Procedimiento para configurar una red administrada para centros de Azure AI Foundry

Tenemos dos aspectos de aislamiento de red. Una es el aislamiento de red para acceder a un centro de Azure AI Foundry. Otro es el aislamiento de red de recursos informáticos para el centro de conectividad y el proyecto (como la instancia de proceso, el punto de conexión en línea sin servidor y administrado). En este documento se explica este último resaltado en el diagrama. Puede usar el aislamiento de red integrado del centro de conectividad para proteger los recursos informáticos.

Debe configurar las siguientes configuraciones de aislamiento de red.

• Elegir el modo de aislamiento de red. Tiene dos opciones: permitir el modo de salida de Internet o permitir solo el modo de salida aprobado.
• Si usa la integración de Visual Studio Code con permitir solo el modo de salida aprobado, cree reglas de salida de FQDN descritas en la sección usar Visual Studio Code.
• Si usa modelos HuggingFace en Modelos con solo permitir el modo de salida aprobado, cree reglas de salida de FQDN descritas en la sección usar modelos HuggingFace.
• Si usa uno de los modelos de código abierto con solo permitir el modo de salida aprobado, cree reglas de salida de FQDN descritas en la sección mantenido por Azure AI.

Arquitectura de aislamiento de red y modos de aislamiento

Al habilitar el aislamiento de red virtual administrada, se crea una red virtual administrada para el centro de conectividad. Los recursos de proceso administrados que cree para el centro de conectividad usan automáticamente esta red virtual administrada. La red virtual administrada a puede usar puntos de conexión privados para los recursos de Azure que usa el centro de conectividad, como Azure Storage, Azure Key Vault y Azure Container Registry.

Hay tres modos de configuración diferentes para el tráfico saliente de la red virtual administrada:

Modo de salida	Descripción	Escenarios
Permitir la salida a Internet	Permitir todo el tráfico saliente de Internet desde la red virtual administrada.	Quiere un acceso sin restricciones a los recursos de aprendizaje automático en Internet, como paquetes de Python o modelos entrenados previamente.1
Permitir solo la salida aprobada	Se permite el tráfico saliente mediante la especificación de etiquetas de servicio.	* Quiere minimizar el riesgo de filtración de datos, pero debe preparar todos los artefactos de aprendizaje automático necesarios en su entorno privado. * Quiere configurar el acceso saliente a una lista aprobada de servicios, etiquetas de servicio o FQDN.
Deshabilitado	El tráfico entrante y saliente no está restringido.	Quiere la entrada y salida pública desde el centro de conectividad.

¹ Puede usar reglas de salida con el modo permitir solo la salida aprobada para lograr el mismo resultado que el uso de permitir la salida a Internet. Las diferencias son:

• Use siempre puntos de conexión privados para acceder a los recursos de Azure.
• Debe agregar reglas para cada conexión saliente que necesite permitir.
• La adición de reglas de salida de FQDN aumenta los costes a medida que este tipo de regla usa Azure Firewall. Si usa reglas de FQDN de salida, los cargos por Azure Firewall se incluyen en la facturación. Para obtener más información, consulte el apartado Precios.
• Las reglas predeterminadas para permitir solo la salida aprobada están diseñadas para minimizar el riesgo de filtración de datos. Las reglas de salida que agregue pueden aumentar el riesgo.

La red virtual gestionada está preconfigurada con las reglas predeterminadas necesarias. También está configurado para las conexiones de punto de conexión privado al centro de conectividad, el almacenamiento predeterminado del centro, el registro de contenedor y el almacén de claves, si están configurados como privados o el modo de aislamiento del concentrador está establecido para permitir solo la salida aprobada. Después de elegir el modo de aislamiento, solo tiene que tener en cuenta otros requisitos de salida que puede que tenga que agregar.

El siguiente diagrama muestra una red virtual administrada configurada para permitir la salida de Internet:

El siguiente diagrama muestra una red virtual administrada configurada para permitir solo salidas aprobadas:

Nota:

En esta configuración, el almacenamiento, el almacén de claves y el registro de contenedor que usa el centro de conectividad se marcan como privados. Dado que se marcan como privados, se usa un punto de conexión privado para comunicarse con ellos.

Requisitos previos

Antes de seguir los pasos de este artículo, asegúrese de que tiene los siguientes requisitos previos:

Azure Portal

• Suscripción a Azure. Si no tiene una suscripción a Azure, cree una cuenta gratuita antes de empezar.

• El proveedor de recursos Microsoft.Network debe estar registrado en su suscripción de Azure. El centro de conectividad usa este proveedor de recursos al crear puntos de conexión privados para la red virtual administrada.

  Para obtener más información sobre cómo registrar un proveedor de recursos, consulte Registro del proveedor de recursos.

• La identidad de Azure que se usa al implementar una red administrada requiere las siguientes acciones de control de acceso basado en roles de Azure (Azure RBAC) para crear puntos de conexión privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

CLI de Azure

• Suscripción a Azure. Si no tiene una suscripción a Azure, cree una cuenta gratuita antes de empezar.

• El proveedor de recursos Microsoft.Network debe estar registrado en su suscripción de Azure. El centro de conectividad usa este proveedor de recursos al crear puntos de conexión privados para la red virtual administrada.

  Para obtener más información sobre cómo registrar un proveedor de recursos, consulte Registro del proveedor de recursos.

• La identidad de Azure que se usa al implementar una red administrada requiere las siguientes acciones de control de acceso basado en roles de Azure (Azure RBAC) para crear puntos de conexión privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• La CLI de Azure y la extensión ml a la CLI de Azure. Para más información, consulte Instalación, configuración y uso de la CLI v2.

• En los ejemplos de la CLI de este artículo, se supone que usa el shell de Bash (o compatible). Por ejemplo, de un sistema Linux o Subsistema de Windows para Linux.

• Los ejemplos de la CLI de Azure de este artículo usan ws para representar el nombre del centro de conectividad y rg para representar el nombre del grupo de recursos. Cambie estos valores según sea necesario al usar los comandos con la suscripción de Azure.

SDK de Python

• Suscripción a Azure. Si no tiene una suscripción de Azure, cree una cuenta gratuita antes de empezar. Pruebe la versión gratuita o de pago de Azure Machine Learning.

• El proveedor de recursos Microsoft.Network debe estar registrado en su suscripción de Azure. El centro de conectividad usa este proveedor de recursos al crear puntos de conexión privados para la red virtual administrada.

  Para obtener más información sobre cómo registrar un proveedor de recursos, consulte Registro del proveedor de recursos.

• La identidad de Azure que se usa al implementar una red administrada requiere las siguientes acciones de control de acceso basado en roles de Azure (Azure RBAC) para crear puntos de conexión privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• El SDK de Azure Machine Learning para Python (v2). Para más información sobre el SDK, consulte Instalación del SDK de Azure Machine Learning para Python (v2).

• En los ejemplos de este artículo, se supone que el código comienza con el siguiente código de Python. Este código importa las clases necesarias al crear un centro de conectividad con una red virtual administrada, establece variables para la suscripción y el grupo de recursos de Azure y crea el ml_client:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

Limitaciones

• Actualmente, Azure AI Foundry no admite la incorporación de una red virtual propia, solo admite el aislamiento de redes virtuales administradas.
• Una vez que habilite el aislamiento de red virtual administrada de Azure AI, no podrá deshabilitarlo.
• La red virtual administrada usa una conexión de punto de conexión privado para acceder a los recursos privados. No puede tener un punto de conexión privado y un punto de conexión de servicio al mismo tiempo para los recursos de Azure, como una cuenta de almacenamiento. Se recomienda usar puntos de conexión privados en todos los escenarios.
• La red virtual administrada se elimina cuando se elimina Azure AI.
• La protección de filtración de datos se habilita automáticamente para el único modo de salida aprobado. Si agrega otras reglas de salida, como A FQDN, Microsoft no puede garantizar que esté protegido contra la filtración de datos a esos destinos de salida.
• El uso de reglas de salida de FQDN aumenta el costo de la red virtual administrada porque las reglas FQDN usan Azure Firewall. Para obtener más información, consulte el apartado Precios.
• Las reglas de salida de FQDN solo admiten los puertos 80 y 443.
• Al usar una instancia de proceso con una red administrada, use el comando az ml compute connect-ssh para conectarse al proceso mediante SSH.
• Si la red administrada está configurada para permitir solo la salida aprobada, no puede usar una regla de FQDN para acceder a las cuentas de Azure Storage. En su lugar, debe usar un punto de conexión privado.

Configuración de una red virtual gestionada para permitir la salida a Internet

Sugerencia

La creación de la red virtual administrada se aplaza hasta que se cree un recurso de proceso o se inicie manualmente el aprovisionamiento. Al permitir la creación automática, puede tardar aproximadamente 30 minutos en crear el primer recurso de proceso, ya que también está aprovisionando la red.

Azure Portal

• Crear un nuevo centro de conectividad:

  1. Inicie sesión en Azure Portal y elija Azure AI Foundry en el menú Crear un recurso.

  2. Seleccione + Nueva Azure AI.

  3. Proporcione la información necesaria en la pestaña Aspectos básicos.

  4. En la pestaña Redes, seleccione Privado con Salida a Internet.

  5. Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral reglas de salida, proporcione la siguiente información:

     • Nombre de la regla: un nombre para la regla. El nombre debe ser único para este centro de conectividad.
     • Tipo de destino: el punto de conexión privado es la única opción cuando el aislamiento de red es privado con salida a Internet. La red virtual administrada por el centro de conectividad no admite la creación de un punto de conexión privado en todos los tipos de recursos de Azure. Para obtener una lista de recursos compatibles, consulte la sección Puntos de conexión privados.
     • Suscripción: la suscripción que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Grupo de recursos: el grupo de recursos que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Tipo de recurso: el tipo de recurso de Azure.
     • Nombre del recurso: el nombre del recurso de Azure.
     • Subrecurso: el subrecurso del tipo de recurso de Azure.

     Para guardar la regla, elija Guardar. Puede continuar usando Agregar reglas de salida definidas por el usuario para agregar reglas.

  6. Siga creando el centro de conectividad de la forma normal.

• Actualizar un centro de conectividad existente:

  1. Inicie sesión en el Azure Portal y seleccione el centro de conectividad para el que desea habilitar el aislamiento de red virtual administrada.

  2. Seleccione Redes y luego Privado con Salida a Internet.

     • Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral Reglas de salida, proporcione la misma información que usó al crear un centro de conectividad en la sección "Crear un nuevo centro de conectividad".

     • Para eliminar una regla de salida, seleccione eliminar en la regla.

  3. Seleccione Guardar en la parte superior de la página para guardar los cambios en la red virtual administrada.

CLI de Azure

Para configurar una red virtual administrada que permita las comunicaciones salientes de Internet, puede usar el parámetro --managed-network allow_internet_outbound o un archivo de configuración de YAML que contenga las siguientes entradas:

managed_network:
  isolation_mode: allow_internet_outbound

También puede definir reglas de salida a otros servicios de Azure en los que se basa el centro de conectividad. Estas reglas definen puntos de conexión privados que permiten que un recurso de Azure se comunique de forma segura con la red virtual administrada. En la regla siguiente, se muestra cómo agregar un punto de conexión privado a un recurso de blob de Azure.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Puede configurar una red virtual administrada mediante los comandos az ml workspace create o az ml workspace update:

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se crea un nuevo centro. El parámetro --managed-network allow_internet_outbound configura una red virtual administrada para el centro:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para crear un centro con un archivo YAML en su lugar, use el parámetro --file y especifique el archivo YAML que contiene los valores de configuración:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  En el ejemplo de YAML siguiente se define un centro de conectividad con una red virtual administrada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Actualizar un centro de conectividad existente:

  Advertencia

  Antes de actualizar un área de trabajo existente para usar una red virtual gestionada, debe eliminar todos los recursos de proceso del área de trabajo. Esto incluye instancias de proceso, clúster de proceso y puntos de conexión en línea administrados.

