Zabezpečení prostředků pracovních prostorů Azure Machine Learning s využitím virtuálních sítí

Zjistěte, jak zabezpečit prostředky pracovního prostoru Azure Machine Learning a výpočetní prostředí pomocí virtuálních sítí Azure. Tento článek používá ukázkový scénář, ve který se dozvíte, jak nakonfigurovat úplnou virtuální síť.

Tento článek je součástí série o zabezpečení pracovního postupu služby Azure Machine Learning. Podívejte se na další články v této sérii:

Kurz vytvoření zabezpečeného pracovního prostoru najdete v kurzu: Vytvoření zabezpečeného pracovního prostoru, šablony Bicep nebo šablony Terraformu.

Požadavky

Tento článek předpokládá, že znáte následující články:

• Azure Virtual Networks
• Sítě IP
• Pracovní prostor Azure Machine Learning s privátním koncovým bodem
• Skupiny zabezpečení sítě (NSG)
• Síťové brány firewall

Ukázkový scénář

V této části se dozvíte, jak je běžný scénář sítě nastavený na zabezpečení komunikace azure Machine Learning s privátními IP adresami.

Následující tabulka porovnává, jak služby přistupují k různým částem sítě Azure Machine Learning a bez virtuální sítě:

• Pracovní prostor – Vytvoření privátního koncového bodu pro váš pracovní prostor Privátní koncový bod připojí pracovní prostor k virtuální síti prostřednictvím několika privátních IP adres.
  • Veřejný přístup – Pro zabezpečený pracovní prostor můžete volitelně povolit veřejný přístup.
• Přidružený prostředek – Pomocí koncových bodů služby nebo privátních koncových bodů se připojte k prostředkům pracovního prostoru, jako je Azure Storage, Azure Key Vault. Pro Azure Container Services použijte privátní koncový bod.
  • Koncové body služby poskytují identitě vaší virtuální sítě službě Azure. Jakmile ve virtuální síti povolíte koncové body služby, můžete přidat pravidlo virtuální sítě pro zabezpečení prostředků služby Azure do vaší virtuální sítě. Koncové body služby používají veřejné IP adresy.
  • Privátní koncové body jsou síťová rozhraní, která vás bezpečně připojují ke službě využívající Azure Private Link. Privátní koncový bod používá privátní IP adresu z vaší virtuální sítě a efektivně přenese službu do vaší virtuální sítě.
• Trénovací výpočetní přístup – Přístup k cílovým výpočetním objektům trénování, jako jsou výpočetní instance Služby Azure Machine Learning a výpočetní clustery Azure Machine Learning s veřejnými nebo privátními IP adresami.
• Odvozovat výpočetní přístup – Přístup k výpočetním clusterům Azure Kubernetes Services (AKS) s privátními IP adresami

V dalších částech se dozvíte, jak zabezpečit scénář sítě popsaný výše. Pokud chcete zabezpečit síť, musíte:

1. Zabezpečte pracovní prostor a přidružené prostředky.
2. Zabezpečte trénovací prostředí.
3. Zabezpečte odvozovací prostředí.
4. Volitelně: povolte funkci studia.
5. Nakonfigurujte nastavení brány firewall.
6. Nakonfigurujte překlad názvů DNS.

Veřejný pracovní prostor a zabezpečené prostředky

Pokud chcete získat přístup k pracovnímu prostoru přes veřejný internet a současně zachovat všechny přidružené prostředky zabezpečené ve virtuální síti, postupujte následovně:

1. Vytvořte virtuální síť Azure. Tato síť zabezpečuje prostředky používané pracovním prostorem.

2. Pomocí jedné z následujících možností vytvořte veřejně přístupný pracovní prostor:

   • Vytvořte pracovní prostor Služby Azure Machine Learning, který virtuální síť nepoužívá . Další informace najdete v tématu Správa pracovních prostorů Azure Machine Learning.

