesem Artikel sicher, dass Sie über die folgenden erforderlichen Komponenten verfügen:

Ein Azure-Abonnement. Wenn Sie kein Azure-Abonnement besitzen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen.
Der Microsoft.Network-Ressourcenanbieter muss für Ihr Azure-Abonnement registriert sein. Dieser Ressourcenanbieter wird vom Hub beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk verwendet.

Weitere Informationen zum Registrieren eines Ressourcenanbieters finden Sie unter Beheben von Fehlern bei der Ressourcenanbieterregistrierung.
Die Azure-Identität, die Sie beim Bereitstellen eines verwalteten Netzwerks verwenden, erfordert die folgenden azure role-based access control (Azure RBAC)- Aktionen zum Erstellen privater Endpunkte:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

Ein Azure-Abonnement. Wenn Sie kein Azure-Abonnement besitzen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen.
Der Microsoft.Network-Ressourcenanbieter muss für Ihr Azure-Abonnement registriert sein. Dieser Ressourcenanbieter wird vom Hub beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk verwendet.

Weitere Informationen zum Registrieren eines Ressourcenanbieters finden Sie unter Beheben von Fehlern bei der Ressourcenanbieterregistrierung.
Die Azure-Identität, die Sie beim Bereitstellen eines verwalteten Netzwerks verwenden, erfordert die folgenden azure role-based access control (Azure RBAC)- Aktionen zum Erstellen privater Endpunkte:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
Die Azure CLI und die ml-Erweiterung der Azure CLI. Weitere Informationen finden Sie unter Installieren, Einrichten und Verwenden der CLI (v2).
In den CLI-Beispielen in diesem Artikel wird davon ausgegangen, dass Sie die Bash-Shell (oder eine kompatible Shell) verwenden, beispielsweise über ein Linux-System oder ein Windows-Subsystem für Linux.
In den Azure CLI-Beispielen in diesem Artikel wird der Name des Hubs durch ws und der Name der Ressourcengruppe durch rg dargestellt. Ändern Sie diese Werte nach Bedarf, wenn Sie die Befehle mit Ihrem Azure-Abonnement verwenden.

Ein Azure-Abonnement. Wenn Sie nicht über ein Azure-Abonnement verfügen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen. Probieren Sie die kostenlose oder kostenpflichtige Version von Azure Machine Learning aus.
Der Microsoft.Network-Ressourcenanbieter muss für Ihr Azure-Abonnement registriert sein. Dieser Ressourcenanbieter wird vom Hub beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk verwendet.

Weitere Informationen zum Registrieren eines Ressourcenanbieters finden Sie unter Beheben von Fehlern bei der Ressourcenanbieterregistrierung.
Die Azure-Identität, die Sie beim Bereitstellen eines verwalteten Netzwerks verwenden, erfordert die folgenden azure role-based access control (Azure RBAC)- Aktionen zum Erstellen privater Endpunkte:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
Das Azure Machine Learning Python SDK v2. Weitere Informationen zu diesem SDK finden Sie unter Azure ML-Paketclientbibliothek für Python – Version 1.7.0.

In den Beispielen in diesem Artikel wird davon ausgegangen, dass Ihr Code mit dem folgenden Python-Code beginnt. Dieser Code importiert die Klassen, die beim Erstellen eines Hubs mit verwaltetem virtuellen Netzwerk erforderlich sind, legt Variablen für Ihr Azure-Abonnement und Ihre Ressourcengruppe fest und erstellt den ML-Client (ml_client):

from azure.ai.ml import MLClient
from azure.ai.ml.entities import (
    Hub,
    ManagedNetwork,
    IsolationMode,
    ServiceTagDestination,
    PrivateEndpointDestination,
    FqdnDestination
)
from azure.identity import DefaultAzureCredential

# Replace with the values for your Azure subscription and resource group.
subscription_id = "<SUBSCRIPTION_ID>"
resource_group = "<RESOURCE_GROUP>"

# get a handle to the subscription
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)

Begrenzungen

Azure KI Studio unterstützt derzeit keine eigenen virtuellen Netzwerke, sondern nur die Isolation verwalteter virtueller Netzwerke.
Die Aktivierung der Isolation verwalteter virtueller Netzwerke für Ihre Azure KI-Instanz kann nicht rückgängig gemacht werden.
Das verwaltete virtuelle Netzwerk verwendet eine private Endpunktverbindung, um auf Ihre privaten Ressourcen zuzugreifen. Sie können für Ihre Azure-Ressourcen (z. B. ein Speicherkonto) nicht gleichzeitig über einen privaten Endpunkt und über einen Dienstendpunkt verfügen. Es wird empfohlen, in allen Szenarien private Endpunkte zu verwenden.
Das verwaltete virtuelle Netzwerk wird gelöscht, wenn die Azure KI-Instanz gelöscht wird.
Der Schutz vor Datenexfiltration wird automatisch für den einzigen genehmigten ausgehenden Modus aktiviert. Wenn Sie andere Ausgangsregeln hinzufügen, z. B. FQDNs, kann Microsoft nicht garantieren, dass Sie vor Datenexfiltration in diese ausgehenden Ziele geschützt sind.
Die Verwendung von FQDN-Ausgangsregeln erhöht die Kosten des verwalteten virtuellen Netzwerks, da FQDN-Regeln Azure Firewall verwenden. Weitere Informationen finden Sie unter Preise.
Ausgehende FQDN-Regeln unterstützen nur die Ports 80 und 443.
Wenn Sie eine Compute-Instanz mit einem verwalteten Netzwerk verwenden, können Sie den Befehl az ml compute connect-ssh verwenden, um eine SSH-Verbindung mit der Compute-Instanz herzustellen.
Wenn Ihr verwaltetes Netzwerk mit der Einstellung Nur genehmigten ausgehenden Datenverkehr zulassen konfiguriert ist, können Sie keine FQDN-Regel (Fully Qualified Domain Name, vollqualifizierter Domänenname) verwenden, um auf Azure Storage-Konten zuzugreifen. Sie müssen stattdessen einen privaten Endpunkt verwenden.

Konfigurieren eines verwalteten virtuellen Netzwerks zum Zulassen von ausgehendem Internetdatenverkehr

Tipp

Das verwaltete VNet wird erst erstellt, nachdem eine Computeressource erstellt oder die Bereitstellung manuell gestartet wurde. Beim Zulassen der automatischen Erstellung kann es etwa 30 Minuten dauern, bis die erste Computeressource erstellt wird, da dabei auch das Netzwerk bereitgestellt wird.

Erstellen eines neuen Hubs:
1. Melden Sie sich beim Azure-Portal an, und wählen Sie im Menü „Ressource erstellen“ die Option „Azure KI Studio“ aus.
2. Wählen Sie + Neue Azure KI aus.
3. Geben Sie die erforderlichen Informationen auf der Registerkarte Grundlagen an.
4. Wählen Sie auf der Registerkarte Netzwerk die Option Privat mit ausgehendem Internetdatenverkehr aus.
5. Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Seitenleiste Ausgangsregeln die folgenden Informationen an:
  - Regelname: Ein Name für die Regel. Der Name muss für diesen Hub eindeutig sein.
  - Zieltyp: Der private Endpunkt ist die einzige Option, wenn die Netzwerkisolation privat mit ausgehendem Internet ist. Das vom Hub verwaltete virtuelle Netzwerk unterstützt das Erstellen eines privaten Endpunkts für alle Azure-Ressourcentypen nicht. Eine Liste der unterstützten Ressourcen finden Sie im Abschnitt Private Endpunkte.
  - Abonnement: Das Abonnement, das die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
  - Ressourcengruppe: Die Ressourcengruppe, die die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
  - Ressourcentyp: Der Typ der Azure-Ressource.
  - Ressourcenname: Der Namen der Azure-Ressource.
  - Unterressource: Die Unterressource des Azure-Ressourcentyps.
  Wählen Sie Speichern aus, um die Regel zu speichern. Sie können weiterhin Benutzerdefinierte Ausgangsregeln hinzufügen verwenden, um Regeln hinzuzufügen.
6. Fahren Sie mit der Erstellung des Hubs wie gewohnt fort.
Aktualisieren eines vorhandenen Hub:
1. Melden Sie sich beim Azure-Portal an, und wählen Sie den Hub aus, für den Sie die Isolation verwalteter virtueller Netzwerke aktivieren möchten.
2. Wählen Sie Netzwerk und dann Privat mit ausgehendem Internetdatenverkehr aus.
  - Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Seitenleiste Ausgangsregeln die gleichen Informationen an, die beim Erstellen eines Hubs im Abschnitt „Neuen Hub erstellen“ verwendet werden.
  - Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.
3. Wählen Sie oben auf der Seite Speichern aus, um die Änderungen im verwalteten virtuellen Netzwerk zu speichern.

