Configurar a autenticação entre o Azure Machine Learning e outros serviços

APLICA-SE A:Extensão de ML da CLI do Azure v2 (atual)SDK do Python azure-ai-ml v2 (atual)

O Azure Machine Learning consiste em vários serviços do Azure. Há várias maneiras pelas quais a autenticação pode ocorrer entre o Azure Machine Learning e os serviços dos quais ele depende.

• O workspace do Azure Machine Learning usa uma identidade gerenciada para se comunicar com outros serviços. Por padrão, essa é uma identidade gerenciada atribuída pelo sistema. Em vez disso, você também pode usar uma identidade gerenciada atribuída pelo usuário.
• O Azure Machine Learning usa o ACR (Registro de Contêiner do Azure) para armazenar as imagens do Docker usadas para treinar e implantar modelos. Se você permitir que o Azure Machine Learning crie automaticamente o ACR, ele habilitará a conta de administrador.
• O cluster de cálculo do Azure Machine Learning usa uma identidade gerenciada para recuperar as informações de conexão dos armazenamentos de dados do Azure Key Vault e para efetuar pull de imagens do Docker do ACR. Você também pode configurar o acesso baseado em identidade para os armazenamentos de dados, que usarão a identidade gerenciada do cluster de cálculo.
• O acesso a dados pode ocorrer em vários caminhos, dependendo do serviço de armazenamento de dados e da configuração. Por exemplo, a autenticação no armazenamento de dados pode usar uma chave de conta, token, entidade de segurança, identidade gerenciada ou identidade do usuário.
• Os pontos de extremidade online gerenciados podem usar uma identidade gerenciada para acessar os recursos do Azure ao executar a inferência. Para obter mais informações, confira Acessar recursos do Azure de um ponto de extremidade online.

Pré-requisitos

Antes de seguir as etapas neste artigo, verifique se você tem os seguintes pré-requisitos:

• Um Workspace do Azure Machine Learning. Se você não tiver um, use as etapas do artigo Início Rápido: criar recursos de workspace para criar.

• A CLI do Azure e a extensão mlou o SDK do Python v2 do Azure Machine Learning:

  • Para instalar a extensão e a CLI do Azure, consulte Instalar, configurar e usar a CLI (v2).

    Importante

    Os exemplos de CLI neste artigo pressupõem que você esteja usando o shell Bash (ou compatível). Por exemplo, de um sistema Linux ou Subsistema do Windows para Linux.

  • Para instalar o SDK do Python v2, use o seguinte comando:

    pip install azure-ai-ml azure-identity
    

    Para atualizar uma instalação do SDK existente para a versão mais recente, use o seguinte comando:

    pip install --upgrade azure-ai-ml azure-identity
    

    Para saber mais, confira Instalar o SDK do Python v2 para Azure Machine Learning.

• Para atribuir funções, o logon da sua assinatura do Azure deve ter a função de operador de identidade gerenciada ou outra função que conceda as ações necessárias (como o proprietário).

• Você deve estar familiarizado com a criação e o trabalho com identidades gerenciadas.

Tipos de identidade do workspace

O workspace do Azure Machine Learning usa uma identidade gerenciada para se comunicar com outros serviços. No Azure Machine Learning, há suporte para vários tipos de identidade.

Depois que um workspace é criado com o tipo de identidade SAI, ele pode ser atualizado para SAI+UAI, mas não pode ser revertido de SAI+UAI para SAI. Você pode atribuir várias identidades atribuídas pelo usuário ao mesmo workspace.

Tipos de identidade e Registro de Contêiner do Azure

Esta tabela lista a matriz de suporte para autenticação no Registro de Contêiner do Azure, variando conforme o método de autenticação e da configuração de acesso à rede pública do Registro de Contêiner do Azure.

Identidade gerenciada atribuída pelo usuário

Workspace

Você pode adicionar uma identidade gerenciada atribuída pelo usuário ao criar um workspace do Azure Machine Learning no portal do Azure. Use as seguintes etapas ao criar o workspace:

1. Na página Básico, selecione a Conta de Armazenamento do Azure, o Registro de Contêiner do Azure e o Azure Key Vault que você deseja usar com o workspace.
2. Na página Identidade, selecione Identidade atribuída pelo usuário e selecione a identidade gerenciada a ser usada.

As atribuições de função RBAC do Azure a seguir são necessárias na sua identidade gerenciada atribuída pelo usuário para que o workspace do Azure Machine Learning acesse os dados nos recursos associados ao workspace.

Para a criação automatizada de atribuições de função na sua identidade gerenciada atribuída pelo usuário, você poderá usar este modelo do ARM.

Para criar um espaço de trabalho com identidade atribuída pelo usuário, use um dos seguintes métodos:

az ml workspace create -f workspace_creation_with_multiple_UAIs.yml --subscription <subscription ID> --resource-group <resource group name> --name <workspace name>

location: <region name>
identity:
   type: user_assigned
   user_assigned_identities:
    '<UAI resource ID 1>': {}
    '<UAI resource ID 2>': {}
storage_account: <storage acccount resource ID>
key_vault: <key vault resource ID>
image_build_compute: <compute(virtual machine) resource ID>
primary_user_assigned_identity: <one of the UAI resource IDs in the above list>

from azure.ai.ml import MLClient, load_workspace
from azure.identity import DefaultAzureCredential

sub_id="<subscription ID>"
rg_name="<resource group name>"
ws_name="<workspace name>"

client = MLClient(DefaultAzureCredential(), sub_id, rg_name)
wps = load_workspace("workspace_creation_with_multiple_UAIs.yml")

workspace = client.workspaces.begin_create(workspace=wps).result()

Para atualizar identidades atribuídas pelo usuário para um workspace, incluindo adicionar uma nova ou excluir as existentes, use um dos seguintes métodos:

az ml workspace update -f workspace_update_with_multiple_UAIs.yml --subscription <subscription ID> --resource-group <resource group name> --name <workspace name>

identity:
   type: user_assigned
   user_assigned_identities:
    '<UAI resource ID 1>': {}
    '<UAI resource ID 2>': {}
primary_user_assigned_identity: <one of the UAI resource IDs in the above list>

from azure.ai.ml import MLClient, load_workspace
from azure.identity import DefaultAzureCredential

sub_id="<subscription ID>"
rg_name="<resource group name>"
ws_name="<workspace name>"

client = MLClient(DefaultAzureCredential(), sub_id, rg_name)
wps = load_workspace("workspace_update_with_multiple_UAIs.yml")

workspace = client.workspaces.begin_update(workspace=wps).result()

Adicionar uma identidade gerenciada atribuída pelo usuário a um workspace, além de uma identidade atribuída pelo sistema

Em alguns cenários, talvez seja necessário utilizar uma identidade gerenciada atribuída pelo usuário, além da identidade padrão do workspace atribuída pelo sistema. Para adicionar uma identidade gerenciada atribuída pelo usuário, sem alterar a identidade atual do workspace, siga as etapas abaixo:

1. Criar uma identidade gerenciada atribuída pelo usuário. Salve a ID da identidade gerenciada que você criar.

2. Para anexar a identidade gerenciada ao seu workspace, você precisa de um arquivo YAML que especifique a identidade. Veja a seguir um exemplo de conteúdos de um arquivo YAML. Substitua <TENANT_ID>, <RESOURCE_GROUP> e <USER_MANAGED_ID> pelos seus valores.

   identity:
       type: system_assigned,user_assigned
       tenant_id: <TENANT_ID>
       user_assigned_identities:
           '/subscriptions/<SUBSCRIPTION_ID/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<USER_MANAGED_ID>':
           {}
   

3. Use o comando az ml workspace update da CLI do Azure para atualizar seu workspace. Especifique o arquivo YAML da etapa anterior usando o parâmetro --file. Veja o exemplo a seguir, que mostra como é esse comando:

   az ml workspace update --resource-group <RESOURCE_GROUP> --name <WORKSPACE_NAME> --file <YAML_FILE_NAME>.yaml
   

Cluster de computação

A identidade gerenciada padrão é a identidade gerenciada atribuída pelo sistema ou a primeira identidade gerenciada atribuída pelo usuário.

Durante uma execução, existem duas aplicações de uma identidade:

1. O sistema usa uma identidade para configurar as montagens de armazenamento do usuário, o registro do contêiner e os armazenamentos de dados.

   • Nesse caso, o sistema usará a identidade gerenciada por padrão.

2. Você aplicará uma identidade para acessar os recursos de dentro do código para um trabalho enviado:

   • Nesse caso, forneça o client_id correspondente à identidade gerenciada que você deseja usar para recuperar uma credencial.
   • Como alternativa, obtenha o ID do cliente da identidade atribuída pelo usuário por meio da variável de ambiente DEFAULT_IDENTITY_CLIENT_ID.

   Por exemplo, para recuperar um token para um armazenamento de dados com a identidade gerenciada por padrão:

   client_id = os.environ.get('DEFAULT_IDENTITY_CLIENT_ID')
   credential = ManagedIdentityCredential(client_id=client_id)
   token = credential.get_token('https://storage.azure.com/')
   

Para configurar um cluster de cálculo com identidade gerenciada, use um dos seguintes métodos:

az ml compute create -f create-cluster.yml

$schema: https://azuremlschemas.azureedge.net/latest/amlCompute.schema.json 
name: basic-example
type: amlcompute
size: STANDARD_DS3_v2
min_instances: 0
max_instances: 2
idle_time_before_scale_down: 120
identity:
  type: user_assigned
  user_assigned_identities: 
    - resource_id: "identity_resource_id"

$schema: https://azuremlschemas.azureedge.net/latest/amlCompute.schema.json 
name: basic-example
type: amlcompute
size: STANDARD_DS3_v2
min_instances: 0
max_instances: 2
idle_time_before_scale_down: 120
identity:
  type: system_assigned

export MSI_NAME=my-cluster-identity
export COMPUTE_NAME=mycluster-msi

does_compute_exist()
{
  if [ -z $(az ml compute show -n $COMPUTE_NAME --query name) ]; then
    echo false
  else
    echo true
  fi
}

echo "Creating MSI $MSI_NAME"
# Get the resource id of the identity
IDENTITY_ID=$(az identity show --name "$MSI_NAME" --query id -o tsv | tail -n1 | tr -d "[:cntrl:]" || true)
if [[ -z $IDENTITY_ID ]]; then
    IDENTITY_ID=$(az identity create -n "$MSI_NAME" --query id -o tsv | tail -n1 | tr -d "[:cntrl:]")
fi
echo "MSI created: $MSI_NAME"
sleep 15 # Let the previous command finish: https://github.com/Azure/azure-cli/issues/8530


echo "Checking if compute $COMPUTE_NAME already exists"
if [ "$(does_compute_exist)" == "true" ]; then
  echo "Skipping, compute: $COMPUTE_NAME exists"
else
  echo "Provisioning compute: $COMPUTE_NAME"
  az ml compute create --name "$COMPUTE_NAME" --type amlcompute --identity-type user_assigned --user-assigned-identities "$IDENTITY_ID"
fi
az ml compute update --name "$COMPUTE_NAME" --identity-type user_assigned --user-assigned-identities "$IDENTITY_ID"

export COMPUTE_NAME=mycluster-sa

does_compute_exist()
{
  if [ -z $(az ml compute show -n $COMPUTE_NAME --query name) ]; then
    echo false
  else
    echo true
  fi
}

echo "Checking if compute $COMPUTE_NAME already exists"
if [ "$(does_compute_exist)" == "true" ]; then
  echo "Skipping, compute: $COMPUTE_NAME exists"
else
  echo "Provisioning compute: $COMPUTE_NAME"
  az ml compute create --name "$COMPUTE_NAME" --type amlcompute
fi

az ml compute update --name "$COMPUTE_NAME" --identity-type system_assigned

from azure.ai.ml.entities import ManagedIdentityConfiguration, IdentityConfiguration, AmlCompute
from azure.ai.ml.constants import ManagedServiceIdentityType

# Create an identity configuration from the user-assigned managed identity
managed_identity = ManagedIdentityConfiguration(resource_id="/subscriptions/<subscription_id>/resourcegroups/<resource_group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>")
identity_config = IdentityConfiguration(type = ManagedServiceIdentityType.USER_ASSIGNED, user_assigned_identities=[managed_identity])

# specify aml compute name.
cpu_compute_target = "cpu-cluster"

try:
    ml_client.compute.get(cpu_compute_target)
except Exception:
    print("Creating a new cpu compute target...")
    # Pass the identity configuration
    compute = AmlCompute(
        name=cpu_compute_target, size="STANDARD_D2_V2", min_instances=0, max_instances=4, identity=identity_config
    )
    ml_client.compute.begin_create_or_update(compute)

Armazenamento de dados

Quando você cria um armazenamento de dados que usa o acesso aos dados baseado em identidade, sua conta do Azure (token do Microsoft Entra) é usada para confirmar que você tem permissão para acessar o serviço de armazenamento. No cenário de acesso a dados baseado em identidade, nenhuma credencial de autenticação é salva. Somente as informações da conta de armazenamento são armazenadas no armazenamento de dados.

Por outro lado, armazenamentos de dados que usam informações de conexão de cache de autenticação baseada em credenciais, como a chave de conta de armazenamento ou o token SAS, no cofre de chaves associado ao workspace. Essa abordagem tem a limitação de que outros usuários do workspace com permissões suficientes podem recuperar essas credenciais, o que pode ser uma preocupação de segurança para algumas organizações.

Para obter mais informações sobre como o acesso a dados é autenticado, confira o artigo Administração de dados. Para obter informações sobre como configurar o acesso baseado em identidade para os dados, confira Criar armazenamentos de dados.

Existem dois cenários no Azure Machine Learning nos quais você pode aplicar o acesso a dados com base em identidade. Esses cenários são ideais para o acesso com base em identidade quando você está trabalhando com dados confidenciais e precisa de um gerenciamento de acesso a dados mais granular:

• Acessando serviços de armazenamento
• Modelos de treinamento de machine learning

O acesso baseado em identidade permite usar o RBAC (controle de acesso baseado em função) para restringir quais identidades, como usuários ou recursos de computação, terão acesso aos dados.

Acessando serviços de armazenamento

Você pode se conectar aos serviços de armazenamento por meio do acesso a dados baseado em identidade com os armazenamentos de dados do Azure Machine Learning.

Quando você usa o acesso aos dados baseado em identidade, o Azure Machine Learning solicita o token do Microsoft Entra para autenticar o acesso aos dados, em vez de manter suas credenciais no armazenamento de dados. Essa abordagem permite o gerenciamento de acesso a dados no nível do armazenamento e mantém a confidencialidade das credenciais.

O mesmo comportamento será aplicado ao trabalhar com dados de maneira interativa por meio de um Jupyter Notebook no computador local ou na instância de computação.

Para ajudar a garantir que você se conecte com segurança ao seu serviço de armazenamento no Azure, o Azure Machine Learning exige que você tenha permissão para acessar o armazenamento de dados correspondente.

O acesso a dados com base em identidade dá suporte a conexões apenas com os seguintes serviços de armazenamento.

• Armazenamento do Blobs do Azure
• Azure Data Lake Storage Gen1
• Azure Data Lake Storage Gen2

Para acessar esses serviços de armazenamento, você deve ter pelo menos acesso ao Leitor de Dados do Storage Blob da conta de armazenamento. Somente os proprietários da conta de armazenamento podem alterar seu nível de acesso por meio do portal do Azure.

Acessar dados para trabalhos de treinamento na computação usando a identidade gerenciada

Alguns cenários de aprendizado de máquina envolvem trabalhar com dados privados. Nesses casos, os cientistas de dados poderão não ter acesso direto aos dados como usuários do Microsoft Entra. Nesse cenário, a identidade gerenciada de um computador poderá ser usada para a autenticação de acesso a dados. Nesse cenário, os dados somente poderão ser acessados de uma instância de computação ou um cluster de computação de aprendizado de máquina executando um trabalho de treinamento. Com essa abordagem, o administrador concederá à instância de computação ou à identidade gerenciada do cluster de cálculo permissões de Leitor de Dados Blob de Armazenamento no armazenamento. Os cientistas de dados individuais não precisam receber acesso.

Para habilitar a autenticação com a identidade gerenciada de computação:

• Crie a computação com a identidade gerenciada habilitada. Consulte a seção Cluster de computação ou, para instância de computação, a seção Atribuir identidade gerenciada.

  Importante

  Se a instância de computação também estiver configurada para desligamento ocioso, ela não será desligada devido à inatividade, a menos que a identidade gerenciada tenha acesso de colaborador ao espaço de trabalho do Azure Machine Learning. Para obter mais informações sobre a atribuição de permissões, consulte Gerenciar o acesso aos espaços de trabalho do Azure Machine Learning.

• Conceda à identidade gerenciada de computação, pelo menos, a função Leitor de Dados do Blob de Armazenamento na conta de armazenamento.

