オンライン エンドポイントのクライアントを認証する

1. Azureにログインします。

   az login
   

2. 特定の ID を使用する場合は、次のコードを使用して、その ID でサインインします。

   az login --identity --username <identityId>
   

3. 次のコンテキストを使用してトークンを取得します。

   export CONTROL_PLANE_TOKEN=`(az account get-access-token --resource https://management.azure.com --query accessToken | tr -d '"')`
   

Azure 仮想マシンから

Azure VM のマネージド ID に基づいてトークンを取得できます (VM でマネージド ID が有効になっている場合)。

1. Azure VM 上のコントロール プレーン操作用の Microsoft Entra トークン (aad_token) を取得するには、Azure リソース エンドポイント management.azure.com の Azure Instance Metadata Service (IMDS) エンドポイントに要求を送信します。

   export CONTROL_PLANE_TOKEN=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s | jq -r '.access_token' )`
   

   ヒント

   JSON 出力からトークンを抽出するために、例として jq ユーティリティが使用されています。 ただし、この目的に適した任意のツールを使用できます。

   マネージド ID に基づいてトークンを取得する方法の詳細については、「HTTP を使用してトークンを取得する」を参照してください。

コンピューティング インスタンスから

Azure Machine Learning ワークスペースのコンピューティング インスタンスを使用する場合は、トークンを取得できます。 トークンを取得するには、クライアント ID と、コンピューティング インスタンスのマネージド ID のシークレットを、コンピューティング インスタンスでローカルに構成されているマネージド システム ID (MSI) エンドポイントに渡す必要があります。 MSI エンドポイント、クライアント ID、シークレットはそれぞれ、環境変数 MSI_ENDPOINT、DEFAULT_IDENTITY_CLIENT_ID、MSI_SECRET から取得できます。 これらの変数は、コンピューティング インスタンスのマネージド ID を有効にすると自動的に設定されます。

1. ワークスペースのコンピューティング インスタンスから Azure リソース エンドポイント management.azure.com のトークンを取得します。

   export CONTROL_PLANE_TOKEN=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.access_token' )`
   

from azure.identity import DefaultAzureCredential, InteractiveBrowserCredential

try:
    credential = DefaultAzureCredential()
    # Check if given credential can get token successfully.
    access_token = credential.get_token("https://management.azure.com/.default")
    print(access_token)
except Exception as ex:
    # Fall back to InteractiveBrowserCredential in case DefaultAzureCredential not work
    # This will open a browser page for
    credential = InteractiveBrowserCredential()

詳細については、「Azure ID クライアント ライブラリを使用してトークンを取得する」を参照してください。

スタジオでは、コントロール プレーン操作用の Microsoft Entra トークンは公開されません。

CLI では、コントロール プレーン トークンを明示的に指定する必要はありません。 代わりに、CLI az login がサインインの間にユーザーの認証を行い、トークンが自動的に取得されてユーザーに渡されます。

1. エンドポイント定義 YAML ファイルを作成します。

   endpoint.yml:

   $schema: https://azuremlschemas.azureedge.net/latest/managedOnlineEndpoint.schema.json
   name: my-endpoint
   auth_mode: aad_token
   

2. auth_mode は、キー認証の場合はkey に、Azure Machine Learning トークン認証の場合は aml_token に置き換えることができます。この例では、Microsoft Entra トークン認証に aad_token を使用しています。

   az ml online-endpoint create -f endpoint.yml
   

3. エンドポイントの状態を確認します。

   az ml online-endpoint show -n my-endpoint
   

4. エンドポイントの作成時に auth_mode を (たとえば、aad_token に) オーバーライドする場合は、次のコードを実行します。

   az ml online-endpoint create -n my-endpoint --auth_mode aad_token
   

5. 既存のエンドポイントを作成更新し、auth_mode を (たとえば、aad_token に) 指定する場合、次のコードを実行します。

   az ml online-endpoint update -n my-endpoint --set auth_mode=aad_token
   

REST API 呼び出しでは、コントロール プレーン トークンを明示的に指定する必要があります。 前に取得したコントロール プレーン トークンを使用します。

1. エンドポイントを作成または更新します。

   export SUBSCRIPTION_ID=<SUBSCRIPTION_ID>
   export RESOURCE_GROUP=<RESOURCE_GROUP>
   export WORKSPACE=<AML_WORKSPACE_NAME>
   export ENDPOINT_NAME=<ENDPOINT_NAME>
   export LOCATION=<LOCATION_NAME>
   export API_VERSION=2023-04-01
   
   response=$(curl --location --request PUT "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
   --header "Content-Type: application/json" \
   --header "Authorization: Bearer $CONTROL_PLANE_TOKEN" \
   --data-raw "{
       \"identity\": {
          \"type\": \"systemAssigned\"
       },
       \"properties\": {
           \"authMode\": \"AADToken\"
       },
       \"location\": \"$LOCATION\"
   }")
   
   echo $response
   

   authMode は、キー認証の場合はkey に、Azure Machine Learning トークン認証の場合は AMLToken に置き換えることができます。この例では、Microsoft Entra トークン認証に AADToken を使用しています。

2. オンライン エンドポイントの現在の状態を取得します。

   response=$(curl --location --request GET "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
   --header "Content-Type: application/json" \
   --header "Authorization: Bearer $CONTROL_PLANE_TOKEN" \
   )
   
   echo $response
   

Python SDK では、コントロール プレーン トークンを明示的に指定する必要はありません。 代わりに、SDK MLClient がサインインの間にユーザーの認証を行い、トークンが自動的に取得されてユーザーに渡されます。

from azure.ai.ml import MLClient
from azure.ai.ml.entities import (
    ManagedOnlineEndpoint,
    ManagedOnlineDeployment,
    Model,
    Environment,
    CodeConfiguration,
)
from azure.identity import DefaultAzureCredential

subscription_id = "<SUBSCRIPTION_ID>"
resource_group = "<RESOURCE_GROUP>"
workspace = "<AML_WORKSPACE_NAME>"

ml_client = MLClient(
    DefaultAzureCredential(), subscription_id, resource_group, workspace
)

endpoint = ManagedOnlineEndpoint(
    name="my-endpoint",
    description="this is a sample online endpoint",
    auth_mode="aad_token",
    tags={"foo": "bar"},
)
ml_client.online_endpoints.begin_create_or_update(endpoint).result()

auth_mode は、キー認証の場合はkey に、Azure Machine Learning トークン認証の場合は aml_token に置き換えることができます。この例では、Microsoft Entra トークン認証に aad_token を使用しています。

スタジオでは、サインイン時に既にユーザーが認証されており、トークンは自動的に取得されて渡されるため、コントロール プレーン トークンを明示的に指定する必要はありません。

オンライン エンドポイントのデプロイの詳細については、「オンライン エンドポイントを使用して ML モデルをデプロイする (スタジオを使用)」を参照してください

次のコードは、デプロイを作成する方法の例です。 オンライン エンドポイントのデプロイの詳細については、「オンライン エンドポイントを使用して ML モデルをデプロイする (CLI を使用)」を参照してください

1. デプロイ定義 YAML ファイルを作成します。

   blue-deployment.yml:

   $schema: https://azuremlschemas.azureedge.net/latest/managedOnlineDeployment.schema.json
   name: blue
   endpoint_name: my-aad-auth-endp1
   model:
     path: ../../model-1/model/
   code_configuration:
     code: ../../model-1/onlinescoring/
     scoring_script: score.py
   environment: 
     conda_file: ../../model-1/environment/conda.yml
     image: mcr.microsoft.com/azureml/openmpi4.1.0-ubuntu20.04:latest
   instance_type: Standard_DS3_v2
   instance_count: 1
   

2. YAML ファイルを使用してデプロイを作成します。 この例では、すべてのトラフィックを新しいデプロイに設定します。

   az ml online-deployment create -f blue-deployment.yml --all-traffic
   

REST を使用してオンライン エンドポイントをデプロイする方法の詳細については、「REST を使用してオンライン エンドポイントとしてモデルをデプロイする」を参照してください。

オンライン エンドポイントのデプロイの詳細については、「オンライン エンドポイントを使用して ML モデルをデプロイする (SDK を使用)」を参照してください

オンライン エンドポイントのデプロイの詳細については、「オンライン エンドポイントを使用して ML モデルをデプロイする (スタジオを使用)」を参照してください

CLI を使用してエンドポイントを呼び出す予定の場合、スコアリング URI は CLI によって自動的に処理されるため、明示的に取得する必要はありません。 ただし、REST API などの他のチャネルで使用できるようにするために、CLI を使用してスコアリング URI を取得することはできます。

scoringUri=$(az ml online-endpoint show -n my-endpoint --query "scoring_uri")

export SUBSCRIPTION_ID=<SUBSCRIPTION_ID>
export RESOURCE_GROUP=<RESOURCE_GROUP>
export WORKSPACE=<AML_WORKSPACE_NAME>
export ENDPOINT_NAME=<ENDPOINT_NAME>
export API_VERSION=2023-04-01
response=$(curl --location --request GET "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
--header "Content-Type: application/json" \
--header "Authorization: Bearer $CONTROL_PLANE_TOKEN")
scoringUri=$(echo $response | jq -r '.properties' | jq -r '.scoringUri')

echo $response
echo $scoringUri

Python SDK を使用してエンドポイントを呼び出す予定の場合、スコアリング URI は SDK によって自動的に処理されるため、明示的に取得する必要はありません。 ただし、REST API などの他のチャネルで使用できるようにするために、SDK を使用してスコアリング URI を取得することはできます。

scoring_uri = ml_client.online_endpoints.get(name=endpoint_name).scoring_uri

スタジオを使用してエンドポイントを呼び出す予定の場合、スコアリング URI はスタジオによって自動的に処理されるため、明示的に取得する必要はありません。 ただし、REST API などの他のチャネルで使用できるようにするために、スタジオを使用してスコアリング URI を取得することはできます。

スコアリング URI は、エンドポイントのページの [詳細] タブで確認できます。

CLI を使ってエンドポイントを呼び出す場合、データ プレーン操作のためのキーまたはトークンは CLI によって自動的に処理されるため、ユーザーがそれを明示的に取得する必要はありません。 ただし、REST API などの他のチャネルで使用できるよう、CLI を使ってデータ プレーン操作のためのキーまたはトークンを取得することはできます。

データ プレーン操作用のキーまたはトークンを取得するには、az ml online-endpoint get-credentials コマンドを使います。 このコマンドは、キー、トークン、その他の情報を含む JSON 出力を返します。

エンドポイントの auth_mode が key のとき

• キーは primaryKey と secondaryKey フィールドで返されます。

export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query primaryKey)
export DATA_PLANE_TOKEN2=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query secondaryKey)

エンドポイントの auth_mode が aml_token のとき

• トークンは accessToken フィールドで返されます。
• トークンの有効期限は expiryTimeUtc フィールドで返されます。
• トークンの更新日時は refreshAfterTimeUtc フィールドで返されます。

export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query accessToken)
export EXPIRY_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query expiryTimeUtc)
export REFRESH_AFTER_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query refreshAfterTimeUtc)

エンドポイントの auth_mode が aad_token のとき

• トークンは accessToken フィールドで返されます。
• トークンの有効期限は expiryTimeUtc フィールドで返されます。

export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query accessToken)
export EXPIRY_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query expiryTimeUtc)

データ プレーン操作用のキーまたはトークンを取得するには、エンドポイントの auth_mode に応じて適切な API を選びます。 API は、キーとトークンを含む JSON 出力を返します。

エンドポイントの auth_mode が key のとき

• listkeys API を使います。
• キーは primaryKey と secondaryKey フィールドで返されます。

response=$(curl -H "Content-Length: 0" --location --request POST "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME/listkeys?api-version=$API_VERSION" \
--header "Authorization: Bearer $CONTROL_PLANE_TOKEN")

export DATA_PLANE_TOKEN=$(echo $response | jq -r '.primaryKey')

エンドポイントの auth_mode が aml_token のとき

• token API を使います。
• トークンは accessToken フィールドで返されます。
• トークンの有効期限は expiryTimeUtc フィールドで返されます
• トークンの更新日時は refreshAfterTimeUtc フィールドで返されます

response=$(curl -H "Content-Length: 0" --location --request POST "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME/token?api-version=$API_VERSION" \
--header "Authorization: Bearer $CONTROL_PLANE_TOKEN")

export DATA_PLANE_TOKEN=$(echo $response | jq -r '.accessToken')
export EXPIRY_TIME_UTC=$(echo $response | jq -r '.expiryTimeUtc')
export REFRESH_AFTER_TIME_UTC=$(echo $response | jq -r '.refreshAfterTimeUtc')

エンドポイントの auth_mode が aad_token のとき

• トークンを要求する場所に応じて、IMDS エンドポイントまたは MSI エンドポイントを使います。
• トークンは accessToken フィールドで返されます。
• トークンの有効期限は expiryTimeUtc フィールドで返されます

Azure 仮想マシンから

Azure VM のマネージド ID に基づいてトークンを取得できます (VM でマネージド ID が有効になっている場合)。

1. Azure VM 上の "データ プレーン" 操作用の Microsoft Entra トークン (aad_token) を取得するには、Azure リソース エンドポイント ml.azure.com の Azure Instance Metadata Service (IMDS) エンドポイントに要求を送信します。

   export DATA_PLANE_TOKEN=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F' -H Metadata:true -s | jq -r '.access_token' )`
   export EXPIRY_TIME_UTC=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F' -H Metadata:true -s | jq -r '.expiryTimeUtc' )`
   

   マネージド ID に基づいてトークンを取得する方法の詳細については、「HTTP を使用してトークンを取得する」を参照してください。

コンピューティング インスタンスから

Azure Machine Learning ワークスペースのコンピューティング インスタンスを使用する場合は、トークンを取得できます。 トークンを取得するには、クライアント ID と、コンピューティング インスタンスのマネージド ID のシークレットを、コンピューティング インスタンスでローカルに構成されているマネージド システム ID (MSI) エンドポイントに渡す必要があります。 MSI エンドポイント、クライアント ID、シークレットはそれぞれ、環境変数 MSI_ENDPOINT、DEFAULT_IDENTITY_CLIENT_ID、MSI_SECRET から取得できます。 これらの変数は、コンピューティング インスタンスのマネージド ID を有効にすると自動的に設定されます。

1. ワークスペースのコンピューティング インスタンスから Azure リソース エンドポイント ml.azure.com のトークンを取得します。

   export DATA_PLANE_TOKEN=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.access_token' )`
   export EXPIRY_TIME_UTC=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.expiryTimeUtc' )`
   

SDK を使ってエンドポイントを呼び出す場合、データ プレーン操作のためのキーまたはトークンは SDK によって自動的に処理されるため、ユーザーがそれを明示的に取得する必要はありません。 ただし、REST API などの他のチャネルで使用できるよう、SDK を使ってデータ プレーン操作のためのキーまたはトークンを取得することはできます。

データ プレーン操作のためのキーまたはトークンを取得するには、OnlineEndpointOperations クラスの get_keys メソッドを使います。 このメソッドは、キーとトークンを含むオブジェクトを返します。

エンドポイントの auth_mode が key のとき

• キーは primary_key と secondary_key フィールドで返されます。

DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).primary_key
DATA_PLANE_TOKEN2 = ml_client.online_endpoints.get_keys(name=endpoint_name).secondary_key

エンドポイントの auth_mode が aml_token のとき

• トークンは access_token フィールドで返されます。
• トークンの有効期限は expiry_time_utc フィールドで返されます。
• トークンの更新日時は refresh_after_time_utc フィールドで返されます。

DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).access_token
EXPIRY_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).expiry_time_utc
REFRESH_AFTER_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).refresh_after_time_utc

エンドポイントの auth_mode が aad_token のとき

• トークンは access_token フィールドで返されます。
• トークンの有効期限は expiry_time_utc フィールドで返されます。

DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).access_token
EXPIRY_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).expiry_time_utc

詳細については、「Azure ID クライアント ライブラリを使用してトークンを取得する」を参照してください。

キー、Azure Machine Learning トークン、または Microsoft Entra トークンは、エンドポイントのページの [消費] タブで確認できます。

キー、Azure Machine Learning トークン、または Microsoft Entra トークンを使うエンドポイントの場合、az ml online-endpoint invoke を使用できます。 キーまたはトークンは CLI によって自動的に処理されるため、ユーザーがそれを明示的に渡す必要はありません。

az ml online-endpoint invoke -n my-endpoint -r request.json

スコアを付けるためにオンライン エンドポイントを呼び出す場合、Authorization ヘッダーでキー、Azure Machine Learning トークン、または Microsoft Entra トークンを渡します。 次のコードは、curl ユーティリティを使用して、キーまたはトークンを使用してオンライン エンドポイントを呼び出す方法を示しています。

curl --request POST "$scoringUri" --header "Authorization: Bearer $DATA_PLANE_TOKEN" --header 'Content-Type: application/json' --data @endpoints/online/model-1/sample-request.json

キー、Azure Machine Learning トークン、Microsoft Entra トークンでは、ml_client.online_endpoints.invoke() を使う Azure Machine Learning SDK がサポートされています。 Azure Machine Learning SDK の使用に加えて、汎用 Python SDK を使用して、POST 要求をスコアリング URI に送信することもできます。

スコアリングのためにオンライン エンドポイントを呼び出すときは、Authorization ヘッダーでキーまたはトークンを渡します。 次のコードは、汎用 Python SDK を使用して、キーまたはトークンを使用してオンライン エンドポイントを呼び出す方法を示しています。 このコードで、api_key 変数をキーまたはトークンに置き換えます。

import urllib.request
import json
import os

data = {"data": [
    [1,2,3,4,5,6,7,8,9,10], 
    [10,9,8,7,6,5,4,3,2,1]
]}

body = str.encode(json.dumps(data))

url = '<scoring URI as retrieved earlier>'
api_key = '<key or token as retrieved earlier>'
headers = {'Content-Type':'application/json', 'Authorization':('Bearer '+ api_key)}

req = urllib.request.Request(url, body, headers)

try:
    response = urllib.request.urlopen(req)

    result = response.read()
    print(result)
except urllib.error.HTTPError as error:
    print("The request failed with status code: " + str(error.code))

    # Print the headers - they include the requert ID and the timestamp, which are useful for debugging the failure
    print(error.info())
    print(error.read().decode("utf8", 'ignore'))

キーまたは Azure Machine Learning トークン

デプロイの詳細ページの [テスト] タブでは、キー、Azure Machine Learning トークン、または Microsoft Entra トークンの認証を使うエンドポイントのスコアリングがサポートされています。