Einrichten eines verwalteten Netzwerks für Microsoft Foundry Hubs (klassisch)

• Ein Azure-Abonnement. Wenn Sie nicht über ein Azure-Abonnement verfügen, erstellen Sie ein kostenloses Konto, bevor Sie beginnen.

• Registrieren Sie den Microsoft.Network-Ressourcenanbieter für Ihr Azure-Abonnement. Der Hub verwendet diesen Anbieter, um private Endpunkte für das verwaltete virtuelle Netzwerk zu erstellen.

  Informationen zum Registrieren von Ressourcenanbietern finden Sie unter Fehler bei der Registrierung von Ressourcenanbietern beheben.

• Verwenden Sie eine Azure-Identität mit den folgenden Azure rollenbasierten Zugriffssteuerung (Azure RBAC)-Aktionen, um private Endpunkte für das verwaltete virtuelle Netzwerk zu erstellen.

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Tipp

  Die Azure AI Enterprise Network Connection Approver integrierte Rolle umfasst diese Berechtigungen. Weisen Sie diese Rolle der verwalteten Identität des Hubs zu, um private Endpunktverbindungen zu genehmigen.

• Ein Azure-Abonnement. Wenn Sie nicht über ein Azure-Abonnement verfügen, erstellen Sie ein kostenloses Konto, bevor Sie beginnen.

• Der ressourcenanbieter Microsoft.Network muss für Ihr Azure-Abonnement registriert werden. Der Hub verwendet diesen Ressourcenanbieter beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk.

  Informationen zum Registrieren von Ressourcenanbietern finden Sie unter Lösen von Fehlern bei der Registrierung von Ressourcenanbietern.

• Verwenden Sie eine Azure-Identität mit den folgenden Aktionen der Azure rollenbasierten Zugriffssteuerung (Azure RBAC), um private Endpunkte für das verwaltete virtuelle Netzwerk zu erstellen:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/Arbeitsbereiche/privateEndpointVerbindungen/schreiben

  Tipp

  Die Azure AI Enterprise Network Connection Approver integrierte Rolle umfasst diese Berechtigungen. Weisen Sie diese Rolle der verwalteten Identität des Hubs zu, um private Endpunktverbindungen zu genehmigen.

• Installieren Sie die Azure CLI und die erweiterung ml für die Azure CLI. Weitere Informationen finden Sie unter Installieren, Einrichten und Verwenden der CLI (v2).

• Eine Bash-kompatible Shell zum Ausführen der CLI-Beispiele in diesem Artikel. Verwenden Sie beispielsweise ein Linux-System oder Windows Subsystem for Linux.

• Die Azure CLI Beispiele in diesem Artikel verwenden ws für den Hubnamen und rg für den Ressourcengruppennamen. Ändern Sie diese Werte nach Bedarf, wenn Sie die Befehle in Ihrem Azure-Abonnement ausführen.

• Ein Azure-Abonnement. Wenn Sie nicht über ein Azure-Abonnement verfügen, erstellen Sie ein kostenloses Konto, bevor Sie beginnen. Probieren Sie die free- oder kostenpflichtige Version aus.

• Der ressourcenanbieter Microsoft.Network muss für Ihr Azure-Abonnement registriert werden. Der Hub verwendet diesen Ressourcenanbieter beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk.

  Informationen zum Beheben von Fehlern bei der Registrierung von Ressourcenanbietern finden Sie unter Fehlerbehebung bei der Registrierung von Ressourcenanbietern.

• Die Azure-Identität, die Sie beim Bereitstellen eines verwalteten Netzwerks verwenden, erfordert die folgenden Azure rollenbasierte Zugriffssteuerung (Azure RBAC) Aktionen zum Erstellen privater Endpunkte:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/Arbeitsbereiche/privateEndpointVerbindungen/schreiben

  Tipp

  Die Azure AI Enterprise Network Connection Approver integrierte Rolle umfasst diese Berechtigungen. Weisen Sie diese Rolle der verwalteten Identität des Hubs zu, um private Endpunktverbindungen zu genehmigen.

• Das Azure Machine Learning Python SDK v2. Weitere Informationen zum SDK finden Sie unter Install the Python SDK v2 for Azure Machine Learning.

• In den Beispielen in diesem Artikel wird davon ausgegangen, dass Ihr Code mit dem folgenden Python-Code beginnt. Sie importiert die Klassen, die zum Erstellen eines Hubs mit einem verwalteten virtual network erforderlich sind, legt Variablen für Ihr Azure-Abonnement und die Ressourcengruppe fest und erstellt die ml_client. Ersetzen Sie im folgenden Beispiel den Platzhaltertext <SUBSCRIPTION_ID> und <RESOURCE_GROUP> durch Ihre eigenen Werte:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

• Erstellen eines neuen Hubs:

  1. Melden Sie sich beim Azure portal an, und wählen Sie "Foundry" im Menü Ressource erstellenmenü aus.

  2. Wählen Sie + Neues Azure AI aus.

  3. Geben Sie die erforderlichen Informationen auf der Registerkarte Allgemeine Informationen ein.

  4. Wählen Sie auf der Registerkarte Netzwerk die Option Privat mit ausgehendem Internetdatenverkehr aus.

  5. Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregel hinzufügen aus. Geben Sie in der Randleiste Ausgangsregeln die folgenden Informationen ein:

     • Regelname: Ein Name für die Regel. Der Name muss für diesen Hub eindeutig sein.
     • Zieltyp: Privater Endpunkt ist die einzige Option, wenn die Netzwerkisolation „Privat“ mit „Internet ausgehend“ ist. Eine vom Hub verwaltete virtual network unterstützt das Erstellen privater Endpunkte für alle Azure Ressourcentypen nicht. Eine Liste der unterstützten Ressourcen finden Sie im Abschnitt Private Endpunkte.
     • Subscription: Das Abonnement, das die Azure Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Resource group: Die Ressourcengruppe, die die Azure Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Ressourcentyp: Der Typ der Azure-Ressource.
     • Name: Der Name der Azure Ressource.
     • Sub Resource: Die Unterressource des Azure-Ressourcentyps.

     Wählen Sie Speichern aus. Um weitere Regeln hinzuzufügen, wählen Sie Benutzerdefinierte Ausgangsregeln hinzufügen aus.

  6. Fahren Sie mit dem Erstellen des Hubs fort.

• Aktualisieren eines vorhandenen Hub:

  1. Melden Sie sich bei der Azure portal an, und wählen Sie den Hub aus, um die verwaltete virtual network Isolation zu aktivieren.

  2. Wählen Sie Netzwerk>Privat mit Internet ausgehend aus.

     • Um eine Ausgangsregelhinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Randleiste Ausgangsregeln dieselben Informationen an, die Sie beim Erstellen eines Hubs im Abschnitt „Erstellen eines neuen Hubs“ verwendet haben.

     • Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.

  3. Wählen Sie oben auf der Seite Speichern aus, um die Änderungen auf das verwaltete virtuelle Netzwerk anzuwenden.

Verwenden Sie zum Konfigurieren eines verwalteten Virtuellen Netzwerks, das ausgehenden Internetverkehr zulässt, entweder den Parameter --managed-network allow_internet_outbound oder eine YAML-Konfigurationsdatei mit den folgenden Einträgen:

managed_network:
  isolation_mode: allow_internet_outbound

Definieren Sie outbound-Regeln für andere Azure Dienste, auf denen der Hub basiert. Diese Regeln definieren Private-Endpunkte, mit denen eine Azure Ressource sicher mit dem verwalteten virtual network kommunizieren kann. Die folgende Regel zeigt, wie Sie einem Azure Blob Storage Konto einen privaten Endpunkt hinzufügen. Ersetzen Sie im folgenden Beispiel den Platzhaltertext <SUBSCRIPTION_ID>, <RESOURCE_GROUP> und <STORAGE_ACCOUNT_NAME> durch Ihre eigenen Werte.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Konfigurieren Sie ein verwaltetes virtuelles Netzwerk mithilfe entweder des Befehls az ml workspace create oder des Befehls az ml workspace update.