• Crie armazenamentos de dados com a autenticação baseada em identidade habilitada. Confira Criar armazenamentos de dados.

Depois que a autenticação baseada em identidade estiver habilitada, a identidade gerenciada de computação será usada por padrão ao acessar dados nos seus trabalhos de treinamento. Opcionalmente, você pode se autenticar com a identidade do usuário usando as etapas descritas na próxima seção.

Para obter informações sobre como usar a configuração de RBAC do Azure para o armazenamento, consulte controles de acesso baseados em função.

Acessar dados para trabalhos de treinamento em clusters de cálculo usando a identidade do usuário

APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

Ao treinar com clusters de cálculo do Azure Machine Learning, será possível autenticar no armazenamento com o token de usuário do Microsoft Entra.

Esse modo de autenticação permite:

• Configure permissões refinadas, em que diferentes usuários de workspace podem ter acesso a diferentes contas de armazenamento ou pastas dentro de contas de armazenamento.
• Permite que os cientistas de dados reutilizem as permissões existentes nos sistemas de armazenamento.
• Audite o acesso ao armazenamento porque os logs de armazenamento mostram quais identidades foram usadas para acessar dados.

As etapas a seguir descrevem como configurar o acesso a dados com identidade de usuário para trabalhos de treinamento em clusters de computação da CLI.

1. Conceda acesso à identidade do usuário aos recursos de armazenamento. Por exemplo, conceda ao StorageBlobReader acesso à conta de armazenamento específica que você deseja usar ou conceder permissão baseada em ACL para pastas ou arquivos específicos no armazenamento do Azure Data Lake Gen 2.

2. Crie um armazenamento de dados Azure Machine Learning sem credenciais armazenadas em cache para a conta de armazenamento. Se um armazenamento de dados tiver credenciais armazenadas em cache, como a chave da conta de armazenamento, essas credenciais serão usadas em vez da identidade do usuário.

3. Envie um trabalho de treinamento com identidade de propriedade definida para digitar: user_identity, conforme mostrado na seguinte especificação de trabalho. Durante o trabalho de treinamento, a autenticação no armazenamento ocorre por meio da identidade do usuário que envia o trabalho.

   Observação

   Se a propriedade de identidade não for especificada e o armazenamento de dados não tiver credenciais armazenadas em cache, a identidade gerenciada de computação se tornará a opção de reserva.

   command: |
   echo "--census-csv: ${{inputs.census_csv}}"
   python hello-census.py --census-csv ${{inputs.census_csv}}
   code: src
   inputs:
   census_csv:
       type: uri_file 
       path: azureml://datastores/mydata/paths/census.csv
   environment: azureml:AzureML-sklearn-1.0-ubuntu20.04-py38-cpu@latest
   compute: azureml:cpu-cluster
   identity:
   type: user_identity
   

As etapas a seguir descrevem como configurar o acesso a dados com identidade de usuário para trabalhos de treinamento em clusters de computação de SDK Python.

1. Conceda acesso a dados e crie o armazenamento de dados conforme descrito acima para a CLI.

2. Envie um trabalho de treinamento com o parâmetro de identidade definido como azure.ai.ml.UserIdentityConfiguration. Essa configuração de parâmetro permite que o trabalho acesse dados em nome do usuário que envia o trabalho.

   from azure.ai.ml import command
   from azure.ai.ml.entities import Data, UriReference
   from azure.ai.ml import Input
   from azure.ai.ml.constants import AssetTypes
   from azure.ai.ml import UserIdentityConfiguration
   
   # Specify the data location
   my_job_inputs = {
       "input_data": Input(type=AssetTypes.URI_FILE, path="<path-to-my-data>")
   }
   
   # Define the job
   job = command(
       code="<my-local-code-location>", 
       command="python <my-script>.py --input_data ${{inputs.input_data}}",
       inputs=my_job_inputs,
       environment="AzureML-sklearn-0.24-ubuntu18.04-py37-cpu:9",
       compute="<my-compute-cluster-name>",
       identity= UserIdentityConfiguration() 
   )
   # submit the command
   returned_job = ml_client.jobs.create_or_update(job)
   

Trabalhar com redes virtuais

Por padrão, o Azure Machine Learning não pode se comunicar com uma conta de armazenamento que está por trás de um firewall ou em uma rede virtual.

Você pode configurar as contas de armazenamento para permitir o acesso somente a partir de redes virtuais específicas. Essa configuração requer etapas extras para garantir que os dados não sejam vazados para fora da rede. Esse comportamento é o mesmo para acesso a dados com base em credenciais. Para obter mais informações, confira Como evitar a exfiltração de dados.

Se sua conta de armazenamento tiver configurações de rede virtual, isso determina qual tipo de identidade e acesso de permissões é necessário. Por exemplo, para visualização de dados e perfil de dados, as configurações de rede virtual determinam que tipo de identidade é usada para autenticar o acesso a dados.

• Em cenários em que apenas determinados IPs e sub-redes têm permissão para acessar o armazenamento, o Azure Machine Learning usa a MSI do workspace para realizar visualizações de dados e perfis.

• Se o seu armazenamento for ADLS Gen 2 ou Blob e tiver configurações de rede virtual, os clientes poderão usar a identidade do usuário ou o MSI do workspace, dependendo das configurações de armazenamento de dados definidas durante a criação.

• Se a configuração de rede virtual for "Permitir que os serviços do Azure na lista de serviços confiáveis acessem essa conta de armazenamento", o MSI do workspace será usado.

Cenário: Registro de Contêiner do Azure sem usuário administrador

Quando você desabilita o usuário administrador do ACR, o Azure Machine Learning usa uma identidade gerenciada para compilar e efetuar pull de imagens do Docker. Há dois fluxos de trabalho quando o Azure Machine Learning é configurado para usar um ACR com o usuário administrador desabilitado:

• Permita que o Azure Machine Learning crie a instância do ACR e desabilite o usuário administrador posteriormente.
• Traga um ACR existente com o usuário administrador já desabilitado.

Azure Machine Learning com a instância do ACR criada automaticamente

1. Crie um workspace do Azure Machine Learning.

2. Execute uma ação que exija o Registro de Contêiner do Azure. Por exemplo, o Tutorial: treinar o primeiro modelo.

3. Obtenha o nome do ACR criado pelo cluster.

   APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

   az ml workspace show --name <my workspace name> \
   --resource-group <my resource group> \
   --subscription <my subscription id> \
   --query container_registry
   

   Esse comando retorna um valor semelhante ao texto a seguir. Você quer apenas a última parte do texto, que é o nome da instância do ACR:

   /subscriptions/<subscription id>/resourceGroups/<my resource group>/providers/MicrosoftContainerReggistry/registries/<ACR instance name>
   

4. Atualize o ACR para desabilitar o usuário administrador:

   az acr update --name <ACR instance name> --admin-enabled false
   

Traga sua própria ACR

Se o usuário administrador do ACR não for permitido pela política de assinatura, primeiro crie ACR sem usuário administrador e, em seguida, associe-o ao espaço de trabalho. Crie um ACR de CLI do Azure sem definir o --admin-enabled argumento ou de portal do Azure sem habilitar o usuário administrador. Em seguida, ao criar Azure Machine Learning espaço de trabalho, especifique a ID de recurso do Azure do ACR. O seguinte exemplo demonstra como criar um workspace do Azure Machine Learning que usa um ACR existente:

APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

az ml workspace create -n <workspace name> \
-g <workspace resource group> \
-l <region> \
--container-registry /subscriptions/<subscription id>/resourceGroups/<acr resource group>/providers/Microsoft.ContainerRegistry/registries/<acr name>

Caso você já possua um ACR existente com o usuário administrador desabilitado, é possível associá-lo ao workspace realizando uma atualização. O exemplo a seguir ilustra como atualizar um workspace do Azure Machine Learning para usar um ACR já existente:

APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

az ml workspace update --update-dependent-resources \
--name <workspace name> \
--resource-group <workspace resource group> \
--container-registry /subscriptions/<subscription id>/resourceGroups/<acr resource group>/providers/Microsoft.ContainerRegistry/registries/<acr name>

Criar computação com identidade gerenciada para acessar imagens do Docker para treinamento

Para acessar o ACR do espaço de trabalho, crie o cluster de computação do Machine Learning com a identidade gerenciada atribuída pelo sistema habilitada. Você pode habilitar a identidade de portal do Azure ou Studio ao criar a computação ou de CLI do Azure usando o abaixo. