Konfigurace příchozího a odchozího síťového provozu

Azure Machine Learning vyžaduje přístup k serverům a službám na veřejném internetu. Při implementaci izolace sítě je potřeba pochopit, jaký přístup je nutný a jak ho povolit.

Běžné termíny a informace

V tomto článku se používají následující termíny a informace:

• Značky služeb Azure: Značka služby představuje snadný způsob, jak určit rozsahy IP adres používané službou Azure. Značka AzureMachineLearning například představuje IP adresy používané službou Azure Machine Learning.

  Důležité

  Značky služeb Azure jsou podporovány pouze některými službami Azure. Seznam značek služeb podporovaných ve skupinách zabezpečení sítě a službě Azure Firewall najdete v článku Značky služeb virtuální sítě.

  Pokud používáte řešení mimo Azure, jako je brána firewall třetí strany, stáhněte si seznam rozsahů IP adres Azure a značek služeb. Extrahujte soubor a vyhledejte značku služby v souboru. IP adresy se můžou pravidelně měnit.

• Oblast: Některé značky služeb umožňují zadat oblast Azure. Tím se omezí přístup k IP adresě služby v konkrétní oblasti, obvykle ten, ve které je vaše služba. Pokud se v tomto článku zobrazí <region>, nahraďte místo toho oblast Azure. Například BatchNodeManagement.<region> pokud BatchNodeManagement.uswest je váš pracovní prostor Azure Machine Learning v oblasti USA – západ.

• Azure Batch: Výpočetní clustery a výpočetní instance Služby Azure Machine Learning závisí na back-endové instanci služby Azure Batch. Tato back-endová služba je hostovaná v předplatném Microsoftu.

• Porty: V tomto článku se používají následující porty. Pokud rozsah portů není v této tabulce uvedený, je specifický pro službu a nemusí obsahovat žádné publikované informace o tom, k čemu se používá:

  Port	Description
  80	Nezabezpečený webový provoz (HTTP)
  443	Zabezpečený webový provoz (HTTPS)
  445	Provoz SMB, který se používá pro přístup ke sdíleným složkám ve službě Azure File Storage
  8787	Používá se při připojování k aplikaci RStudio ve výpočetní instanci.
  18881	Používá se k připojení k jazykovému serveru a umožňuje technologii IntelliSense pro poznámkové bloky ve výpočetní instanci.

• Protokol: Pokud není uvedeno jinak, veškerý síťový provoz uvedený v tomto článku používá protokol TCP.

Základní konfigurace

Tato konfigurace provádí následující předpoklady:

• Používáte image Dockeru poskytované registrem kontejneru, který zadáte, a nebudete používat image poskytované Microsoftem.
• Používáte privátní úložiště balíčků Pythonu a nebudete mít přístup k veřejným úložištím balíčků, jako pypi.orgje , *.anaconda.comnebo *.anaconda.org.
• Privátní koncové body můžou vzájemně komunikovat přímo v rámci virtuální sítě. Například všechny služby mají privátní koncový bod ve stejné virtuální síti:
  • Pracovní prostor služby Azure Machine Learning
  • Účet služby Azure Storage (objekt blob, soubor, tabulka, fronta)

Příchozí provoz

Odchozí provoz

Doporučená konfigurace pro trénování a nasazování modelů

Odchozí provoz

Pokud chcete povolit instalaci balíčků Pythonu pro trénování a nasazení, povolte odchozí provoz do následujících názvů hostitelů:

Scénář: Instalace RStudio na výpočetní instanci

Aby bylo možné ve výpočetní instanci nainstalovat aplikaci RStudio, brána firewall musí povolovat odchozí přístup k webům, ze kterých se načítá příslušná image Dockeru. Do zásad služby Azure Firewall přidejte následující pravidlo aplikace:

• Název: AllowRStudioInstall
• Typ zdroje: IP adresa
• Zdrojové IP adresy: Rozsah IP adres podsítě, ve které vytvoříte výpočetní instanci. Například 172.16.0.0/24.
• Typ cíle: Plně kvalifikovaný název domény
• Cílový plně kvalifikovaný název domény: ghcr.io, pkg-containers.githubusercontent.com
• Protokol: Https:443

Pokud chcete povolit instalaci balíčků R, povolte odchozí provoz do cloud.r-project.org. Tento hostitel se používá k instalaci balíčků CRAN.

Scénář: Použití výpočetního clusteru nebo výpočetní instance s veřejnou IP adresou

Při použití výpočetní instance nebo výpočetního clusteru Azure Machine Learning (s veřejnou IP adresou) povolte příchozí provoz ze služby Azure Machine Learning. Výpočetní instance nebo výpočetní cluster bez veřejné IP adresy (Preview) nevyžaduje tuto příchozí komunikaci. Skupina zabezpečení sítě, která povoluje tento provoz, se pro vás dynamicky vytvoří, ale pokud máte bránu firewall, možná budete muset vytvořit také trasy definované uživatelem. Při vytváření trasy definované uživatelem pro tento provoz můžete k směrování provozu použít IP adresy nebo značky služeb.

az network route-table route create -g MyResourceGroup --route-table-name MyRouteTable -n AzureMLRoute --address-prefix AzureMachineLearning --next-hop-type Internet

Informace o konfiguraci trasy definované uživatelem najdete v tématu Směrování síťového provozu pomocí směrovací tabulky.

Scénář: Brána firewall mezi koncovými body služby Azure Machine Learning a Azure Storage

Musíte také povolit odchozí přístup na Storage.<region> portu 445.

Scénář: Pracovní prostor vytvořený s povoleným příznakem hbi_workspace

Musíte také povolit odchozí přístup k Keyvault.<region>. Tento odchozí provoz se používá pro přístup k instanci trezoru klíčů pro back-endovou službu Azure Batch.

Další informace o příznaku hbi_workspace najdete v článku o šifrování dat.

Scénář: Použití výpočetních prostředků Kubernetes

Cluster Kubernetes spuštěný za odchozím proxy serverem nebo bránou firewall potřebuje další konfiguraci odchozí sítě.

• Pro Kubernetes s připojením Azure Arc nakonfigurujte požadavky na síť Azure Arc potřebné agenty Azure Arc.
• Pro cluster AKS bez připojení Azure Arc nakonfigurujte požadavky na síť rozšíření AKS.

Kromě výše uvedených požadavků se pro Azure Machine Learning vyžadují také následující odchozí adresy URL.

Požadavky na komunikaci v clusteru

Pokud chcete nainstalovat rozšíření Azure Machine Learning na výpočetní prostředky Kubernetes, nasadí se všechny komponenty související se službou azureml Azure Machine Learning v oboru názvů. K zajištění dobrého fungování úloh ML v clusteru AKS je potřeba následující komunikace v clusteru V clusteru AKS.

• Komponenty v azureml oboru názvů by měly být schopné komunikovat se serverem rozhraní API Kubernetes.
• Komponenty v azureml oboru názvů by měly být schopné vzájemně komunikovat.
• Komponenty v azureml oboru názvů by měly být schopné komunikovat s oborem kube-dns názvů a konnectivity-agent v kube-system oboru názvů.
• Pokud se cluster používá k odvozování v reálném čase, azureml-fe-xxx identifikátory POD by měly být schopné komunikovat s nasazenými identifikátory POD na portu 5001 v jiném oboru názvů. azureml-fe-xxx POD by měla otevřít porty 11001, 12001, 12101, 12201, 20000, 8000, 8001, 9001 pro interní komunikaci.
• Pokud se cluster používá k odvozování v reálném čase, měly by nasazené modelové identifikátory POD komunikovat s amlarc-identity-proxy-xxx identifikátory POD na portu 9999.

Scénář: Visual Studio Code

Visual Studio Code spoléhá na konkrétní hostitele a porty pro navázání vzdáleného připojení.

Hostitelé

Hostitelé v této části se používají k instalaci balíčků visual Studio Code k navázání vzdáleného připojení mezi nástrojem Visual Studio Code a výpočetními instancemi v pracovním prostoru Azure Machine Learning.

Porty

Musíte povolit síťový provoz na porty 8704 až 8710. Server VS Code dynamicky vybere první dostupný port v rámci tohoto rozsahu.

Scénář: Brána firewall třetí strany nebo Azure Firewall bez značek služeb

Pokyny v této části jsou obecné, protože každá brána firewall má vlastní terminologii a konkrétní konfigurace. Pokud máte dotazy, projděte si dokumentaci k bráně firewall, kterou používáte.

Pokud není správně nakonfigurovaná, může brána firewall způsobovat problémy s používáním pracovního prostoru. Pracovní prostor Azure Machine Learning používá různé názvy hostitelů. Následující části obsahují seznam hostitelů požadovaných pro Azure Machine Learning.

Rozhraní API pro závislosti

K získání seznamu hostitelů a portů, do kterého musíte povolit odchozí provoz, můžete také použít rozhraní REST API služby Azure Machine Learning. Pokud chcete toto rozhraní API použít, postupujte následovně:

1. Získejte ověřovací token. Následující příkaz ukazuje použití Azure CLI k získání ověřovacího tokenu a ID předplatného:

   TOKEN=$(az account get-access-token --query accessToken -o tsv)
   SUBSCRIPTION=$(az account show --query id -o tsv)
   

2. Volání rozhraní API V následujícím příkazu nahraďte následující hodnoty:

   • Nahraďte <region> oblastí Azure, ve které je váš pracovní prostor. Například westus2.
   • Nahraďte <resource-group> skupinou prostředků, která obsahuje váš pracovní prostor.
   • Nahraďte <workspace-name> názvem pracovního prostoru.

   az rest --method GET \
       --url "https://<region>.api.azureml.ms/rp/workspaces/subscriptions/$SUBSCRIPTION/resourceGroups/<resource-group>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>/outboundNetworkDependenciesEndpoints?api-version=2018-03-01-preview" \
       --header Authorization="Bearer $TOKEN"
   

Výsledkem volání rozhraní API je dokument JSON. Následující fragment kódu je výňatek tohoto dokumentu:

{
  "value": [
    {
      "properties": {
        "category": "Azure Active Directory",
        "endpoints": [
          {
            "domainName": "login.microsoftonline.com",
            "endpointDetails": [
              {
                "port": 80
              },
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
    {
      "properties": {
        "category": "Azure portal",
        "endpoints": [
          {
            "domainName": "management.azure.com",
            "endpointDetails": [
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
...

Hostitelé Microsoftu

Hostitele v následujících tabulkách vlastní Microsoft a poskytují služby potřebné pro správné fungování vašeho pracovního prostoru. Seznam tabulek hostitelů pro veřejné azure, Azure Government a Microsoft Azure provozované oblastmi 21Vianet.

Obecné hostitele Azure

Hostitelé Služby Azure Machine Learning

Hostitelé výpočetní instance a výpočetního clusteru Azure Machine Learning

Image Dockeru spravované službou Azure Machine Learning

Pomocí informací ve výpočetním prostředí s veřejnou IP sekci přidejte IP adresy pro BatchNodeManagement a AzureMachineLearning.

Informace o omezení přístupu k modelům nasazeným do AKS najdete v tématu Omezení odchozího provozu ve službě Azure Kubernetes Service.

Monitorování, metriky a diagnostika

• dc.applicationinsights.azure.com
• dc.applicationinsights.microsoft.com
• dc.services.visualstudio.com
• *.in.applicationinsights.azure.com

SeznamIPch

Další kroky

Tento článek je součástí série o zabezpečení pracovního postupu služby Azure Machine Learning. Podívejte se na další články v této sérii:

• Přehled virtuální sítě

• Povolení funkcí studia
• Použití vlastní služby DNS

Další informace o konfiguraci služby Azure Firewall najdete v kurzu : Nasazení a konfigurace služby Azure Firewall pomocí webu Azure Portal.