Como configurar uma rede gerenciada para hubs do Estúdio de IA do Azure

Temos dois aspectos do isolamento de rede. Uma das opções é o isolamento de rede para acessar um hub do Estúdio de IA do Azure. Outra é o isolamento da rede de recursos de computação para o hub e o projeto (como instância de computação, ponto de extremidade online gerenciado e sem servidor). Este documento explica o último realçado no diagrama. É possível usar o isolamento de rede integrado ao hub para proteger seus recursos de computação.

Você precisa definir as configurações de isolamento de rede a seguir.

• Escolha o modo de isolamento de rede. Você tem duas opções: o modo Permitir a saída da Internet ou o modo Permitir apenas a saída aprovada.
• Caso use a integração do Visual Studio Code com o modo Permitir apenas a saída aprovada, crie as regras de saída de FQDN descritas na seção usar o Visual Studio Code.
• Caso use os modelos do HuggingFace em Modelos com o modo Permitir apenas a saída aprovada, crie as regras de saída de FQDN descritas na seção usar modelos HuggingFace.
• Se você usar um dos modelos de código aberto permitindo apenas o modo de saída aprovado, crie regras de saída do FQDN descritas na seção coletado pela IA do Azure.

Arquitetura de isolamento de rede e modos de isolamento

Ao habilitar o isolamento da rede virtual gerenciada, é criada uma rede virtual gerenciada para o hub. Os recursos de computação gerenciados criados para o hub usam automaticamente essa rede virtual gerenciada. A rede virtual gerenciada pode usar pontos de extremidade privados para os recursos do Azure que são usados pelo hub, como o Armazenamento do Azure, o Azure Key Vault e o Registro de Contêiner do Azure.

Há três modos de configuração diferentes para o tráfego de saída da rede virtual gerenciada:

Modo de saída	Descrição	Cenários
Permitir a saída da Internet	Permita todo o tráfego de saída da Internet da rede virtual gerenciada.	Você deseja acesso irrestrito aos recursos de machine learning na Internet, como pacotes Python ou modelos pré-treinados.1
Permitir somente a saída aprovada	O tráfego de saída é permitido por meio da especificação de marcas de serviço.	* Você deseja minimizar o risco de exfiltração dos dados, mas precisa preparar todos os artefatos de machine learning necessários em seu ambiente privado. * Você deseja configurar o acesso de saída a uma lista aprovada de serviços, marcas de serviço ou FQDNs.
Desabilitadas	O tráfego de entrada e saída não é restrito.	Você quer entrada pública e saída do hub.

¹ Você pode usar regras de saída com o modo Permitir apenas a saída aprovada para obter o mesmo resultado que o uso do modo Permitir a saída da Internet. As diferenças são:

• Sempre use pontos de extremidade privados para acessar recursos do Azure.
• Você deve adicionar regras para cada conexão de saída que precisa permitir.
• A adição de regras de saída de FQDN aumenta seus custos, pois esse tipo de regra usa o Firewall do Azure. Se você usar regras FQDN de saída, os encargos de Firewall do Azure serão incluídos na sua cobrança. Para saber mais, consulte Preços.
• As regras padrão para permitir apenas a saída aprovada são projetadas para minimizar o risco de exfiltração dos dados. Qualquer regra de saída adicionada poderá aumentar o risco.

A rede virtual gerenciada é pré-configurada com as regras padrão necessárias. Ela também é configurada para conexões de pontos de extremidade privados com o hub, o armazenamento padrão do hub, o registro de contêineres e o cofre de chaves, se estiverem configurados como privados ou se o modo de isolamento do hub estiver definido para permitir somente a saída aprovada. Depois de escolher o modo de isolamento, você só precisa levar em consideração outros requisitos de saída que talvez precise adicionar.

O diagrama a seguir mostra uma rede virtual gerenciada configurada para permitir a saída da Internet:

O diagrama a seguir mostra uma rede virtual gerenciada configurada para permitir apenas a saída aprovada:

Observação

Nessa configuração, o armazenamento, o cofre de chaves e o registro de contêineres usados pelo hub são sinalizados como privados. Como eles são sinalizados como privados, um ponto de extremidade privado é usado para se comunicar com eles.

Pré-requisitos

Antes de seguir as etapas neste artigo, verifique se você tem os seguintes pré-requisitos:

Portal do Azure

• Uma assinatura do Azure. Se você não tiver uma assinatura do Azure, crie uma conta gratuita antes de começar.

• O provedor de recursos Microsoft.Network deve ser registrado para a sua assinatura do Azure. Esse provedor de recursos é usado pelo hub ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre o registro de provedores de recursos, confira Resolver erros de registro de provedor de recursos.

• A identidade do Azure que você usa ao implantar uma rede gerenciada requer as seguintes ações de RBAC do Azure (controle de acesso baseado em função do Azure) para criar pontos de extremidade privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

CLI do Azure

• Uma assinatura do Azure. Se você não tiver uma assinatura do Azure, crie uma conta gratuita antes de começar.

• O provedor de recursos Microsoft.Network deve ser registrado para a sua assinatura do Azure. Esse provedor de recursos é usado pelo hub ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre o registro de provedores de recursos, confira Resolver erros de registro de provedor de recursos.

• A identidade do Azure que você usa ao implantar uma rede gerenciada requer as seguintes ações de RBAC do Azure (controle de acesso baseado em função do Azure) para criar pontos de extremidade privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• A CLI do Azure e a ml extensão na CLI do Azure. Para obter mais informações, confira Instalar, configurar e usar a CLI (v2).

• Os exemplos de CLI neste artigo pressupõem que você esteja usando o shell Bash (ou compatível). Por exemplo, de um sistema Linux ou Subsistema do Windows para Linux.

• Os exemplos da CLI do Azure neste artigo usam ws para representar o nome do hub e rg para representar o nome do grupo de recursos. Altere esses valores conforme o necessário ao usar os comandos com sua assinatura do Azure.

SDK do Python

• Uma assinatura do Azure. Caso não tenha uma assinatura do Azure, crie uma conta gratuita antes de começar. Experimente a versão gratuita ou paga do Azure Machine Learning.

• O provedor de recursos Microsoft.Network deve ser registrado para a sua assinatura do Azure. Esse provedor de recursos é usado pelo hub ao criar pontos de extremidade privados para a rede virtual gerenciada.

  Para obter informações sobre o registro de provedores de recursos, confira Resolver erros de registro de provedor de recursos.

• A identidade do Azure que você usa ao implantar uma rede gerenciada requer as seguintes ações de RBAC do Azure (controle de acesso baseado em função do Azure) para criar pontos de extremidade privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• O SDK do Python do Azure Machine Learning v2. Para obter mais informações sobre o SDK, confira Instalar o SDK do Python v2 para Azure Machine Learning.

• Os exemplos neste artigo pressupõem que o seu código começa com o Python a seguir. Esse código importa as classes necessárias ao criar um hub com rede virtual gerenciada, define variáveis para sua assinatura do Azure e grupo de recursos e cria o ml_client:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

Limitações

• Atualmente, o Estúdio de IA do Azure não dá suporte a trazer sua própria rede virtual. Ele só dá suporte ao isolamento de rede virtual gerenciada.
• Depois de habilitar o isolamento da rede virtual gerenciada de sua IA do Azure, você não poderá desativá-lo.
• A rede virtual gerenciada usa a conexão de ponto de extremidade privado para acessar seus recursos privados. Você não pode ter um ponto de extremidade privado e um ponto de extremidade de serviço ao mesmo tempo para seus recursos do Azure, como uma conta de armazenamento. Recomendamos o uso de pontos de extremidade em todos os cenários.
• A rede virtual gerenciada será excluída quando a IA do Azure for excluída.
• A proteção contra exfiltração de dados é habilitada automaticamente para o único modo de saída aprovado. Se você adicionar outras regras de saída, como a FQDNs, a Microsoft não poderá garantir que você esteja protegido contra exfiltração de dados para esses destinos de saída.
• O uso de regras de saída de FQDN aumenta o custo da rede virtual gerenciada porque as regras do FQDN usam o Firewall do Azure. Para saber mais, consulte Preços.
• As regras de saída do FQDN só dão suporte às portas 80 e 443.
• Ao usar uma instância de computação com uma rede gerenciada, use o comando az ml compute connect-ssh para se conectar à computação usando SSH.
• Se sua rede gerenciada estiver configurada para permitir apenas a saída aprovada, você não poderá usar uma regra FQDN para acessar Contas de Armazenamento do Microsoft Azure. Em vez disso, você deve usar um ponto de extremidade privado.

Configurar uma rede virtual gerenciada para permitir a saída da Internet

Dica

A criação da VNet gerenciada é adiada até que um recurso de computação seja criado ou até que o provisionamento seja iniciado manualmente. Ao permitir a criação automática, pode levar cerca de 30 minutos para criar o primeiro recurso de computação, pois ele também está provisionando a rede.

Portal do Azure

• Criar um novo hub:

  1. Entre no portal do Azure e escolha Estúdio de IA do Azure no menu “Criar um recurso”.

  2. Selecione + Nova IA do Azure.

  3. Preencha as informações necessárias na guia Noções básicas.

  4. Na guia Rede , selecione Privado com Saída da Internet.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as seguintes informações:

     • Nome da regra: um nome para a regra. O nome deve ser exclusivo para esse hub.
     • Tipo de destino: o ponto de extremidade privado é a única opção quando o isolamento de rede é privado com saída da Internet. A rede virtual gerenciada pelo hub não dá suporte à criação de um ponto de extremidade privado para todos os tipos de recursos do Azure. Para obter uma lista de recursos com suporte, confira a seção pontos de extremidade privados.
     • Assinatura: a assinatura que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Grupo de recursos: o grupo de recursos que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Tipo de recurso: o tipo do recurso do Azure.
     • Nome do recurso: o nome do recurso do Azure.
     • Sub-recurso: o sub-recurso do tipo de recurso do Azure.

     Selecione Salvar para salvar a regra. Você pode continuar usando Adicionar regras de saída definidas pelo usuário para adicionar regras.

  6. Continue a criar o hub normalmente.

• Atualizar um hub existente:

  1. Entre no portal do Azure e selecione o hub para o qual você pretende habilitar o isolamento da rede virtual gerenciada.

  2. Na guia Rede, selecione Privada com Saída da Internet.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as mesmas informações usadas ao criar um hub na seção “Criar um novo hub”.

     • Para excluir uma regra de saída, selecione excluir para a regra.

  3. Selecione Salvar na parte superior da página para salvar as alterações na rede virtual gerenciada.

CLI do Azure

Para configurar uma rede virtual gerenciada que permita comunicações de saída da Internet, você pode usar o parâmetro --managed-network allow_internet_outbound ou um arquivo de configuração YAML que contenha as seguintes entradas:

managed_network:
  isolation_mode: allow_internet_outbound

Você também pode definir as regras de saída para outros serviços do Azure dos quais o hub depende. Essas regras definem os pontos de extremidade privados que permitem que um recurso do Azure se comunique com segurança com a rede virtual gerenciada. A regra a seguir demonstra como adicionar um ponto de extremidade privado a um recurso de Blob do Azure.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Você pode configurar uma rede virtual gerenciada usando os comandos az ml workspace create ou az ml workspace update:

• Criar um novo hub:

  O exemplo a seguir cria um novo hub. O parâmetro --managed-network allow_internet_outbound configura uma rede virtual gerenciada para o hub:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para criar um hub usando um arquivo YAML, use o parâmetro --file e especifique o arquivo YAML que contém as configurações:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  O exemplo YAML a seguir define um hub com uma rede virtual gerenciada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Atualizar um hub existente:

  Aviso

  Antes de atualizar um workspace existente para usar uma rede virtual gerenciada, você deve excluir todos os recursos de computação do workspace. Isso inclui a instância de computação, o cluster de computação e pontos de extremidade online gerenciados.

  O exemplo a seguir atualiza um hub existente. O parâmetro --managed-network allow_internet_outbound configura uma rede virtual gerenciada para o hub:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para atualizar um hub existente usando o arquivo YAML, use o parâmetro --file e especifique o arquivo YAML que contém as configurações:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  O exemplo YAML a seguir define uma rede virtual gerenciada para o hub. Ele também demonstra como adicionar uma conexão de ponto de extremidade privado a um recurso usado pelo hub; nesse exemplo, um ponto de extremidade privado para um armazenamento de blob:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

SDK do Python

Para configurar uma rede virtual gerenciada que permite comunicações de saída da Internet, use a classe ManagedNetwork para definir uma rede com IsolationMode.ALLOW_INTERNET_OUTBOUND. Você pode usar o objeto ManagedNetwork para criar um novo hub ou atualizar um existente. Para definir as regras de saída para os serviços do Azure dos quais o hub depende, use a classe PrivateEndpointDestination para definir um novo ponto de extremidade privado para o serviço.

• Criar um novo hub:

  O exemplo a seguir cria um novo hub chamado myhub, com uma regra de saída chamada myrule que adiciona um ponto de extremidade privado para um armazenamento de Blobs do Azure:

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Atualizar um hub existente:

  O exemplo a seguir demonstra como criar uma rede virtual gerenciada para um hub existente chamado myhub:

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Configurar uma rede virtual gerenciada para permitir apenas saídas aprovadas

Dica

A VNet gerenciada é provisionada automaticamente quando você cria um recurso de computação. Ao permitir a criação automática, pode levar cerca de 30 minutos para criar o primeiro recurso de computação, pois ele também está provisionando a rede. Se você configurou regras de saída de FQDN, a primeira regra de FQDN adicionará cerca de 10 minutos ao tempo de provisionamento.

Portal do Azure

• Criar um novo hub:

  1. Entre no portal do Azure e escolha Estúdio de IA do Azure no menu “Criar um recurso”.

  2. Selecione + Nova IA do Azure.

  3. Preencha as informações necessárias na guia Noções básicas.

  4. Na guia Rede, selecione Privada com Saída da Internet.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as seguintes informações:

     • Nome da regra: um nome para a regra. O nome deve ser exclusivo para esse hub.
     • Tipo de destino: ponto de extremidade privado, marca de serviço ou FQDN. A marca de serviço e o FQDN só estão disponíveis quando o isolamento de rede é privado com saída aprovada.

     Se o tipo de destino for ponto de extremidade privado, forneça as seguintes informações:

     • Assinatura: a assinatura que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Grupo de recursos: o grupo de recursos que contém o recurso do Azure para o qual você deseja adicionar um ponto de extremidade privado.
     • Tipo de recurso: o tipo do recurso do Azure.
     • Nome do recurso: o nome do recurso do Azure.
     • Sub-recurso: o sub-recurso do tipo de recurso do Azure.

     Dica

     A VNet gerenciada pelo hub não dá suporte à criação de um ponto de extremidade privado para todos os tipos de recursos do Azure. Para obter uma lista de recursos com suporte, confira a seção pontos de extremidade privados.

     Se o tipo de destino for marca de serviço, forneça as seguintes informações:

     • Marca de serviço: a marca de serviço a ser adicionada às regras de saída aprovadas.
     • Protocolo: o protocolo a ser permitido para a marca de serviço.
     • Intervalos de portas: os intervalos de portas a serem permitidos para a marca de serviço.

     Se o tipo de destino for FQDN, forneça as seguintes informações:

     • Destino FQDN: o nome de domínio totalmente qualificado a ser adicionado às regras de saída aprovadas.

     Selecione Salvar para salvar a regra. Você pode continuar usando Adicionar regras de saída definidas pelo usuário para adicionar regras.

  6. Continue a criar o hub normalmente.

• Atualizar um hub existente:

  1. Entre no portal do Azure e selecione o hub para o qual você pretende habilitar o isolamento da rede virtual gerenciada.

  2. Selecione Rede e, em seguida, selecione Privada com Saída da Internet.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída, forneça as mesmas informações fornecidas ao criar um hub na seção anterior “Criar um novo hub”.

     • Para excluir uma regra de saída, selecione excluir para a regra.

  3. Selecione Salvar na parte superior da página para salvar as alterações na rede virtual gerenciada.

CLI do Azure

Para configurar uma rede virtual gerenciada que permita apenas comunicações de saída aprovadas, você pode usar o parâmetro --managed-network allow_only_approved_outbound ou um arquivo de configuração YAML que contenha as seguintes entradas:

managed_network:
  isolation_mode: allow_only_approved_outbound

Você também pode definir as regras de saída para definir a comunicação de saída aprovada. Uma regra de saída pode ser criada para um tipo de service_tag, fqdn e private_endpoint. A regra a seguir demonstra como adicionar um ponto de extremidade privado a um recurso de Blob do Azure, uma marca de serviço para o Azure Data Factory e um FQDN a pypi.org:

Importante

• A adição de uma saída para uma marca de serviço ou FQDN só é válida quando a VNet gerenciada estiver configurada para allow_only_approved_outbound.
• Se você adicionar regras de saída, a Microsoft não poderá garantir a exfiltração de dados.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Você pode configurar uma rede virtual gerenciada usando os comandos az ml workspace create ou az ml workspace update:

• Criar um novo hub:

  O exemplo a seguir usa o parâmetro --managed-network allow_only_approved_outbound para configurar a rede virtual gerenciada:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O arquivo YAML a seguir define um hub com uma rede virtual gerenciada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Para criar um hub usando o arquivo YAML, use o parâmetro --file:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Atualizar um hub existente

  Aviso

  Antes de atualizar um workspace existente para usar uma rede virtual gerenciada, você deve excluir todos os recursos de computação do workspace. Isso inclui a instância de computação, o cluster de computação e pontos de extremidade online gerenciados.

  O exemplo a seguir usa o parâmetro --managed-network allow_only_approved_outbound para configurar a rede virtual gerenciada para um hub existente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O arquivo YAML a seguir define uma rede virtual gerenciada para o hub. Ele também demonstra como adicionar uma saída aprovada à rede virtual gerenciada. Neste exemplo, uma regra de saída é adicionada para ambas as marcas de serviço:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

SDK do Python

Para configurar uma rede virtual gerenciada que permita apenas comunicações de saída aprovadas, use a classe ManagedNetwork para definir uma rede com IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND. Você pode usar o objeto ManagedNetwork para criar um novo hub ou atualizar um existente. Para definir regras de saída, use as seguintes classes:

Destino	Classe
Serviço do Azure no qual o hub depende	PrivateEndpointDestination
Marca de serviço do Azure	ServiceTagDestination
FQDN (nome de domínio totalmente qualificado)	FqdnDestination

• Criar um novo hub:

  O exemplo a seguir cria um novo hub chamado myhub, com várias regras de saída:

  • myrule – Adiciona um ponto de extremidade privado para um repositório de Blobs do Azure.
  • datafactory– Adiciona uma regra de marca de serviço para se comunicar com o Azure Data Factory.

  Importante

  • A adição de uma saída para uma marca de serviço ou FQDN só é válida quando a VNet gerenciada estiver configurada para IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Se você adicionar regras de saída, a Microsoft não poderá garantir a exfiltração de dados.

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Atualizar um hub existente:

  O exemplo a seguir demonstra como criar uma rede virtual gerenciada para um hub do Azure Machine Learning existente chamado myhub. O exemplo também adiciona várias regras de saída para a rede virtual gerenciada:

  • myrule – Adiciona um ponto de extremidade privado para um repositório de Blobs do Azure.
  • datafactory– Adiciona uma regra de marca de serviço para se comunicar com o Azure Data Factory.

  Dica

  A adição de uma saída para uma marca de serviço ou FQDN só é válida quando a VNet gerenciada estiver configurada para IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Provisionar manualmente uma VNet gerenciada

A rede virtual gerenciada é provisionada automaticamente ao criar uma instância de computação. Quando você depende do provisionamento automático, pode levar cerca de 30 minutos para criar a primeira instância de computação, pois ele também está provisionando a rede. Se você configurou regras de saída de FQDN (disponível somente com o modo permitir somente aprovado), a primeira regra do FQDN adicionará cerca de 10 minutos ao tempo de provisionamento. Se você tiver um conjunto grande de regras de saída a ser provisionado na rede gerenciada, poderá levar mais tempo para que o provisionamento seja concluído. O aumento do tempo de provisionamento pode fazer com que a criação da primeira instância de computação atinja o tempo limite.

Para reduzir o tempo de espera e evitar possíveis erros de tempo limite, recomendamos provisionar a rede gerenciada manualmente. Em seguida, aguarde até que o provisionamento seja concluído antes de criar uma instância de computação.

Como alternativa, você pode usar o sinalizador provision_network_now para provisionar a rede gerenciada como parte da criação do hub. Esse sinalizador está em versão prévia.

Observação

Para criar uma implantação online, você deve provisionar manualmente a rede gerenciada ou criar primeiro uma instância de computação que a provisionará automaticamente.

Portal do Azure

Durante a criação do hub, selecione Provisionar rede gerenciada proativamente na criação para provisionar a rede gerenciada. Os encargos são incorridos de recursos de rede, como pontos de extremidade privados, depois que a rede virtual é provisionada. Essa opção de configuração só está disponível durante a criação do workspace e está em versão prévia.

CLI do Azure

O exemplo a seguir mostra como provisionar uma rede virtual gerenciada durante a criação do hub. O sinalizador --provision-network-now está em versão prévia.

az ml workspace create -n myworkspace -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now

O exemplo a seguir mostra como provisionar uma rede virtual gerenciada.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Para verificar se o provisionamento foi concluído, use o seguinte comando:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

SDK do Python

O exemplo a seguir mostra como provisionar uma rede virtual gerenciada durante a criação do hub. O sinalizador --provision-network-now está em versão prévia.

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

O exemplo a seguir mostra como provisionar uma rede virtual gerenciada:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myAIHubName")

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ai_hub_name).result()

Para verificar se o Hub de IA foi provisionado, use ml_client.workspaces.get() para obter as informações do Hub de IA. A propriedade managed_network contém o status da rede gerenciada.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

Gerenciar regras de saída

Portal do Azure

1. Entre no portal do Azure e selecione o hub para o qual você pretende habilitar o isolamento da rede virtual gerenciada.
2. Selecione Rede. A seção Acesso de saída da IA do Azure permite que você gerencie as regras de saída.

• Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo usuário na guia Rede. Na barra lateral Regras de saída da IA do Azure, forneça as seguintes informações:

• Para habilitar ou desabilitar uma regra, use a alternância na coluna Ativo.

• Para excluir uma regra de saída, selecione excluir para a regra.

CLI do Azure

Para listar as regras de saída da rede virtual gerenciada para um hub, use o seguinte comando:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Para exibir os detalhes de uma regra de saída da rede virtual gerenciada, use o seguinte comando:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Para remover uma regra de saída da rede virtual gerenciada, use o seguinte comando:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

SDK do Python

O exemplo a seguir demonstra como gerenciar regras de saída para um hub chamado myhub:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Lista de regras necessárias

Dica

Essas regras são adicionadas automaticamente à VNet gerenciada.

Pontos de extremidade privados:

• Quando o modo de isolamento da rede virtual gerenciada for Allow internet outbound, as regras de saída do ponto de extremidade privado serão criadas automaticamente como regras necessárias da rede virtual gerenciada para o hub e os recursos associados com acesso à rede pública desabilitado (Key Vault, Conta de Armazenamento, Registo de Contêiner, hub).
• Quando o modo de isolamento da rede virtual gerenciada for Allow only approved outbound, as regras de saída do ponto de extremidade privado serão criadas automaticamente como regras necessárias da rede virtual gerenciada para o hub os recursos associados, independentemente do modo de acesso à rede pública para esses recursos(Key Vault, Conta de Armazenamento, Registo de Contêiner, hub).

Regras de marca de serviço de saída:

• AzureActiveDirectory
• Azure Machine Learning
• BatchNodeManagement.region
• AzureResourceManager
• AzureFrontDoor.FirstParty
• MicrosoftContainerRegistry
• AzureMonitor

Regras de marca de serviço de entrada:

• AzureMachineLearning

Lista de regras de saída específicas do cenário

Cenário: Acessar pacotes públicos de aprendizado de máquina

Para permitir a instalação de pacotes do Python para treinamento e implantação, adicione regras de FQDN de saída para permitir o tráfego aos seguintes nomes de host:

Observação

Esta não é uma lista completa dos hosts necessários para todos os recursos do Python na Internet. Ela inclui somente os mais usados. Por exemplo, caso você precise de acesso a um repositório GitHub ou outro host, identifique e adicione os hosts necessários para esse cenário.

Nome do host	Finalidade
anaconda.com *.anaconda.com	Usado para instalar pacotes padrão.
*.anaconda.org	Usado para obter dados do repositório.
pypi.org	Usado para listar dependências com base no índice padrão, se houver, quando o índice não foi substituído pelas configurações do usuário. Se o índice tiver sido substituído, você deverá permitir também *.pythonhosted.org.
pytorch.org *.pytorch.org	Usado por alguns exemplos com base em PyTorch.
*.tensorflow.org	Usado por alguns exemplos com base em Tensorflow.

Cenário: Usar o Visual Studio Code

O Visual Studio Code depende de hosts e portas específicos para estabelecer uma conexão remota.

Hosts

Se você planeja usar o Visual Studio Code com o hub, adicione regras de FQDN de saída para permitir o tráfego para os seguintes hosts:

• *.vscode.dev
• vscode.blob.core.windows.net
• *.gallerycdn.vsassets.io
• raw.githubusercontent.com
• *.vscode-unpkg.net
• *.vscode-cdn.net
• *.vscodeexperiments.azureedge.net
• default.exp-tas.com
• code.visualstudio.com
• update.code.visualstudio.com
• *.vo.msecnd.net
• marketplace.visualstudio.com
• pkg-containers.githubusercontent.com
• github.com

Portos

Você deve permitir o tráfego de rede nas portas 8704 a 8710. O servidor do VS Code seleciona dinamicamente a primeira porta disponível dentro desse intervalo.

Cenário: Usar os modelos do HuggingFace

Se você planeja usar modelos HuggingFace com o hub, adicione regras de FQDN de saída para permitir o tráfego para os seguintes hosts:

• docker.io
• *.docker.io
• *.docker.com
• production.cloudflare.docker.com
• cnd.auth0.com
• cdn-lfs.huggingface.co

Cenário: coletado pela IA do Azure

Esses modelos envolvem a instalação dinâmica de dependências em runtime e necessitam de regras FQDN de saída para permitir o tráfego para os seguintes hosts:

*.anaconda.org *.anaconda.com anaconda.com pypi.org *.pythonhosted.org *.pytorch.org pytorch.org

Pontos de extremidade privados

Atualmente, há suporte para pontos de extremidade privados para os seguintes serviços do Azure:

• Hub do Estúdio de IA
• Azure AI Search
• Serviços de IA do Azure
• Gerenciamento de API do Azure
• Registro de Contêiner do Azure
• Azure Cosmos DB (todos os sub-tipos de recursos)
• Fábrica de dados do Azure
• Banco de Dados do Azure para MariaDB
• Banco de Dados do Azure para MySQL
• Servidor Único do Banco de Dados do Azure para PostgreSQL
• Banco de Dados do Azure para PostgreSQL Servidor Flexível
• Azure Databricks
• Hubs de eventos do Azure
• Cofre de Chave do Azure
• Azure Machine Learning
• Registros do Azure Machine Learning
• Cache Redis do Azure
• Azure SQL Server
• Armazenamento do Microsoft Azure (todos os tipos de sub-recursos)

Ao criar um ponto de extremidade privado, você fornece o tipo de recurso e o sub-recurso ao qual o ponto de extremidade se conecta. Alguns recursos têm vários tipos e sub-recursos. Para obter mais informações, confira o que é um ponto de extremidade privado.

