Jak skonfigurować sieć zarządzaną dla centrów usługi Azure AI Foundry

Artykuł
11/19/2024

Mamy dwa aspekty izolacji sieciowej. Jedną z nich jest izolacja sieci w celu uzyskania dostępu do centrum azure AI Foundry. Inną jest izolacja sieci zasobów obliczeniowych zarówno dla centrum, jak i projektu (na przykład wystąpienia obliczeniowego, bezserwerowego i zarządzanego punktu końcowego online). W tym dokumencie wyjaśniono tę ostatnią wyróżnioną na diagramie. Aby chronić zasoby obliczeniowe, możesz użyć wbudowanej izolacji sieciowej centrum.

Należy skonfigurować następujące konfiguracje izolacji sieciowej.

Wybierz tryb izolacji sieciowej. Dostępne są dwie opcje: zezwalaj na tryb ruchu wychodzącego z Internetu lub zezwalaj tylko na zatwierdzony tryb wychodzący.
Jeśli używasz integracji programu Visual Studio Code z trybem zezwalania tylko na zatwierdzone dane wychodzące, utwórz reguły ruchu wychodzącego FQDN opisane w sekcji Korzystanie z programu Visual Studio Code .
Jeśli używasz modeli HuggingFace w modelach z dozwolonym tylko zatwierdzonym trybem ruchu wychodzącego, utwórz reguły ruchu wychodzącego FQDN opisane w sekcji Korzystanie z modeli HuggingFace.
Jeśli używasz jednego z modeli typu open source z dozwolonym tylko zatwierdzonym trybem ruchu wychodzącego, utwórz reguły ruchu wychodzącego FQDN opisane w sekcji wyselekcjonowanej przez usługę Azure AI .

Architektura izolacji sieci i tryby izolacji

Po włączeniu izolacji zarządzanej sieci wirtualnej zostanie utworzona zarządzana sieć wirtualna dla centrum. Zarządzane zasoby obliczeniowe tworzone dla centrum automatycznie używają tej zarządzanej sieci wirtualnej. Zarządzana sieć wirtualna może używać prywatnych punktów końcowych dla zasobów platformy Azure używanych przez centrum, takich jak Azure Storage, Azure Key Vault i Azure Container Registry.

Istnieją trzy różne tryby konfiguracji dla ruchu wychodzącego z zarządzanej sieci wirtualnej:

Tryb wychodzący	opis	Scenariusze
Zezwalaj na ruch wychodzący z Internetu	Zezwalaj na cały ruch wychodzący z zarządzanej sieci wirtualnej.	Potrzebujesz nieograniczonego dostępu do zasobów uczenia maszynowego w Internecie, takich jak pakiety języka Python lub wstępnie wytrenowane modele.¹
Zezwalaj tylko na zatwierdzony ruch wychodzący	Ruch wychodzący jest dozwolony przez określenie tagów usługi.	* Chcesz zminimalizować ryzyko eksfiltracji danych, ale musisz przygotować wszystkie wymagane artefakty uczenia maszynowego w środowisku prywatnym. * Chcesz skonfigurować dostęp wychodzący do zatwierdzonej listy usług, tagów usług lub nazw FQDN.
Disabled	Ruch przychodzący i wychodzący nie jest ograniczony.	Chcesz użyć publicznego ruchu przychodzącego i wychodzącego z centrum.

¹ Możesz użyć reguł ruchu wychodzącego z dozwolonym tylko zatwierdzonym trybem ruchu wychodzącego, aby osiągnąć taki sam wynik, jak w przypadku zezwalania na ruch wychodzący z Internetu. Różnice są następujące:

Zawsze używaj prywatnych punktów końcowych do uzyskiwania dostępu do zasobów platformy Azure.
Musisz dodać reguły dla każdego połączenia wychodzącego, które należy zezwolić.
Dodawanie reguł ruchu wychodzącego nazwy FQDN zwiększa koszty , ponieważ ten typ reguły używa usługi Azure Firewall. Jeśli używasz reguł wychodzącej nazwy FQDN, opłaty za usługę Azure Firewall są uwzględniane w rozliczeniach. Aby uzyskać więcej informacji, zobacz Cennik.
Domyślne reguły zezwalania tylko na zatwierdzone dane wychodzące zostały zaprojektowane tak, aby zminimalizować ryzyko eksfiltracji danych. Wszelkie dodane reguły ruchu wychodzącego mogą zwiększyć ryzyko.

Zarządzana sieć wirtualna jest wstępnie skonfigurowana z wymaganymi regułami domyślnymi. Jest ona również skonfigurowana dla połączeń prywatnych punktów końcowych z centrum, domyślnym magazynem centrum, rejestrem kontenerów i magazynem kluczy, jeśli są skonfigurowane jako prywatne lub tryb izolacji centrum jest ustawiony tak, aby zezwalał tylko na zatwierdzony ruch wychodzący. Po wybraniu trybu izolacji należy wziąć pod uwagę tylko inne wymagania dotyczące ruchu wychodzącego, które mogą być konieczne.

Na poniższym diagramie przedstawiono zarządzaną sieć wirtualną skonfigurowaną do zezwalania na ruch wychodzący z Internetu:

Na poniższym diagramie przedstawiono zarządzaną sieć wirtualną skonfigurowaną tak, aby zezwalała tylko na zatwierdzony ruch wychodzący:

Uwaga

W tej konfiguracji magazyn, magazyn kluczy i rejestr kontenerów używany przez centrum są oflagowane jako prywatne. Ponieważ są one oflagowane jako prywatne, prywatny punkt końcowy jest używany do komunikowania się z nimi.

Wymagania wstępne

Przed wykonaniem kroków opisanych w tym artykule upewnij się, że masz następujące wymagania wstępne:

Subskrypcja platformy Azure. Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.
Dostawca zasobów Microsoft.Network musi być zarejestrowany dla subskrypcji platformy Azure. Ten dostawca zasobów jest używany przez centrum podczas tworzenia prywatnych punktów końcowych dla zarządzanej sieci wirtualnej.

Aby uzyskać informacje na temat rejestrowania dostawców zasobów, zobacz Rozwiązywanie błędów dotyczących rejestracji dostawcy zasobów.
Tożsamość platformy Azure używana podczas wdrażania sieci zarządzanej wymaga następujących akcji kontroli dostępu opartej na rolach (RBAC) platformy Azure w celu utworzenia prywatnych punktów końcowych:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

Subskrypcja platformy Azure. Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.
Dostawca zasobów Microsoft.Network musi być zarejestrowany dla subskrypcji platformy Azure. Ten dostawca zasobów jest używany przez centrum podczas tworzenia prywatnych punktów końcowych dla zarządzanej sieci wirtualnej.

Aby uzyskać informacje na temat rejestrowania dostawców zasobów, zobacz Rozwiązywanie błędów dotyczących rejestracji dostawcy zasobów.
Tożsamość platformy Azure używana podczas wdrażania sieci zarządzanej wymaga następujących akcji kontroli dostępu opartej na rolach (RBAC) platformy Azure w celu utworzenia prywatnych punktów końcowych:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
Interfejs wiersza polecenia platformy ml Azure i rozszerzenie interfejsu wiersza polecenia platformy Azure. Aby uzyskać więcej informacji, zobacz Instalowanie, konfigurowanie i używanie interfejsu wiersza polecenia (wersja 2).
W przykładach interfejsu wiersza polecenia w tym artykule założono, że używasz powłoki Bash (lub zgodnej). Na przykład z systemu Linux lub Podsystem Windows dla systemu Linux.
Przykłady interfejsu wiersza polecenia platformy Azure w tym artykule służą ws do reprezentowania nazwy centrum i rg reprezentowania nazwy grupy zasobów. Zmień te wartości zgodnie z potrzebami podczas używania poleceń z subskrypcją platformy Azure.

Subskrypcja platformy Azure. Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto. Wypróbuj bezpłatną lub płatną wersję usługi Azure Machine Learning.
Dostawca zasobów Microsoft.Network musi być zarejestrowany dla subskrypcji platformy Azure. Ten dostawca zasobów jest używany przez centrum podczas tworzenia prywatnych punktów końcowych dla zarządzanej sieci wirtualnej.

Aby uzyskać informacje na temat rejestrowania dostawców zasobów, zobacz Rozwiązywanie błędów dotyczących rejestracji dostawcy zasobów.
Tożsamość platformy Azure używana podczas wdrażania sieci zarządzanej wymaga następujących akcji kontroli dostępu opartej na rolach (RBAC) platformy Azure w celu utworzenia prywatnych punktów końcowych:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
Zestaw SDK języka Python usługi Azure Machine Learning w wersji 2. Aby uzyskać więcej informacji na temat zestawu SDK, zobacz Instalowanie zestawu SDK języka Python w wersji 2 dla usługi Azure Machine Learning.

W przykładach w tym artykule przyjęto założenie, że kod zaczyna się od następującego języka Python. Ten kod importuje klasy wymagane podczas tworzenia centrum z zarządzaną siecią wirtualną, ustawia zmienne dla subskrypcji i grupy zasobów platformy Azure i tworzy element ml_client:

from azure.ai.ml import MLClient
from azure.ai.ml.entities import (
    Hub,
    ManagedNetwork,
    IsolationMode,
    ServiceTagDestination,
    PrivateEndpointDestination,
    FqdnDestination
)
from azure.identity import DefaultAzureCredential

# Replace with the values for your Azure subscription and resource group.
subscription_id = "<SUBSCRIPTION_ID>"
resource_group = "<RESOURCE_GROUP>"

# get a handle to the subscription
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)

Ograniczenia

Usługa Azure AI Foundry obecnie nie obsługuje przynoszenia własnej sieci wirtualnej, ale obsługuje tylko izolację zarządzanej sieci wirtualnej.
Po włączeniu izolacji zarządzanej sieci wirtualnej w usłudze Azure AI nie można jej wyłączyć.
Zarządzana sieć wirtualna używa połączenia prywatnego punktu końcowego w celu uzyskania dostępu do zasobów prywatnych. Nie możesz mieć prywatnego punktu końcowego i punktu końcowego usługi w tym samym czasie dla zasobów platformy Azure, takich jak konto magazynu. Zalecamy używanie prywatnych punktów końcowych we wszystkich scenariuszach.
Zarządzana sieć wirtualna zostanie usunięta po usunięciu sztucznej inteligencji platformy Azure.
Ochrona przed eksfiltracją danych jest automatycznie włączona dla tylko zatwierdzonego trybu ruchu wychodzącego. Jeśli dodasz inne reguły ruchu wychodzącego, takie jak do nazw FQDN, to firma Microsoft nie będzie mogła zagwarantować ochrony przed eksfiltracją danych do celów ruchu wychodzącego.
Korzystanie z reguł ruchu wychodzącego nazwy FQDN zwiększa koszt zarządzanej sieci wirtualnej, ponieważ reguły FQDN używają usługi Azure Firewall. Aby uzyskać więcej informacji, zobacz Cennik.
Reguły ruchu wychodzącego FQDN obsługują tylko porty 80 i 443.
W przypadku korzystania z wystąpienia obliczeniowego z siecią zarządzaną użyj az ml compute connect-ssh polecenia , aby nawiązać połączenie z obliczeniami przy użyciu protokołu SSH.
Jeśli sieć zarządzana jest skonfigurowana tak, aby zezwalała tylko na zatwierdzony ruch wychodzący, nie można użyć reguły FQDN w celu uzyskania dostępu do kont usługi Azure Storage. Zamiast tego należy użyć prywatnego punktu końcowego.

Konfigurowanie zarządzanej sieci wirtualnej w celu zezwolenia na ruch wychodzący z Internetu

Napiwek

Tworzenie zarządzanej sieci wirtualnej jest odroczone do momentu utworzenia zasobu obliczeniowego lub ręcznego uruchomienia aprowizacji. W przypadku zezwalania na automatyczne tworzenie może upłynąć około 30 minut, aby utworzyć pierwszy zasób obliczeniowy, ponieważ aprowizacja sieci może potrwać około 30 minut .

Utwórz nowe centrum:
1. Zaloguj się do witryny Azure Portal i wybierz pozycję Azure AI Foundry z menu Utwórz zasób.
2. Wybierz pozycję + Nowa sztuczna inteligencja platformy Azure.
3. Podaj wymagane informacje na karcie Podstawy .
4. Na karcie Sieć wybierz pozycję Prywatna z internetem wychodzącym.
5. Aby dodać regułę ruchu wychodzącego, wybierz pozycję Dodaj reguły ruchu wychodzącego zdefiniowane przez użytkownika z karty Sieć. Na pasku bocznym Reguły ruchu wychodzącego podaj następujące informacje:
  - Nazwa reguły: nazwa reguły. Nazwa musi być unikatowa dla tego centrum.
  - Typ docelowy: Prywatny punkt końcowy jest jedyną opcją, gdy izolacja sieci jest prywatna z wychodzącym internetem. Zarządzana sieć wirtualna centrum nie obsługuje tworzenia prywatnego punktu końcowego dla wszystkich typów zasobów platformy Azure. Aby uzyskać listę obsługiwanych zasobów, zobacz sekcję Prywatne punkty końcowe .
  - Subskrypcja: subskrypcja zawierająca zasób platformy Azure, dla którego chcesz dodać prywatny punkt końcowy.
  - Grupa zasobów: grupa zasobów zawierająca zasób platformy Azure, dla którego chcesz dodać prywatny punkt końcowy.
  - Typ zasobu: typ zasobu platformy Azure.
  - Nazwa zasobu: nazwa zasobu platformy Azure.
  - Zasób podrzędny: zasób podrzędny typu zasobu platformy Azure.
  Wybierz Zapisz, aby zapisać zasadę. Aby dodać reguły, możesz nadal używać opcji Dodaj reguły ruchu wychodzącego zdefiniowane przez użytkownika.
6. Kontynuuj tworzenie centrum w zwykły sposób.
Aktualizowanie istniejącego centrum:
1. Zaloguj się do witryny Azure Portal i wybierz centrum, dla którego chcesz włączyć izolację zarządzanej sieci wirtualnej.
2. Wybierz pozycję Sieć, a następnie wybierz pozycję Prywatna z internetem wychodzącym.
  - Aby dodać regułę ruchu wychodzącego, wybierz pozycję Dodaj reguły ruchu wychodzącego zdefiniowane przez użytkownika z karty Sieć. Na pasku bocznym Reguły ruchu wychodzącego podaj te same informacje, które są używane podczas tworzenia centrum w sekcji "Tworzenie nowego centrum".
  - Aby usunąć regułę ruchu wychodzącego, wybierz pozycję Usuń dla reguły.
3. Wybierz pozycję Zapisz w górnej części strony, aby zapisać zmiany w zarządzanej sieci wirtualnej.

Aby skonfigurować zarządzaną sieć wirtualną zezwalającą na komunikację wychodzącą z Internetu, możesz użyć parametru --managed-network allow_internet_outbound lub pliku konfiguracji YAML zawierającego następujące wpisy:

managed_network:
  isolation_mode: allow_internet_outbound

Możesz również zdefiniować reguły ruchu wychodzącego do innych usług platformy Azure, z których korzysta centrum. Te reguły definiują prywatne punkty końcowe, które umożliwiają zasobowi platformy Azure bezpieczną komunikację z zarządzaną siecią wirtualną. Poniższa reguła pokazuje dodawanie prywatnego punktu końcowego do zasobu obiektu blob platformy Azure.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Zarządzaną sieć wirtualną można skonfigurować przy użyciu az ml workspace create poleceń lub az ml workspace update :

Utwórz nowe centrum:

Poniższy przykład tworzy nowe centrum. Parametr --managed-network allow_internet_outbound konfiguruje zarządzaną sieć wirtualną dla centrum:
```
az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
Aby utworzyć centrum przy użyciu pliku YAML, użyj parametru --file i określ plik YAML zawierający ustawienia konfiguracji:
```
az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
```
Poniższy przykład YAML definiuje koncentrator z zarządzaną siecią wirtualną:
```
name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_internet_outbound
```
Aktualizowanie istniejącego centrum:

Ostrzeżenie

Przed zaktualizowaniem istniejącego obszaru roboczego w celu korzystania z zarządzanej sieci wirtualnej należy usunąć wszystkie zasoby obliczeniowe dla obszaru roboczego. Obejmuje to wystąpienie obliczeniowe, klaster obliczeniowy i zarządzane punkty końcowe online.

Poniższy przykład aktualizuje istniejące centrum. Parametr --managed-network allow_internet_outbound konfiguruje zarządzaną sieć wirtualną dla centrum:
```
az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
Aby zaktualizować istniejące centrum przy użyciu pliku YAML, użyj parametru --file i określ plik YAML zawierający ustawienia konfiguracji:
```
az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
```
Poniższy przykład YAML definiuje zarządzaną sieć wirtualną dla centrum. Pokazano również, jak dodać połączenie prywatnego punktu końcowego do zasobu używanego przez centrum; w tym przykładzie prywatny punkt końcowy magazynu obiektów blob:
```
name: myhub
managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint
```