• Erstellen eines neuen Hubs:

  Im folgenden Beispiel wird ein neuer Hub erstellt. Der Parameter --managed-network allow_internet_outbound konfiguriert ein verwaltetes virtuelles Netzwerk für den Hub.

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Um einen Hub mithilfe einer YAML-Datei zu erstellen, verwenden Sie den --file Parameter, und geben Sie die YAML-Datei an, die die Konfigurationseinstellungen enthält:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  Im folgenden YAML-Beispiel wird ein Hub mit einem verwalteten virtual network definiert:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Aktualisieren eines vorhandenen Hub:

  Warnung

  Bevor Sie einen vorhandenen Arbeitsbereich aktualisieren, um ein verwaltetes virtuelles Netzwerk zu verwenden, müssen Sie alle Berechnungsressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  Im folgenden Beispiel wird ein vorhandener Hub aktualisiert. Der Parameter --managed-network allow_internet_outbound konfiguriert ein verwaltetes virtuelles Netzwerk für den Hub.

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Um einen vorhandenen Hub mithilfe einer YAML-Datei zu aktualisieren, verwenden Sie den --file Parameter, und geben Sie die YAML-Datei an, die die Konfigurationseinstellungen enthält:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  Im folgenden YAML-Beispiel wird ein verwaltetes virtuelles Netzwerk für den Hub definiert. Außerdem wird gezeigt, wie Sie einer Ressource, die der Hub verwendet, eine private Endpunktverbindung hinzufügen. In diesem Beispiel wird ein privater Endpunkt für ein Azure Blob Storage-Konto hinzugefügt. Ersetzen Sie im folgenden Beispiel den Platzhaltertext <SUBSCRIPTION_ID>, <RESOURCE_GROUP> und <STORAGE_ACCOUNT_NAME> durch Ihre eigenen Werte:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Verweise

• az ml workspace erstellen
• az ml Arbeitsbereichsaktualisierung

Verwenden Sie zum Konfigurieren eines verwalteten virtuellen Netzwerks, das ausgehendes Internet zulässt, die Klasse ManagedNetwork mit IsolationMode.ALLOW_INTERNET_OUTBOUND. Verwenden Sie dann das Objekt ManagedNetwork, um einen neuen Hub zu erstellen oder einen vorhandenen zu aktualisieren. Um Outbound-Regeln zu definieren für Azure-Dienste, auf die der Hub angewiesen ist, verwenden Sie die Klasse PrivateEndpointDestination, um einen neuen privaten Endpunkt für den Dienst zu erstellen.

• Erstellen eines neuen Hubs:

  Im folgenden Beispiel wird ein neuer Hub mit dem Namen myhub mit einer ausgehenden Regel namens myrule erstellt, die einen privaten Endpunkt für ein Azure Blob Storage Konto hinzufügt. Ersetzen Sie im folgenden Beispiel den Platzhaltertext <SUBSCRIPTION_ID>, <RESOURCE_GROUP> und <STORAGE_ACCOUNT_NAME> durch Ihre eigenen Werte:

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint to Azure Blob Storage
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Verweise

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination

• Aktualisieren eines vorhandenen Hub:

  Im folgenden Beispiel wird veranschaulicht, wie Sie eine verwaltete virtual network für einen vorhandenen Hub mit dem Namen myhub erstellen:

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get(name="myhub")
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Verweise

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • MLClient

• Erstellen eines neuen Hubs:

  1. Melden Sie sich beim Azure portal an, und wählen Sie "Findry" im Menü "Ressource erstellen" aus.

  2. Wählen Sie + Neues Azure AI aus.

  3. Geben Sie die erforderlichen Informationen auf der Registerkarte Grundlagen an.

  4. Wählen Sie auf der Registerkarte Netzwerk die Option Privat mit bestätigtem Internetdatenverkehr aus.

  5. Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Randleiste Ausgangsregeln die folgenden Informationen an:

     • Regelname: Ein Name für die Regel. Der Name muss für diesen Hub eindeutig sein.
     • Zieltyp: Privater Endpunkt, Diensttag oder FQDN. Diensttag und FQDN sind nur verfügbar, wenn die Netzwerkisolation privat mit genehmigtem ausgehendem Datenverkehr ist.

     Wenn der Zieltyp Privater Endpunkt lautet, geben Sie die folgenden Informationen ein:

     • Subscription: Das Abonnement, das die Azure Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Resource group: Die Ressourcengruppe, die die Azure Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Ressourcentyp: Der Typ der Azure-Ressource.
     • Name: Der Name der Azure Ressource.
  • Sub Resource: Die Unterressource des Azure-Ressourcentyps.

  Tipp

  Das verwaltete VNet des Hubs unterstützt keine privaten Endpunkte für alle Azure Ressourcentypen. Eine Liste der unterstützten Ressourcen finden Sie im Abschnitt Private Endpunkte.

  Wenn der Zieltyp Diensttag lautet, geben Sie die folgenden Informationen ein:

  • Diensttag: Das Diensttag, das den genehmigten Ausgangsregeln hinzugefügt werden soll.
  • Protokoll: Das Protokoll, das für das Diensttag zugelassen werden soll.
  • Portbereiche: Die Portbereiche, die für das Diensttag zulässig sind.

  Wenn der Zieltyp FQDN lautet, geben Sie die folgenden Informationen ein:

  • FQDN-Ziel: Der vollqualifizierte Domänenname, der den genehmigten Ausgangsregeln hinzugefügt werden soll.

    Wählen Sie Speichern aus, um die Regel zu speichern. Wenn Sie weitere Regeln hinzufügen möchten, wählen Sie erneut Benutzerdefinierte Ausgangsregeln hinzufügen aus.

  1. Fahren Sie wie gewohnt mit der Erstellung des Hubs fort.

• Aktualisieren eines vorhandenen Hub:

  1. Melden Sie sich bei der Azure portal an, und wählen Sie den Hub aus, für den Sie verwaltete virtual network Isolation aktivieren möchten.

  2. Wählen Sie Netzwerk>privat mit genehmigtem ausgehenden Datenverkehr aus.

     • Um eine Ausgangsregelhinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Randleiste Ausgangsregeln dieselben Informationen ein, die Sie beim Erstellen eines Hubs im früheren Abschnitt „Erstellen eines neuen Hubs“ verwendet haben.

     • Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.

  3. Wählen Sie oben auf der Seite Speichern aus, um die Änderungen am verwalteten virtual network zu speichern.

Um eine verwaltete virtual network zu konfigurieren, die nur genehmigte ausgehende Kommunikation zulässt, verwenden Sie entweder den Parameter --managed-network allow_only_approved_outbound oder eine YAML-Konfigurationsdatei, die die folgenden Einträge enthält:

managed_network:
  isolation_mode: allow_only_approved_outbound

Sie können auch Ausgangsregeln für genehmigte ausgehende Kommunikation definieren. Erstellen einer Ausgangsregel vom Typ service_tag, fqdn oder private_endpoint. Im folgenden Beispiel wird einer Azure Blob-Ressource, einem Diensttag für Azure Data Factory und einem FQDN für pypi.org ein privater Endpunkt hinzugefügt. Ersetzen Sie im folgenden Beispiel den Platzhaltertext <SUBSCRIPTION_ID>, <RESOURCE_GROUP> und <STORAGE_ACCOUNT_NAME> durch Ihre eigenen Werte.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Sie können ein verwaltetes virtuelles Netzwerk entweder mit dem Befehl az ml workspace create oder az ml workspace update konfigurieren.

• Erstellen eines neuen Hubs:

  Im folgenden Beispiel wird der Parameter --managed-network allow_only_approved_outbound zum Konfigurieren des verwalteten virtuellen Netzwerks verwendet.

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Die folgende YAML-Datei definiert einen Hub mit einem verwalteten virtual network:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Verwenden Sie den --file Parameter, um einen Hub mithilfe der YAML-Datei zu erstellen:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Aktualisieren eines vorhandenen Hub

  Warnung

  Bevor Sie einen vorhandenen Arbeitsbereich aktualisieren, um ein verwaltetes virtuelles Netzwerk zu verwenden, müssen Sie alle Rechenressourcen des Arbeitsbereichs löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  Im folgenden Beispiel wird der Parameter --managed-network allow_only_approved_outbound verwendet, um das verwaltete virtuelle Netzwerk für einen vorhandenen Hub zu konfigurieren.

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  Die folgende YAML-Datei definiert ein verwaltetes virtuelles Netzwerk für den Hub und zeigt, wie genehmigte ausgehende Regeln hinzugefügt werden. In diesem Beispiel werden Ausgangsregeln für ein Diensttag, einen FQDN und einen privaten Endpunkt hinzugefügt:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Verweise

• az ml workspace erstellen
• az ml Arbeitsbereichsaktualisierung

Um eine verwaltete virtual network zu konfigurieren, die nur genehmigte ausgehende Kommunikation zulässt, verwenden Sie die klasse ManagedNetwork, um ein Netzwerk mit IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND zu definieren. Verwenden Sie das ManagedNetwork Objekt, um einen neuen Hub zu erstellen oder ein vorhandenes zu aktualisieren. Verwenden Sie die folgenden Klassen, um Ausgangsregeln zu definieren:

• Erstellen eines neuen Hubs:

  Im folgenden Beispiel wird ein neuer Hub namens myhub mit mehreren Ausgangsregeln erstellt:

  • myrule – Fügt einen privaten Endpunkt für einen Azure Blob-Speicher hinzu.
  • datafactory – Fügt eine Diensttagregel für die Kommunikation mit Azure Data Factory hinzu.

  Von Bedeutung

  • Fügen Sie eine ausgehende Regel für einen Service-Tag oder ein FQDN nur hinzu, wenn Sie das verwaltete VNet für IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND konfigurieren.
  • Wenn Sie Ausgangsregeln hinzufügen, kann Microsoft keinen Schutz vor Datenexfiltration garantieren.

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Verweise

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination

• Aktualisieren eines vorhandenen Hub:

  Das folgende Beispiel zeigt, wie Sie eine verwaltete virtual network für einen vorhandenen Hub mit dem Namen myhub konfigurieren. Außerdem werden mehrere Ausgangsregeln hinzugefügt:

  • myrule – Fügt einen privaten Endpunkt für einen Azure Blob-Speicher hinzu.
  • datafactory – Fügt eine Diensttagregel für die Kommunikation mit Azure Data Factory hinzu.

  Tipp

  Sie können eine ausgehende Regel nur für einen Dienst-Tag oder einen FQDN hinzufügen, wenn Sie das verwaltete VNet zur Verwendung von IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND konfigurieren.

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Verweise

  • ManagedNetwork
  • IsolationMode
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination
  • MLClient

Wählen Sie beim Erstellen des Arbeitsbereichs Verwaltetes Netzwerk proaktiv bei Erstellung bereitstellen aus, um das verwaltete Netzwerk einzurichten. Die Abrechnung beginnt für Netzwerkressourcen wie private Endpunkte, nachdem die virtual network eingerichtet wurde. Diese Option ist nur während der Arbeitsbereicherstellung verfügbar.

Das folgende Beispiel zeigt, wie Sie während der Huberstellung ein verwaltetes virtuelles Netzwerk bereitstellen.

az ml workspace create -n my_ai_hub_name -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now true

Das folgende Beispiel zeigt, wie ein verwaltetes virtuelles Netzwerk bereitgestellt wird.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Bereitstellung abgeschlossen ist:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Verweise

• az ml workspace erstellen
• az ml workspace provision-network
• az ml Arbeitsbereich anzeigen

Verwenden Sie das SDK, um eine verwaltete virtual network bereitzustellen, und überprüfen Sie dann den Status.

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

subscription_id = "00000000-0000-0000-0000-000000000000"
resource_group = "my_resource_group"
workspace_name = "my_ai_hub_name"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=workspace_name)

# Start provisioning the managed network for the workspace.
provision_result = ml_client.workspaces.begin_provision_network(workspace_name=workspace_name).result()

# Check the managed network status.
ws = ml_client.workspaces.get(name=workspace_name)
print(ws.managed_network.status)

Verweise

• MLClient
• begin_provision_network

1. Melden Sie sich bei der Azure portal an, und wählen Sie den Hub aus, für den Sie verwaltete virtual network Isolation aktivieren möchten.
2. Wählen Sie "Netzwerk" aus. Im Abschnitt Foundry Outbound access können Sie ausgehende Regeln verwalten.

• Wenn Sie eine ausgehende Regel hinzufügen möchten, wählen Sie Benutzerdefinierte ausgehende Regeln auf der Registerkarte Networking aus. Geben Sie aus der Azure KI-Ausgehende Regeln Randleiste die erforderlichen Werte ein.

• Um eine Regel zu aktivieren oder zu deaktivieren, verwenden Sie die Umschaltfläche in der Spalte Aktiv.

• Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.

Ersetzen Sie in den folgenden Befehlen den Platzhaltertext <workspace-name>, <resource-group> und <rule-name> durch Ihre eigenen Werte. Führen Sie Folgendes aus, um die ausgehenden Regeln für verwaltete virtuelle Netzwerke eines Hubs aufzulisten:

az ml workspace outbound-rule list --workspace-name <workspace-name> --resource-group <resource-group>

Führen Sie Folgendes aus, um die Details einer ausgehenden Regel eines verwalteten virtuellen Netzwerks anzuzeigen:

az ml workspace outbound-rule show --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Führen Sie Folgendes aus, um eine ausgehende Regel aus dem verwalteten virtual network zu entfernen:

az ml workspace outbound-rule remove --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Verweise

• az ml workspace outbound-rule list
• az ml workspace outbound-rule show
• az ml workspace outbound-rule remove - Entfernt eine ausgehende Regel in einem Azure ML-Arbeitsbereich.

Das folgende Beispiel zeigt, wie Ausgangsregeln für einen Hub mit dem Namen myhub verwaltet werden. Ersetzen Sie im Beispiel den Platzhaltertext <some-rule-name> durch den Regelnamen:

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

# Connect to the hub
ws_name = "myhub"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=ws_name)

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Verweise

• MLClient

Nachdem Sie den modus allow only approved outbound ausgewählt haben, wird die Option zum Auswählen der Azure Firewall Version (SKU) angezeigt. Wählen Sie Standard oder Basic aus. Wählen Sie Speichern aus.

Um die Firewallversion mithilfe von Azure CLI festzulegen, verwenden Sie eine YAML-Datei, und geben Sie firewall_sku an. Im folgenden Beispiel wird die Firewall-SKU auf basic festgelegt:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Wenn Sie die Firewallversion mithilfe des Python-SDK festlegen möchten, legen Sie die Eigenschaft firewall_sku des Objekts ManagedNetwork fest. Im folgenden Beispiel wird die Firewall-SKU auf basic festgelegt:

from azure.ai.ml.entities import ManagedNetwork, IsolationMode

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND,
                         firewall_sku='basic')

Verweise

• ManagedNetwork
• IsolationMode