搭配工作區受控虛擬網路使用模型目錄集合

您將透過本文了解如何在隔離網路中使用模型目錄的各種集合。

工作區受控虛擬網路是支援模型目錄的網路隔離的唯一方式。 提供輕鬆的設定來保護您的工作區。 在工作區層級中啟用受控虛擬網路之後，與相同虛擬網路中工作區相關的資源將會在工作區層級使用相同的網路設定。 您也可以將工作區設定為使用私人端點來存取其他 Azure 資源，例如 Azure OpenAI。 此外，您可以設定 FQDN 規則來核准輸出至非 Azure 資源，這是使用模型目錄中某些集合的必要條件。 請參閱 如何工作區受控網路隔離 以啟用工作區受控虛擬網路。

建立受控虛擬網路會延後，直到建立計算資源或手動啟動佈建為止。 您可以使用下列命令來手動觸發網路佈建。

az ml workspace provision-network --subscription <sub_id> -g <resource_group_name> -n <workspace_name>

允許網際網路輸出的工作區受控虛擬網路

1. 遵循此處所列的步驟，使用受控虛擬網路設定工作區，以允許網際網路輸出。

2. 如果您選擇將工作區公用網路存取設定為停用，您可以使用下列其中一種方法來連線到工作區:

   • Azure VPN 閘道 - 透過私人連線，將內部部署網路連線到虛擬網路。 連線是透過公用網際網路所建立。 您可能會使用兩種類型的 VPN 閘道：

     • 點對站: 每部用戶端電腦都會使用 VPN 用戶端連線到虛擬網路。
     • 站對站: VPN 裝置會將虛擬網路連線到您的內部部署網路。

   • ExpressRoute - 透過私人連線將內部部署網路連線到雲端。 連線是透過連線提供者所建立。

   • Azure Bastion - 在此案例中，您會在虛擬網路內建立 Azure 虛擬機器 (有時稱為跳躍方塊)。 然後，您可以使用 Azure Bastion 連線到 VM。 Bastion 可讓您從本機網頁瀏覽器使用 RDP 或 SSH 工作階段連線到 VM。 然後，您可以使用跳板機作為開發環境。 因為它位於虛擬網路內，因此可以直接存取工作區。

由於工作區受控虛擬網路可以在此設定中存取網際網路，因此您可以從工作區內使用模型目錄中的所有集合。

僅允許核准輸出的工作區受控虛擬網路

1. 遵循工作區受控網路隔離來設定工作區。 在選取 [工作區受控輸出存取] 時教學課程的步驟 3 中，選取 [僅允許核准輸出]。
2. 如果您將對工作區的公用網路存取設定為停用，您可以使用本教學課程中允許網際網路輸出章節的步驟 2 中所列的其中一種方法來連線到工作區。
3. 工作區會管理虛擬網路會設定為僅允許的設定。 您必須新增對應的使用者定義輸出規則，以允許所有相關的 FQDN。
   1. 請遵循此連結，以取得 Azure AI 集合策展所需的 FQDN 清單。
   2. 請遵循此連結，以取得 Hugging Face 集合所需的 FQDN 清單。

可與 Azure Machine Learning 所策劃的開放原始碼模型搭配使用

僅允許核准輸出的工作區受控虛擬網路會使用服務端點原則對 Azure Machine Learning 受控儲存體帳戶，以現成的方式協助存取 Azure Machine Learning 所策劃集合中的模型。 此工作區設定的模式也有預設輸出至 Microsoft Container Registry，其中包含用來部署模型的 Docker 映像。

「由 Azure AI 策劃」集合中的語言模型

這些模型牽涉到執行階段相依性的動態安裝。 若要新增使用者定義的輸出規則，請遵循 [使用 Azure AI 集合策展] 的步驟四，使用者應該在工作區層級新增下列 FQDN 的使用者定義輸出規則:

• *.anaconda.org
• *.anaconda.com
• anaconda.com
• pypi.org
• *.pythonhosted.org
• *.pytorch.org
• pytorch.org

請遵循 受控虛擬網路教學課程 中的步驟 4，新增對應的使用者定義輸出規則。

警告

FQDN 輸出規則是使用 Azure 防火牆來實作。 如果您使用輸出 FQDN 規則，Azure 防火牆的費用會包含在您的計費中。 如需詳細資訊，請參閱定價。

Meta 集合

使用者可以在網路隔離工作區中使用此集合，而不需要其他使用者定義輸出規則。

注意

新的策劃集合會經常新增至模型目錄。 我們將更新本文件，以反映各種集合私人網路的支援。

與 Huggin Face 集合搭配使用

如果您正在使用 Hugging Face 登錄，則模型權數不會裝載在 Azure 上。 模型權數會直接從 Hugging Face 中樞下載到部署期間工作區中的連線端點。 使用者必須針對 Hugging Face Hub、Docker Hub 及其 CDN 新增下列輸出 FQDN 規則，以允許流量流向下列主機:

• docker.io
• huggingface.co
• production.cloudflare.docker.com
• cdn-lfs.huggingface.co
• cdn.auth0.com

請遵循 受控虛擬網路教學課程 中的步驟 4，新增對應的使用者定義輸出規則。

下一步

• 了解如何 針對受控虛擬網路進行疑難排解