Isolation verwalteter virtueller Netzwerke auf Arbeitsbereichsebene

• Ein Azure-Abonnement. Wenn Sie nicht über ein Azure-Abonnement verfügen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen. Probieren Sie die kostenlose oder kostenpflichtige Version von Azure Machine Learning aus.

• Der Microsoft.Network-Ressourcenanbieter muss für Ihr Azure-Abonnement registriert sein. Dieser Ressourcenanbieter wird vom Arbeitsbereich beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk verwendet.

  Weitere Informationen zum Registrieren eines Ressourcenanbieters finden Sie unter Beheben von Fehlern bei der Ressourcenanbieterregistrierung.

• Die Azure-Identität, die Sie beim Bereitstellen eines verwalteten Netzwerks verwenden, erfordert die folgenden azure role-based access control (Azure RBAC)- Aktionen zum Erstellen privater Endpunkte:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Die Azure CLI und die ml-Erweiterung der Azure CLI. Weitere Informationen finden Sie unter Installieren, Einrichten und Verwenden der CLI (v2).

  Tipp

  Verwaltete Azure Machine Learning-VNets wurden am 23. Mai 2023 eingeführt. Wenn Sie über eine ältere Version der ML-Erweiterung verfügen, muss sie für die Beispiele in diesem Artikel möglicherweise aktualisiert werden. Verwenden Sie zum Aktualisieren der Erweiterung den folgenden Azure CLI-Befehl:

  az extension update -n ml
  

• In den CLI-Beispielen in diesem Artikel wird davon ausgegangen, dass Sie die Bash-Shell (oder eine kompatible Shell) verwenden, beispielsweise über ein Linux-System oder ein Windows-Subsystem für Linux.

• In den Azure CLI-Beispielen in diesem Artikel wird der Name des Arbeitsbereichs durch ws und der Name der Ressourcengruppe durch rg dargestellt. Ändern Sie diese Werte nach Bedarf, wenn Sie die Befehle mit Ihrem Azure-Abonnement verwenden.

• Ein Azure-Abonnement. Wenn Sie nicht über ein Azure-Abonnement verfügen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen. Probieren Sie die kostenlose oder kostenpflichtige Version von Azure Machine Learning aus.

• Der Microsoft.Network-Ressourcenanbieter muss für Ihr Azure-Abonnement registriert sein. Dieser Ressourcenanbieter wird vom Arbeitsbereich beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk verwendet.

  Weitere Informationen zum Registrieren eines Ressourcenanbieters finden Sie unter Beheben von Fehlern bei der Ressourcenanbieterregistrierung.

• Die Azure-Identität, die Sie beim Bereitstellen eines verwalteten Netzwerks verwenden, erfordert die folgenden azure role-based access control (Azure RBAC)- Aktionen zum Erstellen privater Endpunkte:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Das Azure Machine Learning Python SDK v2. Weitere Informationen zu diesem SDK finden Sie unter Azure ML-Paketclientbibliothek für Python – Version 1.7.0.

  Tipp

  Verwaltete Azure Machine Learning-VNets wurden am 23. Mai 2023 eingeführt. Wenn bei Ihnen eine ältere Version des SDK installiert ist, muss sie für die Beispiele in diesem Artikel möglicherweise aktualisiert werden. Verwenden Sie den folgenden Befehl, um das SDK zu aktualisieren:

  pip install --upgrade azure-ai-ml azure-identity
  

• In den Beispielen in diesem Artikel wird davon ausgegangen, dass Ihr Code mit dem folgenden Python-Code beginnt. Dieser Code importiert die Klassen, die beim Erstellen eines Arbeitsbereichs mit verwaltetem VNet erforderlich sind, legt Variablen für Ihr Azure-Abonnement und Ihre Ressourcengruppe fest und erstellt den ML-Client (ml_client):

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Workspace,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group)
  

• Ein Azure-Abonnement. Wenn Sie nicht über ein Azure-Abonnement verfügen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen. Probieren Sie die kostenlose oder kostenpflichtige Version von Azure Machine Learning aus.

• Der Microsoft.Network-Ressourcenanbieter muss für Ihr Azure-Abonnement registriert sein. Dieser Ressourcenanbieter wird vom Arbeitsbereich beim Erstellen privater Endpunkte für das verwaltete virtuelle Netzwerk verwendet.

  Weitere Informationen zum Registrieren eines Ressourcenanbieters finden Sie unter Beheben von Fehlern bei der Ressourcenanbieterregistrierung.

• Die Azure-Identität, die Sie beim Bereitstellen eines verwalteten Netzwerks verwenden, erfordert die folgenden azure role-based access control (Azure RBAC)- Aktionen zum Erstellen privater Endpunkte:

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

Wenn Sie ein verwaltetes VNet konfigurieren möchten, das ausgehende Internetkommunikation zulässt, können Sie entweder den Parameter --managed-network allow_internet_outbound oder eine YAML-Konfigurationsdatei mit folgenden Einträgen verwenden:

managed_network:
  isolation_mode: allow_internet_outbound

Sie können auch Ausgangsregeln für andere Azure-Dienste definieren, auf denen der Arbeitsbereich basiert. Diese Regeln definieren private Endpunkte, die es einer Azure-Ressource ermöglichen, sicher mit dem verwalteten VNet zu kommunizieren. Die folgende Regel zeigt das Hinzufügen eines privaten Endpunkts zu einer Azure-Blobressource.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Sie können ein verwaltetes VNet mithilfe des Befehls az ml workspace create oder mithilfe des Befehls az ml workspace update konfigurieren:

• Erstellen eines neuen Arbeitsbereichs:

  Im folgenden Beispiel wird ein neuer Arbeitsbereich erstellt. Der Parameter --managed-network allow_internet_outbound konfiguriert ein verwaltetes VNet für den Arbeitsbereich:

  az ml workspace create --name ws --resource-group rg --managed-network allow_internet_outbound
  

  Wenn Sie stattdessen einen Arbeitsbereich mithilfe einer YAML-Datei erstellen möchten, können Sie den Parameter --file verwenden und die YAML-Datei angeben, die die Konfigurationseinstellungen enthält:

  az ml workspace create --file workspace.yaml --resource-group rg --name ws
  

  Im folgenden YAML-Beispiel wird ein Arbeitsbereich mit einem verwalteten VNet definiert:

  name: myworkspace
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Aktiveren eines vorhandenen Arbeitsbereichs:

  Warnung

  Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  Im folgenden Beispiel wird ein vorhandener Arbeitsbereich aktualisiert. Der Parameter --managed-network allow_internet_outbound konfiguriert ein verwaltetes VNet für den Arbeitsbereich:

  az ml workspace update --name ws --resource-group rg --managed-network allow_internet_outbound
  

  Wenn Sie stattdessen einen vorhandenen Arbeitsbereich mithilfe der YAML-Datei aktualisieren möchten, können Sie den --file-Parameter verwenden und die YAML-Datei mit den Konfigurationseinstellungen angeben:

  az ml workspace update --file workspace.yaml --name ws --resource-group MyGroup
  

  Im folgenden YAML-Beispiel wird ein verwaltetes VNet für den Arbeitsbereich definiert. Außerdem zeigt es, wie Sie einer vom Arbeitsbereich verwendeten Ressource eine Verbindung mit einem privaten Endpunkt (in diesem Fall: ein privater Endpunkt für einen Blobspeicher) hinzufügen:

  name: myworkspace
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Wenn Sie ein verwaltetes VNet konfigurieren möchten, das ausgehende Internetkommunikation zulässt, können Sie die Klasse ManagedNetwork verwenden, um ein Netzwerk mit IsolationMode.ALLOW_INTERNET_OUTBOUND zu definieren. Anschließend können Sie das Objekt ManagedNetwork verwenden, um einen neuen Arbeitsbereich zu erstellen oder einen bereits vorhandenen Arbeitsbereich zu aktualisieren. Wenn Sie Ausgangsregeln für Azure-Dienste definieren möchten, die der Arbeitsbereich benötigt, können Sie die Klasse PrivateEndpointDestination verwenden, um einen neuen privaten Endpunkt für den Dienst zu definieren.

• Erstellen eines neuen Arbeitsbereichs:

  Im folgenden Beispiel wird ein neuer Arbeitsbereich mit dem Namen myworkspace sowie mit einer Ausgangsregel namens myrule erstellt, die einen privaten Endpunkt für einen Azure-Blobspeicher hinzufügt:

  # Basic managed VNet configuration
  network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Workspace configuration
  ws = Workspace(
      name="myworkspace",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the workspace
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Aktiveren eines vorhandenen Arbeitsbereichs:

  Warnung

  Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  Im folgenden Beispiel wird gezeigt, wie Sie ein verwaltetes VNet für einen vorhandenen Azure Machine Learning-Arbeitsbereich mit dem Namen myworkspace erstellen:

  # Get the existing workspace
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the workspace
  ml_client.workspaces.begin_update(ws)
  

• Erstellen eines neuen Arbeitsbereichs:

  1. Melden Sie sich am Azure-Portal an und wählen Sie im Menü Ressource erstellen die Option Azure Machine Learning aus.

  2. Geben Sie die erforderlichen Informationen auf der Registerkarte Grundlagen an.

  3. Wählen Sie auf der Registerkarte Netzwerk die Option Privat mit ausgehendem Internetdatenverkehr aus.

     

  4. Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Randleiste Arbeitsbereichsausgangsregeln die folgenden Informationen an:

     • Regelname: Ein Name für die Regel. Der Name muss für diesen Arbeitsbereich eindeutig sein.
     • Zieltyp: Der private Endpunkt ist die einzige Option, wenn die Netzwerkisolation privat mit ausgehendem Internet ist. Das verwaltete Azure Machine Learning-VNet unterstützt nicht die Erstellung eines privaten Endpunkts für alle Azure-Ressourcentypen. Eine Liste der unterstützten Ressourcen finden Sie im Abschnitt Private Endpunkte.
     • Abonnement: Das Abonnement, das die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Ressourcengruppe: Die Ressourcengruppe, die die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Ressourcentyp: Der Typ der Azure-Ressource.
     • Ressourcenname: Der Namen der Azure-Ressource.
     • Unterressource: Die Unterressource des Azure-Ressourcentyps.
     • Spark aktiviert: Wählen Sie diese Option aus, wenn Sie serverlose Spark-Aufträge für den Arbeitsbereich aktivieren möchten. Diese Option ist nur verfügbar, wenn der Ressourcentyp Azure Storage ist.

     

     Wählen Sie Speichern aus, um die Regel zu speichern. Sie können weiterhin Benutzerdefinierte Ausgangsregeln hinzufügen verwenden, um Regeln hinzuzufügen.

  5. Erstellen Sie den Arbeitsbereich wie gewohnt.

• Aktiveren eines vorhandenen Arbeitsbereichs:

  Warnung

  Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  1. Melden Sie sich beim Azure-Portal an, und wählen Sie den Azure Machine Learning-Arbeitsbereich aus, für den Sie die Isolation verwalteter VNets aktivieren möchten.

  2. Wählen Sie Netzwerk, Vom Arbeitsbereich verwalteter ausgehender Zugriff aus, und dann Ausgehendes Internet zulassen.

     

     • Wenn Sie eine ausgehende Regel hinzufügen möchten, wählen Sie Benutzerdefinierte ausgehende Regeln hinzufügen aus. Geben Sie auf der Randleiste Arbeitsbereichsausgangsregeln dieselben Informationen an, die Sie beim Erstellen eines Arbeitsbereichs im Abschnitt „Erstellen eines neuen Arbeitsbereichs“ verwendet haben.

       

     • Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.

       

  3. Wählen Sie oben auf der Seite Speichern aus, um die Änderungen im verwalteten VNet zu speichern.

Wenn Sie ein verwaltetes VNet konfigurieren möchten, das nur genehmigte ausgehende Kommunikation zulässt, können Sie entweder den Parameter --managed-network allow_only_approved_outbound oder eine YAML-Konfigurationsdatei mit folgenden Einträgen verwenden:

managed_network:
  isolation_mode: allow_only_approved_outbound

Sie können auch Ausgangsregeln definieren, um die genehmigte ausgehende Kommunikation zu definieren. Eine Ausgangsregel kann für die Typen service_tag, fqdn und private_endpoint erstellt werden. Die folgende Regel zeigt das Hinzufügen eines privaten Endpunkts zu einer Azure-Blobressource (Diensttag zu Azure Data Factory) und ein FQDN auf pypi.org:

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Sie können ein verwaltetes VNet mithilfe des Befehls az ml workspace create oder mithilfe des Befehls az ml workspace update konfigurieren:

• Erstellen eines neuen Arbeitsbereichs:

  Im folgenden Beispiel wird der Parameter --managed-network allow_only_approved_outbound verwendet, um das verwaltete VNet zu konfigurieren:

  az ml workspace create --name ws --resource-group rg --managed-network allow_only_approved_outbound
  

  Mit der folgenden YAML-Datei wird ein Arbeitsbereich mit einem verwalteten VNet definiert:

  name: myworkspace
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Wenn Sie einen Arbeitsbereich mit der YAML-Datei erstellen möchten, können Sie den Parameter --file verwenden:

  az ml workspace create --file workspace.yaml --resource-group rg --name ws
  

• Aktualisieren eines vorhandenen Arbeitsbereichs

  Warnung

  Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  Im folgenden Beispiel wird der Parameter --managed-network allow_only_approved_outbound verwendet, um das verwaltete VNet für einen bereits vorhandenen Arbeitsbereich zu konfigurieren:

  az ml workspace update --name ws --resource-group rg --managed-network allow_only_approved_outbound
  

  Die folgende YAML-Datei definiert ein verwaltetes VNet für den Arbeitsbereich. Außerdem zeigt sie, wie dem verwalteten VNet genehmigter ausgehender Datenverkehr hinzugefügt wird. In diesem Beispiel wird eine Ausgangsregel für ein Diensttag hinzugefügt:

  Warnung

  FQDN-Ausgangsregeln werden mithilfe von Azure Firewall implementiert. Wenn Sie FQDN-Ausgangsregeln verwenden, werden zusätzliche Gebühren für Azure Firewall abgerechnet. Weitere Informationen finden Sie unter Preise.

  name: myworkspace_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Wenn Sie ein verwaltetes VNet konfigurieren möchten, das nur ausgehende Kommunikation zulässt, können Sie die Klasse ManagedNetwork verwenden, um ein Netzwerk mit IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND zu definieren. Anschließend können Sie das Objekt ManagedNetwork verwenden, um einen neuen Arbeitsbereich zu erstellen oder einen bereits vorhandenen Arbeitsbereich zu aktualisieren. Verwenden Sie die folgenden Klassen, um Ausgangsregeln zu definieren:

• Erstellen eines neuen Arbeitsbereichs:

  Im folgenden Beispiel wird ein neuer Arbeitsbereich namens myworkspace mit mehreren Ausgangsregeln erstellt:

  • myrule: Fügt einen privaten Endpunkt für einen Azure-Blobspeicher hinzu.
  • datafactory: Fügt eine Diensttagregel für die Kommunikation mit Azure Data Factory hinzu.

  Wichtig

  • Das Hinzufügen von ausgehendem Datenverkehr für ein Diensttag oder FQDN ist nur zulässig, wenn das verwaltete VNet für IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND konfiguriert ist.
  • Wenn Sie Ausgangsregeln hinzufügen, kann Microsoft keine Datenexfiltration garantieren.

  Warnung

  FQDN-Ausgangsregeln werden mithilfe von Azure Firewall implementiert. Wenn Sie FQDN-Ausgangsregeln verwenden, werden Gebühren für Azure Firewall auf Ihrer Abrechnung hinzugefügt. Weitere Informationen finden Sie unter Preise.

  # Basic managed VNet configuration
  network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Workspace configuration
  ws = Workspace(
      name="myworkspace",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the workspace
  ws = ml_client.workspaces.begin_create(ws).result()
  

• Aktiveren eines vorhandenen Arbeitsbereichs:

  Warnung

  Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  Im folgenden Beispiel wird gezeigt, wie Sie ein verwaltetes VNet für einen vorhandenen Azure Machine Learning-Arbeitsbereich mit dem Namen myworkspace erstellen. In dem Beispiel werden auch mehrere Ausgangsregeln für das verwaltete VNet hinzugefügt:

  • myrule: Fügt einen privaten Endpunkt für einen Azure-Blobspeicher hinzu.
  • datafactory: Fügt eine Diensttagregel für die Kommunikation mit Azure Data Factory hinzu.

  Tipp

  Das Hinzufügen von ausgehendem Datenverkehr für ein Diensttag oder FQDN ist nur zulässig, wenn das verwaltete VNet für IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND konfiguriert ist.

  Warnung

  FQDN-Ausgangsregeln werden mithilfe von Azure Firewall implementiert. Wenn Sie FQDN-Ausgangsregeln verwenden, werden Gebühren für Azure Firewall auf Ihrer Abrechnung hinzugefügt. Weitere Informationen finden Sie unter Preise.

  # Get the existing workspace
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the workspace
  ml_client.workspaces.begin_update(ws)
  

• Erstellen eines neuen Arbeitsbereichs:

  1. Melden Sie sich am Azure-Portal an und wählen Sie im Menü Ressource erstellen die Option Azure Machine Learning aus.

  2. Geben Sie die erforderlichen Informationen auf der Registerkarte Grundlagen an.

  3. Wählen Sie auf der Registerkarte Netzwerk die Option Privat mit bestätigtem Internetdatenverkehr aus.

     

  4. Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Randleiste Arbeitsbereichsausgangsregeln die folgenden Informationen an:

     • Regelname: Ein Name für die Regel. Der Name muss für diesen Arbeitsbereich eindeutig sein.
     • Zieltyp: Privater Endpunkt, Diensttag oder FQDN. Diensttag und FQDN sind nur verfügbar, wenn die Netzwerkisolation privat mit genehmigtem ausgehendem Datenverkehr ist.

     Wenn der Zieltyp privater Endpunkt ist, geben Sie die folgenden Informationen an:

     • Abonnement: Das Abonnement, das die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Ressourcengruppe: Die Ressourcengruppe, die die Azure-Ressource enthält, für die Sie einen privaten Endpunkt hinzufügen möchten.
     • Ressourcentyp: Der Typ der Azure-Ressource.
     • Ressourcenname: Der Namen der Azure-Ressource.
     • Unterressource: Die Unterressource des Azure-Ressourcentyps.
     • Spark aktiviert: Wählen Sie diese Option aus, wenn Sie serverlose Spark-Aufträge für den Arbeitsbereich aktivieren möchten. Diese Option ist nur verfügbar, wenn der Ressourcentyp Azure Storage ist.

     Tipp

     Das verwaltete Azure Machine Learning-VNet unterstützt nicht die Erstellung eines privaten Endpunkts für alle Azure-Ressourcentypen. Eine Liste der unterstützten Ressourcen finden Sie im Abschnitt Private Endpunkte.

     

     Wenn der Zieltyp Diensttag ist, geben Sie die folgenden Informationen an:

     • Diensttag: Das Diensttag, das den genehmigten Ausgangsregeln hinzugefügt werden soll.
     • Protokoll: Das Protokoll, das für das Diensttag zugelassen werden soll.
     • Portbereiche: Die Portbereiche, die für das Diensttag zulässig sind.

     

     Wenn der Zieltyp FQDN ist, geben Sie die folgenden Informationen an:

     Warnung

     FQDN-Ausgangsregeln werden mithilfe von Azure Firewall implementiert. Wenn Sie FQDN-Ausgangsregeln verwenden, werden Gebühren für Azure Firewall auf Ihrer Abrechnung hinzugefügt. Weitere Informationen finden Sie unter Preise.

     • FQDN-Ziel: Der vollqualifizierte Domänenname, der den genehmigten Ausgangsregeln hinzugefügt werden soll.

     

     Wählen Sie Speichern aus, um die Regel zu speichern. Sie können weiterhin Benutzerdefinierte Ausgangsregeln hinzufügen verwenden, um Regeln hinzuzufügen.

  5. Erstellen Sie den Arbeitsbereich wie gewohnt.

• Aktiveren eines vorhandenen Arbeitsbereichs:

  Warnung

  Wenn Sie einen vorhandenen Arbeitsbereich aktualisieren möchten, damit er ein verwaltetes virtuelles Netzwerk verwendet, müssen Sie zunächst alle Computingressourcen für den Arbeitsbereich löschen. Das gilt für die Compute-Instanz, für den Computecluster und für verwaltete Online-Endpunkte.

  1. Melden Sie sich beim Azure-Portal an, und wählen Sie den Azure Machine Learning-Arbeitsbereich aus, für den Sie die Isolation verwalteter VNets aktivieren möchten.

  2. Wählen Sie Netzwerk, Vom Arbeitsbereich verwalteter ausgehender Zugriff aus, und dann Privat mit genehmigtem ausgehendem Datenverkehr.

     

     • Um eine Ausgangsregel hinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Randleiste Arbeitsbereichsausgangsregeln dieselben Informationen an, die Sie beim Erstellen eines Arbeitsbereichs im früheren Abschnitt „Erstellen eines neuen Arbeitsbereichs“ verwendet haben.

     • Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.

       

  3. Wählen Sie oben auf der Seite Speichern aus, um die Änderungen im verwalteten VNet zu speichern.

Das folgende Beispiel zeigt, wie ein verwaltetes VNet bereitgestellt wird.

az ml workspace provision-network -g my_resource_group -n my_workspace_name

Um zu überprüfen, ob die Bereitstellung abgeschlossen ist, verwenden Sie den folgenden Befehl:

az ml workspace show -n my_workspace_name -g my_resource_group --query managed_network

Das folgende Beispiel zeigt, wie ein verwaltetes VNet bereitgestellt wird:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")

# whether to provision Spark vnet as well
include_spark = True

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ws_name, include_spark=include_spark).result()

Verwenden Sie ml_client.workspaces.get() zum Abrufen der Arbeitsbereichsinformationen, um zu überprüfen, ob der Arbeitsbereich bereitgestellt wurde. Die managed_network Eigenschaft enthält den Status des verwalteten Netzwerks.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

Verwenden Sie die Registerkarten Azure-Befehlszeilenschnittstelle oder Python SDK, um zu erfahren, wie Sie das verwaltete VNet mit serverloser Spark-Unterstützung manuell bereitstellen.

Wenn Sie einen Arbeitsbereich aktualisieren möchten, um Docker-Images mit einem Computecluster oder einer Compute-Instanz zu erstellen, verwenden Sie den Befehl az ml workspace update mit dem --image-build-compute-Parameter:

az ml workspace update --name ws --resource-group rg --image-build-compute mycompute

Im folgenden Beispiel wird veranschaulicht, wie ein Arbeitsbereich geändert wird, um einen Computecluster zum Erstellen von Images zu verwenden:

# import required libraries
from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

subscription_id = "<your subscription ID>"
resource_group = "<your resource group name>"
workspace = "<your workspace name>"

ml_client = MLClient(
    DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name=workspace
)

# Get workspace info
ws=ml_client.workspaces.get(name=workspace)
# Update to use cpu-cluster for image builds
ws.image_build_compute="mycompute"
ml_client.workspaces.begin_update(ws)
# To switch back to using ACR to build (if ACR is not in the virtual network):
# ws.image_build_compute = ''
# ml_client.workspaces.begin_update(ws)

Derzeit gibt es keine Möglichkeit, den Compute für das Imagebuild über das Azure-Portal festzulegen. Verwenden Sie die Registerkarten Azure-Befehlszeilenschnittstelle oder Python SDK, um zu erfahren, wie Sie Imagebuilds manuell konfigurieren.

Verwenden Sie den folgenden Befehl, um die Ausgangsregeln für das verwaltete VNet für einen Arbeitsbereich aufzulisten:

az ml workspace outbound-rule list --workspace-name ws --resource-group rg

Verwenden Sie den folgenden Befehl, um die Details einer Ausgangsregel für das verwaltete VNet anzuzeigen:

az ml workspace outbound-rule show --rule rule-name --workspace-name ws --resource-group rg

Verwenden Sie den folgenden Befehl, um eine Ausgangsregel aus dem verwalteten VNet zu entfernen:

az ml workspace outbound-rule remove --rule rule-name --workspace-name ws --resource-group rg

Im folgenden Beispiel wird gezeigt, wie Ausgangsregeln für einen Arbeitsbereich mit dem Namen myworkspace verwaltet werden:

# Connect to the workspace
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a workspace
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a workspace
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

1. Melden Sie sich beim Azure-Portal an, und wählen Sie den Azure Machine Learning-Arbeitsbereich aus, für den Sie die Isolation verwalteter VNets aktivieren möchten.

2. Wählen Sie Netzwerk aus. Im Abschnitt Ausgehender Zugang des Arbeitsbereichs können Sie Ausgangsregeln verwalten.

   

• Um eine Ausgangsregelhinzuzufügen, wählen Sie auf der Registerkarte Netzwerk die Option Benutzerdefinierte Ausgangsregeln hinzufügen aus. Geben Sie auf der Randleiste Arbeitsbereichsausgangsregeln die folgenden Informationen an:

• Um eine Regel zu aktivieren oder zu deaktivieren, verwenden Sie die Umschaltfläche in der Spalte Aktiv.

• Um eine Ausgangsregel zu löschen, wählen Sie Löschen für die Regel aus.