Verwalten von Azure Machine Learning-Arbeitsbereichen mithilfe der Azure CLI

GILT FÜR Azure CLI-ML-Erweiterung v2 (aktuell)

In diesem Artikel erfahren Sie, wie Sie Azure Machine Learning-Arbeitsbereiche mit der Azure CLI erstellen und verwalten. Die Azure CLI bietet Befehle für die Verwaltung von Azure-Ressourcen und ist so konzipiert, dass Sie schnell mit Azure arbeiten können, wobei der Fokus auf der Automatisierung liegt. Die Erweiterung der Azure CLI für maschinelles Lernen unterstützt Befehle für die Arbeit mit Azure Machine Learning-Ressourcen.

Sie können auch die folgenden Methoden verwenden, um Azure Machine Learning-Arbeitsbereiche zu erstellen und zu verwalten:

• Azure Machine Learning Studio
• Azure portal
• Python SDK
• Azure PowerShell
• Visual Studio Code mit der Azure Machine Learning-Erweiterung

Voraussetzungen

• Ein Azure-Abonnement mit einer kostenlosen oder kostenpflichtigen Version von Azure Machine Learning. Wenn Sie kein Azure-Abonnement besitzen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen.

• Installation der Azure CLI, wenn Sie die Azure CLI-Befehle in diesem Artikel lokal ausführen möchten.

  Wenn Sie die Azure CLI-Befehle in Azure Cloud Shell ausführen, müssen Sie nichts installieren. Der Browser greift auf die neueste Cloudversion der Azure CLI und der Azure Machine Learning-Erweiterung zu.

Begrenzungen

• Wenn Sie einen neuen Arbeitsbereich erstellen, können Sie die vom Arbeitsbereich benötigten Dienste automatisch erstellen oder vorhandene Dienste verwenden. Wenn Sie vorhandene Dienste aus einem anderen Azure-Abonnement als dem des Arbeitsbereichs verwenden möchten, müssen Sie den Azure Machine Learning-Namespace in dem Abonnement mit diesen Dienst registrieren. Wenn Sie z. B. einen Arbeitsbereich in Abonnement A erstellen, der ein Speicherkonto aus Abonnement B verwendet, muss der Azure Machine Learning-Namespace in Abonnement B registriert werden, damit der Arbeitsbereich das Speicherkonto verwenden kann.

  Der Ressourcenanbieter für Machine Learning ist Microsoft.MachineLearningServices. Informationen dazu, ob er registriert ist oder registriert wird, finden Sie unter Azure-Ressourcenanbieter und -typen.

  Wichtig

  Diese Informationen betreffen nur Ressourcen, die beim Erstellen des Arbeitsbereichs bereitgestellt werden, also Azure Storage-Konten, Azure Container Registry, Azure Key Vault und Application Insights.

Verbinden mit Ihrem Azure-Abonnement

Wenn Sie Azure Cloud Shell über das Azure-Portal verwenden, können Sie diesen Abschnitt überspringen. Cloud Shell authentifiziert Sie automatisch anhand des Azure-Abonnements, mit dem Sie angemeldet sind.

Es stehen mehrere Möglichkeiten zur Verfügung, sich über die Azure CLI lokal bei Ihrem Azure-Abonnement zu authentifizieren. Die einfachste Möglichkeit ist die Verwendung eines Browsers.

Öffnen Sie zur interaktiven Authentifizierung eine Befehlszeile oder ein Terminal, und führen Sie az login aus. Wenn die CLI Ihren Standardbrowser öffnen kann, wird sie dies tun und eine Anmeldeseite laden. Befolgen Sie andernfalls den Anweisungen der Befehlszeile, um https://aka.ms/devicelogin in einem Browser zu öffnen und einen Geräteautorisierungscode einzugeben.

Andere Methoden zur Authentifizierung finden Sie unter Anmelden mit der Azure CLI.

Erstellen einer Ressourcengruppe

Der Azure Machine Learning-Arbeitsbereich muss innerhalb einer vorhandenen oder einer neuen Ressourcengruppe erstellt werden. Führen Sie den folgenden Befehl aus, um eine neue Ressourcengruppe zu erstellen. Ersetzen Sie <resource-group-name> durch den Namen und <location> durch die Azure-Region, die Sie für diese Ressourcengruppe verwenden möchten.

az group create --name <resource-group-name> --location <azure-region>

Die Antwort auf diesen Befehl ähnelt dem folgenden JSON-Code. Sie können die Ausgabewerte verwenden, um die erstellten Ressourcen zu suchen oder sie als Eingabe an andere Azure CLI-Befehle oder zur Automatisierung zu übergeben.

{
  "id": "/subscriptions/<subscription-GUID>/resourceGroups/<resourcegroupname>",
  "location": "<location>",
  "managedBy": null,
  "name": "<resource-group-name>",
  "properties": {
    "provisioningState": "Succeeded"
  },
  "tags": null,
  "type": null
}

Weitere Informationen zum Arbeiten mit Ressourcengruppen finden Sie unter az group.

Erstellen eines Arbeitsbereichs

Ein bereitgestellter Azure Machine Learning-Arbeitsbereich benötigt verschiedene andere Dienste als abhängige zugeordnete Ressourcen. Wenn Sie die Azure CLI verwenden, um einen Arbeitsbereich zu erstellen, kann die CLI die neuen zugeordneten Ressourcen erstellen, oder Sie können vorhandene Ressourcen anfügen.

Um einen neuen Arbeitsbereich mit neuen, automatisch erstellten abhängigen Diensten, führen Sie den folgenden Befehl aus:

az ml workspace create -n <workspace-name> -g <resource-group-name>

Um einen neuen Arbeitsbereich zu erstellen, der vorhandene Ressourcen verwendet, definieren Sie zunächst die Ressourcen in einer YAML-Konfigurationsdatei, wie im folgenden Abschnitt beschrieben. Anschließend verweisen Sie wie folgt im Befehl zur Erstellung des Azure CLI-Arbeitsbereichs auf die YAML-Datei:

az ml workspace create -g <resource-group-name> --file <configuration-file>.yml

Die Ausgabe des Befehls zur Erstellung des Arbeitsbereichs sieht ähnlich aus wie der folgende JSON-Code. Sie können die Ausgabewerte verwenden, um die erstellten Ressourcen zu suchen oder sie als Eingabe an andere Azure CLI-Befehle zu übergeben.

{
  "applicationInsights": "/subscriptions/<subscription-GUID>/resourcegroups/<resource-group-name>/providers/microsoft.insights/components/<application-insight-name>",
  "containerRegistry": "/subscriptions/<subscription-GUID>/resourcegroups/<resource-group-name>/providers/microsoft.containerregistry/registries/<container-registry-name>",
  "creationTime": "2019-08-30T20:24:19.6984254+00:00",
  "description": "",
  "friendlyName": "<workspace-name>",
  "id": "/subscriptions/<subscription-GUID>/resourceGroups/<resource-group-name>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-id>",
  "identityPrincipalId": "<GUID>",
  "identityTenantId": "<GUID>",
  "identityType": "SystemAssigned",
  "keyVault": "/subscriptions/<subscription-GUID>/resourcegroups/<resource-group-name>/providers/microsoft.keyvault/vaults/<key-vault-name>",
  "location": "<location>",
  "name": "<workspace-name>",
  "resourceGroup": "<resource-group-name>",
  "storageAccount": "/subscriptions/<subscription-GUID>/resourcegroups/<resource-group-name>/providers/microsoft.storage/storageaccounts/<storage-account-name>",
  "type": "Microsoft.MachineLearningServices/workspaces",
  "workspaceid": "<GUID>"
}

YAML-Konfigurationsdatei

Wenn Sie vorhandene Ressourcen für einen neuen Arbeitsbereich verwenden möchten, definieren Sie die Ressourcen in einer YAML-Konfigurationsdatei. Das folgende Beispiel zeigt eine YAML-Konfigurationsdatei für einen Arbeitsbereich:

$schema: https://azuremlschemas.azureedge.net/latest/workspace.schema.json
name: mlw-basicex-prod
location: eastus
display_name: Bring your own dependent resources-example
description: This configuration specifies a workspace configuration with existing dependent resources
storage_account: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT>
container_registry: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.ContainerRegistry/registries/<CONTAINER_REGISTRY>
key_vault: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.KeyVault/vaults/<KEY_VAULT>
application_insights: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.insights/components/<APP_INSIGHTS>
tags:
  purpose: demonstration

Sie müssen nicht alle zugeordneten abhängigen Ressourcen in der Konfigurationsdatei angeben. Sie können eine oder mehrere Ressourcen angeben und die anderen automatisch erstellen lassen.

Sie müssen die IDs für vorhandene Ressourcen in der YAML-Datei angeben. Sie können diese IDs abrufen, indem Sie die Eigenschaften der Ressource im Azure-Portal anzeigen oder die folgenden Azure CLI-Befehle ausführen:

• Azure Application Insights:
  az monitor app-insights component show --app <application-insight-name> -g <resource-group-name> --query "id"
• Azure Container Registry:
  az acr show --name <container-registry-name> -g <resource-group-name> --query "id"
• Azure Key Vault:
  az keyvault show --name <key-vault-name> --query "id"
• Azure-Speicherkonto:
  az storage account show --name <storage-account-name> --query "id"

Die Abfrageergebnisse sehen in etwa wie die folgende Zeichenfolge aus:
"/subscriptions/<subscription-GUID>/resourceGroups/<resource-group-name>/providers/<provider>/<subresource>/<id>".

Zugeordnete abhängige Ressourcen

Die folgenden Überlegungen und Einschränkungen gelten für abhängige Ressourcen, die Arbeitsbereichen zugeordnet sind.

Application Insights

Container Registry

Der Azure Machine Learning-Arbeitsbereich verwendet Azure Container Registry für einige Vorgänge und erstellt automatisch eine Container Registry-Instanz, wenn sie zum ersten Mal benötigt wird.

Wenn Sie eine vorhandene Azure Container Registry-Instanz mit einem Azure Machine Learning-Arbeitsbereich verwenden möchten, müssen Sie das Administratorkonto für die Containerregistrierung aktivieren.

Speicherkonto

Wenn Sie ein vorhandenes Speicherkonto für den Arbeitsbereich verwenden, muss es die folgenden Kriterien erfüllen. Diese Anforderungen gelten nur für das Standardspeicherkonto.

• Das Konto kann nicht vom Typ „Premium_LRS“ oder „Premium_GRS“ sein.
• Sowohl Azure Blob- als auch Azure-Dateifunktionen müssen aktiviert sein.
• Der hierarchische Namespace muss für Azure Data Lake Storage deaktiviert sein.

Sichere Azure CLI-Kommunikation

Alle Azure Machine Learning V2-Befehle vom Typ az ml kommunizieren Betriebsdaten, z. B. YAML-Parameter und Metadaten, an Azure Resource Manager. Einige der Azure CLI-Befehle kommunizieren über das Internet mit Azure Resource Manager.

Wenn Ihr Azure Machine Learning-Arbeitsbereich öffentlich ist und sich nicht hinter einem virtuellen Netzwerk befindet, wird die Kommunikation mit HTTPS/TLS 1.2 geschützt. Eine zusätzliche Konfiguration ist nicht erforderlich.

Wenn Ihr Azure Machine Learning-Arbeitsbereich einen privaten Endpunkt und ein virtuelles Netzwerk verwendet, müssen Sie zur Verwendung der Azure CLI eine der folgenden Konfigurationen auswählen:

• Legen Sie für die Kommunikation über das öffentliche Internet den Parameter --public-network-access auf Enabled fest.

• Um die Kommunikation über das öffentliche Internet aus Sicherheitsgründen zu vermeiden, konfigurieren Sie Azure Machine Learning so, dass private Netzwerkkonnektivität mit einem Azure Private Link-Endpunkt verwendet wird, wie im folgenden Abschnitt beschrieben.

Private Netzwerkkonnektivität

Abhängig von Ihrem Anwendungsfall und den Organisationsanforderungen können Sie Azure Machine Learning zur Verwendung von privater Netzwerkkonnektivität konfigurieren. Sie können die Azure CLI verwenden, um einen Arbeitsbereich und einen Private Link-Endpunkt für die Arbeitsbereichsressource bereitzustellen.

Wenn Sie Private Link-Endpunkte sowohl für Azure Container Registry als auch für Azure Machine Learning verwenden, können Container Registry-Tasks nicht zum Erstellen von Docker-Umgebungsimages verwendet werden. Stattdessen müssen Sie Images mithilfe eines Azure Machine Learning-Computeclusters erstellen.

In der YAML-Konfigurationsdatei für den Arbeitsbereich müssen Sie die Eigenschaft image_build_compute auf einen Computeclusternamen festlegen, der für die Erstellung der Docker-Imageumgebung verwendet werden soll. Sie können außerdem festlegen, dass der Private Link-Arbeitsbereich nicht über das Internet zugänglich ist, indem Sie die Eigenschaft public_network_access auf Disabled festlegen.

Der folgende Code zeigt eine Beispielkonfigurationsdatei für Arbeitsbereiche für private Netzwerkkonnektivität.

$schema: https://azuremlschemas.azureedge.net/latest/workspace.schema.json
name: mlw-privatelink-prod
location: eastus
display_name: Private Link endpoint workspace-example
description: When using private link, you must set the image_build_compute property to a cluster name to use for Docker image environment building. You can also specify whether the workspace should be accessible over the internet.
image_build_compute: cpu-compute
public_network_access: Disabled
tags:
  purpose: demonstration

Nachdem Sie den Arbeitsbereich erstellt haben, verwenden Sie die CLI-Befehle des Azure-Netzwerks, um einen Private Link-Endpunkt für den Arbeitsbereich zu erstellen.

az network private-endpoint create \
    --name <private-endpoint-name> \
    --vnet-name <virtual-network-name> \
    --subnet <subnet-name> \
    --private-connection-resource-id "/subscriptions/<subscription>/resourceGroups/<resource-group-name>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>" \
    --group-id amlworkspace \
    --connection-name workspace -l <location>

Um die Einträge der privaten DNS-Zone (Domain Name System) für den Arbeitsbereich zu erstellen, verwenden Sie die folgenden Befehle:

# Add privatelink.api.azureml.ms
az network private-dns zone create \
    -g <resource-group-name> \
    --name 'privatelink.api.azureml.ms'

az network private-dns link vnet create \
    -g <resource-group-name> \
    --zone-name 'privatelink.api.azureml.ms' \
    --name <link-name> \
    --virtual-network <virtual-network-name> \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
    -g <resource-group-name> \
    --endpoint-name <private-endpoint-name> \
    --name <zone-group-name> \
    --private-dns-zone 'privatelink.api.azureml.ms' \
    --zone-name 'privatelink.api.azureml.ms'

# Add privatelink.notebooks.azure.net
az network private-dns zone create \
    -g <resource-group-name> \
    --name 'privatelink.notebooks.azure.net'

az network private-dns link vnet create \
    -g <resource-group-name> \
    --zone-name 'privatelink.notebooks.azure.net' \
    --name <link-name> \
    --virtual-network <virtual-network-name> \
    --registration-enabled false

az network private-endpoint dns-zone-group add \
    -g <resource-group-name> \
    --endpoint-name <private-endpoint-name> \
    --name <zone-group-name> \
    --private-dns-zone 'privatelink.notebooks.azure.net' \
    --zone-name 'privatelink.notebooks.azure.net'

Weitere Informationen zur Verwendung eines privaten Endpunkts und eines virtuellen Netzwerks mit Ihrem Arbeitsbereich finden Sie in den folgenden Artikeln:

• Konfigurieren eines privaten Endpunkts für einen Azure Machine Learning-Arbeitsbereich
• Übersicht zu Isolation und Datenschutz bei virtuellen Netzwerken

Private Verbindungen der Ressourcenverwaltung

Sie können den folgenden Prozess verwenden, um die Kommunikation mit allen Azure Resource Manager-Ressourcen in einer Azure-Verwaltungsgruppe mithilfe von Private Link zu schützen:

1. Erstellen einer privaten Verbindung zum Verwalten von Azure-Ressourcen im Azure-Portal
2. Erstellen eines privaten Endpunkts für die im vorherigen Schritt erstellte private Verbindung

Erweiterte Konfigurationen

Es gibt verschiedene weitere erweiterte Konfigurationen, die Sie auf Arbeitsbereiche anwenden können. Für komplexe Ressourcenkonfigurationen beachten Sie auch die vorlagenbasierten Bereitstellungsoptionen einschließlich Azure Resource Manager.

Kundenseitig verwaltete Schlüssel

Standardmäßig werden Metadaten für den Arbeitsbereich in einer Azure Cosmos DB-Instanz, die von Microsoft verwaltet wird, gespeichert und mit von Microsoft verwalteten Schlüsseln verschlüsselt. Anstatt den von Microsoft verwalteten Schlüssel zu verwenden, können Sie Ihren eigenen Schlüssel bereitstellen. Durch die Verwendung eines eigenen Schlüssels wird ein zusätzlicher Satz von Ressourcen in Ihrem Azure-Abonnement zum Speichern Ihrer Daten erstellt.

Um einen Arbeitsbereich zu erstellen, der Ihren eigenen Schlüssel nutzt, verwenden Sie den customer_managed_key-Parameter in der YAML-Arbeitsbereichskonfigurationsdatei und geben die Ressourcen-ID von key_vault und key_uri des Schlüssels im Tresor an.

$schema: https://azuremlschemas.azureedge.net/latest/workspace.schema.json
name: mlw-cmkexample-prod
location: eastus
display_name: Customer managed key encryption-example
description: This configurations shows how to create a workspace that uses customer-managed keys for encryption.
customer_managed_key: 
  key_vault: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.KeyVault/vaults/<KEY_VAULT>
  key_uri: https://<KEY_VAULT>.vault.azure.net/keys/<KEY_NAME>/<KEY_VERSION>
tags:
  purpose: demonstration

Weitere Informationen zu den Ressourcen, die erstellt werden, wenn Sie Ihren eigenen Schlüssel für die Verschlüsselung verwenden, finden Sie unter Datenverschlüsselung mit Azure Machine Learning.

Arbeitsbereiche mit hohen geschäftlichen Auswirkungen

Wenn Sie die von Microsoft in Ihrem Arbeitsbereich erfassten Daten einschränken möchten, können Sie einen Arbeitsbereich mit hohen geschäftlichen Auswirkungen angeben, indem Sie die Eigenschaft hbi_workspace in der YAML-Konfigurationsdatei auf TRUE festlegen. Sie können hohe geschäftliche Auswirkungen nur festlegen, wenn Sie einen Arbeitsbereich erstellen. Diese Einstellung kann nach dem Erstellen des Arbeitsbereichs nicht mehr geändert werden.

Weitere Informationen zu kundenseitig verwalteten Schlüsseln und Arbeitsbereichen mit starken geschäftlichen Auswirkungen finden Sie unter Enterprise-Sicherheit für Machine Learning.

Verwenden der Azure CLI zum Verwalten von Arbeitsbereichen

Sie können die az ml workspace-Befehle zum Verwalten von Arbeitsbereichen verwenden.

Abrufen von Informationen zum Arbeitsbereich

Um Informationen zu einem Arbeitsbereich zu erhalten, verwenden Sie den folgenden Befehl:

az ml workspace show -n <workspace-name> -g <resource-group-name>

Weitere Informationen finden Sie unter az ml workspace show.

Aktualisieren eines Arbeitsbereichs

Verwenden Sie den folgenden Befehl, um einen Arbeitsbereich zu aktualisieren:

az ml workspace update -n <workspace-name> -g <resource-group-name>

Mit dem folgenden Befehl wird beispielsweise ein Arbeitsbereich zum Aktivieren des Zugriffs aus öffentlichen Netzwerken aktualisiert:

az ml workspace update -n <workspace-name> -g <resource-group-name> --public-network-access enabled

Weitere Informationen finden Sie unter az ml workspace update.

Synchronisieren von Schlüsseln für abhängige Ressourcen

Wenn Sie Zugriffsschlüssel für eine der Ressourcen ändern, die von Ihrem Arbeitsbereich verwendet werden, dauert es etwa eine Stunde, bis der Arbeitsbereich mit den neuen Schlüsseln synchronisiert wird. Wenn Sie erzwingen möchten, dass der Arbeitsbereich die neuen Schlüssel sofort synchronisiert, verwenden Sie den folgenden Befehl:

az ml workspace sync-keys -n <workspace-name> -g <resource-group-name>

• Weitere Informationen zum Befehl sync-keys finden Sie unter az ml workspace sync-keys.
• Weitere Informationen zum Ändern von Schlüsseln finden Sie unter Erneutes Generieren von Speicherzugriffsschlüsseln.

Verschieben eines Arbeitsbereichs

Das Verschieben eines Azure Machine Learning-Arbeitsbereichs befindet sich derzeit in der Vorschauphase. Weitere Informationen finden Sie unter Verschieben von Azure Machine Learning-Arbeitsbereichen zwischen Abonnements (Vorschau).

Löschen eines Arbeitsbereichs

Um einen Arbeitsbereich zu löschen, wenn er nicht mehr benötigt wird, verwenden Sie den folgenden Befehl:

az ml workspace delete -n <workspace-name> -g <resource-group-name>

Das Standardverhalten für Azure Machine Learning besteht darin, den Arbeitsbereich vorläufig zu löschen. Der Arbeitsbereich wird nicht sofort gelöscht, sondern zur Löschung gekennzeichnet. Weitere Informationen finden Sie unter Vorläufiges Löschen.

Beim Löschen eines Arbeitsbereichs werden Application Insights, Speicherkonto, Schlüsseltresor oder Containerregistrierung, die vom Arbeitsbereich verwendet werden, nicht gelöscht. Um den Arbeitsbereich, die abhängigen Ressourcen und alle anderen Azure-Ressourcen in der Ressourcengruppe zu löschen, können Sie die Ressourcengruppe löschen. Um die Ressourcengruppe zu löschen, verwenden Sie folgenden Befehl:

az group delete -g <resource-group-name>

Weitere Informationen finden Sie unter az ml workspace delete.

Beheben von Ressourcenanbieterfehlern

Wenn Sie einen Azure Machine Learning-Arbeitsbereich oder eine vom Arbeitsbereich verwendete Ressource erstellen, erhalten Sie möglicherweise eine Fehlermeldung ähnlich der folgenden:

• No registered resource provider found for location {location}
• The subscription is not registered to use namespace {resource-provider-namespace}

Die meisten Ressourcenanbieter werden automatisch registriert, aber nicht alle. Wenn Sie diese Meldung erhalten, müssen Sie den erwähnten Anbieter registrieren.

Die folgende Tabelle enthält eine Liste der Ressourcenanbieter, die für Azure Machine Learning erforderlich sind:

Wenn Sie einen kundenseitig verwalteten Schlüssel mit Azure Machine Learning verwenden möchten, müssen die folgenden Dienstanbieter registriert werden:

Wenn Sie ein verwaltetes virtuelles Netzwerk mit Azure Machine Learning verwenden möchten, muss der Microsoft.Network Ressourcenanbieter registriert werden. Dieser Ressourcenanbieter wird vom Arbeitsbereich beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk verwendet.

Weitere Informationen zum Registrieren eines Ressourcenanbieters finden Sie unter Beheben von Fehlern bei der Ressourcenanbieterregistrierung.

Zugehörige Ressourcen

• Weitere Informationen zur Azure CLI-Erweiterung für maschinelles Lernen finden Sie in der Dokumentation zu az ml.
• Informationen zur Diagnose, die Arbeitsbereichsprobleme identifizieren und beheben kann, finden Sie unter Anwendung der Arbeitsbereichsdiagnose.
• Informationen dazu, wie Sie Azure Machine Learning mit den aktuellen Sicherheitsupdates auf dem neuesten Stand halten, finden Sie unter Verwaltung von Sicherheitsrisiken.