Wenn Sie ein verwaltetes virtuelles Netzwerk konfigurieren möchten, das ausgehende Internetkommunikation zulässt, können Sie entweder den Parameter --managed-network allow_internet_outbound oder eine YAML-Konfigurationsdatei mit folgenden Einträgen verwenden:

managed_network:
  isolation_mode: allow_internet_outbound

Sie können auch Ausgangsregeln für andere Azure-Dienste definieren, auf denen der Hub basiert. Diese Regeln definieren private Endpunkte, die es einer Azure-Ressource ermöglichen, sicher mit dem verwalteten virtuellen Netzwerk zu kommunizieren. Die folgende Regel zeigt das Hinzufügen eines privaten Endpunkts zu einer Azure-Blobressource.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Sie können ein verwaltetes virtuelles Netzwerk mithilfe des Befehls az ml workspace create oder az ml workspace update konfigurieren:

Erstellen eines neuen Hubs:

Im folgenden Beispiel wird ein neuer Hub erstellt. Der Parameter --managed-network allow_internet_outbound konfiguriert ein verwaltetes virtuelles Netzwerk für den Hub:
```
az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
Wenn Sie stattdessen einen Hub mithilfe einer YAML-Datei erstellen möchten, können Sie den Parameter --file verwenden und die YAML-Datei angeben, die die Konfigurationseinstellungen enthält:
```
az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
```
Im folgenden YAML-Beispiel wird ein Hub mit einem verwalteten virtuellen Netzwerk definiert:
```
name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_internet_outbound
```
Aktualisieren eines vorhandenen Hub:

Warnung

Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

Im folgenden Beispiel wird ein vorhandener Hub aktualisiert. Der Parameter --managed-network allow_internet_outbound konfiguriert ein verwaltetes virtuelles Netzwerk für den Hub:
```
az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
Wenn Sie stattdessen einen vorhandenen Hub mithilfe der YAML-Datei aktualisieren möchten, können Sie den --file-Parameter verwenden und die YAML-Datei mit den Konfigurationseinstellungen angeben:
```
az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
```
Im folgenden YAML-Beispiel wird ein verwaltetes virtuelles Netzwerk für den Hub definiert. Außerdem zeigt es, wie Sie einer vom Hub verwendeten Ressource eine Verbindung mit einem privaten Endpunkt (in diesem Fall: ein privater Endpunkt für einen Blobspeicher) hinzufügen:
```
name: myhub
managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint
```

Wenn Sie ein verwaltetes virtuelles Netzwerk konfigurieren möchten, das ausgehende Internetkommunikation zulässt, können Sie die Klasse ManagedNetwork verwenden, um ein Netzwerk mit IsolationMode.ALLOW_INTERNET_OUTBOUND zu definieren. Anschließend können Sie das Objekt ManagedNetwork verwenden, um einen neuen Hub zu erstellen oder einen vorhandenen zu aktualisieren. Wenn Sie Ausgangsregeln für Azure-Dienste definieren möchten, die der Hub benötigt, können Sie die Klasse PrivateEndpointDestination verwenden, um einen neuen privaten Endpunkt für den Dienst zu definieren.

Erstellen eines neuen Hubs:

Im folgenden Beispiel wird ein neuer Hub mit dem Namen myhub sowie mit einer Ausgangsregel namens myrule erstellt, die einen privaten Endpunkt für einen Azure-Blobspeicher hinzufügt:

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

Aktualisieren eines vorhandenen Hub:

Im folgenden Beispiel wird veranschaulicht, wie Sie ein verwaltetes virtuelles Netzwerk für einen vorhandenen Hub mit dem Namen myhub erstellen:

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Update the hub
ml_client.workspaces.begin_update(ws)

Konfigurieren eines verwalteten virtuellen Netzwerks, sodass nur genehmigter ausgehender Datenverkehr zugelassen wird

Tipp

Das verwaltete VNet wird automatisch bereitgestellt, wenn Sie eine Computeressource erstellen. Beim Zulassen der automatischen Erstellung kann es etwa 30 Minuten dauern, bis die erste Computeressource erstellt wird, da dabei auch das Netzwerk bereitgestellt wird. Wenn Sie FQDN-Ausgangsregeln konfiguriert haben, verlängert die erste FQDN-Regel die Bereitstellungszeit um etwa 10 Minuten.

Erstellen eines neuen Hubs:
1. Melden Sie sich beim Azure-Portal an, und wählen Sie im Menü „Ressource erstellen“ die Option „Azure KI Studio“ aus.
2. Wählen Sie + Neue Azure KI aus.
3. Geben Sie die erforderlichen Informationen auf der Registerkarte Grundlagen an.
4. Wählen Sie auf der Registerkarte Netzwerk die Option Privat mit bestätigtem Internetdatenverkehr aus.
5. Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Seitenleiste Ausgangsregeln die folgenden Informationen an:
  - Regelname: Ein Name für die Regel. Der Name muss für diesen Hub eindeutig sein.
  - Zieltyp: Privater Endpunkt, Diensttag oder FQDN. Diensttag und FQDN sind nur verfügbar, wenn die Netzwerkisolation privat mit genehmigtem ausgehendem Datenverkehr ist.
  Wenn der Zieltyp privater Endpunkt ist, geben Sie die folgenden Informationen an:
  - Abonnement: Das Abonnement, das die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
  - Ressourcengruppe: Die Ressourcengruppe, die die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
  - Ressourcentyp: Der Typ der Azure-Ressource.
  - Ressourcenname: Der Namen der Azure-Ressource.
  - Unterressource: Die Unterressource des Azure-Ressourcentyps.
  Tipp
  
  Das vom Hub verwaltete VNet unterstützt das Erstellen eines privaten Endpunkts für alle Azure-Ressourcentypen nicht. Eine Liste der unterstützten Ressourcen finden Sie im Abschnitt Private Endpunkte.
  