   NEBO

   • Vytvořte pracovní prostor s povolenou službou Private Link, který umožní komunikaci mezi vaší virtuální sítí a pracovním prostorem. Pak povolte veřejný přístup k pracovnímu prostoru.
   • Vytvořte pracovní prostor Služby Azure Machine Learning, který virtuální síť nepoužívá . Další informace najdete v tématu Správa pracovních prostorů Azure Machine Learning.
   • Vytvořte pracovní prostor s povolenou službou Private Link, který umožní komunikaci mezi vaší virtuální sítí a pracovním prostorem. Pak povolte veřejný přístup k pracovnímu prostoru.

3. Přidejte do virtuální sítě následující služby pomocí koncového bodu služby nebo privátního koncového bodu. Povolte také důvěryhodným služby Microsoft přístup k těmto službám:

   Služba	Informace o koncovém bodu	Povolit důvěryhodné informace
   Azure Key Vault	Privátní koncový bod koncového bodu služby	Povolit důvěryhodným služby Microsoft obejít tuto bránu firewall
   Účet služby Azure Storage	Privátní koncový bod služby a privátního koncového bodu	Udělení přístupu k důvěryhodným službám Azure
   Azure Container Registry	Privátní koncový bod	Povolit důvěryhodné služby

   Služba	Informace o koncovém bodu	Povolit důvěryhodné informace
   Azure Key Vault	Privátní koncový bod koncového bodu služby	Povolit důvěryhodným služby Microsoft obejít tuto bránu firewall
   Účet služby Azure Storage	Privátní koncový bod služby a privátního koncového bodu	Udělení přístupu k důvěryhodným službám Azure
   Azure Container Registry	Privátní koncový bod	Povolit důvěryhodné služby

4. Ve vlastnostech účtu úložiště Azure pro váš pracovní prostor přidejte IP adresu klienta do seznamu povolených v nastavení brány firewall. Další informace najdete v tématu Konfigurace bran firewall a virtuálních sítí.

Zabezpečení pracovního prostoru a přidružených prostředků

Pomocí následujících kroků zabezpečte pracovní prostor a přidružené prostředky. Tyto kroky umožňují službám komunikovat ve virtuální síti.

Omezení

Zabezpečení pracovního prostoru a přidružených prostředků ve virtuální síti má následující omezení:

• Pracovní prostor a výchozí účet úložiště musí být ve stejné virtuální síti. Podsítě v rámci stejné virtuální sítě jsou však povolené. Například pracovní prostor v jedné podsíti a úložišti v jiné.

  Doporučujeme , aby služba Azure Key Vault a Azure Container Registry pro tento pracovní prostor byly také ve stejné virtuální síti. Oba tyto prostředky ale můžou být také v partnerské virtuální síti.

Zabezpečení trénovacího prostředí

V této části se dozvíte, jak zabezpečit trénovací prostředí ve službě Azure Machine Learning. Dozvíte se také, jak Azure Machine Learning dokončí trénovací úlohu, abyste pochopili, jak konfigurace sítě spolupracují.

K zabezpečení trénovacího prostředí použijte následující kroky:

Příklad odeslání trénovací úlohy

V této části se dozvíte, jak Azure Machine Learning bezpečně komunikuje mezi službami za účelem odeslání trénovací úlohy. Tento příklad ukazuje, jak všechny konfigurace spolupracují na zabezpečení komunikace.

1. Klient nahraje trénovací skripty a trénovací data do účtů úložiště, které jsou zabezpečené pomocí služby nebo privátního koncového bodu.

2. Klient odešle trénovací úlohu do pracovního prostoru Azure Machine Learning prostřednictvím privátního koncového bodu.

3. Služba Azure Batch přijímá úlohu z pracovního prostoru. Potom odešle trénovací úlohu do výpočetního prostředí prostřednictvím veřejného nástroje pro vyrovnávání zatížení výpočetního prostředku.

4. Výpočetní prostředek obdrží úlohu a zahájí trénování. Výpočetní prostředek používá informace uložené v trezoru klíčů pro přístup k účtům úložiště ke stažení trénovacích souborů a nahrání výstupu.

Omezení

• Výpočetní instance a clustery Azure musí být ve stejné virtuální síti, oblasti a předplatném jako pracovní prostor a jeho přidružené prostředky.

Zabezpečení prostředí pro odvozování

Volitelné: Povolení veřejného přístupu

Pracovní prostor za virtuální sítí můžete zabezpečit pomocí privátního koncového bodu a přesto povolit přístup přes veřejný internet. Počáteční konfigurace je stejná jako zabezpečení pracovního prostoru a přidružených prostředků.

Po zabezpečení pracovního prostoru s privátním koncovým bodem pomocí následujících kroků povolte klientům vývoj vzdáleně pomocí sady SDK nebo studio Azure Machine Learning:

Volitelné: Povolení funkcí studia

Pokud je vaše úložiště ve virtuální síti, musíte k povolení plné funkčnosti v sadě Studio použít další konfigurační kroky. Ve výchozím nastavení jsou zakázány následující funkce:

• Náhled dat ve studiu
• Vizualizace dat v návrháři
• Nasazení modelu v návrháři
• Odeslání experimentu automatizovaného strojového učení
• Spuštění projektu popisování

Pokud chcete povolit úplné funkce studia, přečtěte si téma Použití studio Azure Machine Learning ve virtuální síti.

Omezení

Popisování dat s asistencí ML nepodporuje výchozí účet úložiště za virtuální sítí. Místo toho použijte jiný účet úložiště než výchozí pro popisování dat s asistencí ML.

Konfigurace nastavení brány firewall

Nakonfigurujte bránu firewall pro řízení provozu mezi prostředky pracovního prostoru Azure Machine Learning a veřejným internetem. I když doporučujeme službu Azure Firewall, můžete použít jiné produkty brány firewall.

Další informace o nastavení brány firewall najdete v tématu Použití pracovního prostoru za bránou firewall.

Vlastní DNS

Pokud potřebujete pro virtuální síť použít vlastní řešení DNS, musíte přidat záznamy hostitele pro váš pracovní prostor.

Další informace o požadovaných názvech domén a IP adresách najdete v tématu použití pracovního prostoru s vlastním serverem DNS.

Microsoft Sentinel

Microsoft Sentinel je řešení zabezpečení, které se dá integrovat se službou Azure Machine Learning. Například použití poznámkových bloků Jupyter poskytovaných prostřednictvím služby Azure Machine Learning. Další informace najdete v tématu Použití poznámkových bloků Jupyter k vyhledávání bezpečnostních hrozeb.

Veřejný přístup

Microsoft Sentinel vám může automaticky vytvořit pracovní prostor, pokud máte v pořádku veřejný koncový bod. V této konfiguraci se analytici a správci systému security Operations Center (SOC) připojují k poznámkovému bloku ve vašem pracovním prostoru prostřednictvím služby Sentinel.

Informace o tomto procesu najdete v tématu Vytvoření pracovního prostoru Azure Machine Learning z Microsoft Sentinelu.

Privátní koncový bod

Pokud chcete zabezpečit pracovní prostor a přidružené prostředky ve virtuální síti, musíte nejprve vytvořit pracovní prostor Služby Azure Machine Learning. Musíte také vytvořit virtuální počítač "jump box" ve stejné virtuální síti jako váš pracovní prostor a povolit připojení ke službě Azure Bastion. Podobně jako u veřejné konfigurace se analytici a správci SOC můžou připojit pomocí služby Microsoft Sentinel, ale některé operace se musí provést pomocí služby Azure Bastion pro připojení k virtuálnímu počítači.

Další informace o této konfiguraci najdete v tématu Vytvoření pracovního prostoru Azure Machine Learning z Microsoft Sentinelu.

Související obsah

Tento článek je součástí série o zabezpečení pracovního postupu služby Azure Machine Learning. Podívejte se na další články v této sérii: