Configuración de una red administrada para centros de Microsoft Foundry (clásico)

• Una suscripción a Azure. Si no tiene una suscripción a Azure, cree una cuenta gratuita antes de empezar.

• Registre el proveedor de recursos Microsoft.Network para la suscripción de Azure. El centro usa este proveedor para crear puntos de conexión privados para la red virtual administrada.

  Para obtener más información sobre cómo registrar un proveedor de recursos, consulte Resolver errores en el registro del proveedor de recursos.

• Use una identidad de Azure con las siguientes acciones del Control de acceso basado en rol de Azure (RBAC de Azure) para crear puntos de conexión privados para la red virtual administrada:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Sugerencia

  El rol integrado Aprobador de conexión de red empresarial de Azure AI incluye estos permisos. Asigne este rol a la identidad gestionada del concentrador para aprobar conexiones de punto de conexión privado.

• Una suscripción a Azure. Si no tiene una suscripción a Azure, cree una cuenta gratuita antes de empezar.

• El proveedor de recursos Microsoft.Network debe estar registrado en su suscripción de Azure. El centro usa este proveedor de recursos al crear puntos de conexión privados para la red virtual administrada.

  Para obtener más información sobre cómo registrar un proveedor de recursos, consulte Resolver errores en el registro del proveedor de recursos.

• Use una identidad de Azure con las siguientes acciones del Control de acceso basado en rol de Azure (RBAC de Azure) para crear puntos de conexión privados para la red virtual administrada:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Sugerencia

  El rol integrado Aprobador de conexión de red empresarial de Azure AI incluye estos permisos. Asigne este rol a la identidad gestionada del concentrador para aprobar conexiones de punto de conexión privado.

• Instale la CLI de Azure y la ml extensión para la CLI de Azure. Para más información, consulte Instalación, configuración y uso de la CLI v2.

• Un shell compatible con Bash para ejecutar los ejemplos de la CLI de este artículo. Por ejemplo, use un sistema Linux o un Subsistema de Windows para Linux.

• En los ejemplos de la CLI de Azure de este artículo se usa ws para el nombre del centro y rg para el nombre del grupo de recursos. Cambie estos valores según sea necesario cuando ejecute los comandos en la suscripción de Azure.

• Una suscripción a Azure. Si no tiene una suscripción a Azure, cree una cuenta gratuita antes de empezar. Pruebe la versión gratuita o de pago.

• El proveedor de recursos Microsoft.Network debe estar registrado en su suscripción de Azure. El centro usa este proveedor de recursos al crear puntos de conexión privados para la red virtual administrada.

  Para obtener más información sobre cómo registrar un proveedor de recursos, consulte Resolver errores en el registro del proveedor de recursos.

• La identidad de Azure que se usa al implementar una red administrada requiere las siguientes acciones de control de acceso basado en roles de Azure (Azure RBAC) para crear puntos de conexión privados:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Sugerencia

  El rol integrado Aprobador de conexión de red empresarial de Azure AI incluye estos permisos. Asigne este rol a la identidad gestionada del concentrador para aprobar conexiones de punto de conexión privado.

• El SDK de Azure Machine Learning para Python (v2). Para más información sobre el SDK, consulte Instalación del SDK de Azure Machine Learning para Python (v2).

• En los ejemplos de este artículo se supone que el código comienza con el siguiente código de Python. Importa las clases necesarias para crear un centro con una red virtual administrada, establece variables para la suscripción y el grupo de recursos de Azure y crea el elemento ml_client. En el ejemplo siguiente, reemplace el texto <SUBSCRIPTION_ID> del marcador de posición y <RESOURCE_GROUP> por sus propios valores:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

• Crear un nuevo centro de conectividad:

  1. Inicie sesión en Azure Portal y seleccione Foundry en el menú Crear un recurso .

  2. Seleccione + Nueva Azure AI.

  3. Escriba la información necesaria en la pestaña Aspectos básicos.

  4. En la pestaña Redes, seleccione Privado con Salida a Internet.

  5. Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral Reglas de salida, escriba la siguiente información:

     • Nombre de la regla: un nombre para la regla. El nombre debe ser único para este centro de conectividad.
     • Tipo de destino: el punto de conexión privado es la única opción cuando el aislamiento de red es Privado con salida a Internet. Una red virtual administrada por concentrador no admite la creación de puntos de conexión privados para todos los tipos de recursos de Azure. Para obtener una lista de recursos compatibles, consulte la sección Puntos de conexión privados.
     • Suscripción: la suscripción que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Grupo de recursos: el grupo de recursos que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Tipo de recurso: el tipo de recurso de Azure.
     • Nombre del recurso: el nombre del recurso de Azure.
     • Subrecurso: subrecurso del tipo de recurso de Azure.

     Haga clic en Guardar. Para agregar más reglas, seleccione Agregar reglas de salida definidas por el usuario.

  6. Continúe creando el centro.

• Actualizar un centro de conectividad existente:

  1. Inicie sesión en Azure Portal y seleccione el centro para habilitar el aislamiento de red virtual administrada.

  2. Seleccione Redes>Privadas con Internet saliente.

     • Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral Reglas de salida, proporcione la misma información que usó al crear un centro de conectividad en la sección "Crear un nuevo centro de conectividad".

     • Para eliminar una regla de salida, seleccione eliminar en la regla.

  3. Seleccione Guardar en la parte superior de la página para aplicar los cambios a la red virtual administrada.

Para configurar una red virtual administrada que permita la salida de Internet, use el parámetro --managed-network allow_internet_outbound o un archivo de configuración de YAML con las siguientes entradas:

managed_network:
  isolation_mode: allow_internet_outbound

Defina reglas de salida para otros servicios de Azure en los que se basa el centro. Estas reglas definen puntos de conexión privados que permiten a un recurso de Azure comunicarse de forma segura con la red virtual administrada. En la regla siguiente se muestra cómo agregar un punto de conexión privado a una cuenta de Azure Blob Storage. En el ejemplo siguiente, reemplace el texto del marcador de posición <SUBSCRIPTION_ID>, <RESOURCE_GROUP> y <STORAGE_ACCOUNT_NAME> por sus propios valores.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Configure una red virtual administrada mediante los comandos az ml workspace create o az ml workspace update:

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se crea un nuevo centro. El parámetro --managed-network allow_internet_outbound configura una red virtual administrada para el centro:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para crear un centro mediante un archivo YAML, use el --file parámetro y especifique el archivo YAML que contiene los valores de configuración:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  En el ejemplo de YAML siguiente se define un centro de conectividad con una red virtual administrada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Actualizar un centro de conectividad existente:

  Advertencia

  Antes de actualizar un área de trabajo existente para usar una red virtual gestionada, debe eliminar todos los recursos de proceso del área de trabajo. Esto incluye instancias de proceso, clúster de proceso y puntos de conexión en línea administrados.

  En el ejemplo siguiente se actualiza un centro de conectividad existente. El parámetro --managed-network allow_internet_outbound configura una red virtual administrada para el centro:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para actualizar un centro existente mediante un archivo YAML, use el --file parámetro y especifique el archivo YAML que contiene los valores de configuración:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  En el ejemplo de YAML siguiente se define una red virtual administrada para el centro de conectividad. También se muestra cómo agregar una conexión de punto de conexión privado a un recurso que usa el centro. En este ejemplo, agrega un punto de conexión privado para una cuenta de Azure Blob Storage. En el ejemplo siguiente, reemplace el texto <SUBSCRIPTION_ID>, <RESOURCE_GROUP> y <STORAGE_ACCOUNT_NAME> por sus propios valores:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referencias

• az ml workspace create
• az ml workspace update

Para configurar una red virtual administrada que permita la salida de Internet, use la clase ManagedNetwork con IsolationMode.ALLOW_INTERNET_OUTBOUND. A continuación, use el objeto ManagedNetwork para crear un nuevo centro o actualizar uno existente. Para definir reglas de salida a los servicios de Azure en los que se basa el centro de conectividad, use la clase PrivateEndpointDestination para definir un nuevo punto de conexión privado para el servicio.

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se crea un nuevo centro denominado myhub, con una regla de salida denominada myrule que agrega un punto de conexión privado para una cuenta de Azure Blob Storage. En el ejemplo siguiente, reemplace el texto <SUBSCRIPTION_ID>, <RESOURCE_GROUP> y <STORAGE_ACCOUNT_NAME> por sus propios valores:

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint to Azure Blob Storage
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination

• Actualizar un centro de conectividad existente:

  En el ejemplo siguiente se muestra cómo crear una red virtual administrada para un centro de conectividad existente denominado myhub:

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get(name="myhub")
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • DestinoDelPuntoFinalPrivado
  • MLClient

• Crear un nuevo centro de conectividad:

  1. Inicie sesión en Azure Portal y elija Foundry en el menú Crear un recurso.

  2. Seleccione + Nueva Azure AI.

  3. Proporcione la información necesaria en la pestaña Aspectos básicos.

  4. En la pestaña Redes, seleccione Privado con Salida a Internet.

  5. Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral Reglas de salida, proporcione la siguiente información:

     • Nombre de la regla: un nombre para la regla. El nombre debe ser único para este centro de conectividad.
     • Tipo de destino: punto de conexión privado, etiqueta de servicio o FQDN. La etiqueta de servicio y el FQDN solo están disponibles cuando el aislamiento de red es privado con salida aprobada.

     Si el tipo de destino es Punto de conexión privado, escriba la siguiente información:

     • Suscripción: la suscripción que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Grupo de recursos: el grupo de recursos que contiene el recurso de Azure para el que desea agregar un punto de conexión privado.
     • Tipo de recurso: el tipo de recurso de Azure.
     • Nombre del recurso: el nombre del recurso de Azure.
  • Subrecurso: el subrecurso del tipo de recurso de Azure.

  Sugerencia

  La red virtual administrada del centro no admite puntos de conexión privados para todos los tipos de recursos de Azure. Para obtener una lista de recursos compatibles, consulte la sección Puntos de conexión privados.

  Si el tipo de destino es Etiqueta de servicio, escriba la siguiente información:

  • Etiqueta de servicio: la etiqueta de servicio que se va a agregar a las reglas de salida aprobadas.
  • Protocolo: protocolo que se va a permitir para la etiqueta de servicio.
  • Intervalos de puertos: los intervalos de puertos que se van a permitir para la etiqueta de servicio.

  Si el tipo de destino es FQDN, escriba la siguiente información:

  • Destino de FQDN: nombre de dominio completo que se va a agregar a las reglas de salida aprobadas.

    Para guardar la regla, elija Guardar. Para agregar más reglas, seleccione Agregar reglas de salida definidas por el usuario de nuevo.

  1. Siga creando el centro como de costumbre.

• Actualizar un centro de conectividad existente:

  1. Inicie sesión en el Azure Portal y seleccione el centro de conectividad para el que desea habilitar el aislamiento de red virtual administrada.

  2. Seleccione Redes>Privadas con salida aprobada.

     • Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateral Reglas de salida, escriba la misma información que al crear un centro en la sección anterior "Crear un nuevo centro".

     • Para eliminar una regla de salida, seleccione eliminar en la regla.

  3. Seleccione Guardar en la parte superior de la página para guardar los cambios en la red virtual administrada.

Para configurar una red virtual administrada que solo permita la comunicación saliente aprobada, use el parámetro --managed-network allow_only_approved_outbound o un archivo de configuración de YAML que contenga las siguientes entradas:

managed_network:
  isolation_mode: allow_only_approved_outbound

También puede definir reglas de salida para la comunicación saliente aprobada. Cree una regla de salida de tipo service_tag, fqdn o private_endpoint. En el ejemplo siguiente se agrega un punto de conexión privado a un recurso de Azure Blob, una etiqueta de servicio para Azure Data Factory y un FQDN para pypi.org. En el ejemplo siguiente, reemplace el texto del marcador de posición <SUBSCRIPTION_ID>, <RESOURCE_GROUP> y <STORAGE_ACCOUNT_NAME> por los valores.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Puede configurar una red virtual administrada mediante los az ml workspace create comandos o az ml workspace update :

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se usa el parámetro --managed-network allow_only_approved_outbound para configurar la red virtual administrada:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  El siguiente archivo YAML define un centro de conectividad con una red virtual administrada:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Para crear un centro mediante el archivo YAML, use el --file parámetro :

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Actualizar un centro de conectividad existente

  Advertencia

  Antes de actualizar un área de trabajo existente para usar una red virtual gestionada, debe eliminar todos los recursos de proceso del área de trabajo. Esto incluye instancias de proceso, clúster de proceso y puntos de conexión en línea administrados.

  En el ejemplo siguiente se usa el parámetro --managed-network allow_only_approved_outbound para configurar la red virtual administrada para un centro de conectividad existente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  El siguiente archivo YAML define una red virtual administrada para el centro y muestra cómo agregar reglas de salida aprobadas. En este ejemplo, se agregan reglas de salida para una etiqueta de servicio, un FQDN y un punto de conexión privado:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referencias

• az ml workspace create
• actualización del espacio de trabajo de az ml

Para configurar una red virtual administrada que permita solo la comunicación saliente aprobada, use la clase ManagedNetwork para definir una red con IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND. Use el ManagedNetwork objeto para crear un nuevo centro o actualizar uno existente. Para definir reglas de salida, use las siguientes clases:

• Crear un nuevo centro de conectividad:

  En el ejemplo siguiente se crea un nuevo centro de conectividad denominado myhub, con varias reglas de salida:

  • myrule: agrega un punto de conexión privado para un almacén de blobs de Azure.
  • datafactory: agrega una regla de etiqueta de servicio para comunicarse con Azure Data Factory.

