Så här konfigurerar du ett hanterat nätverk för Azure AI Foundry-hubbar

Vi har två aspekter av nätverksisolering. Den ena är nätverksisoleringen för åtkomst till en Azure AI Foundry-hubb. En annan är nätverksisolering av beräkningsresurser för både din hubb och ditt projekt (till exempel beräkningsinstans, serverlös och hanterad onlineslutpunkt.) Det här dokumentet förklarar det senare som är markerat i diagrammet. Du kan använda hubb inbyggd nätverksisolering för att skydda dina databehandlingsresurser.

Du måste konfigurera följande konfigurationer för nätverksisolering.

• Välj nätverksisoleringsläge. Du har två alternativ: tillåt utgående internetläge eller tillåt endast godkänt utgående läge.
• Om du använder Visual Studio Code-integrering med tillåt endast godkänt utgående läge skapar du FQDN-regler för utgående trafik som beskrivs i avsnittet Använd Visual Studio Code .
• Om du använder HuggingFace-modeller i Modeller med tillåt endast godkänt utgående läge skapar du utgående FQDN-regler som beskrivs i avsnittet Använda HuggingFace-modeller .
• Om du använder en av modellerna med öppen källkod med tillåt endast godkänt utgående läge skapar du FQDN-regler för utgående trafik som beskrivs i avsnittet kuraterad av Azure AI .

Arkitektur och isoleringslägen för nätverksisolering

När du aktiverar isolering av hanterade virtuella nätverk skapas ett hanterat virtuellt nätverk för hubben. Hanterade beräkningsresurser som du skapar för hubben använder automatiskt det här hanterade virtuella nätverket. Det hanterade virtuella nätverket kan använda privata slutpunkter för Azure-resurser som används av din hubb, till exempel Azure Storage, Azure Key Vault och Azure Container Registry.

Det finns tre olika konfigurationslägen för utgående trafik från det hanterade virtuella nätverket:

Utgående läge	beskrivning	Scenarier
Tillåt utgående internet	Tillåt all utgående internettrafik från det hanterade virtuella nätverket.	Du vill ha obegränsad åtkomst till maskininlärningsresurser på Internet, till exempel Python-paket eller förtränad modeller.1
Tillåt endast godkänd utgående trafik	Utgående trafik tillåts genom att ange tjänsttaggar.	* Du vill minimera risken för dataexfiltrering, men du måste förbereda alla nödvändiga maskininlärningsartefakter i din privata miljö. * Du vill konfigurera utgående åtkomst till en godkänd lista över tjänster, tjänsttaggar eller FQDN.
Inaktiverad	Inkommande och utgående trafik är inte begränsad.	Du vill ha offentlig inkommande och utgående trafik från hubben.

¹ Du kan använda utgående regler med tillåt endast godkänt utgående läge för att uppnå samma resultat som med hjälp av tillåt utgående internet. Skillnaderna är:

• Använd alltid privata slutpunkter för att komma åt Azure-resurser.
• Du måste lägga till regler för varje utgående anslutning som du måste tillåta.
• Om du lägger till FQDN-regler för utgående trafik ökar kostnaderna eftersom den här regeltypen använder Azure Firewall. Om du använder utgående FQDN-regler ingår avgifter för Azure Firewall i din fakturering. Mer information finns i Prissättning.
• Standardreglerna för tillåt endast godkänd utgående trafik är utformade för att minimera risken för dataexfiltrering. Eventuella regler för utgående trafik som du lägger till kan öka risken.

Det hanterade virtuella nätverket är förkonfigurerat med nödvändiga standardregler. Den är också konfigurerad för privata slutpunktsanslutningar till hubben, hubbens standardlagring, containerregister och nyckelvalv om de är konfigurerade som privata eller hubbens isoleringsläge är inställt på att endast tillåta godkänd utgående trafik. När du har valt isoleringsläge behöver du bara överväga andra utgående krav som du kan behöva lägga till.

Följande diagram visar ett hanterat virtuellt nätverk som har konfigurerats för att tillåta utgående Internet:

Följande diagram visar ett hanterat virtuellt nätverk som konfigurerats för att endast tillåta godkänd utgående trafik:

Kommentar

I den här konfigurationen flaggas lagrings-, nyckelvalvet och containerregistret som används av hubben som privata. Eftersom de flaggas som privata används en privat slutpunkt för att kommunicera med dem.

Förutsättningar

Innan du följer stegen i den här artikeln kontrollerar du att du har följande förutsättningar:

Azure-portalen

• En Azure-prenumeration. Om du inte har någon Azure-prenumeration kan du skapa ett kostnadsfritt konto innan du börjar.

• Resursprovidern Microsoft.Network måste vara registrerad för din Azure-prenumeration. Den här resursprovidern används av hubben när du skapar privata slutpunkter för det hanterade virtuella nätverket.

  Information om hur du registrerar resursprovidrar finns i Lösa fel för registrering av resursprovider.

• Den Azure-identitet som du använder när du distribuerar ett hanterat nätverk kräver följande Azure-åtgärder för rollbaserad åtkomstkontroll (Azure RBAC) för att skapa privata slutpunkter:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

Azure CLI

• En Azure-prenumeration. Om du inte har någon Azure-prenumeration kan du skapa ett kostnadsfritt konto innan du börjar.

• Resursprovidern Microsoft.Network måste vara registrerad för din Azure-prenumeration. Den här resursprovidern används av hubben när du skapar privata slutpunkter för det hanterade virtuella nätverket.

  Information om hur du registrerar resursprovidrar finns i Lösa fel för registrering av resursprovider.

• Den Azure-identitet som du använder när du distribuerar ett hanterat nätverk kräver följande Azure-åtgärder för rollbaserad åtkomstkontroll (Azure RBAC) för att skapa privata slutpunkter:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Azure CLI och ml tillägget till Azure CLI. Mer information finns i Installera, konfigurera och använda CLI (v2).

• CLI-exemplen i den här artikeln förutsätter att du använder Bash-gränssnittet (eller det kompatibla). Till exempel från ett Linux-system eller Windows-undersystem för Linux.

• Azure CLI-exemplen i den här artikeln används ws för att representera hubbens namn och rg för att representera namnet på resursgruppen. Ändra dessa värden efter behov när du använder kommandona med din Azure-prenumeration.

Python SDK

• En Azure-prenumeration. Om du inte har någon Azure-prenumeration kan du skapa ett kostnadsfritt konto innan du börjar. Prova den kostnadsfria eller betalda versionen av Azure Machine Learning.

• Resursprovidern Microsoft.Network måste vara registrerad för din Azure-prenumeration. Den här resursprovidern används av hubben när du skapar privata slutpunkter för det hanterade virtuella nätverket.

  Information om hur du registrerar resursprovidrar finns i Lösa fel för registrering av resursprovider.

• Den Azure-identitet som du använder när du distribuerar ett hanterat nätverk kräver följande Azure-åtgärder för rollbaserad åtkomstkontroll (Azure RBAC) för att skapa privata slutpunkter:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Azure Machine Learning Python SDK v2. Mer information om SDK finns i Installera Python SDK v2 för Azure Machine Learning.

• Exemplen i den här artikeln förutsätter att koden börjar med följande Python. Den här koden importerar de klasser som krävs när du skapar en hubb med ett hanterat virtuellt nätverk, anger variabler för din Azure-prenumeration och resursgrupp och skapar ml_client:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

Begränsningar

• Azure AI Foundry stöder för närvarande inte att skapa ett eget virtuellt nätverk, utan stöder endast isolering av hanterade virtuella nätverk.
• När du har aktiverat isolering av hanterade virtuella nätverk i Azure AI kan du inte inaktivera den.
• Det hanterade virtuella nätverket använder en privat slutpunktsanslutning för att få åtkomst till dina privata resurser. Du kan inte ha en privat slutpunkt och en tjänstslutpunkt samtidigt för dina Azure-resurser, till exempel ett lagringskonto. Vi rekommenderar att du använder privata slutpunkter i alla scenarier.
• Det hanterade virtuella nätverket tas bort när Azure AI tas bort.
• Dataexfiltreringsskydd aktiveras automatiskt för det enda godkända utgående läget. Om du lägger till andra regler för utgående trafik, till exempel till FQDN, kan Microsoft inte garantera att du skyddas från dataexfiltrering till dessa utgående mål.
• Om du använder utgående FQDN-regler ökar kostnaden för det hanterade virtuella nätverket eftersom FQDN-regler använder Azure Firewall. Mer information finns i Prissättning.
• FQDN-regler för utgående trafik stöder endast portarna 80 och 443.
• När du använder en beräkningsinstans med ett hanterat nätverk använder du az ml compute connect-ssh kommandot för att ansluta till beräkningen med hjälp av SSH.
• Om ditt hanterade nätverk har konfigurerats för att endast tillåta godkänd utgående trafik kan du inte använda en FQDN-regel för åtkomst till Azure Storage-konton. Du måste använda en privat slutpunkt i stället.

Konfigurera ett hanterat virtuellt nätverk för att tillåta utgående internet

Dricks

Skapandet av det hanterade virtuella nätverket skjuts upp tills en beräkningsresurs skapas eller etableringen startas manuellt. När du tillåter automatisk skapande kan det ta cirka 30 minuter att skapa den första beräkningsresursen eftersom den även etablerar nätverket.

Azure-portalen

• Skapa en ny hubb:

  1. Logga in på Azure Portal och välj Azure AI Foundry på menyn Skapa en resurs.

  2. Välj + Ny Azure AI.

  3. Ange nödvändig information på fliken Grundläggande .

  4. På fliken Nätverk väljer du Privat med Utgående Internet.

  5. Om du vill lägga till en regel för utgående trafik väljer du Lägg till användardefinierade regler för utgående trafik på fliken Nätverk . I sidofältet För utgående regler anger du följande information:

     • Regelnamn: Ett namn på regeln. Namnet måste vara unikt för den här hubben.
     • Måltyp: Privat slutpunkt är det enda alternativet när nätverksisoleringen är privat med utgående Internet. Hubbhanterat virtuellt nätverk har inte stöd för att skapa en privat slutpunkt för alla Azure-resurstyper. En lista över resurser som stöds finns i avsnittet Privata slutpunkter .
     • Prenumeration: Den prenumeration som innehåller den Azure-resurs som du vill lägga till en privat slutpunkt för.
     • Resursgrupp: Resursgruppen som innehåller den Azure-resurs som du vill lägga till en privat slutpunkt för.
     • Resurstyp: Typen av Azure-resurs.
     • Resursnamn: Namnet på Azure-resursen.
     • Underresurs: Underresursen för Azure-resurstypen.

     Välj Spara för att spara regeln. Du kan fortsätta att använda Lägg till användardefinierade utgående regler för att lägga till regler.

  6. Fortsätt att skapa hubben som vanligt.

• Uppdatera en befintlig hubb:

  1. Logga in på Azure Portal och välj den hubb som du vill aktivera hanterad virtuell nätverksisolering för.

  2. Välj Nätverk och välj sedan Privat med Utgående Internet.

     • Om du vill lägga till en regel för utgående trafik väljer du Lägg till användardefinierade regler för utgående trafik på fliken Nätverk . I sidofältet För utgående regler anger du samma information som när du skapar en hubb i avsnittet Skapa en ny hubb.

     • Om du vill ta bort en regel för utgående trafik väljer du Ta bort för regeln.

  3. Välj Spara överst på sidan för att spara ändringarna i det hanterade virtuella nätverket.

Azure CLI

Om du vill konfigurera ett hanterat virtuellt nätverk som tillåter utgående internetkommunikation kan du använda antingen parametern --managed-network allow_internet_outbound eller en YAML-konfigurationsfil som innehåller följande poster:

managed_network:
  isolation_mode: allow_internet_outbound

Du kan också definiera regler för utgående trafik till andra Azure-tjänster som hubben förlitar sig på. Dessa regler definierar privata slutpunkter som gör att en Azure-resurs kan kommunicera säkert med det hanterade virtuella nätverket. Följande regel visar hur du lägger till en privat slutpunkt i en Azure Blob-resurs.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Du kan konfigurera ett hanterat virtuellt nätverk med hjälp av kommandona az ml workspace create eller az ml workspace update :

• Skapa en ny hubb:

  I följande exempel skapas en ny hubb. Parametern --managed-network allow_internet_outbound konfigurerar ett hanterat virtuellt nätverk för hubben:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Om du vill skapa en hubb med hjälp av en YAML-fil i stället använder du parametern --file och anger den YAML-fil som innehåller konfigurationsinställningarna:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  I följande YAML-exempel definieras en hubb med ett hanterat virtuellt nätverk:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Uppdatera en befintlig hubb:

  Varning

  Du måste ta bort alla databehandlingsresurser för arbetsytan innan du uppdaterar en befintlig arbetsyta för att använda ett hanterat virtuellt nätverk. Detta omfattar beräkningsinstanser, beräkningskluster och hanterade onlineslutpunkter.

  I följande exempel uppdateras en befintlig hubb. Parametern --managed-network allow_internet_outbound konfigurerar ett hanterat virtuellt nätverk för hubben:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Om du vill uppdatera en befintlig hubb med YAML-filen använder du parametern --file och anger DEN YAML-fil som innehåller konfigurationsinställningarna:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  I följande YAML-exempel definieras ett hanterat virtuellt nätverk för hubben. Den visar också hur du lägger till en privat slutpunktsanslutning till en resurs som används av hubben. I det här exemplet en privat slutpunkt för ett bloblager:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Python SDK

Om du vill konfigurera ett hanterat virtuellt nätverk som tillåter utgående internetkommunikation använder du ManagedNetwork klassen för att definiera ett nätverk med IsolationMode.ALLOW_INTERNET_OUTBOUND. Du kan sedan använda ManagedNetwork objektet för att skapa en ny hubb eller uppdatera en befintlig. Om du vill definiera utgående regler för Azure-tjänster som hubben förlitar sig på använder du PrivateEndpointDestination klassen för att definiera en ny privat slutpunkt för tjänsten.

• Skapa en ny hubb:

  I följande exempel skapas en ny hubb med namnet myhub, med en regel för utgående trafik med namnet myrule som lägger till en privat slutpunkt för ett Azure Blob Store:

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Uppdatera en befintlig hubb:

  I följande exempel visas hur du skapar ett hanterat virtuellt nätverk för en befintlig hubb med namnet myhub:

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Konfigurera ett hanterat virtuellt nätverk för att endast tillåta godkänd utgående trafik

Dricks

Det hanterade virtuella nätverket etableras automatiskt när du skapar en beräkningsresurs. När du tillåter automatisk skapande kan det ta cirka 30 minuter att skapa den första beräkningsresursen eftersom den även etablerar nätverket. Om du har konfigurerat utgående FQDN-regler lägger den första FQDN-regeln till cirka 10 minuter till etableringstiden.

Azure-portalen

• Skapa en ny hubb:

  1. Logga in på Azure Portal och välj Azure AI Foundry på menyn Skapa en resurs.

  2. Välj + Ny Azure AI.

  3. Ange nödvändig information på fliken Grundläggande .

  4. På fliken Nätverk väljer du Privat med godkänd utgående trafik.

  5. Om du vill lägga till en regel för utgående trafik väljer du Lägg till användardefinierade regler för utgående trafik på fliken Nätverk . I sidofältet För utgående regler anger du följande information:

     • Regelnamn: Ett namn på regeln. Namnet måste vara unikt för den här hubben.
     • Måltyp: Privat slutpunkt, tjänsttagg eller FQDN. Tjänsttagg och FQDN är endast tillgängliga när nätverksisoleringen är privat med godkänd utgående trafik.

     Om måltypen är privat slutpunkt anger du följande information:

     • Prenumeration: Den prenumeration som innehåller den Azure-resurs som du vill lägga till en privat slutpunkt för.
     • Resursgrupp: Resursgruppen som innehåller den Azure-resurs som du vill lägga till en privat slutpunkt för.
     • Resurstyp: Typen av Azure-resurs.
     • Resursnamn: Namnet på Azure-resursen.
     • Underresurs: Underresursen för Azure-resurstypen.

     Dricks

     Det hubbhanterade virtuella nätverket stöder inte att skapa en privat slutpunkt för alla Azure-resurstyper. En lista över resurser som stöds finns i avsnittet Privata slutpunkter .

     Om måltypen är tjänsttagg anger du följande information:

     • Tjänsttagg: Tjänsttaggen som ska läggas till i de godkända reglerna för utgående trafik.
     • Protokoll: Protokollet som tillåter tjänsttaggen.
     • Portintervall: Portintervallen för att tillåta tjänsttaggen.

     Om måltypen är FQDN anger du följande information:

     • FQDN-mål: Det fullständigt kvalificerade domännamnet som ska läggas till i de godkända reglerna för utgående trafik.

     Välj Spara för att spara regeln. Du kan fortsätta att använda Lägg till användardefinierade utgående regler för att lägga till regler.

  6. Fortsätt att skapa hubben som vanligt.

• Uppdatera en befintlig hubb:

  1. Logga in på Azure Portal och välj den hubb som du vill aktivera hanterad virtuell nätverksisolering för.

  2. Välj Nätverk och välj sedan Privat med godkänd utgående trafik.

     • Om du vill lägga till en regel för utgående trafik väljer du Lägg till användardefinierade regler för utgående trafik på fliken Nätverk . I sidofältet Utgående regler anger du samma information som när du skapar en hubb i föregående avsnitt "Skapa en ny hubb".

     • Om du vill ta bort en regel för utgående trafik väljer du Ta bort för regeln.

  3. Välj Spara överst på sidan för att spara ändringarna i det hanterade virtuella nätverket.

Azure CLI

Om du vill konfigurera ett hanterat virtuellt nätverk som endast tillåter godkänd utgående kommunikation kan du använda antingen parametern --managed-network allow_only_approved_outbound eller en YAML-konfigurationsfil som innehåller följande poster:

managed_network:
  isolation_mode: allow_only_approved_outbound

Du kan också definiera utgående regler för att definiera godkänd utgående kommunikation. En regel för utgående trafik kan skapas för en typ av service_tag, fqdnoch private_endpoint. Följande regel visar hur du lägger till en privat slutpunkt i en Azure Blob-resurs, en tjänsttagg i Azure Data Factory och ett FQDN till pypi.org:

Viktigt!

• Att lägga till ett utgående för en tjänsttagg eller ett FQDN är endast giltigt när det hanterade virtuella nätverket har konfigurerats till allow_only_approved_outbound.
• Om du lägger till regler för utgående trafik kan Microsoft inte garantera dataexfiltrering.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Du kan konfigurera ett hanterat virtuellt nätverk med hjälp av kommandona az ml workspace create eller az ml workspace update :

• Skapa en ny hubb:

  I följande exempel används parametern --managed-network allow_only_approved_outbound för att konfigurera det hanterade virtuella nätverket:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Följande YAML-fil definierar en hubb med ett hanterat virtuellt nätverk:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Om du vill skapa en hubb med YAML-filen använder du parametern --file :

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Uppdatera en befintlig hubb

  Varning

  Du måste ta bort alla databehandlingsresurser för arbetsytan innan du uppdaterar en befintlig arbetsyta för att använda ett hanterat virtuellt nätverk. Detta omfattar beräkningsinstanser, beräkningskluster och hanterade onlineslutpunkter.

  I följande exempel används parametern --managed-network allow_only_approved_outbound för att konfigurera det hanterade virtuella nätverket för en befintlig hubb:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Följande YAML-fil definierar ett hanterat virtuellt nätverk för hubben. Det visar också hur du lägger till en godkänd utgående trafik till det hanterade virtuella nätverket. I det här exemplet läggs en regel för utgående trafik till för både en tjänsttagg:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Python SDK

Om du vill konfigurera ett hanterat virtuellt nätverk som endast tillåter godkänd utgående kommunikation använder du ManagedNetwork klassen för att definiera ett nätverk med IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND. Du kan sedan använda ManagedNetwork objektet för att skapa en ny hubb eller uppdatera en befintlig. Om du vill definiera regler för utgående trafik använder du följande klasser:

Mål	Klass
Azure-tjänst som hubben förlitar sig på	PrivateEndpointDestination
Azure-tjänsttagg	ServiceTagDestination
Fullständigt domännamn (FQDN)	FqdnDestination

• Skapa en ny hubb:

  I följande exempel skapas en ny hubb med namnet myhub, med flera regler för utgående trafik:

  • myrule – Lägger till en privat slutpunkt för ett Azure Blob Store.
  • datafactory – Lägger till en tjänsttaggregel för att kommunicera med Azure Data Factory.

  Viktigt!

  • Att lägga till ett utgående för en tjänsttagg eller ett FQDN är endast giltigt när det hanterade virtuella nätverket har konfigurerats till IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Om du lägger till regler för utgående trafik kan Microsoft inte garantera dataexfiltrering.

  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Uppdatera en befintlig hubb:

  I följande exempel visas hur du skapar ett hanterat virtuellt nätverk för en befintlig Azure Machine Learning-hubb med namnet myhub. Exemplet lägger också till flera regler för utgående trafik för det hanterade virtuella nätverket:

  • myrule – Lägger till en privat slutpunkt för ett Azure Blob Store.
  • datafactory – Lägger till en tjänsttaggregel för att kommunicera med Azure Data Factory.

  Dricks

  Att lägga till ett utgående för en tjänsttagg eller ett FQDN är endast giltigt när det hanterade virtuella nätverket har konfigurerats till IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

Etablera ett hanterat virtuellt nätverk manuellt

Det hanterade virtuella nätverket etableras automatiskt när du skapar en beräkningsinstans. När du förlitar dig på automatisk etablering kan det ta cirka 30 minuter att skapa den första beräkningsinstansen eftersom den även etablerar nätverket. Om du har konfigurerat utgående FQDN-regler (endast tillgängligt med endast godkänt läge) lägger den första FQDN-regeln till cirka 10 minuter till etableringstiden. Om du har en stor uppsättning utgående regler som ska etableras i det hanterade nätverket kan det ta längre tid för etableringen att slutföras. Den ökade etableringstiden kan leda till att den första beräkningsinstansen skapas.

För att minska väntetiden och undvika potentiella timeout-fel rekommenderar vi att du etablerar det hanterade nätverket manuellt. Vänta sedan tills etableringen är klar innan du skapar en beräkningsinstans.

Du kan också använda provision_network_now flaggan för att etablera det hanterade nätverket som en del av skapandet av hubben. Den här flaggan är i förhandsversion.

Kommentar

Om du vill skapa en onlinedistribution måste du etablera det hanterade nätverket manuellt eller skapa en beräkningsinstans först som automatiskt etablerar den.

Azure-portalen

När du skapar hubben väljer du Etablera ett hanterat nätverk proaktivt när du skapar det hanterade nätverket. Avgifter tillkommer från nätverksresurser, till exempel privata slutpunkter, när det virtuella nätverket har etablerats. Det här konfigurationsalternativet är endast tillgängligt när arbetsytan skapas och är i förhandsversion.

Azure CLI

I följande exempel visas hur du etablerar ett hanterat virtuellt nätverk när hubben skapas. Flaggan --provision-network-now är i förhandsversion.

az ml workspace create -n myworkspace -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now

I följande exempel visas hur du etablerar ett hanterat virtuellt nätverk.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Kontrollera att etableringen har slutförts genom att använda följande kommando:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Python SDK

I följande exempel visas hur du etablerar ett hanterat virtuellt nätverk när hubben skapas. Flaggan --provision-network-now är i förhandsversion.

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

I följande exempel visas hur du etablerar ett hanterat virtuellt nätverk:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myAIHubName")

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ai_hub_name).result()

För att verifiera att AI Hub har etablerats använder du ml_client.workspaces.get() för att hämta AI Hub-informationen. Egenskapen managed_network innehåller status för det hanterade nätverket.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

Hantera regler för utgående trafik

Azure-portalen

1. Logga in på Azure Portal och välj den hubb som du vill aktivera hanterad virtuell nätverksisolering för.
2. Välj Nätverk. I avsnittet Utgående åtkomst i Azure AI kan du hantera regler för utgående trafik.

• Om du vill lägga till en regel för utgående trafik väljer du Lägg till användardefinierade regler för utgående trafik på fliken Nätverk . Ange följande information i sidofältet för utgående Regler i Azure AI:

• Om du vill aktivera eller inaktivera en regel använder du växlingsknappen i kolumnen Aktiv.

• Om du vill ta bort en regel för utgående trafik väljer du Ta bort för regeln.

Azure CLI

Om du vill visa en lista över regler för utgående trafik för ett hanterat virtuellt nätverk för en hubb använder du följande kommando:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Om du vill visa information om en utgående regel för ett hanterat virtuellt nätverk använder du följande kommando:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Om du vill ta bort en regel för utgående trafik från det hanterade virtuella nätverket använder du följande kommando:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

Python SDK

I följande exempel visas hur du hanterar regler för utgående trafik för en hubb med namnet myhub:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Lista över obligatoriska regler

Dricks

Dessa regler läggs automatiskt till i det hanterade virtuella nätverket.

Privata slutpunkter:

• När isoleringsläget för det hanterade virtuella nätverket är Allow internet outboundskapas regler för utgående privat slutpunkt automatiskt som nödvändiga regler från det hanterade virtuella nätverket för hubben och associerade resurser med offentlig nätverksåtkomst inaktiverad (Key Vault, Lagringskonto, Container Registry, hubb).
• När isoleringsläget för det hanterade virtuella nätverket är Allow only approved outboundskapas regler för utgående privat slutpunkt automatiskt som obligatoriska regler från det hanterade virtuella nätverket för hubben och associerade resurser oavsett åtkomstläge för offentliga nätverk för dessa resurser (Key Vault, Lagringskonto, Container Registry, hubb).

Regler för utgående tjänsttagg:

• AzureActiveDirectory
• Azure Machine Learning
• BatchNodeManagement.region
• AzureResourceManager
• AzureFrontDoor.FirstParty
• MicrosoftContainerRegistry
• AzureMonitor

Regler för inkommande tjänsttagg:

• AzureMachineLearning

Lista över scenariospecifika regler för utgående trafik

Scenario: Få åtkomst till offentliga maskininlärningspaket

Om du vill tillåta installation av Python-paket för träning och distribution lägger du till utgående FQDN-regler för att tillåta trafik till följande värdnamn:

Kommentar

Det här är inte en fullständig lista över de värdar som krävs för alla Python-resurser på Internet, bara de vanligaste. Om du till exempel behöver åtkomst till en GitHub-lagringsplats eller en annan värd måste du identifiera och lägga till de värdar som krävs för det scenariot.

Värdnamn	Syfte
anaconda.com *.anaconda.com	Används för att installera standardpaket.
*.anaconda.org	Används för att hämta lagringsplatsdata.
pypi.org	Används för att lista beroenden från standardindexet, om det finns några, och indexet skrivs inte över av användarinställningarna. Om indexet skrivs över måste du också tillåta *.pythonhosted.org.
pytorch.org *.pytorch.org	Används av några exempel baserade på PyTorch.
*.tensorflow.org	Används av några exempel som baseras på Tensorflow.

Scenario: Använda Visual Studio Code

Visual Studio Code förlitar sig på specifika värdar och portar för att upprätta en fjärranslutning.

Värdar

Om du planerar att använda Visual Studio Code med hubben lägger du till utgående FQDN-regler för att tillåta trafik till följande värdar:

• *.vscode.dev
• vscode.blob.core.windows.net
• *.gallerycdn.vsassets.io
• raw.githubusercontent.com
• *.vscode-unpkg.net
• *.vscode-cdn.net
• *.vscodeexperiments.azureedge.net
• default.exp-tas.com
• code.visualstudio.com
• update.code.visualstudio.com
• *.vo.msecnd.net
• marketplace.visualstudio.com
• pkg-containers.githubusercontent.com
• github.com

Hamnar

Du måste tillåta nätverkstrafik till portarna 8704 till 8710. VS Code-servern väljer dynamiskt den första tillgängliga porten inom det här intervallet.

Scenario: Använda HuggingFace-modeller

Om du planerar att använda HuggingFace-modeller med hubben lägger du till utgående FQDN-regler för att tillåta trafik till följande värdar:

• docker.io
• *.docker.io
• *.docker.com
• production.cloudflare.docker.com
• cnd.auth0.com
• cdn-lfs.huggingface.co

Scenario: Kuraterad av Azure AI

Dessa modeller omfattar dynamisk installation av beroenden vid körning och kräver utgående FQDN-regler för att tillåta trafik till följande värdar:

*.anaconda.org *.anaconda.com anaconda.com pypi.org *.pythonhosted.org *.pytorch.org pytorch.org

Privata slutpunkter

Privata slutpunkter stöds för närvarande för följande Azure-tjänster:

• AI Foundry Hub
• Azure AI-sökning
• Azure AI-tjänster
• Azure API Management
• Azure Container Registry
• Azure Cosmos DB (alla underresurstyper)
• Azure Data Factory
• Azure-databas för MariaDB
• Azure Database for MySQL
• Azure Database for PostgreSQL – enskild server
• Flexibel Server för Azure Database for PostgreSQL
• Azure Databricks
• Azure Event Hubs
• Azure Key Vault
• Azure Machine Learning
• Azure Machine Learning-register
• Azure Redis Cache
• Azure SQL Server
• Azure Storage (alla underresurstyper)

När du skapar en privat slutpunkt anger du resurstypen och underresursen som slutpunkten ansluter till. Vissa resurser har flera typer och underresurser. Mer information finns i vad som är en privat slutpunkt.

När du skapar en privat slutpunkt för hubbberoende resurser, till exempel Azure Storage, Azure Container Registry och Azure Key Vault, kan resursen finnas i en annan Azure-prenumeration. Resursen måste dock finnas i samma klientorganisation som hubben.

En privat slutpunkt skapas automatiskt för en anslutning om målresursen är en Azure-resurs som angavs tidigare. Ett giltigt mål-ID förväntas för den privata slutpunkten. Ett giltigt mål-ID för anslutningen kan vara Azure Resource Manager-ID för en överordnad resurs. Mål-ID:t förväntas också i målet för anslutningen eller i metadata.resourceid. Mer information om anslutningar finns i Så här lägger du till en ny anslutning i Azure AI Foundry-portalen.

Välj en Azure Firewall-version för tillåten endast godkänd utgående trafik (förhandsversion)

En Azure Firewall distribueras om en utgående FQDN-regel skapas i det tillåtna endast godkända utgående läget. Avgifter för Azure Firewall ingår i din fakturering. Som standard skapas en Standard-version av AzureFirewall. Du kan också välja att använda en grundläggande version. Du kan ändra brandväggsversionen som används efter behov. Om du vill ta reda på vilken version som är bäst för dig går du till Välj rätt Azure Firewall-version.

Viktigt!

Brandväggen skapas inte förrän du lägger till en utgående FQDN-regel. Mer information om priser finns i Prissättning för Azure Firewall och visa priser för standardversionen .

Använd följande flikar för att lära dig hur du väljer brandväggsversionen för ditt hanterade virtuella nätverk.

Azure-portalen

När du har valt det tillåtna endast godkända utgående läget visas ett alternativ för att välja Azure Firewall-versionen (SKU). Välj Standard för att använda standardversionen eller Basic för att använda den grundläggande versionen. Spara konfigurationen genom att välja Spara .

Azure CLI

Om du vill konfigurera brandväggsversionen från CLI använder du en YAML-fil och anger firewall_sku. I följande exempel visas en YAML-fil som anger brandväggs-SKU:n till basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Python SDK

Om du vill konfigurera brandväggsversionen från Python SDK anger du firewall_sku objektets ManagedNetwork egenskap. I följande exempel visas hur du ställer in brandväggs-SKU:n på basic:

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND,
                         firewall_sku='basic')

Prissättning

Funktionen för hubbhanterat virtuellt nätverk är kostnadsfri. Du debiteras dock för följande resurser som används av det hanterade virtuella nätverket:

• Azure Private Link – Privata slutpunkter som används för att skydda kommunikationen mellan det hanterade virtuella nätverket och Azure-resurser förlitar sig på Azure Private Link. Mer information om priser finns i Prissättning för Azure Private Link.

• Utgående FQDN-regler – FQDN-regler för utgående trafik implementeras med hjälp av Azure Firewall. Om du använder utgående FQDN-regler ingår avgifter för Azure Firewall i din fakturering. En standardversion av Azure Firewall används som standard. Information om hur du väljer den grundläggande versionen finns i Välj en Azure Firewall-version. Azure Firewall etableras per hubb.

  Viktigt!

  Brandväggen skapas inte förrän du lägger till en utgående FQDN-regel. Om du inte använder FQDN-regler debiteras du inte för Azure Firewall. Mer information om priser finns i Prissättning för Azure Firewall.

Relaterat innehåll

• Skapa AI Foundry-hubb och projekt med hjälp av SDK