Aby skonfigurować zarządzaną sieć wirtualną, która zezwala na komunikację wychodzącą z Internetu, użyj ManagedNetwork klasy , aby zdefiniować sieć za pomocą IsolationMode.ALLOW_INTERNET_OUTBOUNDpolecenia . Następnie możesz użyć ManagedNetwork obiektu , aby utworzyć nowe centrum lub zaktualizować istniejący. Aby zdefiniować reguły ruchu wychodzącego do usług platformy Azure, z których korzysta centrum, użyj PrivateEndpointDestination klasy , aby zdefiniować nowy prywatny punkt końcowy dla usługi.

Utwórz nowe centrum:

Poniższy przykład tworzy nowe centrum o nazwie , z regułą ruchu wychodzącego o myhubnazwie myrule , która dodaje prywatny punkt końcowy dla magazynu obiektów blob platformy Azure:

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

Aktualizowanie istniejącego centrum:

W poniższym przykładzie pokazano, jak utworzyć zarządzaną sieć wirtualną dla istniejącego centrum o nazwie myhub:

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Update the hub
ml_client.workspaces.begin_update(ws)

Konfigurowanie zarządzanej sieci wirtualnej tak, aby zezwalała tylko na zatwierdzony ruch wychodzący

Napiwek

Zarządzana sieć wirtualna jest automatycznie aprowizowana podczas tworzenia zasobu obliczeniowego. W przypadku zezwalania na automatyczne tworzenie może upłynąć około 30 minut, aby utworzyć pierwszy zasób obliczeniowy, ponieważ aprowizacja sieci może potrwać około 30 minut . Jeśli skonfigurowano reguły ruchu wychodzącego nazwy FQDN, pierwsza reguła FQDN dodaje około 10 minut do czasu aprowizacji.

Utwórz nowe centrum:
1. Zaloguj się do witryny Azure Portal i wybierz pozycję Azure AI Foundry z menu Utwórz zasób.
2. Wybierz pozycję + Nowa sztuczna inteligencja platformy Azure.
3. Podaj wymagane informacje na karcie Podstawy .
4. Na karcie Sieć wybierz pozycję Prywatna z zatwierdzonym wyjściem.
5. Aby dodać regułę ruchu wychodzącego, wybierz pozycję Dodaj reguły ruchu wychodzącego zdefiniowane przez użytkownika z karty Sieć. Na pasku bocznym Reguły ruchu wychodzącego podaj następujące informacje:
  - Nazwa reguły: nazwa reguły. Nazwa musi być unikatowa dla tego centrum.
  - Typ docelowy: prywatny punkt końcowy, tag usługi lub nazwa FQDN. Tag usługi i nazwa FQDN są dostępne tylko wtedy, gdy izolacja sieci jest prywatna z zatwierdzonym wychodzącym.
  Jeśli typem docelowym jest prywatny punkt końcowy, podaj następujące informacje:
  - Subskrypcja: subskrypcja zawierająca zasób platformy Azure, dla którego chcesz dodać prywatny punkt końcowy.
  - Grupa zasobów: grupa zasobów zawierająca zasób platformy Azure, dla którego chcesz dodać prywatny punkt końcowy.
  - Typ zasobu: typ zasobu platformy Azure.
  - Nazwa zasobu: nazwa zasobu platformy Azure.
  - Zasób podrzędny: zasób podrzędny typu zasobu platformy Azure.
  Napiwek
  
  Zarządzana sieć wirtualna centrum nie obsługuje tworzenia prywatnego punktu końcowego dla wszystkich typów zasobów platformy Azure. Aby uzyskać listę obsługiwanych zasobów, zobacz sekcję Prywatne punkty końcowe .
  
  Jeśli typem docelowym jest tag usługi, podaj następujące informacje:
  - Tag usługi: tag usługi, który ma zostać dodany do zatwierdzonych reguł ruchu wychodzącego.
  - Protokół: protokół umożliwiający tag usługi.
  - Zakresy portów: zakresy portów umożliwiające tag usługi.
  Jeśli typem docelowym jest nazwa FQDN, podaj następujące informacje:
  - Miejsce docelowe nazwy FQDN: w pełni kwalifikowana nazwa domeny do dodania do zatwierdzonych reguł ruchu wychodzącego.
  Wybierz Zapisz, aby zapisać zasadę. Aby dodać reguły, możesz nadal używać opcji Dodaj reguły ruchu wychodzącego zdefiniowane przez użytkownika.
6. Kontynuuj tworzenie centrum w zwykły sposób.
Aktualizowanie istniejącego centrum:
1. Zaloguj się do witryny Azure Portal i wybierz centrum, dla którego chcesz włączyć izolację zarządzanej sieci wirtualnej.
2. Wybierz pozycję Sieć, a następnie wybierz pozycję Prywatna z zatwierdzonym wychodzącym.
  - Aby dodać regułę ruchu wychodzącego, wybierz pozycję Dodaj reguły ruchu wychodzącego zdefiniowane przez użytkownika z karty Sieć. Na pasku bocznym Reguły ruchu wychodzącego podaj te same informacje co podczas tworzenia centrum w poprzedniej sekcji "Tworzenie nowego centrum".
  - Aby usunąć regułę ruchu wychodzącego, wybierz pozycję Usuń dla reguły.
3. Wybierz pozycję Zapisz w górnej części strony, aby zapisać zmiany w zarządzanej sieci wirtualnej.