  Wenn der Zieltyp Diensttag ist, geben Sie die folgenden Informationen an:
  - Diensttag: Das Diensttag, das den genehmigten Ausgangsregeln hinzugefügt werden soll.
  - Protokoll: Das Protokoll, das für das Diensttag zugelassen werden soll.
  - Portbereiche: Die Portbereiche, die für das Diensttag zulässig sind.
  Wenn der Zieltyp FQDN ist, geben Sie die folgenden Informationen an:
  - FQDN-Ziel: Der vollqualifizierte Domänenname, der den genehmigten Ausgangsregeln hinzugefügt werden soll.
  Wählen Sie Speichern aus, um die Regel zu speichern. Sie können weiterhin Benutzerdefinierte Ausgangsregeln hinzufügen verwenden, um Regeln hinzuzufügen.
6. Fahren Sie mit der Erstellung des Hubs wie gewohnt fort.
Aktualisieren eines vorhandenen Hub:
1. Melden Sie sich beim Azure-Portal an, und wählen Sie den Hub aus, für den Sie die Isolation verwalteter virtueller Netzwerke aktivieren möchten.
2. Wählen Sie Netzwerk und dann Privat mit genehmigtem ausgehendem Datenverkehr aus.
  - Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Seitenleiste Ausgangsregeln die gleichen Informationen wie beim Erstellen eines Hubs im vorherigen Abschnitt „Neuen Hub erstellen“ an.
  - Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.
3. Wählen Sie oben auf der Seite Speichern aus, um die Änderungen im verwalteten virtuellen Netzwerk zu speichern.

Wenn Sie ein verwaltetes virtuelles Netzwerk konfigurieren möchten, das nur genehmigte ausgehende Kommunikation zulässt, können Sie entweder den Parameter --managed-network allow_only_approved_outbound oder eine YAML-Konfigurationsdatei mit folgenden Einträgen verwenden:

managed_network:
  isolation_mode: allow_only_approved_outbound

Sie können auch Ausgangsregeln definieren, um die genehmigte ausgehende Kommunikation zu definieren. Eine Ausgangsregel kann für die Typen service_tag, fqdn und private_endpoint erstellt werden. Die folgende Regel zeigt das Hinzufügen eines privaten Endpunkts zu einer Azure-Blobressource (Diensttag zu Azure Data Factory) und ein FQDN auf pypi.org:

Wichtig

Das Hinzufügen von ausgehendem Datenverkehr für ein Diensttag oder FQDN ist nur zulässig, wenn das verwaltete VNet für allow_only_approved_outbound konfiguriert ist.
Wenn Sie Ausgangsregeln hinzufügen, kann Microsoft keine Datenexfiltration garantieren.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Sie können ein verwaltetes virtuelles Netzwerk mithilfe des Befehls az ml workspace create oder az ml workspace update konfigurieren:

Erstellen eines neuen Hubs:

Im folgenden Beispiel wird der Parameter --managed-network allow_only_approved_outbound verwendet, um das verwaltete virtuelle Netzwerk zu konfigurieren:
```
az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
```
Die folgende YAML-Datei definiert einen Hub mit einem verwalteten virtuellen Netzwerk:
```
name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_only_approved_outbound
```
Wenn Sie einen Hub mit der YAML-Datei erstellen möchten, können Sie den Parameter --file verwenden:
```
az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
```
Aktualisieren eines vorhandenen Hub

Warnung

Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

Im folgenden Beispiel wird der Parameter --managed-network allow_only_approved_outbound verwendet, um das verwaltete virtuelle Netzwerk für einen vorhandenen Hub zu konfigurieren:
```
az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
```
Die folgende YAML-Datei definiert ein verwaltetes virtuelles Netzwerk für den Hub. Außerdem veranschaulicht sie, wie dem verwalteten virtuellen Netzwerk genehmigter ausgehender Datenverkehr hinzugefügt wird. In diesem Beispiel wird eine Ausgangsregel für ein Diensttag hinzugefügt:
```
name: myhub_dep
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint
```

Wenn Sie ein verwaltetes virtuelles Netzwerk konfigurieren möchten, das nur ausgehende Kommunikation zulässt, können Sie die Klasse ManagedNetwork verwenden, um ein Netzwerk mit IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND zu definieren. Anschließend können Sie das Objekt ManagedNetwork verwenden, um einen neuen Hub zu erstellen oder einen vorhandenen zu aktualisieren. Verwenden Sie die folgenden Klassen, um Ausgangsregeln zu definieren:

Destination	Klasse
Azure-Dienst, den der Hub benötigt	`PrivateEndpointDestination`
Azure-Diensttag	`ServiceTagDestination`
Vollqualifizierter Domänenname (FQDN)	`FqdnDestination`

Erstellen eines neuen Hubs:

Im folgenden Beispiel wird ein neuer Hub namens myhub mit mehreren Ausgangsregeln erstellt:

myrule: Fügt einen privaten Endpunkt für einen Azure-Blobspeicher hinzu.
datafactory: Fügt eine Diensttagregel für die Kommunikation mit Azure Data Factory hinzu.

Wichtig

Das Hinzufügen von ausgehendem Datenverkehr für ein Diensttag oder FQDN ist nur zulässig, wenn das verwaltete VNet für IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND konfiguriert ist.
Wenn Sie Ausgangsregeln hinzufügen, kann Microsoft keine Datenexfiltration garantieren.

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

Aktualisieren eines vorhandenen Hub:

Im folgenden Beispiel wird veranschaulicht, wie Sie ein verwaltetes virtuelles Netzwerk für einen vorhandenen Azure Machine Learning-Hub mit dem Namen myhub erstellen. In dem Beispiel werden auch mehrere Ausgangsregeln für das verwaltete virtuelle Netzwerk hinzugefügt:

myrule: Fügt einen privaten Endpunkt für einen Azure-Blobspeicher hinzu.
datafactory: Fügt eine Diensttagregel für die Kommunikation mit Azure Data Factory hinzu.

Tipp

Das Hinzufügen von ausgehendem Datenverkehr für ein Diensttag oder FQDN ist nur zulässig, wenn das verwaltete VNet für IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND konfiguriert ist.

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Update the hub
ml_client.workspaces.begin_update(ws)

Manuelles Bereitstellen eines verwalteten VNet

Das verwaltete virtuelle Netzwerk wird automatisch bereitgestellt, wenn Sie eine Compute-Instanz erstellen. Wenn Sie die automatische Bereitstellung verwenden, kann es etwa 30 Minuten dauern, bis die erste Computeinstanz erstellt wurde, da auch das Netzwerk bereitgestellt wird. Wenn Sie FQDN-Ausgangsregeln konfiguriert haben (nur im Modus „Nur genehmigten ausgehenden Datenverkehr zulassen“ verfügbar), verlängert die erste FQDN-Regel die Bereitstellungszeit um etwa 10 Minuten. Wenn Sie über eine große Anzahl von ausgehenden Regeln verfügen, die im verwalteten Netzwerk bereitgestellt werden, kann es länger dauern, bis die Bereitstellung abgeschlossen ist. Die erhöhte Bereitstellungszeit kann dazu führen, dass ihre erste Berechnungsinstanzerstellung zu einem Timeout führt.

Um die Wartezeit zu verringern und potenzielle Timeoutfehler zu vermeiden, empfehlen wir die manuelle Bereitstellung des verwalteten Netzwerks. Warten Sie dann, bis die Bereitstellung abgeschlossen ist, bevor Sie eine Computeinstanz erstellen.

Alternativ können Sie das provision_network_now-Flag verwenden, um das verwaltete Netzwerk im Rahmen der Huberstellung bereitzustellen. Dieses Flag befindet sich in der Vorschau.

Hinweis

Um eine Onlinebereitstellung zu erstellen, müssen Sie das verwaltete Netzwerk manuell bereitstellen oder zuerst eine Computeinstanz erstellen, die sie automatisch bereitstellen wird.

Wählen Sie während der Erstellung des Hubs die Option Verwaltetes Netzwerk bei der Erstellung proaktiv bereitstellen aus, um das verwaltete Netzwerk bereitzustellen. Nachdem das virtuelle Netzwerk bereitgestellt wurde, fallen Gebühren für Netzwerkressourcen an (z. B. private Endpunkte). Diese Konfigurationsoption ist nur während der Erstellung eines Arbeitsbereichs verfügbar und befindet sich in der Vorschau.

Das folgende Beispiel zeigt, wie Sie ein verwaltetes virtuelles Netzwerk während der Huberstellung bereitstellen. Das --provision-network-now-Flag befindet sich in der Vorschau.

az ml workspace create -n myworkspace -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now

Das folgende Beispiel zeigt, wie Sie ein verwaltetes virtuelles Netzwerk bereitstellen.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Um zu überprüfen, ob die Bereitstellung abgeschlossen ist, verwenden Sie den folgenden Befehl:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Das folgende Beispiel zeigt, wie Sie ein verwaltetes virtuelles Netzwerk während der Huberstellung bereitstellen. Das --provision-network-now-Flag befindet sich in der Vorschau.

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

Das folgende Beispiel zeigt, wie Sie ein verwaltetes virtuelles Netzwerk bereitstellen:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myAIHubName")

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ai_hub_name).result()

Um zu überprüfen, ob der KI-Hub bereitgestellt wurde, verwenden Sie ml_client.workspaces.get() zum Abrufen der KI-Hub-Informationen. Die managed_network Eigenschaft enthält den Status des verwalteten Netzwerks.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

Verwalten von Ausgangsregeln

Melden Sie sich beim Azure-Portal an, und wählen Sie den Hub aus, für den Sie die Isolation verwalteter virtueller Netzwerke aktivieren möchten.
Wählen Sie Netzwerk aus. Im Abschnitt Ausgehender Azure KI-Zugriff können Sie Ausgangsregeln verwalten.

Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Seitenleiste für Azure KI-Ausgangsregeln die folgenden Informationen an:
Um eine Regel zu aktivieren oder zu deaktivieren, verwenden Sie die Umschaltfläche in der Spalte Aktiv.
Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.

Um die Ausgangsregeln des verwalteten virtuellen Netzwerks für einen Hub auflisten zu können, verwenden Sie den folgenden Befehl:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Verwenden Sie den folgenden Befehl, um die Details einer Ausgangsregel für das verwaltete virtuelle Netzwerk anzuzeigen:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Verwenden Sie den folgenden Befehl, um eine Ausgangsregel aus dem verwalteten virtuellen Netzwerk zu entfernen:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

Im folgenden Beispiel wird gezeigt, wie Ausgangsregeln für einen Hub mit dem Namen myhub verwaltet werden:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Liste der erforderlichen Regeln

Tipp

Folgende Regeln werden dem verwalteten VNet automatisch hinzugefügt:

Private Endpunkte:

Wenn der Isolationsmodus für das verwaltete virtuelle Netzwerk Allow internet outbound lautet, werden Ausgangsregeln für private Endpunkte automatisch als erforderliche Regeln aus dem verwalteten virtuellen Netzwerk für den Hub und die zugehörigen Ressourcen mit deaktiviertem Zugriff auf das öffentliche Netzwerk erstellt (Schlüsseltresor, Speicherkonto, Containerregistrierung, Hub).
Wenn der Isolationsmodus für das verwaltete virtuelle Netzwerk Allow only approved outbound lautet, werden Ausgangsregeln für private Endpunkte automatisch als erforderliche Regeln aus dem verwalteten virtuellen Netzwerk für den Hub und die zugehörigen Ressourcen unabhängig vom Zugriffsmodus auf das öffentliche Netzwerk für diese Ressourcen erstellt (Schlüsseltresor, Speicherkonto, Containerregistrierung, Hub).

Diensttagregeln für ausgehenden Datenverkehr:

AzureActiveDirectory
Azure Machine Learning
BatchNodeManagement.region
AzureResourceManager
AzureFrontDoor.FirstParty
MicrosoftContainerRegistry
AzureMonitor

Diensttagregeln für eingehenden Datenverkehr:

AzureMachineLearning

Liste der szenariospezifischen Ausgangsregeln

Szenario: Zugreifen auf öffentliche Machine Learning-Pakete

Um die Installation von Python-Paketen für Training und Bereitstellung zuzulassen, fügen Sie ausgehende FQDN-Regeln zum Gestatten von Datenverkehr an die folgenden Hostnamen hinzu:

Hinweis

Diese Liste ist nicht vollständig. Sie enthält nur die Hosts, die für die am häufigsten verwendeten Python-Ressourcen im Internet erforderlich sind. Wenn Sie z. B. Zugriff auf ein GitHub-Repository oder einen anderen Host benötigen, müssen Sie die erforderlichen Hosts für dieses Szenario ermitteln und hinzufügen.

Hostname	Zweck
`anaconda.com` `*.anaconda.com`	Wird verwendet, um Standardpakete zu installieren
`*.anaconda.org`	Wird verwendet, um Repositorydaten abzurufen
`pypi.org`	Wird zum Auflisten von Abhängigkeiten vom Standardindex verwendet, sofern vorhanden, und der Index wird nicht durch Benutzereinstellungen überschrieben. Wenn der Index überschrieben wird, müssen Sie auch `*.pythonhosted.org` zulassen.
`pytorch.org` `*.pytorch.org`	Wird von einigen Beispielen verwendet, die auf PyTorch basieren.
`*.tensorflow.org`	Wird von einigen Beispielen verwendet, die auf Tensorflow basieren.

Szenario: Verwenden von Visual Studio Code

Visual Studio Code basiert auf bestimmten Hosts und Ports, um eine Remoteverbindung herzustellen.

Hosts

Wenn Sie planen, Visual Studio Code mit dem Hub zu verwenden, fügen Sie FQDN-Ausgangsregeln hinzu, die den Datenverkehr an die folgenden Hosts zulassen:

*.vscode.dev
vscode.blob.core.windows.net
*.gallerycdn.vsassets.io
raw.githubusercontent.com
*.vscode-unpkg.net
*.vscode-cdn.net
*.vscodeexperiments.azureedge.net
default.exp-tas.com
code.visualstudio.com
update.code.visualstudio.com
*.vo.msecnd.net
marketplace.visualstudio.com
pkg-containers.githubusercontent.com
github.com

Ports

Sie müssen den Netzwerkdatenverkehr an Ports 8704 bis 8710 zulassen. Der VS Code-Server wählt dynamisch den ersten verfügbaren Port in diesem Bereich aus.

Szenario: Verwenden von HuggingFace-Modellen

Wenn Sie planen, HuggingFace-Modelle mit dem Hub zu verwenden, fügen Sie FQDN-Ausgangsregeln hinzu, die den Datenverkehr an die folgenden Hosts zulassen:

docker.io
*.docker.io
*.docker.com
production.cloudflare.docker.com
cnd.auth0.com
cdn-lfs.huggingface.co

Szenario: Kuratiert von Azure KI

Zu diesen Modellen gehören die dynamische Installation von Abhängigkeiten zur Laufzeit, und sie müssen ausgehende FQDN-Regeln abrufen, um Datenverkehr zu den folgenden Hosts zu ermöglichen:

*.anaconda.org *.anaconda.com anaconda.com pypi.org *.pythonhosted.org *.pytorch.org pytorch.org

Private Endpunkte

Private Endpunkte werden derzeit für die folgenden Azure-Dienste unterstützt:

KI Studio-Hub
Azure KI Search
Azure KI Services
Azure API Management
Azure Container Registry
Azure Cosmos DB (alle Unterressourcentypen)
Azure Data Factory
Azure Database for MariaDB
Azure Database for MySQL
Azure Database for PostgreSQL Single Server
Azure Database for PostgreSQL – Flexibler Server
Azure Databricks
Azure Event Hubs
Azure Key Vault
Azure Machine Learning
Azure Machine Learning-Registrierungen
Azure Redis Cache
Azure SQL Server
Azure Storage (alle Unterressourcentypen)

Wenn Sie einen privaten Endpunkt erstellen, geben Sie den Ressourcentyp und die Unterquelle an, mit der der Endpunkt eine Verbindung herstellt. Einige Ressourcen verfügen über mehrere Typen und Unterressourcen. Weitere Informationen finden Sie unter Was ist ein privater Endpunkt?.

Wenn Sie einen privaten Endpunkt für Abhängigkeitsressourcen des Hubs wie Azure Storage, Azure Container Registry und Azure Key Vault erstellen, kann sich die Ressource in einem anderen Azure-Abonnement befinden. Die Ressource muss sich jedoch im selben Mandanten wie der Hub befinden.

Ein privater Endpunkt wird automatisch für eine Verbindung erstellt, wenn es sich bei der Zielressource um eine der oben aufgeführten Azure-Ressourcen handelt. Für den privaten Endpunkt wird eine gültige Ziel-ID erwartet. Eine gültige Ziel-ID für die Verbindung kann die Azure Resource Manager-ID einer übergeordneten Ressource sein. Die Ziel-ID wird auch im Ziel der Verbindung oder in metadata.resourceid erwartet. Weitere Informationen zu Verbindungen finden Sie unter Hinzufügen einer neuen Verbindung in Azure KI Studio.

Auswählen einer Azure Firewall-Version für „Nur genehmigten ausgehenden Datenverkehr zulassen“ (Vorschau)

Eine Azure Firewall-Instanz wird bereitgestellt, wenn eine FQDN-Ausgangsregel im Modus Nur genehmigten ausgehenden Datenverkehr zulassen erstellt wird. Die Gebühren für Azure Firewall sind in Ihrer Abrechnung enthalten. Standardmäßig wird eine Standard-Version von AzureFirewall erstellt. Optional können Sie eine Basic-Version verwenden. Sie können die verwendete Firewallversion bei Bedarf ändern. Informationen zum Ermitteln der Version, die für Sie am besten geeignet ist, finden Sie unter Auswählen der geeigneten Azure Firewall-Version.

Wichtig

Die Firewall wird erst erstellt, wenn Sie eine ausgehende FQDN-Regel hinzufügen. Weitere Informationen zum Preis finden Sie unter Azure Firewall – Preise sowie bei den Preisen für die Standardversion.

Auf den folgenden Registerkarten erfahren Sie, wie Sie die richtige Firewallversion für Ihr verwaltetes virtuelles Netzwerk auswählen.

Nachdem Sie den Modus „Nur genehmigten ausgehenden Datenverkehr zulassen“ ausgewählt haben, wird eine Option zum Auswählen der Azure Firewall-Version (SKU) angezeigt. Wählen Sie Standard aus, um die Standard-Version zu verwenden, oder Basic, wenn Sie die Basic-Version verwenden möchten. Wählen Sie Speichern aus, um Ihre Konfiguration zu speichern.

Um die Firewallversion über die Befehlszeilenschnittstelle (Command Line Interface, CLI) zu konfigurieren, verwenden Sie eine YAML-Datei, und geben Sie firewall_sku an. Das folgende Beispiel zeigt eine YAML-Datei, die die Firewall-SKU auf basic festlegt:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Um die Firewallversion mit dem Python SDK zu konfigurieren, legen Sie die firewall_sku-Eigenschaft des ManagedNetwork-Objekts fest. Das folgende Beispiel zeigt, wie Sie die Firewall-SKU auf basic festlegen:

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND,
                         firewall_sku='basic')

Preise

Das Feature für verwaltete virtuelle Hubnetzwerke ist kostenlos. Ihnen werden jedoch die folgenden Ressourcen in Rechnung gestellt, die vom verwalteten virtuellen Netzwerk verwendet werden:

Azure Private Link: Private Endpunkte, die zum Schützen der Kommunikation zwischen dem verwalteten virtuellen Netzwerk und Azure-Ressourcen verwendet werden, hängen von Azure Private Link ab. Weitere Informationen zur Preisgestaltung finden Sie unter Preise für Azure Private Link.
FQDN-Ausgangsregeln: FQDN-Ausgangsregeln werden mithilfe von Azure Firewall implementiert. Wenn Sie ausgehende FQDN-Regeln verwenden, sind Gebühren für Azure Firewall in Ihrer Abrechnung enthalten. Standardmäßig wird eine Standardversion von Azure Firewall verwendet. Informationen zum Auswählen der Basic-Version finden Sie unter Auswählen einer Azure Firewall-Version. Azure Firewall wird pro Hub bereitgestellt.

Wichtig

Die Firewall wird erst erstellt, wenn Sie eine ausgehende FQDN-Regel hinzufügen. Wenn Sie keine FQDN-Regeln verwenden, wird Ihnen Azure Firewall nicht in Rechnung gestellt. Weitere Informationen zur Preisgestaltung finden Sie unter Preise für Azure Firewall.

Erstellen eines KI Studio-Hubs und -Projekts mit dem SDK

Freigeben über

Konfigurieren eines verwalteten Netzwerks für Azure KI Studio-Hubs

Netzwerkisolationsarchitektur und Isolationsmodi

Voraussetzungen

Begrenzungen

Konfigurieren eines verwalteten virtuellen Netzwerks zum Zulassen von ausgehendem Internetdatenverkehr

Konfigurieren eines verwalteten virtuellen Netzwerks, sodass nur genehmigter ausgehender Datenverkehr zugelassen wird

Manuelles Bereitstellen eines verwalteten VNet

Verwalten von Ausgangsregeln

Liste der erforderlichen Regeln

Liste der szenariospezifischen Ausgangsregeln

Szenario: Zugreifen auf öffentliche Machine Learning-Pakete

Szenario: Verwenden von Visual Studio Code

Hosts

Ports

Szenario: Verwenden von HuggingFace-Modellen

Szenario: Kuratiert von Azure KI

Private Endpunkte

Auswählen einer Azure Firewall-Version für „Nur genehmigten ausgehenden Datenverkehr zulassen“ (Vorschau)

Preise

Feedback

Zusätzliche Ressourcen

Freigeben über

Konfigurieren eines verwalteten Netzwerks für Azure KI Studio-Hubs

Netzwerkisolationsarchitektur und Isolationsmodi

Voraussetzungen

Begrenzungen

Konfigurieren eines verwalteten virtuellen Netzwerks zum Zulassen von ausgehendem Internetdatenverkehr

Konfigurieren eines verwalteten virtuellen Netzwerks, sodass nur genehmigter ausgehender Datenverkehr zugelassen wird

Manuelles Bereitstellen eines verwalteten VNet

Verwalten von Ausgangsregeln

Liste der erforderlichen Regeln

Liste der szenariospezifischen Ausgangsregeln

Szenario: Zugreifen auf öffentliche Machine Learning-Pakete

Szenario: Verwenden von Visual Studio Code

Hosts

Ports

Szenario: Verwenden von HuggingFace-Modellen

Szenario: Kuratiert von Azure KI

Private Endpunkte

Auswählen einer Azure Firewall-Version für „Nur genehmigten ausgehenden Datenverkehr zulassen“ (Vorschau)

Preise

Zugehöriger Inhalt

Feedback

Zusätzliche Ressourcen