  Importante

  • Agregue una regla de salida para una etiqueta de servicio o un FQDN solo cuando configure la red virtual administrada en IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Si agrega reglas de salida, Microsoft no puede garantizar la protección contra la filtración de datos.

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • Hub
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination

• Actualizar un centro de conectividad existente:

  En el ejemplo siguiente se muestra cómo configurar una red virtual administrada para un centro existente denominado myhub. También agrega varias reglas de salida:

  • myrule: agrega un punto de conexión privado para un almacén de blobs de Azure.
  • datafactory: agrega una regla de etiqueta de servicio para comunicarse con Azure Data Factory.

  Sugerencia

  Puede agregar una regla de salida para una etiqueta de servicio o FQDN solo cuando configure la red virtual administrada para que use IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referencias

  • ManagedNetwork
  • IsolationMode
  • DestinoDePuntoFinalPrivado
  • ServiceTagDestination
  • FqdnDestination
  • MLClient

Durante la creación del área de trabajo, seleccione Aprovisionar red administrada de forma proactiva al crear para configurar la red administrada. La facturación se inicia para los recursos de red, como los puntos de conexión privados, una vez configurada la red virtual. Esta opción solo está disponible durante la creación del área de trabajo.

En el siguiente ejemplo, se muestra cómo aprovisionar una red virtual administrada durante la creación del hub.

az ml workspace create -n my_ai_hub_name -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now true

En el siguiente ejemplo, se muestra cómo aprovisionar una red virtual administrada:

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Para comprobar que el aprovisionamiento está completo, ejecute el siguiente comando:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Referencias

• az ml workspace create
• az ml workspace provision-network
• az ml workspace show

Use el SDK para aprovisionar una red virtual administrada y, a continuación, compruebe su estado.

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

subscription_id = "00000000-0000-0000-0000-000000000000"
resource_group = "my_resource_group"
workspace_name = "my_ai_hub_name"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=workspace_name)

# Start provisioning the managed network for the workspace.
provision_result = ml_client.workspaces.begin_provision_network(workspace_name=workspace_name).result()

# Check the managed network status.
ws = ml_client.workspaces.get(name=workspace_name)
print(ws.managed_network.status)

Referencias

• MLClient
• begin_provision_network

1. Inicie sesión en el Azure Portal y seleccione el centro de conectividad para el que desea habilitar el aislamiento de red virtual administrada.
2. Seleccionar Redes. La sección Acceso saliente de Foundry le permite administrar normas salientes.

• Para agregar una regla de salida, seleccione Agregar reglas de salida definidas por el usuario en la pestaña Redes. En la barra lateralReglas de salida de Azure AI, escriba los valores necesarios.

• Para habilitar o deshabilitar una regla, use el botón de alternancia en la columna Activa.

• Para eliminar una regla de salida, seleccione eliminar en la regla.

En los comandos siguientes, reemplace el texto del marcador de posición <workspace-name>, <resource-group> y <rule-name> por sus valores. Para enumerar las reglas de salida de red virtual administradas para un centro, ejecute:

az ml workspace outbound-rule list --workspace-name <workspace-name> --resource-group <resource-group>

Para ver los detalles de una regla de salida de red virtual administrada, ejecute:

az ml workspace outbound-rule show --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Para quitar una regla de salida de la red virtual administrada, ejecute:

az ml workspace outbound-rule remove --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Referencias

• az ml workspace outbound-rule list
• az ml workspace outbound-rule show
• az ml workspace outbound-rule remove

En el ejemplo siguiente se muestra cómo administrar reglas de salida para un centro denominado myhub. En el ejemplo, reemplace el texto del marcador de posición <some-rule-name> por el nombre de la regla:

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

# Connect to the hub
ws_name = "myhub"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=ws_name)

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Referencias

• MLClient

Después de seleccionar el modo Permitir solo salida aprobada, aparece una opción para seleccionar la versión (SKU) de Azure Firewall. Seleccione Standard o Básico. Haga clic en Guardar.

Para establecer la versión del firewall mediante la CLI de Azure, use un archivo YAML y especifique firewall_sku. En el ejemplo siguiente se establece la SKU del firewall en basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Para establecer la versión del firewall mediante el SDK de Python, establezca la propiedad firewall_sku del objeto ManagedNetwork. En el ejemplo siguiente se establece la SKU del firewall en basic:

from azure.ai.ml.entities import ManagedNetwork, IsolationMode

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND,
                         firewall_sku='basic')

Referencias

• ManagedNetwork
• IsolationMode