Aby skonfigurować zarządzaną sieć wirtualną zezwalającą tylko na zatwierdzoną komunikację wychodzącą, można użyć parametru --managed-network allow_only_approved_outbound lub pliku konfiguracji YAML zawierającego następujące wpisy:

managed_network:
  isolation_mode: allow_only_approved_outbound

Można również zdefiniować reguły ruchu wychodzącego, aby zdefiniować zatwierdzoną komunikację wychodzącą. Regułę ruchu wychodzącego można utworzyć dla typu service_tag, fqdni private_endpoint. Poniższa reguła pokazuje dodawanie prywatnego punktu końcowego do zasobu obiektu blob platformy Azure, tagu usługi do usługi Azure Data Factory i nazwy FQDN do :pypi.org

Ważne

Dodanie ruchu wychodzącego dla tagu usługi lub nazwy FQDN jest prawidłowe tylko wtedy, gdy zarządzana sieć wirtualna jest skonfigurowana na wartość allow_only_approved_outbound.
Jeśli dodasz reguły ruchu wychodzącego, firma Microsoft nie może zagwarantować eksfiltracji danych.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Zarządzaną sieć wirtualną można skonfigurować przy użyciu az ml workspace create poleceń lub az ml workspace update :

Utwórz nowe centrum:

W poniższym przykładzie użyto parametru --managed-network allow_only_approved_outbound do skonfigurowania zarządzanej sieci wirtualnej:
```
az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
```
Następujący plik YAML definiuje koncentrator z zarządzaną siecią wirtualną:
```
name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_only_approved_outbound
```
Aby utworzyć centrum przy użyciu pliku YAML, użyj parametru --file :
```
az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
```
Aktualizowanie istniejącego koncentratora

Ostrzeżenie

Przed zaktualizowaniem istniejącego obszaru roboczego w celu korzystania z zarządzanej sieci wirtualnej należy usunąć wszystkie zasoby obliczeniowe dla obszaru roboczego. Obejmuje to wystąpienie obliczeniowe, klaster obliczeniowy i zarządzane punkty końcowe online.

W poniższym przykładzie użyto parametru --managed-network allow_only_approved_outbound do skonfigurowania zarządzanej sieci wirtualnej dla istniejącego centrum:
```
az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
```
Poniższy plik YAML definiuje zarządzaną sieć wirtualną dla centrum. Przedstawiono również sposób dodawania zatwierdzonego ruchu wychodzącego do zarządzanej sieci wirtualnej. W tym przykładzie dla tagu usługi jest dodawana reguła ruchu wychodzącego:
```
name: myhub_dep
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint
```

Aby skonfigurować zarządzaną sieć wirtualną, która zezwala na tylko zatwierdzoną komunikację wychodzącą, użyj ManagedNetwork klasy , aby zdefiniować sieć za pomocą IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUNDpolecenia . Następnie możesz użyć ManagedNetwork obiektu , aby utworzyć nowe centrum lub zaktualizować istniejący. Aby zdefiniować reguły ruchu wychodzącego, użyj następujących klas:

Element docelowy	Klasa
Usługa platformy Azure oparta na centrum	`PrivateEndpointDestination`
Tag usługi platformy Azure	`ServiceTagDestination`
W pełni kwalifikowana nazwa domeny (FQDN)	`FqdnDestination`

Utwórz nowe centrum:

Poniższy przykład tworzy nowe centrum o nazwie myhub, z kilkoma regułami ruchu wychodzącego:

myrule — Dodaje prywatny punkt końcowy dla magazynu obiektów blob platformy Azure.
datafactory — Dodaje regułę tagu usługi do komunikowania się z usługą Azure Data Factory.

Ważne

Dodanie ruchu wychodzącego dla tagu usługi lub nazwy FQDN jest prawidłowe tylko wtedy, gdy zarządzana sieć wirtualna jest skonfigurowana na wartość IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
Jeśli dodasz reguły ruchu wychodzącego, firma Microsoft nie może zagwarantować eksfiltracji danych.

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

Aktualizowanie istniejącego centrum:

W poniższym przykładzie pokazano, jak utworzyć zarządzaną sieć wirtualną dla istniejącego centrum usługi Azure Machine Learning o nazwie myhub. W przykładzie dodano również kilka reguł ruchu wychodzącego dla zarządzanej sieci wirtualnej:

myrule — Dodaje prywatny punkt końcowy dla magazynu obiektów blob platformy Azure.
datafactory — Dodaje regułę tagu usługi do komunikowania się z usługą Azure Data Factory.

Napiwek

Dodanie ruchu wychodzącego dla tagu usługi lub nazwy FQDN jest prawidłowe tylko wtedy, gdy zarządzana sieć wirtualna jest skonfigurowana na wartość IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Update the hub
ml_client.workspaces.begin_update(ws)

Ręczne aprowizuj zarządzaną sieć wirtualną

Zarządzana sieć wirtualna jest automatycznie aprowizowana podczas tworzenia wystąpienia obliczeniowego. W przypadku automatycznej aprowizacji tworzenie pierwszego wystąpienia obliczeniowego może potrwać około 30 minut, ponieważ aprowizacja sieci jest również zajęła około 30 minut . Jeśli skonfigurowano reguły ruchu wychodzącego nazwy FQDN (dostępne tylko z trybem zezwalania tylko na zatwierdzenie), pierwsza reguła nazwy FQDN dodaje około 10 minut do czasu aprowizacji. Jeśli masz duży zestaw reguł ruchu wychodzącego do aprowizacji w sieci zarządzanej, ukończenie aprowizacji może potrwać dłużej. Zwiększony czas aprowizacji może spowodować przekroczenie limitu czasu utworzenia pierwszego wystąpienia obliczeniowego.