  En el ejemplo siguiente se actualiza un centro de conectividad existente. El parámetro --managed-network allow_internet_outbound configura una red virtual administrada para el centro:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para actualizar un centro existente mediante el archivo YAML, use el parámetro --file y especifique el archivo YAML que contiene los valores de configuración:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  En el ejemplo de YAML siguiente se define una red virtual administrada para el centro de conectividad. También se muestra cómo agregar una conexión de punto de conexión privado a un recurso usado por el centro de conectividad; en este ejemplo, un punto de conexión privado para un almacén de blobs:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

SDK de Python

Para configurar una red virtual administrada que permita las comunicaciones salientes de Internet, use la clase ManagedNetwork para definir una red con IsolationMode.ALLOW_INTERNET_OUTBOUND. A continuación, puede usar el objeto ManagedNetwork para crear un centro de conectividad o actualizar uno existente. Para definir reglas de salida a los servicios de Azure en los que se basa el centro de conectividad, use la clase PrivateEndpointDestination para definir un nuevo punto de conexión privado para el servicio.

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se crea un nuevo centro de conectividad denominado myhub, con una regla de salida denominada myrule que agrega un punto de conexión privado para un almacén de blobs de Azure:

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Actualizar un centro de conectividad existente:

  En el ejemplo siguiente se muestra cómo crear una red virtual administrada para un centro de conectividad existente denominado myhub:

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Configuración de una red virtual gestionada para permitir solo la salida aprobada

Sugerencia

La red virtual administrada se aprovisiona automáticamente al crear un recurso de proceso. Al permitir la creación automática, puede tardar aproximadamente 30 minutos en crear el primer recurso de proceso, ya que también está aprovisionando la red. Si configuró reglas de salida de FQDN, la primera regla de FQDN agrega aproximadamente 10 minutos al tiempo de aprovisionamiento.

Azure Portal

• Crear un nuevo centro de conectividad:

  1. Inicie sesión en Azure Portal y elija Azure AI Foundry en el menú Crear un recurso.

  2. Seleccione + Nueva Azure AI.

  3. Proporcione la información necesaria en la pestaña Aspectos básicos.

  4. En la pestaña Redes, seleccione Privado con Salida a Internet.

  5. Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral reglas de salida, proporcione la siguiente información:

     • Nombre de la regla: un nombre para la regla. El nombre debe ser único para este centro de conectividad.
     • Tipo de destino: punto de conexión privado, etiqueta de servicio o FQDN. La etiqueta de servicio y el FQDN solo están disponibles cuando el aislamiento de red es privado con salida aprobada.

     Si el tipo de destino es Punto de conexión privado, proporcione la siguiente información:

     • Suscripción: la suscripción que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Grupo de recursos: el grupo de recursos que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Tipo de recurso: el tipo de recurso de Azure.
     • Nombre del recurso: el nombre del recurso de Azure.
     • Subrecurso: el subrecurso del tipo de recurso de Azure.

     Sugerencia

     La red virtual administrada del centro de conectividad no admite la creación de un punto de conexión privado en todos los tipos de recursos de Azure. Para obtener una lista de recursos compatibles, consulte la sección Puntos de conexión privados.

     Si el tipo de destino es Etiqueta de servicio, proporcione la siguiente información:

     • Etiqueta de servicio: la etiqueta de servicio que se va a agregar a las reglas de salida aprobadas.
     • Protocolo: protocolo que se va a permitir para la etiqueta de servicio.
     • Intervalos de puertos: los intervalos de puertos que se van a permitir para la etiqueta de servicio.

     Si el tipo de destino es FQDN, proporcione la siguiente información:

     • Destino de FQDN: nombre de dominio completo que se va a agregar a las reglas de salida aprobadas.

     Para guardar la regla, elija Guardar. Puede continuar usando Agregar reglas de salida definidas por el usuario para agregar reglas.

  6. Siga creando el centro de conectividad de la forma normal.

• Actualizar un centro de conectividad existente:

  1. Inicie sesión en el Azure Portal y seleccione el centro de conectividad para el que desea habilitar el aislamiento de red virtual administrada.

  2. Seleccione Redes y luego Privado con Salida aprobada.

     • Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral Reglas de salida, proporcione la misma información que al crear un centro de conectividad en la sección anterior "Crear un nuevo centro de conectividad".

     • Para eliminar una regla de salida, seleccione eliminar en la regla.

  3. Seleccione Guardar en la parte superior de la página para guardar los cambios en la red virtual administrada.

CLI de Azure

Para configurar una red virtual administrada que permita solo las comunicaciones salientes aprobadas, puede usar el parámetro --managed-network allow_only_approved_outbound o un archivo de configuración de YAML que contenga las siguientes entradas:

managed_network:
  isolation_mode: allow_only_approved_outbound

También puede definir reglas de salida para definir la comunicación saliente aprobada. Se puede crear una regla de salida para un tipo de service_tag, fqdn y private_endpoint. La siguiente regla muestra cómo agregar un punto de conexión privado a un recurso de Azure Blob, una etiqueta de servicio a Azure Data Factory y un FQDN a pypi.org:

Importante

• La adición de una salida para una etiqueta de servicio o FQDN solo es válida cuando la VNET administrada está configurada como allow_only_approved_outbound.
• Si agrega reglas de salida, Microsoft no puede garantizar la filtración de datos.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Puede configurar una red virtual administrada mediante los comandos az ml workspace create o az ml workspace update:

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se usa el parámetro --managed-network allow_only_approved_outbound para configurar la red virtual administrada:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  El siguiente archivo YAML define un centro de conectividad con una red virtual administrada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Para crear un centro de conectividad mediante el archivo YAML, use el parámetro --file:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Actualizar un centro de conectividad existente

  Advertencia

  Antes de actualizar un área de trabajo existente para usar una red virtual gestionada, debe eliminar todos los recursos de proceso del área de trabajo. Esto incluye instancias de proceso, clúster de proceso y puntos de conexión en línea administrados.

  En el ejemplo siguiente se usa el parámetro --managed-network allow_only_approved_outbound para configurar la red virtual administrada para un centro de conectividad existente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  El siguiente archivo YAML define una red virtual administrada para el centro de conectividad. También muestra cómo agregar una salida aprobada a la red virtual administrada. En este ejemplo, se agrega una regla de salida para ambas etiquetas de servicio:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

SDK de Python

Para configurar una red virtual administrada que permita solo las comunicaciones salientes aprobadas, use la clase ManagedNetwork para definir una red con IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND. A continuación, puede usar el objeto ManagedNetwork para crear un centro de conectividad o actualizar uno existente. Para definir reglas de salida, use las siguientes clases:

Destination	Clase
Servicio de Azure en el que se basa el centro de conectividad	PrivateEndpointDestination
Etiqueta de servicio de Azure	ServiceTagDestination
Nombre de dominio completo (FQDN)	FqdnDestination

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se crea un nuevo centro de conectividad denominado myhub, con varias reglas de salida:

  • myrule: agrega un punto de conexión privado para un almacén de blobs de Azure.
  • datafactory: agrega una regla de etiqueta de servicio para comunicarse con Azure Data Factory.

  Importante

  • La adición de una salida para una etiqueta de servicio o FQDN solo es válida cuando la VNET administrada está configurada como IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Si agrega reglas de salida, Microsoft no puede garantizar la filtración de datos.

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Actualizar un centro de conectividad existente:

  En el ejemplo siguiente se muestra cómo crear una red virtual administrada para un centro de conectividad de Azure Machine Learning existente denominado myhub. En el ejemplo también se agregan varias reglas de salida para la red virtual administrada:

  • myrule: agrega un punto de conexión privado para un almacén de blobs de Azure.
  • datafactory: agrega una regla de etiqueta de servicio para comunicarse con Azure Data Factory.

  Sugerencia

  La adición de una salida para una etiqueta de servicio o FQDN solo es válida cuando la VNET administrada está configurada como IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Aprovisionamiento manual de una red virtual administrada

La red virtual administrada se aprovisiona automáticamente al crear una instancia de proceso. Al confiar en el aprovisionamiento automático, puede tardar aproximadamente 30 minutos en crear la primera instancia de proceso, ya que también aprovisiona la red. Si configuró reglas de salida de FQDN (solo disponibles con el modo aprobado solo permitido), la primera regla FQDN agrega alrededor de 10 minutos al tiempo de aprovisionamiento. Si tiene un gran conjunto de reglas de salida que se van a aprovisionar en la red administrada, puede tardar más tiempo en completarse el aprovisionamiento. Un mayor tiempo de aprovisionamiento puede hacer que se agote el tiempo de espera de la creación de la primera instancia de proceso.

Para reducir el tiempo de espera y evitar posibles errores de tiempo de espera, se recomienda aprovisionar manualmente la red administrada. A continuación, espere hasta que finalice el aprovisionamiento antes de crear una instancia de proceso.

Como alternativa, puede usar la marca provision_network_now para aprovisionar la red administrada como parte de la creación del centro de conectividad. Esta marca está en versión preliminar.

Nota:

Para crear una implementación en línea, debe aprovisionar manualmente la red administrada o crear primero una instancia de proceso que la aprovisionará automáticamente.

Azure Portal

Durante la creación del centro, seleccione Aprovisionar red administrada de forma proactiva al crear para aprovisionar la red administrada. Los cargos se incurren en recursos de red, como puntos de conexión privados, una vez que se aprovisiona la red virtual. Esta opción de configuración solo está disponible durante la creación del área de trabajo y está en versión preliminar.

CLI de Azure

En el siguiente ejemplo, se muestra cómo aprovisionar una red virtual administrada durante la creación del hub. La marca de --provision-network-now está en versión preliminar.

az ml workspace create -n myworkspace -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now

En el siguiente ejemplo, se muestra cómo aprovisionar una red virtual administrada:

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Para comprobar que el aprovisionamiento se ha completado, use el siguiente comando:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

SDK de Python

En el siguiente ejemplo, se muestra cómo aprovisionar una red virtual administrada durante la creación del hub. La marca de --provision-network-now está en versión preliminar.

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

En el siguiente ejemplo, se muestra cómo aprovisionar una red virtual administrada:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myAIHubName")

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ai_hub_name).result()

Para comprobar que se ha aprovisionado el Centro de IA, utilice ml_client.workspaces.get() para obtener la información del Centro de IA. La propiedad managed_network contiene el estado de la red administrada.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

Administración de reglas de salida

Azure Portal

1. Inicie sesión en el Azure Portal y seleccione el centro de conectividad para el que desea habilitar el aislamiento de red virtual administrada.
2. Seleccionar Redes. La sección Acceso de salida de Azure AI permite administrar las reglas de salida.

• Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral reglas de salida de Azure AI, proporcione la siguiente información:

• Para habilitar o deshabilitar una regla, use el botón de alternancia en la columna Activa.

• Para eliminar una regla de salida, seleccione eliminar en la regla.

CLI de Azure

Para enumerar las reglas de salida de red virtual administradas para un centro de conectividad, use el siguiente comando:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Para ver los detalles de una regla de salida de red virtual administrada, use el siguiente comando:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Para quitar una regla de salida de la red virtual administrada, use el siguiente comando:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

SDK de Python

En el ejemplo siguiente se muestra cómo administrar reglas de salida para un centro de conectividad denominado myhub:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Lista de reglas necesarias

Sugerencia

Estas reglas se agregan automáticamente a la red virtual gestionada.

Puntos de conexión privados:

• Cuando el modo de aislamiento de la red virtual administrada es Allow internet outbound, las reglas de salida del punto de conexión privado se crean automáticamente según las reglas necesarias de la red virtual administrada para el centro de conectividad y los recursos asociados con el acceso a la red pública deshabilitado (Key Vault, cuenta de almacenamiento, registro de contenedor, centro de conectividad).
• Cuando el modo de aislamiento de la red virtual administrada es Allow only approved outbound, las reglas de salida del punto de conexión privado se crean automáticamente según las reglas necesarias de la red virtual administrada para el centro de conectividad y los recursos asociados independientemente del modo de acceso a la red pública para esos recursos (Key Vault, Cuenta de almacenamiento, Registro de contenedor, centro de conectividad).

Reglas de etiqueta de servicio de Salida:

• AzureActiveDirectory
• Azure Machine Learning
• BatchNodeManagement.region
• AzureResourceManager
• AzureFrontDoor.FirstParty
• MicrosoftContainerRegistry
• AzureMonitor

Reglas de etiqueta de servicio de Entrada:

• AzureMachineLearning

Lista de reglas de salida específicas del escenario

Escenario: acceso a paquetes de aprendizaje automático públicos

Para permitir la instalación de paquetes de Python para el entrenamiento y la implementación, agregue reglas de FQDN de salida para permitir el tráfico hacia los siguientes nombres de host:

Nota:

Esta no es una lista completa de los hosts necesarios para todos los recursos de Python en Internet, solo el que se usa con más frecuencia. Por ejemplo, si necesita acceder a un repositorio de GitHub o a otro host, debe identificar y agregar los hosts necesarios para ese escenario.

Nombre de host	Propósito
anaconda.com *.anaconda.com	Se usa para instalar paquetes predeterminados.
*.anaconda.org	Se usa para obtener datos del repositorio.
pypi.org	Se usa para enumerar las dependencias del índice predeterminado, si hay alguna, y el índice no se sobrescribe con la configuración del usuario. Si el índice se sobrescribe, también debe permitir *.pythonhosted.org.
pytorch.org *.pytorch.org	Se usa en algunos ejemplos basados en PyTorch.
*.tensorflow.org	Se usa en algunos ejemplos basados en TensorFlow.

Escenario: Usar Visual Studio Code

Visual Studio Code depende de hosts y puertos específicos para establecer una conexión remota.

Hosts

Si tiene previsto usar Visual Studio Code con el centro de conectividad, agregue reglas de FQDN de salida para permitir el tráfico a los hosts siguientes:

• *.vscode.dev
• vscode.blob.core.windows.net
• *.gallerycdn.vsassets.io
• raw.githubusercontent.com
• *.vscode-unpkg.net
• *.vscode-cdn.net
• *.vscodeexperiments.azureedge.net
• default.exp-tas.com
• code.visualstudio.com
• update.code.visualstudio.com
• *.vo.msecnd.net
• marketplace.visualstudio.com
• pkg-containers.githubusercontent.com
• github.com

Puertos

Debe permitir el tráfico de red a los puertos 8704 a 8710. El servidor de VS Code selecciona dinámicamente el primer puerto disponible dentro de este intervalo.

Escenario: Usar modelos de HuggingFace

Si tiene previsto usar modelos de HuggingFace con el centro de conectividad, agregue reglas de FQDN de salida para permitir el tráfico a los hosts siguientes:

• docker.io
• *.docker.io
• *.docker.com
• production.cloudflare.docker.com
• cnd.auth0.com
• cdn-lfs.huggingface.co

Escenario: mantenido por Azure AI

Estos modelos implican la instalación dinámica de dependencias en runtime y vuelven a adquirir reglas de FQDN de salida para permitir el tráfico a los hosts siguientes:

*.anaconda.org *.anaconda.com anaconda.com pypi.org *.pythonhosted.org *.pytorch.org pytorch.org

Puntos de conexión privados

Actualmente, los puntos de conexión privados se admiten para los siguientes servicios de Azure:

• Centro de Azure AI Foundry
• Azure AI Search
• Servicios de Azure AI
• Azure API Management
• Azure Container Registry
• Azure Cosmos DB (todos los tipos de subrecursos)
• Azure Data Factory
• Azure Database for MariaDB
• Azure Database for MySQL
• Azure Database for PostgreSQL con la opción Servidor único
• Servidor flexible de Azure Database for PostgreSQL
• Azure Databricks
• Azure Event Hubs
• Azure Key Vault
• Azure Machine Learning
• Registros de Azure Machine Learning
• Azure Redis Cache
• Azure SQL Server
• Azure Storage (todos los tipos de subrecursos)

Cuando se crea un punto de conexión privado, se proporciona el tipo de recurso y el subrecurso al que se conecta el punto de conexión. Algunos recursos tienen varios tipos y subrecursos. Para más información, consulte ¿Qué es un punto de conexión privado?

