Proteggere un ambiente di training di Azure Machine Learning con reti virtuali

SI APPLICA A: Python SDK azure-ai-ml v2 (corrente)

È possibile usare l'istanza di calcolo di Azure Machine Learning, l’elaborazione serverless e il cluster di elaborazione per eseguire il training sicuro dei modelli in una rete virtuale di Azure. Quando si pianifica l'ambiente è possibile configurare l'istanza di ambiente di calcolo, il cluster di elaborazione o l’elaborazione serverless con o senza un indirizzo IP pubblico. Le differenze generali tra i due sono:

• Senza IP pubblico: riduce i costi perché non ha gli stessi requisiti delle risorse di rete. Migliora la sicurezza rimuovendo il requisito per il traffico in ingresso da Internet. Tuttavia, sono necessarie modifiche di configurazione aggiuntive per abilitare l'accesso in uscita alle risorse necessarie (Microsoft Entra ID, Azure Resource Manager e così via).
• IP pubblico: funziona per impostazione predefinita, ma costa di più a causa delle risorse di rete aggiuntive di Azure. Richiede la comunicazione in ingresso dal servizio Azure Machine Learning tramite Internet pubblico.

La tabella seguente mostra le differenze tra queste configurazioni:

È anche possibile usare Azure Databricks o HDInsight per eseguire il training dei modelli in una rete virtuale.

Il presente articolo fa parte di una serie di articoli sulla protezione del flusso di lavoro di Azure Machine Learning. Vedi gli altri articoli di questa serie:

• Panoramica della rete virtuale
• Proteggere le risorse dell'area di lavoro
• Proteggere l'ambiente di inferenza
• Abilitare la funzionalità di Studio
• Usare DNS personalizzato
• Usare un firewall

Per un'esercitazione sulla creazione di un'area di lavoro sicura, vedere Esercitazione: Creare un'area di lavoro sicura, Modello Bicep o Terraform template (Modello Terraform).

Il presente articolo illustra come proteggere le seguenti risorse di calcolo di training in una rete virtuale:

Prerequisiti

• Per comprendere gli scenari di rete virtuale comuni e l'architettura complessiva della rete virtuale leggere l'articolo Panoramica della sicurezza di rete.

• Una rete virtuale e una subnet esistenti da usare con le risorse di calcolo. Questa rete virtuale deve trovarsi nella stessa sottoscrizione dell'area di lavoro di Azure Machine Learning.

  • Si consiglia di inserire gli account di archiviazione usati dall'area di lavoro e dai processi di training nella stessa area di Azure che si prevede di usare per le istanze di ambiente di calcolo, l’elaborazione serverless e i cluster di elaborazione. Se non si trovano nella stessa area di Azure, è possibile incorrere in costi di trasferimento dei dati e in una maggiore latenza di rete.
  • Assicurarsi che la comunicazione WebSocket sia consentita per *.instances.azureml.net e *.instances.azureml.ms nella rete virtuale. I WebSocket vengono usati da Jupyter nelle istanze di calcolo.

• Una subnet esistente nella rete virtuale. Questa subnet viene usata durante la creazione di istanze di ambiente di calcolo, cluster di elaborazione e nodi per l’elaborazione serverless.

  • Assicurarsi che la subnet non sia delegata ad altri servizi di Azure.
  • Assicurarsi che la subnet contenga un numero sufficiente di indirizzi IP liberi. Ogni istanza di ambiente di calcolo richiede un indirizzo IP. Ciascun nodo all'interno di un cluster di elaborazione e ciascun nodo per l’elaborazione serverless richiede un indirizzo IP.

• Se si dispone di un proprio server DNS, si consiglia di usare l'inoltro DNS per risolvere i nomi di dominio completi (FQDN) delle istanze di ambiente di calcolo e dei cluster di elaborazione. Per altre informazioni vedere Usare un DNS personalizzato con Azure Machine Learning.

• Per distribuire le risorse in una rete virtuale o in una subnet, l'account utente deve disporre delle autorizzazioni per eseguire le azioni seguenti nel controllo degli accessi in base al ruolo di Azure:

  • "Microsoft.Network/*/read" nella risorsa della rete virtuale. Questa autorizzazione non è necessaria per le distribuzioni di modelli di Azure Resource Manager (ARM).
  • "Microsoft.Network/virtualNetworks/join/action" nella risorsa della rete virtuale.
  • "Microsoft.Network/virtualNetworks/subnets/join/action" nella risorsa della subnet.

  Per altre informazioni sul controllo degli accessi in base al ruolo di Azure nella rete vedere Ruoli predefiniti di rete

Limiti

• Il cluster di elaborazione o l'istanza e la distribuzione di elaborazione serverless nella rete virtuale non sono supportati con Azure Lighthouse.

• La porta 445 deve essere aperta per le comunicazioni di rete privata tra le istanze di calcolo e l'account di archiviazione predefinito durante il training. Ad esempio, se i calcoli si trovano in una rete virtuale e l'account di archiviazione si trova in un altro, non bloccare la porta 445 nella rete virtuale dell'account di archiviazione.

Cluster di elaborazione in una rete virtuale/area diversa dall'area di lavoro

Per creare un cluster di elaborazione in una rete virtuale di Azure in un'area diversa dalla rete virtuale dell'area di lavoro sono disponibili due opzioni per abilitare la comunicazione tra le due reti virtuali.

• Peering di reti virtuali.
• Aggiungere un endpoint privato per l'area di lavoro nella rete virtuale che conterrà il cluster di elaborazione.

Scenario: peering di reti virtuali

1. Configurare l'area di lavoro per usare una rete virtuale di Azure. Per altre informazioni vedere Proteggere le risorse dell'area di lavoro.

2. Creare una seconda rete virtuale di Azure che verrà usata per i cluster di elaborazione. Può trovarsi in un'area di Azure diversa da quella usata per l'area di lavoro.

3. Configurare il Peering di reti virtuali tra le due reti virtuali.

   Suggerimento

   Attendere che lo stato del peering di reti virtuali sia Connesso prima di continuare.

4. Modificare la privatelink.api.azureml.ms zona DNS per aggiungere un collegamento alla rete virtuale per il cluster di elaborazione. Questa zona viene creata dall'area di lavoro di Azure Machine Learning quando usa un endpoint privato per partecipare a una rete virtuale.

   1. Aggiungere un nuovo collegamento di rete virtuale alla zona DNS. Esistono diversi modi per eseguire questa operazione:

      • Nel portale di Azure passare alla zona DNS e selezionare Collegamenti di rete virtuale. Poi selezionare + Aggiungi e selezionare la rete virtuale creata per i cluster di elaborazione.
      • Dall’interfaccia della riga di comando di Azure usare il comando az network private-dns link vnet create. Per altre informazioni vedere az network private-dns link vnet create.
      • In Azure PowerShell usare il comando New-AzPrivateDnsVirtualNetworkLink. Per altre informazioni vedere New-AzPrivateDnsVirtualNetworkLink.

5. Ripetere il passaggio precedente e i passaggi secondari per la zona DNS privatelink.notebooks.azure.net.

6. Configurare le risorse di Azure seguenti per consentire l'accesso da entrambe le reti virtuali.

   • Account di archiviazione predefinito per l'area di lavoro.
   • Registro Azure Container per l'area di lavoro.
   • Azure Key Vault per l'area di lavoro.

   Suggerimento

   Esistono diversi modi per configurare questi servizi per consentire l'accesso alle reti virtuali. Ad esempio, è possibile creare un endpoint privato per ogni risorsa in entrambe le reti virtuali. In alternativa, è possibile configurare le risorse per consentire l'accesso da entrambe le reti virtuali.

7. Creare un cluster di elaborazione come di consueto quando si usa una rete virtuale, ma selezionare la rete virtuale creata per il cluster di elaborazione. Se la rete virtuale si trova in un'area diversa, selezionare tale area durante la creazione del cluster di elaborazione.

   Avviso

   Quando si imposta l'area, se si tratta di un'area diversa rispetto all'area di lavoro o agli archivi dati, è possibile incorrere in un aumento della latenza di rete e dei costi di trasferimento dei dati. La latenza e i costi possono aumentare durante la creazione del cluster e durante l'esecuzione di processi in tale cluster.

Scenario: endpoint privato

1. Configurare l'area di lavoro per usare una rete virtuale di Azure. Per altre informazioni vedere Proteggere le risorse dell'area di lavoro.

2. Creare una seconda rete virtuale di Azure che verrà usata per i cluster di elaborazione. Può trovarsi in un'area di Azure diversa da quella usata per l'area di lavoro.

3. Creare un nuovo endpoint privato per l'area di lavoro nella rete virtuale che conterrà il cluster di elaborazione.

   • Per aggiungere un nuovo endpoint privato usando il portale di Azure, selezionare l'area di lavoro e quindi selezionare Rete. Selezionare Connessioni a endpoint privato, + Endpoint privato e usare i campi per creare un nuovo endpoint privato.

     • Nel campo Area selezionare la stessa area della rete virtuale.
     • Nel campo Tipo di risorsa usare Microsoft.MachineLearningServices/workspaces.
     • Impostare Risorsa sul nome dell'area di lavoro.
     • Impostare la Rete virtuale e la Subnet sulla rete virtuale e sulla subnet create per il cluster di elaborazione.

     Infine, selezionare Crea per creare l'endpoint privato.

   • Per aggiungere un nuovo endpoint privato usando l'interfaccia della riga di comando di Azure usare az network private-endpoint create. Per un esempio di come usare questo comando vedere Configurare un endpoint privato per l'area di lavoro di Azure Machine Learning.

4. Creare un cluster di elaborazione come di consueto quando si usa una rete virtuale, ma selezionare la rete virtuale creata per il cluster di elaborazione. Se la rete virtuale si trova in un'area diversa, selezionare tale area durante la creazione del cluster di elaborazione.

   Avviso

   Quando si imposta l'area, se si tratta di un'area diversa rispetto all'area di lavoro o agli archivi dati, è possibile incorrere in un aumento della latenza di rete e dei costi di trasferimento dei dati. La latenza e i costi possono aumentare durante la creazione del cluster e durante l'esecuzione di processi in tale cluster.

Istanza di ambiente di calcolo, cluster di elaborazione o elaborazione serverless senza IP pubblico

Le configurazioni seguenti sono aggiunte a quelle elencate nella sezione Prerequisiti e sono specifiche per la creazione di istanze di ambiente di calcolo e di cluster di elaborazione configurati senza IP pubblico. Si applicano anche all’elaborazione serverless:

• È necessario usare un endpoint privato dell'area di lavoro, affinché la risorsa di calcolo comunichi con i servizi di Azure Machine Learning dalla rete virtuale. Per altre informazioni vedere Configurare un endpoint privato per l'area di lavoro di Azure Machine Learning.

• Nella rete virtuale consentire il traffico in uscita ai tag di servizio seguenti o ai nomi di dominio completi (FQDN):

  Tag di servizio	Protocollo	Port	Note
  AzureMachineLearning	TCP UDP	443/8787/18881 5831	Comunicazione con il servizio Azure Machine Learning.
  BatchNodeManagement.<region>	QUALSIASI	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Comunicazione con Azure Batch. L'istanza di calcolo e il cluster di elaborazione vengono implementati usando il servizio Azure Batch.
  Storage.<region>	TCP	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Questo tag del servizio viene usato per comunicare con l'account di archiviazione di Azure usato da Azure Batch.

  Importante

  L'accesso in uscita a Storage.<region> può essere potenzialmente usato per esfiltrare i dati dall'area di lavoro. Usando i criteri dell’endpoint di servizio è possibile attenuare questa vulnerabilità. Per altre informazioni vedere l'articolo Prevenzione dell'esfiltrazione dei dati di Azure Machine Learning.

  FQDN	Protocollo	Port	Note
  <region>.tundra.azureml.ms	UDP	5831	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning.
  graph.windows.net	TCP	443	Comunicazione con l'API Microsoft Graph.
  *.instances.azureml.ms	TCP	443/8787/18881	Comunicazione con Azure Machine Learning.
  *.<region>.batch.azure.com	QUALSIASI	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Comunicazione con Azure Batch.
  *.<region>.service.batch.azure.com	QUALSIASI	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Comunicazione con Azure Batch.
  *.blob.core.windows.net	TCP	443	Comunicazione con archiviazione BLOB di Azure.
  *.queue.core.windows.net	TCP	443	Comunicazione con archiviazione code di Azure.
  *.table.core.windows.net	TCP	443	Comunicazione con archiviazione tabelle di Azure.

• Per impostazione predefinita, un'istanza di calcolo o un cluster configurato per nessun indirizzo IP pubblico non ha accesso in uscita a Internet. Se invece è possibile accedervi a Internet, ciò avviene per l'accesso in uscita predefinito di Azure e perché si dispone di NSG che consente l'accesso in uscita a Internet. Tuttavia, non è consigliabile usare l'accesso in uscita predefinito. Se è necessario l'accesso in uscita a Internet, è consigliabile usare invece un firewall e regole in uscita o un gateway NAT e i gruppi di servizi di rete per consentire il traffico in uscita.

  Per altre informazioni sul traffico in uscita usato da Azure Machine Learning, vedere gli articoli seguenti:

  • Configurare il traffico di rete in ingresso e in uscita.
  • Metodi di connettività in uscita di Azure.

  Per altre informazioni sui tag di servizio che possono essere usati con Firewall di Azure vedere l'articolo Tag del servizio di rete virtuale.

Usare le informazioni seguenti per creare un'istanza di ambiente di calcolo o un cluster di elaborazione senza indirizzo IP pubblico:

# create a compute cluster with no public IP
az ml compute create --name cpu-cluster --resource-group rg --workspace-name ws --vnet-name yourvnet --subnet yoursubnet --type AmlCompute --set enable_node_public_ip=False

# create a compute instance with no public IP
az ml compute create --name myci --resource-group rg --workspace-name ws --vnet-name yourvnet --subnet yoursubnet --type ComputeInstance --set enable_node_public_ip=False

from azure.ai.ml.entities import AmlCompute, NetworkSettings

network_settings = NetworkSettings(vnet_name="<vnet-name>", subnet="<subnet-name>")
compute = AmlCompute(
    name=cpu_compute_target,
    size="STANDARD_D2_V2",
    min_instances=0,
    max_instances=4,
    enable_node_public_ip=False,
    network_settings=network_settings
)
ml_client.begin_create_or_update(entity=compute)

Usare le informazioni seguenti per configurare i nodi dell’ elaborazione serverless senza indirizzo IP pubblico nella rete virtuale per una determinata area di lavoro:

az ml workspace create -n <workspace-name> -g <resource-group-name> --file serverlesscomputevnetsettings.yml

name: testserverlesswithnpip
location: eastus
public_network_access: Disabled
serverless_compute:
  custom_subnet: /subscriptions/<sub id>/resourceGroups/<resource group>/providers/Microsoft.Network/virtualNetworks/<vnet name>/subnets/<subnet name>
  no_public_ip: true

az ml workspace update -n <workspace-name> -g <resource-group-name> --file serverlesscomputevnetsettings.yml

serverless_compute:
  custom_subnet: /subscriptions/<sub id>/resourceGroups/<resource group>/providers/Microsoft.Network/virtualNetworks/<vnet name>/subnets/<subnet name>
  no_public_ip: true

from azure.ai.ml import MLClient
from azure.ai.ml.entities import ServerlessComputeSettings, Workspace
from azure.identity import DefaultAzureCredential

subscription_id = <sub id>
resource_group = <resource group>
workspace_name = <workspace name>
ml_client = MLClient(
    DefaultAzureCredential(), subscription_id, resource_group
)

workspace = Workspace(
    name=workspace_name,
    serverless_compute=ServerlessComputeSettings(
        custom_subnet=<subnet id>,
        no_public_ip=true,
    )
)

workspace = ml_client.workspaces.begin_update(workspace)

Istanza di ambiente di calcolo, cluster di elaborazione o elaborazione serverless con IP pubblico

Le configurazioni seguenti sono aggiunte a quelle elencate nella sezione Prerequisiti e sono specifiche per la creazione di istanze di ambiente di calcolo e di cluster di elaborazione con IP pubblico. Si applicano anche all’elaborazione serverless:

• Se si inseriscono più istanze di ambiente di calcolo e cluster di elaborazione in una rete virtuale, potrebbe essere necessario richiedere un aumento di quota per una o più risorse. L'istanza di ambiente di calcolo o il cluster di elaborazione di Machine Learning allocano automaticamente le risorse di rete nel gruppo di risorse contenente la rete virtuale. Per ogni istanza o cluster, il servizio alloca le risorse seguenti:

  • Viene creato automaticamente un gruppo di sicurezza di rete. Questo gruppo di sicurezza di rete consente il traffico TCP in ingresso sulla porta 44224 dal tag di servizio AzureMachineLearning.

    Importante

    L'istanza di ambiente di calcolo e il cluster di elaborazione creano automaticamente un gruppo di sicurezza di rete con le regole necessarie.

    Se si dispone di un altro gruppo di sicurezza di rete a livello di subnet, le regole nel gruppo di sicurezza di rete a livello di subnet non devono essere in conflitto con le regole nel gruppo di sicurezza di rete creato automaticamente.

    Per informazioni su come i gruppi di sicurezza di rete filtrano il traffico di rete vedere Come i gruppi di sicurezza di rete filtrano il traffico di rete.

  • Un bilanciamento del carico

  Per i cluster di elaborazione queste risorse vengono eliminate ogni volta che il cluster si ridimensiona a 0 nodi e create con l’aumento delle dimensioni del cluster.

  Per un'istanza di calcolo, queste risorse vengono mantenute fino a quando l'istanza non viene eliminata. L'arresto dell'istanza non rimuove le risorse.

  Importante

  Queste risorse sono limitate in base alle quote delle risorse della sottoscrizione. Se il gruppo di risorse della rete virtuale è bloccato, l'eliminazione del cluster di elaborazione o dell'istanza di ambiente di calcolo avrà esito negativo. Non è possibile eliminare il bilanciamento del carico, finché non viene eliminato il cluster di elaborazione o l'istanza di ambiente di calcolo. Assicurarsi anche che non vi sia un’assegnazione dei Criteri di Azure ad impedire la creazione di gruppi di sicurezza di rete.

• Nella rete virtuale consentire il traffico TCP in ingresso sulla porta 44224 dal tag di servizio AzureMachineLearning.

  Importante

  All'istanza di ambiente di calcolo e al cluster di elaborazione viene assegnato dinamicamente un indirizzo IP al momento della creazione. Poiché l'indirizzo non è noto prima della creazione e l'accesso in ingresso è obbligatorio come parte del processo di creazione, non è possibile assegnarlo in modo statico nel firewall. Se, invece, si usa un firewall con la rete virtuale, è necessario creare una route definita dall'utente per consentire il traffico in ingresso.

• Nella rete virtuale consentire il traffico in uscita ai seguenti tag del servizio:

  Tag di servizio	Protocollo	Port	Note
  AzureMachineLearning	TCP UDP	443/8787/18881 5831	Comunicazione con il servizio Azure Machine Learning.
  BatchNodeManagement.<region>	QUALSIASI	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Comunicazione con Azure Batch. L'istanza di calcolo e il cluster di elaborazione vengono implementati usando il servizio Azure Batch.
  Storage.<region>	TCP	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Questo tag del servizio viene usato per comunicare con l'account di archiviazione di Azure usato da Azure Batch.

  Importante

  L'accesso in uscita a Storage.<region> può essere potenzialmente usato per esfiltrare i dati dall'area di lavoro. Usando i criteri dell’endpoint di servizio è possibile attenuare questa vulnerabilità. Per altre informazioni vedere l'articolo Prevenzione dell'esfiltrazione dei dati di Azure Machine Learning.

  FQDN	Protocollo	Port	Note
  <region>.tundra.azureml.ms	UDP	5831	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning.
  graph.windows.net	TCP	443	Comunicazione con l'API Microsoft Graph.
  *.instances.azureml.ms	TCP	443/8787/18881	Comunicazione con Azure Machine Learning.
  *.<region>.batch.azure.com	QUALSIASI	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Comunicazione con Azure Batch.
  *.<region>.service.batch.azure.com	QUALSIASI	443	Sostituire <region> con l'area di Azure che contiene l'area di lavoro di Azure Machine Learning. Comunicazione con Azure Batch.
  *.blob.core.windows.net	TCP	443	Comunicazione con archiviazione BLOB di Azure.
  *.queue.core.windows.net	TCP	443	Comunicazione con archiviazione code di Azure.
  *.table.core.windows.net	TCP	443	Comunicazione con archiviazione tabelle di Azure.

Usare le informazioni seguenti per creare un'istanza di ambiente di calcolo o un cluster di elaborazione con un indirizzo IP pubblico nella rete virtuale:

# create a compute cluster with a public IP
az ml compute create --name cpu-cluster --resource-group rg --workspace-name ws --vnet-name yourvnet --subnet yoursubnet --type AmlCompute

# create a compute instance with a public IP
az ml compute create --name myci --resource-group rg --workspace-name ws --vnet-name yourvnet --subnet yoursubnet --type ComputeInstance

from azure.ai.ml.entities import AmlCompute, NetworkSettings

network_settings = NetworkSettings(vnet_name="<vnet-name>", subnet="<subnet-name>")
compute = AmlCompute(
    name=cpu_compute_target,
    size="STANDARD_D2_V2",
    min_instances=0,
    max_instances=4,
    network_settings=network_settings
)
ml_client.begin_create_or_update(entity=compute)

Usare le informazioni seguenti per configurare i nodi dell’ elaborazione serverless con un indirizzo IP pubblico nella rete virtuale per una determinata area di lavoro:

az ml workspace create -n <workspace-name> -g <resource-group-name> --file serverlesscomputevnetsettings.yml

name: testserverlesswithvnet
location: eastus
serverless_compute:
  custom_subnet: /subscriptions/<sub id>/resourceGroups/<resource group>/providers/Microsoft.Network/virtualNetworks/<vnet name>/subnets/<subnet name>
  no_public_ip: false

az ml workspace update -n <workspace-name> -g <resource-group-name> --file serverlesscomputevnetsettings.yml

serverless_compute:
  custom_subnet: /subscriptions/<sub id>/resourceGroups/<resource group>/providers/Microsoft.Network/virtualNetworks/<vnet name>/subnets/<subnet name>
  no_public_ip: false

from azure.ai.ml import MLClient
from azure.ai.ml.entities import ServerlessComputeSettings, Workspace
from azure.identity import DefaultAzureCredential

subscription_id = <sub id>
resource_group = <resource group>
workspace_name = <workspace name>
ml_client = MLClient(
    DefaultAzureCredential(), subscription_id, resource_group
)

workspace = Workspace(
    name=workspace_name,
    serverless_compute=ServerlessComputeSettings(
        custom_subnet=<subnet id>,
        no_public_ip=false,
    )
)

workspace = ml_client.workspaces.begin_update(workspace)

Azure Databricks

• La rete virtuale deve trovarsi nella stessa sottoscrizione e area dell'area di lavoro di Azure Machine Learning.
• Se anche gli account di archiviazione di Azure per l'area di lavoro sono protetti in una rete virtuale, devono trovarsi nella stessa rete virtuale del cluster di Azure Databricks.
• Oltre alle subnet databricks-private e databricks-public usate da Azure Databricks, è necessaria anche la subnet predefinita creata per la rete virtuale.
• Azure Databricks non utilizza un endpoint privato per comunicare con la rete virtuale.

Per informazioni specifiche sull'uso di Azure Databricks con una rete virtuale, vedere Distribuire Azure Databricks nella rete virtuale di Azure.

Macchina virtuale o cluster HDInsight

In questa sezione viene mostrato come usare una macchina virtuale o un cluster Azure HDInsight in una rete virtuale con l'area di lavoro.

Creare la macchina virtuale o il cluster HDInsight

Creare una macchina virtuale o un cluster HDInsight usando il portale di Azure o l'interfaccia della riga di comando di Azure e inserire il cluster in una rete virtuale di Azure. Per altre informazioni, vedere gli articoli seguenti:

• Creare e gestire reti virtuali di Azure per macchine virtuali Linux

• Estendere Azure HDInsight usando Rete virtuale di Azure

Configurare le porte di rete

Per consentire ad Azure Machine Learning di comunicare con la porta SSH nella macchina virtuale o nel cluster, configurare una voce di origine per il gruppo di sicurezza di rete. La porta SSH è in genere la porta 22. Per consentire il traffico da questa origine, eseguire queste operazioni:

1. Nell'elenco a discesa Origine selezionare Tag del servizio.

2. Nell'elenco a discesa Tag del servizio di origine selezionare AzureMachineLearning.

   

3. Nell'elenco a discesa Intervalli di porte di origine selezionare *.

4. Nell'elenco a discesa Destinazione selezionare Qualsiasi.

5. Nell'elenco a discesa Intervalli di porte di destinazione selezionare 22.

6. In Protocollo selezionare Qualsiasi.

7. In Azione selezionare Consenti.

Mantenere le regole in ingresso per il gruppo di sicurezza di rete. Per altre informazioni, vedere le regole di sicurezza predefinite in Gruppi di sicurezza.

Se non si vogliono usare le regole in uscita predefinite e si vuole limitare l'accesso in uscita della rete virtuale, vedere la sezione accesso a Internet pubblico obbligatorio.

Collegare la macchina virtuale o il cluster HDInsight

Collegare la macchina virtuale o il cluster HDInsight all'area di lavoro di Azure Machine Learning. Per altre informazioni vedere Gestire le risorse di calcolo per il training dei modelli e la distribuzione in Studio.

L'accesso a Internet pubblico è obbligatorio per l'esecuzione del training dei modelli

Azure Machine Learning richiede l'accesso in ingresso e in uscita alla rete Internet pubblica. Le tabelle seguenti offrono una panoramica dell’accesso obbligatorio e del relativo scopo. Per i tag di servizio che terminano in .region, sostituire region con l'area di Azure che contiene l'area di lavoro. Ad esempio, Storage.westus:

Potrebbe anche essere necessario consentire il traffico in uscita verso Visual Studio Code e siti non Microsoft per l'installazione di pacchetti richiesti dal progetto di apprendimento automatico. La tabella seguente elenca i repository comunemente usati per l'apprendimento automatico:

Quando si usa il servizio Azure Kubernetes con Azure Machine Learning, consentire il traffico seguente alla rete virtuale del servizio Azure Kubernetes:

• Requisiti generali in ingresso/in uscita per il servizio Azure Kubernetes come descritti nell'articolo Limitare il traffico in uscita nel servizio Azure Kubernetes.
• In uscita verso mcr.microsoft.com.
• Quando si distribuisce un modello in un cluster del servizio Azure Kubernetes, utilizzare le linee guida nell'articolo Distribuire modelli di apprendimento automatico nel servizio Azure Kubernetes.

Per informazioni sull'uso di una soluzione firewall vedere Usare un firewall con Azure Machine Learning.

Passaggi successivi

Il presente articolo fa parte di una serie di articoli sulla protezione del flusso di lavoro di Azure Machine Learning. Vedi gli altri articoli di questa serie:

• Panoramica della rete virtuale
• Proteggere le risorse dell'area di lavoro
• Proteggere l'ambiente di inferenza
• Abilitare la funzionalità di Studio
• Usare DNS personalizzato
• Usare un firewall