Aby skrócić czas oczekiwania i uniknąć potencjalnych błędów przekroczenia limitu czasu, zalecamy ręczne aprowizowanie sieci zarządzanej. Następnie poczekaj na zakończenie aprowizacji przed utworzeniem wystąpienia obliczeniowego.

Alternatywnie możesz użyć provision_network_now flagi , aby aprowizować sieć zarządzaną w ramach tworzenia koncentratora. Ta flaga jest dostępna w wersji zapoznawczej.

Uwaga

Aby utworzyć wdrożenie online, musisz ręcznie aprowizować sieć zarządzaną lub najpierw utworzyć wystąpienie obliczeniowe, które będzie automatycznie aprowizować.

Podczas tworzenia centrum wybierz pozycję Aprowizuj sieć zarządzaną aktywnie podczas tworzenia , aby aprowizować sieć zarządzaną. Opłaty są naliczane z zasobów sieciowych, takich jak prywatne punkty końcowe, po aprowizacji sieci wirtualnej. Ta opcja konfiguracji jest dostępna tylko podczas tworzenia obszaru roboczego i jest dostępna w wersji zapoznawczej.

W poniższym przykładzie pokazano, jak aprowizować zarządzaną sieć wirtualną podczas tworzenia koncentratora. Flaga --provision-network-now jest w wersji zapoznawczej.

az ml workspace create -n myworkspace -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now

W poniższym przykładzie pokazano, jak aprowizować zarządzaną sieć wirtualną.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Aby sprawdzić, czy aprowizacja została ukończona, użyj następującego polecenia:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

W poniższym przykładzie pokazano, jak aprowizować zarządzaną sieć wirtualną podczas tworzenia koncentratora. Flaga --provision-network-now jest w wersji zapoznawczej.

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

W poniższym przykładzie pokazano, jak aprowizować zarządzaną sieć wirtualną:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myAIHubName")

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ai_hub_name).result()

Aby sprawdzić, czy aprowizowano centrum sztucznej inteligencji, użyj ml_client.workspaces.get() polecenia , aby uzyskać informacje o centrum sztucznej inteligencji. Właściwość managed_network zawiera stan sieci zarządzanej.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

Zarządzanie regułami ruchu wychodzącego

Zaloguj się do witryny Azure Portal i wybierz centrum, dla którego chcesz włączyć izolację zarządzanej sieci wirtualnej.
Wybierz pozycję Sieć. Sekcja Dostęp wychodzący do usługi Azure AI umożliwia zarządzanie regułami ruchu wychodzącego.

Aby dodać regułę ruchu wychodzącego, wybierz pozycję Dodaj reguły ruchu wychodzącego zdefiniowane przez użytkownika z karty Sieć. Na pasku bocznym reguł ruchu wychodzącego usługi Azure AI podaj następujące informacje:
Aby włączyć lub wyłączyć regułę, użyj przełącznika w kolumnie Aktywne .
Aby usunąć regułę ruchu wychodzącego, wybierz pozycję Usuń dla reguły.

Aby wyświetlić listę reguł ruchu wychodzącego zarządzanej sieci wirtualnej dla centrum, użyj następującego polecenia:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Aby wyświetlić szczegóły reguły ruchu wychodzącego zarządzanej sieci wirtualnej, użyj następującego polecenia:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Aby usunąć regułę ruchu wychodzącego z zarządzanej sieci wirtualnej, użyj następującego polecenia:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

W poniższym przykładzie pokazano, jak zarządzać regułami ruchu wychodzącego dla centrum o nazwie myhub:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Lista wymaganych reguł

Napiwek

Te reguły są automatycznie dodawane do zarządzanej sieci wirtualnej.

Prywatne punkty końcowe:

Gdy tryb izolacji zarządzanej sieci wirtualnej to Allow internet outbound, reguły ruchu wychodzącego prywatnego punktu końcowego są tworzone automatycznie jako wymagane reguły z zarządzanej sieci wirtualnej dla centrum i skojarzonych zasobów z wyłączonym dostępem do sieci publicznej (usługa Key Vault, konto magazynu, rejestr kontenerów, centrum).
Gdy tryb izolacji dla zarządzanej sieci wirtualnej to Allow only approved outbound, reguły ruchu wychodzącego prywatnego punktu końcowego są tworzone automatycznie jako wymagane reguły z zarządzanej sieci wirtualnej dla centrum i skojarzonych zasobów niezależnie od trybu dostępu do sieci publicznej dla tych zasobów (key vault, konto magazynu, rejestr kontenerów, centrum).

Reguły tagów usługi dla ruchu wychodzącego :

AzureActiveDirectory
Azure Machine Learning
BatchNodeManagement.region
AzureResourceManager
AzureFrontDoor.FirstParty
MicrosoftContainerRegistry
AzureMonitor

Reguły tagów usługi dla ruchu przychodzącego :

AzureMachineLearning

Lista reguł ruchu wychodzącego specyficznego dla scenariusza

Scenariusz: Uzyskiwanie dostępu do publicznych pakietów uczenia maszynowego

Aby umożliwić instalację pakietów języka Python na potrzeby trenowania i wdrażania, dodaj reguły wychodzącej nazwy FQDN, aby zezwolić na ruch do następujących nazw hostów:

Uwaga

Nie jest to pełna lista hostów wymaganych dla wszystkich zasobów języka Python w Internecie, tylko najczęściej używanych. Jeśli na przykład potrzebujesz dostępu do repozytorium GitHub lub innego hosta, musisz zidentyfikować i dodać hosty wymagane dla tego scenariusza.

Nazwa hosta	Przeznaczenie
`anaconda.com` `*.anaconda.com`	Służy do instalowania pakietów domyślnych.
`*.anaconda.org`	Służy do pobierania danych repozytorium.
`pypi.org`	Służy do wyświetlania listy zależności z domyślnego indeksu, jeśli istnieje, a indeks nie jest zastępowany przez ustawienia użytkownika. Jeśli indeks jest zastępowany, należy również zezwolić na `*.pythonhosted.org`wartość .
`pytorch.org` `*.pytorch.org`	Używane przez niektóre przykłady na podstawie PyTorch.
`*.tensorflow.org`	Używane przez niektóre przykłady na podstawie biblioteki Tensorflow.

Scenariusz: Korzystanie z programu Visual Studio Code

Program Visual Studio Code korzysta z określonych hostów i portów w celu nawiązania połączenia zdalnego.

Hosts

Jeśli planujesz używać programu Visual Studio Code z koncentratorem, dodaj reguły wychodzącej nazwy FQDN , aby zezwolić na ruch do następujących hostów:

*.vscode.dev
vscode.blob.core.windows.net
*.gallerycdn.vsassets.io
raw.githubusercontent.com
*.vscode-unpkg.net
*.vscode-cdn.net
*.vscodeexperiments.azureedge.net
default.exp-tas.com
code.visualstudio.com
update.code.visualstudio.com
*.vo.msecnd.net
marketplace.visualstudio.com
pkg-containers.githubusercontent.com
github.com

Porty

Należy zezwolić na ruch sieciowy do portów 8704 do 8710. Serwer programu VS Code dynamicznie wybiera pierwszy dostępny port w tym zakresie.

Scenariusz: korzystanie z modeli HuggingFace

Jeśli planujesz używać modeli HuggingFace z koncentratorem, dodaj reguły wychodzącej nazwy FQDN , aby zezwolić na ruch do następujących hostów:

docker.io
*.docker.io
*.docker.com
production.cloudflare.docker.com
cnd.auth0.com
cdn-lfs.huggingface.co

Scenariusz: wyselekcjonowany przez usługę Azure AI

Te modele obejmują dynamiczną instalację zależności w czasie wykonywania i wymagają reguł wychodzącej nazwy FQDN , aby zezwolić na ruch do następujących hostów:

*.anaconda.org *.anaconda.com anaconda.com pypi.org *.pythonhosted.org *.pytorch.org pytorch.org

Prywatne punkty końcowe

Prywatne punkty końcowe są obecnie obsługiwane dla następujących usług platformy Azure:

Centrum znaleziono sztucznej inteligencji
Wyszukiwanie AI platformy Azure
Usługi platformy Azure AI
Usługa Azure API Management
Azure Container Registry
Azure Cosmos DB (wszystkie podtypy zasobów)
Azure Data Factory
Azure Database for MariaDB
Azure Database for MySQL
Pojedynczy serwer usługi Azure Database for PostgreSQL
Serwer elastyczny usługi Azure Database for PostgreSQL
Azure Databricks
Azure Event Hubs
Azure Key Vault
Azure Machine Learning
Rejestry usługi Azure Machine Learning
Azure Redis Cache
Azure SQL Server
Azure Storage (wszystkie podtypy zasobów)

Podczas tworzenia prywatnego punktu końcowego należy podać typ zasobu i podźródło , z którym łączy się punkt końcowy. Niektóre zasoby mają wiele typów i podźródła. Aby uzyskać więcej informacji, zobacz , co to jest prywatny punkt końcowy.

Podczas tworzenia prywatnego punktu końcowego dla zasobów zależności centrum, takich jak Azure Storage, Azure Container Registry i Azure Key Vault, zasób może znajdować się w innej subskrypcji platformy Azure. Jednak zasób musi znajdować się w tej samej dzierżawie co centrum.

Prywatny punkt końcowy jest tworzony automatycznie dla połączenia, jeśli zasób docelowy jest zasobem platformy Azure wymienionym wcześniej. Prawidłowy identyfikator docelowy jest oczekiwany dla prywatnego punktu końcowego. Prawidłowy identyfikator docelowy połączenia może być identyfikatorem usługi Azure Resource Manager zasobu nadrzędnego. Identyfikator docelowy jest również oczekiwany w elemecie docelowym połączenia lub w metadata.resourceidelem. Aby uzyskać więcej informacji na temat połączeń, zobacz How to add a new connection in Azure AI Foundry portal (Jak dodać nowe połączenie w portalu usługi Azure AI Foundry).

Wybierz wersję usługi Azure Firewall dla dozwolonego tylko zatwierdzonego ruchu wychodzącego (wersja zapoznawcza)

Usługa Azure Firewall jest wdrażana, jeśli jest tworzona reguła ruchu wychodzącego nazwy FQDN w trybie zezwalania tylko na zatwierdzony ruch wychodzący . Opłaty za usługę Azure Firewall są uwzględniane w rozliczeniach. Domyślnie jest tworzona wersja Standardowa usługi AzureFirewall. Opcjonalnie możesz wybrać opcję użycia wersji Podstawowa. Możesz zmienić wersję zapory używaną w razie potrzeby. Aby dowiedzieć się, która wersja jest najlepsza dla Ciebie, odwiedź stronę Wybieranie odpowiedniej wersji usługi Azure Firewall.

Ważne

Zapora nie zostanie utworzona do momentu dodania reguły FQDN ruchu wychodzącego. Aby uzyskać więcej informacji na temat cen, zobacz Cennik usługi Azure Firewall i wyświetl ceny dla wersji standardowej.

Skorzystaj z poniższych kart, aby dowiedzieć się, jak wybrać wersję zapory dla zarządzanej sieci wirtualnej.

Po wybraniu trybu zezwalania tylko na zatwierdzony ruch wychodzący zostanie wyświetlona opcja wybrania wersji usługi Azure Firewall (SKU). Wybierz pozycję Standardowa , aby użyć wersji standardowej lub Podstawowa , aby użyć wersji podstawowej. Wybierz pozycję Zapisz , aby zapisać konfigurację.

Aby skonfigurować wersję zapory z poziomu interfejsu wiersza polecenia, użyj pliku YAML i określ parametr firewall_sku. W poniższym przykładzie pokazano plik YAML, który ustawia jednostkę SKU zapory na basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Aby skonfigurować wersję zapory z zestawu SDK języka Python, ustaw firewall_sku właściwość ManagedNetwork obiektu. W poniższym przykładzie pokazano, jak ustawić jednostkę SKU zapory na basic:

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND,
                         firewall_sku='basic')

Cennik

Funkcja zarządzanej sieci wirtualnej centrum jest bezpłatna. Opłaty są jednak naliczane za następujące zasoby, które są używane przez zarządzaną sieć wirtualną:

Azure Private Link — prywatne punkty końcowe używane do zabezpieczania komunikacji między zarządzaną siecią wirtualną a zasobami platformy Azure korzystają z usługi Azure Private Link. Aby uzyskać więcej informacji na temat cen, zobacz Cennik usługi Azure Private Link.
Reguły ruchu wychodzącego nazwy FQDN — reguły ruchu wychodzącego nazwy FQDN są implementowane przy użyciu usługi Azure Firewall. Jeśli używasz reguł wychodzącej nazwy FQDN, opłaty za usługę Azure Firewall są uwzględniane w rozliczeniach. Domyślnie używana jest standardowa wersja usługi Azure Firewall. Aby uzyskać informacje na temat wybierania wersji podstawowej, zobacz Wybieranie wersji usługi Azure Firewall. Usługa Azure Firewall jest aprowizowana na koncentrator.

Ważne

Zapora nie zostanie utworzona do momentu dodania reguły FQDN ruchu wychodzącego. Jeśli nie używasz reguł FQDN, nie będą naliczane opłaty za usługę Azure Firewall. Aby uzyskać więcej informacji na temat cen, zobacz Cennik usługi Azure Firewall.

Tworzenie centrum i projektu rozwiązania AI Foundry przy użyciu zestawu SDK

Udostępnij za pośrednictwem

Jak skonfigurować sieć zarządzaną dla centrów usługi Azure AI Foundry

Architektura izolacji sieci i tryby izolacji

Wymagania wstępne

Ograniczenia

Konfigurowanie zarządzanej sieci wirtualnej w celu zezwolenia na ruch wychodzący z Internetu

Konfigurowanie zarządzanej sieci wirtualnej tak, aby zezwalała tylko na zatwierdzony ruch wychodzący

Ręczne aprowizuj zarządzaną sieć wirtualną

Zarządzanie regułami ruchu wychodzącego

Lista wymaganych reguł

Lista reguł ruchu wychodzącego specyficznego dla scenariusza

Scenariusz: Uzyskiwanie dostępu do publicznych pakietów uczenia maszynowego

Scenariusz: Korzystanie z programu Visual Studio Code

Hosts

Porty

Scenariusz: korzystanie z modeli HuggingFace

Scenariusz: wyselekcjonowany przez usługę Azure AI

Prywatne punkty końcowe

Wybierz wersję usługi Azure Firewall dla dozwolonego tylko zatwierdzonego ruchu wychodzącego (wersja zapoznawcza)

Cennik

Opinia

Dodatkowe zasoby

Udostępnij za pośrednictwem

Jak skonfigurować sieć zarządzaną dla centrów usługi Azure AI Foundry

Architektura izolacji sieci i tryby izolacji

Wymagania wstępne

Ograniczenia

Konfigurowanie zarządzanej sieci wirtualnej w celu zezwolenia na ruch wychodzący z Internetu

Konfigurowanie zarządzanej sieci wirtualnej tak, aby zezwalała tylko na zatwierdzony ruch wychodzący

Ręczne aprowizuj zarządzaną sieć wirtualną

Zarządzanie regułami ruchu wychodzącego

Lista wymaganych reguł

Lista reguł ruchu wychodzącego specyficznego dla scenariusza

Scenariusz: Uzyskiwanie dostępu do publicznych pakietów uczenia maszynowego

Scenariusz: Korzystanie z programu Visual Studio Code

Hosts

Porty

Scenariusz: korzystanie z modeli HuggingFace

Scenariusz: wyselekcjonowany przez usługę Azure AI

Prywatne punkty końcowe

Wybierz wersję usługi Azure Firewall dla dozwolonego tylko zatwierdzonego ruchu wychodzącego (wersja zapoznawcza)

Cennik

Powiązana zawartość

Opinia

Dodatkowe zasoby