Al crear un punto de conexión privado para los recursos de dependencia del centro de conectividad, como Azure Storage, Azure Container Registry y Azure Key Vault, el recurso puede estar en otra suscripción de Azure. Sin embargo, el recurso debe estar en el mismo inquilino que el centro de conectividad.

Se crea automáticamente un punto de conexión privado para una conexión si el recurso de destino es un recurso de Azure enumerado anteriormente. Se espera un id. de destino válido para el punto de conexión privado. Un identificador de destino válido para la conexión puede ser el identificador de Azure Resource Manager de un recurso primario. También se espera el id. de destino en el destino de la conexión o en metadata.resourceid. Para obtener más información sobre las conexiones, vea Procedimiento para agregar una nueva conexión en el portal de Azure AI Foundry.

Selección de una versión de Azure Firewall solo para la salida aprobada (versión preliminar)

Azure Firewall se implementa si se crea una regla de salida de FQDN mientras está en el modo Permitir solo salida aprobada. Los cargos de Azure Firewall se incluyen en la facturación. De forma predeterminada, se crea una versión Estándar de Azure Firewall. Opcionalmente, puede seleccionar usar una versión Básica. Puede cambiar la versión del firewall que se usa según sea necesario. Para averiguar qué versión es mejor para usted, consulte Elección de la versión correcta de Azure Firewall.

Importante

El firewall no se crea hasta que se agrega una regla de FQDN de salida. Para más información acerca de los precios, consulte Precios de Azure Firewall y visualización de los precios de la versión estándar.

Use las pestañas siguientes para aprender a seleccionar la versión del firewall para la red virtual administrada.

Azure Portal

Después de seleccionar el modo Permitir solo salida aprobada, aparece una opción para seleccionar la versión (SKU) de Azure Firewall. Seleccione Estándar para usar la versión estándar o Básico para usar la versión básica. Seleccione Guardar para guardar la configuración.

CLI de Azure

Para configurar la versión del firewall desde la CLI, use un archivo YAML y especifique el firewall_sku. En el ejemplo siguiente se muestra un archivo YAML que establece la SKU del firewall en basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

SDK de Python

Para configurar la versión del firewall desde el SDK de Python, establezca la propiedad firewall_sku del objeto ManagedNetwork. En el siguiente ejemplo se muestra el procedimiento para configurar la SKU del firewall en basic:

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND,
                         firewall_sku='basic')

Precios

La característica de red virtual administrada por el centro de conectividad es gratuita. Sin embargo, se le cobrarán los siguientes recursos que usa la red virtual administrada:

• Azure Private Link: los puntos de conexión privados que se usan para proteger las comunicaciones entre la red virtual administrada y los recursos de Azure se basan en Azure Private Link. Para obtener más información sobre los precios, vea Precios de Azure Private Link.

• Reglas de salida de FQDN: las reglas de salida de FQDN se implementan mediante Azure Firewall. Si usa reglas de FQDN de salida, los cargos por Azure Firewall se incluyen en la facturación. De forma predeterminada, se usa una versión estándar de Azure Firewall. Para obtener información sobre cómo seleccionar la versión básica, consulte Selección de una versión de Azure Firewall. Azure Firewall se aprovisiona por centro de conectividad.

  Importante

  El firewall no se crea hasta que se agrega una regla de FQDN de salida. Si no usa reglas de FQDN, no se le cobrará por Azure Firewall. Para obtener más información sobre los precios, vea Precios de Azure Firewall.

Contenido relacionado

• Creación de un centro y un proyecto de AI Foundry mediante el SDK