Configurar o tráfego de rede de entrada e saída

O Azure Machine Learning requer acesso a servidores e serviços na Internet pública. Ao implementar o isolamento de rede, você precisa entender qual acesso é necessário e como habilitá-lo.

Termos e informações comuns

Os seguintes termos e informações são usados ao longo deste artigo:

• Marcas de serviço do Azure: uma marca de serviço é uma maneira fácil de especificar os intervalos de IP usados por um serviço do Azure. Por exemplo, a marca AzureMachineLearning representa os endereços IP usados pelo Serviço do Azure Machine Learning.

  Importante

  As marcas de serviço do Azure só têm suporte em alguns serviços do Azure. Para obter uma lista de marcas de serviço com suporte com grupos de segurança de rede e Firewall do Azure, consulte o artigo Marcas de serviço de rede virtual.

  Se você estiver usando uma solução que não seja do Azure, como um firewall de terceiros, baixe uma lista de Intervalos de IP do Azure e Marcas de Serviço. Extraia o arquivo e pesquise a marca de serviço no arquivo. Os endereços IP podem ser alterados periodicamente.

• Região: algumas marcas de serviço permitem que você especifique uma região do Azure. Isso limita o acesso aos endereços IP do serviço em uma região específica, geralmente aquela em que o serviço está. Neste artigo, quando você vir <region>, substitua sua região do Azure. Por exemplo, BatchNodeManagement.<region> seria BatchNodeManagement.uswest se o workspace do Azure Machine Learning estivesse na região Oeste dos EUA.

• Lote do Azure: os clusters de cálculo e as instâncias de computação do Azure Machine Learning dependem de uma instância de back-end do Lote do Azure. Esse serviço de back-end é hospedado em uma assinatura da Microsoft.

• Portas: as seguintes portas são usadas neste artigo. Se um intervalo de portas não estiver listado nesta tabela, ele será específico do serviço e poderá não ter informações publicadas sobre seu uso:

  Porta	Descrição
  80	Tráfego da Web não seguro (HTTP)
  443	Tráfego da Web seguro (HTTPS)
  445	Tráfego SMB usado para acessar compartilhamentos de arquivos no Armazenamento de Arquivos do Azure
  8787	Usado ao se conectar ao RStudio em uma instância de computação
  18881	Usado para se conectar ao servidor de linguagem para habilitar o IntelliSense para notebooks em uma instância de computação.

• Protocolo: salvo indicação em contrário, todo o tráfego de rede mencionado neste artigo usa TCP.

Configuração básica

Essa configuração faz as seguintes suposições:

• Você está usando imagens do Docker fornecidas por um registro de contêiner que você fornece e não usará imagens fornecidas pela Microsoft.
• Você está usando um repositório de pacotes privados do Python e não acessará repositórios de pacotes públicos, como pypi.org, *.anaconda.com ou *.anaconda.org.
• Os pontos de extremidade privados podem se comunicar diretamente entre si na VNet. Por exemplo, todos os serviços têm um ponto de extremidade privado na mesma VNet:
  • Workspace do Azure Machine Learning
  • Conta de Armazenamento do Azure (blob, arquivo, tabela, fila)

Tráfego de entrada

Tráfego de saída

Configuração recomendada para treinamento e implantação de modelos

Tráfego de saída

Para permitir a instalação de pacotes do Python para treinamento e implantação, permita o tráfego de saída para os seguintes nomes de host:

Cenário: instalar o RStudio na instância de computação

Para permitir a instalação do RStudio em uma instância de computação, o firewall precisa permitir o acesso de saída aos sites para efetuar pull da imagem do Docker. Adicione a seguinte regra de aplicativo à política de Firewall do Azure:

• Nome: AllowRStudioInstall
• Tipo de Origem: Endereço IP
• Endereços IP de origem: o intervalo de endereços IP da sub-rede em que você criará a instância de computação. Por exemplo, 172.16.0.0/24.
• Tipo de destino: FQDN
• FQDN de destino: ghcr.io, pkg-containers.githubusercontent.com
• Protocol: Https:443

Para permitir a instalação de pacotes do R, permita o tráfego de saída para cloud.r-project.org. Esse host é usado para instalar pacotes CRAN.

Cenário: uso do cluster de cálculo ou da instância de computação com um IP público

Ao usar a instância de computação ou o cluster de cálculo do Azure Machine Learning (com um IP), permita o tráfego de entrada do Serviço do Azure Machine Learning. Uma instância de computação ou cluster de cálculo sem IP (versão prévia) não requer essa comunicação de entrada. Um Grupo de Segurança de Rede que permite esse tráfego é criado dinamicamente para você, no entanto, talvez também seja necessário criar UDR (rotas definidas pelo usuário) se você tiver um firewall. Ao criar uma UDR para esse tráfego, use Endereços IP ou marcas de serviço para rotear o tráfego.

az network route-table route create -g MyResourceGroup --route-table-name MyRouteTable -n AzureMLRoute --address-prefix AzureMachineLearning --next-hop-type Internet

Para saber como configurar a UDR, confira Rotear o tráfego de rede com uma tabela de roteamento.

Cenário: firewall entre pontos de extremidade do Azure Machine Learning e do Armazenamento do Azure

Você também deve permitir o acesso de saída a Storage.<region> na porta 445.

Cenário: workspace criado com o sinalizador hbi_workspace habilitado

Você também deve permitir o acesso de saída a Keyvault.<region>. Esse tráfego de saída é usado para acessar a instância do cofre de chaves para o serviço de Lote do Azure de back-end.

Para obter mais informações sobre o sinalizador hbi_workspace, consulte o artigo criptografia de dados.

Cenário: usar a computação do Kubernetes

O cluster do Kubernetes em execução em um servidor proxy de saída ou firewall precisa de uma configuração extra de saída de rede.

• Para Kubernetes com conexão do Azure Arc, configure os requisitos de rede do Azure Arc necessários para agentes do Azure Arc.
• Para o cluster do AKS sem a conexão do Azure Arc, configure os requisitos de rede de extensão do AKS.

Além dos requisitos acima, os seguintes URLs de saída também são necessários para o Azure Machine Learning,

Requisitos de comunicação no cluster

Para instalar a extensão do Azure Machine Learning na computação do Kubernetes, todos os componentes relacionados ao Azure Machine Learning são implantados em um namespace azureml. A comunicação no cluster a seguir é necessária para garantir que as cargas de trabalho de ML funcionem bem no cluster do AKS.

• Os componentes no namespace azureml devem ser capazes de se comunicar com o servidor de API do Kubernetes.
• Os componentes no namespace azureml devem ser capazes de se comunicar entre si.
• Os componentes no namespace azureml devem ser capazes de se comunicar com kube-dns e konnectivity-agent no namespace kube-system.
• Se o cluster for usado para inferência em tempo real, os PODs azureml-fe-xxx deverão poder se comunicar com os PODs de modelo implantados na porta 5001 em outro namespace. Os PODs azureml-fe-xxx devem abrir as portas 11001, 12001, 12101, 12201, 20000, 8000, 8001, 9001 para comunicação interna.
• Se o cluster for usado para inferência em tempo real, os PODs de modelo implantados deverão poder se comunicar com PODs amlarc-identity-proxy-xxx na porta 9999.

Cenário: Visual Studio Code

O Visual Studio Code depende de hosts e portas específicos para estabelecer uma conexão remota.

Hosts

Os hosts nesta seção são usados para instalar os pacotes do Visual Studio Code para estabelecer uma conexão remota entre o Visual Studio Code e as instâncias de computação no workspace do Azure Machine Learning.

Portos

Você deve permitir o tráfego de rede nas portas 8704 a 8710. O servidor do VS Code seleciona dinamicamente a primeira porta disponível dentro desse intervalo.

Cenário: firewall de terceiros ou Firewall do Azure sem marcas de serviço

A orientação nesta seção é genérica, pois cada firewall tem sua própria terminologia e configurações específicas. Se você tiver dúvidas, verifique a documentação do firewall que está usando.

O firewall poderá causar problemas quando você usar o workspace se não estiver configurado corretamente. Há vários nomes do host que são usados pelo workspace do Azure Machine Learning. As seções a seguir listam os hosts necessários para o Azure Machine Learning.

API de Dependências

Você também pode usar a API REST do Azure Machine Learning para obter uma lista de hosts e portas para as quais deve permitir o tráfego de saída. Para usar essa API, use as seguintes etapas:

1. Obtenha um token de autenticação. O seguinte comando demonstra como usar a CLI do Azure para obter um token de autenticação e uma ID de assinatura:

   TOKEN=$(az account get-access-token --query accessToken -o tsv)
   SUBSCRIPTION=$(az account show --query id -o tsv)
   

2. Chame a API. No comando a seguir, substitua estes valores:

   • Substitua <region> pela região do Azure em que o workspace se encontra. Por exemplo, westus2.
   • Substitua <resource-group> pelo grupo de recursos que contém o espaço de trabalho.
   • Substitua <workspace-name> pelo nome do workspace.

   az rest --method GET \
       --url "https://<region>.api.azureml.ms/rp/workspaces/subscriptions/$SUBSCRIPTION/resourceGroups/<resource-group>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>/outboundNetworkDependenciesEndpoints?api-version=2018-03-01-preview" \
       --header Authorization="Bearer $TOKEN"
   

O resultado da chamada à API é um documento JSON. O seguinte trecho faz parte deste documento:

{
  "value": [
    {
      "properties": {
        "category": "Azure Active Directory",
        "endpoints": [
          {
            "domainName": "login.microsoftonline.com",
            "endpointDetails": [
              {
                "port": 80
              },
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
    {
      "properties": {
        "category": "Azure portal",
        "endpoints": [
          {
            "domainName": "management.azure.com",
            "endpointDetails": [
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
...

Hosts da Microsoft

Os hosts nas tabelas a seguir são de propriedade da Microsoft e fornecem os serviços necessários para o funcionamento adequado do workspace. As tabelas listam hosts para as regiões do Azure públicas, Azure Governamental e Microsoft Azure operado pela 21Vianet.

Hosts gerais do Azure

Hosts do Azure Machine Learning

Hosts de instância e cluster de computação do Azure Machine Learning

Imagens do Docker mantidas pelo Azure Machine Learning

Além disso, use as informações na seção decomputação com IP público para adicionar endereços IP para BatchNodeManagement e AzureMachineLearning.

Para obter informações sobre como restringir o acesso aos modelos implantados no AKS, consulte Restringir o tráfego de saída no Serviço de Kubernetes do Azure.

Monitoramento, métricas e diagnóstico

• dc.applicationinsights.azure.com
• dc.applicationinsights.microsoft.com
• dc.services.visualstudio.com
• *.in.applicationinsights.azure.com

Para obter uma lista de endereços IP para esses hosts, consulte Endereços IP usados pelo Azure Monitor.

Próximas etapas

Este artigo faz parte de uma série sobre como proteger um fluxo de trabalho do Azure Machine Learning. Confira os outros artigos desta série:

• Visão geral da rede virtual

• Habilitar a funcionalidade do estúdio
• Usar o DNS personalizado

Para obter mais informações sobre como configurar o Firewall do Azure, consulte Tutorial: Implantar e configurar o Firewall do Azure usando o portal do Azure.