Configurer le trafic réseau entrant et sortant

Azure Machine Learning nécessite l’accès à des serveurs et services sur l’Internet public. Lorsque vous implémentez l’isolation réseau, vous devez comprendre quel accès est requis et comment l’activer.

Termes courants et informations

Les informations et termes importants suivants sont utilisés tout au long de cet article :

• Étiquettes de service Azure : une étiquette de service est un moyen simple de spécifier les plages d’adresses IP utilisées par un service Azure. Par exemple, l’étiquette AzureMachineLearning représente les adresses IP utilisées par le service Azure Machine Learning.

  Important

  Les étiquettes de service Azure sont uniquement prises en charge par certains services Azure. Pour obtenir la liste des étiquettes de service prises en charge avec les groupes de sécurité réseau et le Pare-feu Azure, consultez l’article Balises de service du réseau virtuel.

  Si vous utilisez une solution non Azure, comme un pare-feu tiers, téléchargez une liste de plages d’adresses IP et d’étiquettes de service Azure. Extrayez le fichier et recherchez l’étiquette de service dans le fichier. Les adresses IP peuvent périodiquement changer.

• Région : certaines étiquettes de service vous permettent de spécifier une région Azure. Cela limite l’accès aux adresses IP de service à une région spécifique, généralement celle dans laquelle se trouve votre service. Dans cet article, lorsque vous voyez <region>, remplacez votre région Azure. Par exemple, BatchNodeManagement.<region> serait BatchNodeManagement.uswest si votre espace de travail Azure Machine Learning se trouvait dans la région USA Ouest.

• Azure Batch : les clusters de calcul et les instances de calcul Azure Machine Learning s’appuient sur une instance Azure Batch back-end. Ce service back-end est hébergé dans un abonnement Microsoft.

• Ports : les ports suivants sont utilisés dans cet article. Si une plage de ports n’est pas répertoriée dans ce tableau, cela signifie qu’elle est spécifique au service et que les informations sur son utilisation ne sont peut-être pas publiées :

  Port	Description
  80	Trafic web non sécurisé (HTTP)
  443	Trafic web sécurisé (HTTPS)
  445	Trafic SMB utilisé pour accéder aux partages de fichiers dans le stockage de fichiers Azure
  8787	Utilisé lors de la connexion à RStudio sur une instance de calcul
  18881	Utilisé pour se connecter au serveur de langage afin d’activer IntelliSense pour les notebooks sur une instance de calcul.

• Protocole : sauf indication contraire, tout le trafic réseau mentionné dans cet article utilise TCP.

Configuration de base

Cette configuration repose sur les hypothèses suivantes :

• Vous utilisez des images Docker fournies par un registre de conteneurs que vous fournissez, et n’utiliserez pas d’images fournies par Microsoft.
• Vous utilisez un référentiel de packages Python privé et n’accédez pas à des référentiels de packages publics, comme pypi.org, *.anaconda.com ou *.anaconda.org.
• Les points de terminaison privés peuvent communiquer directement entre eux au sein du réseau virtuel. Par exemple, tous les services ont un point de terminaison privé dans le même réseau virtuel :
  • Espace de travail Azure Machine Learning
  • Compte de stockage Azure (blob, fichier, table, file d’attente)

Trafic entrant

Trafic sortant

Configuration recommandée pour l’entraînement et le déploiement de modèles

Trafic sortant

Pour autoriser l’installation de packages Python pour l’entraînement et le déploiement, autorisez le trafic sortant vers les noms d’hôte suivants :

Scénario : Installer RStudio sur une instance de calcul

Pour permettre l’installation de RStudio sur une instance de calcul, le pare-feu doit autoriser l’accès sortant aux sites à partir duquel extraire l’image Docker. Ajoutez la règle d’application suivante à votre stratégie de Pare-feu Azure :

• Nom : AllowRStudioInstall
• Type de source : Adresse IP
• Adresses IP sources : plage d’adresses IP du sous-réseau où vous allez créer l’instance de calcul. Par exemple : 172.16.0.0/24.
• Type de destination : FQDN
• Nom de domaine complet cible : ghcr.io, pkg-containers.githubusercontent.com
• Protocol : Https:443

Pour autoriser l’installation de packages R, autorisez le trafic sortant vers cloud.r-project.org. Cet hôte est utilisé pour installer les packages CRAN.

Scénario : Utilisation d’un cluster de calcul ou d’une instance de calcul avec une adresse IP publique

Lors de l’utilisation de l’instance de calcul ou du cluster de calcul (avec une adresse IP publique) d’Azure Machine Learning, autorisez le trafic entrant à partir du service Azure Machine Learning. Une instance de calcul sans adresse IP publique (préversion) ne nécessite pas cette communication entrante. Un groupe de sécurité réseau qui autorise ce trafic est créé dynamiquement pour vous, mais vous devrez peut-être également créer des itinéraires définis par l’utilisateur (UDR) si vous avez un pare-feu. Lors de la création d’un UDR pour ce trafic, vous pouvez utiliser des adresses IP ou des étiquettes de service pour router ce trafic.

az network route-table route create -g MyResourceGroup --route-table-name MyRouteTable -n AzureMLRoute --address-prefix AzureMachineLearning --next-hop-type Internet

Pour plus d’informations sur la configuration de l’UDR, consultez Définir l’itinéraire du trafic réseau à l’aide d’une table de routage.

Scénario : Pare-feu entre les points de terminaison Azure Machine Learning et Stockage Azure

Vous devez également autoriser l’accès sortant à Storage.<region> sur le port 445.

Scénario : Espace de travail créé avec l’indicateur hbi_workspace activé

Vous devez également autoriser l’accès sortant à Keyvault.<region>. Ce trafic sortant est utilisé pour accéder à l’instance de coffre de clés pour le service Azure Batch principal.

Pour plus d’informations sur l’indicateur hbi_workspace, consultez l’article Chiffrement des données.

Scénario : Utiliser le calcul Kubernetes

Les clusters Kubernetes qui s’exécutent derrière un serveur proxy ou un pare-feu sortant ont besoin d’une configuration réseau de sortie supplémentaire.

• Pour Kubernetes avec connexion Azure Arc, configurez les exigences réseau Azure Arc requises par les agents Azure Arc.
• Pour le cluster AKS sans connexion Azure Arc, configurez les exigences du réseau d’extension AKS.

Outre les exigences susmentionnées, les URL sortantes suivantes sont également requises pour Azure Machine Learning,

Exigences en matière de communication dans le cluster

Pour installer l’extension Azure Machine Learning sur le calcul Kubernetes, tous les composants liés à Azure Machine Learning sont déployés dans un espace de noms azureml. La communication suivante dans le cluster est nécessaire pour garantir que les charges de travail ML fonctionnent bien dans le cluster AKS.

• Les composants de l’espace de noms azureml doivent être en mesure de communiquer avec le serveur d’API Kubernetes.
• Les composants de l’espace de noms azureml doivent être en mesure de communiquer l’un avec l’autre.
• Les composants de l’espace de noms azureml doivent être en mesure de communiquer avec kube-dns et konnectivity-agent dans l’espace de noms kube-system.
• Si le cluster est utilisé pour l’inférence en temps réel, les POD azureml-fe-xxx doivent être en mesure de communiquer avec les POD du modèle déployé sur le port 5001 dans un autre espace de noms. Les POD azureml-fe-xxx doivent ouvrir 11001, 12001, 12101, 12201, 20000, 8000, 8001, 9001, 9001 pour la communication interne.
• Si le cluster est utilisé pour l’inférence en temps réel, les POD de modèles déployés doivent être en mesure de communiquer avec les POD amlarc-identity-proxy-xxx sur le port 9999.

Scénario : Visual Studio Code

Visual Studio Code s’appuie sur des hôtes et des ports spécifiques pour établir une connexion distante.

Hôtes

Les hôtes de cette section permettent d’installer les packages Visual Studio Code afin d’établir une connexion à distance entre Visual Studio Code et les instances de calcul dans votre espace de travail Azure Machine Learning.

Ports

Vous devez autoriser le trafic réseau vers les ports 8704 à 8710. Le serveur VS Code sélectionne dynamiquement le premier port disponible dans cette plage.

Scénario : pare-feu tiers ou Pare-feu Azure sans étiquettes de service

Les instructions de cette section sont génériques, car chaque pare-feu dispose de sa propre terminologie et de configurations spécifiques. Si vous avez des questions, consultez la documentation du pare-feu que vous utilisez.

S’il n’est pas configuré correctement, le pare-feu peut causer des problèmes lors de l’utilisation de votre espace de travail. Des noms d’hôtes différents sont utilisés à la fois par l’espace de travail Azure Machine Learning. Les sections suivantes répertorient les hôtes requis pour Azure Machine Learning.

API de dépendances

Vous pouvez également utiliser l’API REST Azure Machine Learning pour obtenir la liste des hôtes et des ports vers lesquels vous devez autoriser le trafic sortant. Pour utiliser cette API, procédez comme suit :

1. Obtenez un jeton d’authentification. La commande suivante illustre l’utilisation de l’interface Azure CLI pour obtenir un jeton d’authentification et un ID d’abonnement :

   TOKEN=$(az account get-access-token --query accessToken -o tsv)
   SUBSCRIPTION=$(az account show --query id -o tsv)
   

2. Appelez l’API. Dans la commande suivante, remplacez les valeurs suivantes :

   • Remplacez <region> par la région Azure où figure votre espace de travail. Par exemple : westus2.
   • Remplacez <resource-group> par le groupe de ressources qui contient votre espace de travail.
   • Remplacez <workspace-name> par le nom de votre point de terminaison.

   az rest --method GET \
       --url "https://<region>.api.azureml.ms/rp/workspaces/subscriptions/$SUBSCRIPTION/resourceGroups/<resource-group>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>/outboundNetworkDependenciesEndpoints?api-version=2018-03-01-preview" \
       --header Authorization="Bearer $TOKEN"
   

Le résultat de l’appel d’API est un document JSON. L’extrait de code suivant est un extrait de ce document :

{
  "value": [
    {
      "properties": {
        "category": "Azure Active Directory",
        "endpoints": [
          {
            "domainName": "login.microsoftonline.com",
            "endpointDetails": [
              {
                "port": 80
              },
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
    {
      "properties": {
        "category": "Azure portal",
        "endpoints": [
          {
            "domainName": "management.azure.com",
            "endpointDetails": [
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
...

Hôtes Microsoft

Les hôtes des tableaux suivants sont détenus par Microsoft et fournissent les services nécessaires au bon fonctionnement de votre espace de travail. Les tableaux suivants répertorient les hôtes des régions Azure (public), Azure Government et Microsoft Azure géré par 21Vianet.

Hôtes Azure généraux

Hôtes Azure Machine Learning

Hôtes d’instance de calcul et de cluster de calcul Azure Machine Learning

Images Docker gérées par Azure Machine Learning

En outre, utilisez les informations de la section calcul avec IP publique afin d’ajouter des adresses IP pour BatchNodeManagement et AzureMachineLearning.

Pour plus d’informations sur la restriction de l’accès aux modèles déployés sur AKS, consultez Limiter le trafic de sortie dans Azure Kubernetes Service (AKS).

Monitoring, métriques et diagnostics

• dc.applicationinsights.azure.com
• dc.applicationinsights.microsoft.com
• dc.services.visualstudio.com
• *.in.applicationinsights.azure.com

Pour obtenir la liste des adresses IP de ces hôtes, consultez la section adresses IP utilisées par Azure Monitor.

Étapes suivantes

Cet article fait partie d’une série sur la sécurisation d’un workflow Azure Machine Learning. Consultez les autres articles de cette série :

• Présentation du réseau virtuel

• Activer les fonctionnalités de Studio
• Utiliser le DNS personnalisé

Pour plus d’informations sur la configuration du Pare-feu Azure, consultez Didacticiel : Déployer et configurer le Pare-feu Azure à l’aide du portail Azure.