Ao criar um ponto de extremidade privado para recursos de dependência de hub, como o Armazenamento do Azure, o Registro de Contêiner do Azure e o Azure Key Vault, o recurso poderá estar em uma assinatura diferente do Azure. No entanto, o recurso precisará estar no mesmo locatário que o hub.

Um ponto de extremidade privado será criado automaticamente para uma conexão se o recurso de destino for um recurso do Azure listado anteriormente. Uma ID de destino válida é esperada para o ponto de extremidade privado. Uma ID de destino válida para a conexão pode ser a ID do Azure Resource Manager de um recurso pai. A ID de destino também é esperada no destino da conexão ou na metadata.resourceid. Para saber mais sobre conexões, confira Como adicionar uma nova conexão no Estúdio de IA do Azure.

Selecione uma versão do Firewall do Azure para apenas saída aprovada permitida (versão prévia)

Um Firewall do Azure será implantado se uma regra de saída do FQDN for criada enquanto estiver no modo permitir apenas a saída aprovada. Os encargos do Firewall do Azure são incluídos na sua cobrança. Por padrão, uma versão Standard do Firewall do Azure é criada. Opcionalmente, você pode selecionar para usar uma versão Básica. Você pode alterar a versão do firewall usada conforme necessário. Para descobrir qual versão é melhor para você, visite Escolher a versão certa do Firewall do Azure.

Importante

O firewall não é criado até que você adicione uma regra de FQDN de saída. Para obter mais informações sobre preços, consulte Preços do Firewall do Azure e veja os preços da versão Standard.

Use as guias a seguir para saber como selecionar a versão do firewall para sua rede virtual gerenciada.

Portal do Azure

Depois de selecionar o modo apenas saída aprovada permitida, será exibida uma opção para selecionar a versão do Firewall do Azure (SKU). Selecione Standard para usar a versão padrão ou Básico para usar a versão básica. Selecione Salvar para salvar a configuração.

CLI do Azure

Para configurar a versão de firewall da CLI, use um arquivo YAML e especifique o firewall_sku. O seguinte exemplo demonstra um arquivo YAML que define o SKU de firewall como basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

SDK do Python

Para configurar a versão de firewall do SDK do Python, defina a propriedade firewall_sku do objeto ManagedNetwork. O seguinte exemplo demonstra como definir o SKU de firewall como basic:

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND,
                         firewall_sku='basic')

Preços

O recurso de rede virtual gerenciada pelo hub é gratuito. No entanto, você é cobrado pelos seguintes recursos que são usados pela rede virtual gerenciada:

• Link Privado do Azure – os pontos de extremidade privados usados para proteger as comunicações entre a rede virtual gerenciada e os recursos do Azure dependem de Link Privado do Azure. Para obter mais informações sobre preços, confira preços do Link Privado do Azure.

• Regras de saída do FQDN – as regras de saída do FQDN são implementadas usando o Firewall do Azure. Se você usar regras FQDN de saída, os encargos de Firewall do Azure serão incluídos na sua cobrança. Uma versão padrão do Firewall do Azure é usada por padrão. Para obter informações sobre como selecionar a versão básica, consulte Selecionar uma versão do Firewall do Azure. O Firewall do Azure é provisionado pelo hub.

  Importante

  O firewall não é criado até que você adicione uma regra de FQDN de saída. Se você não usar regras de FQDN, não será cobrado pelo Firewall do Azure. Para obter informações sobre preços, confira preços do Firewall do Azure.

Conteúdo relacionado

• Criar o hub e o projeto do Estúdio de IA usando o SDK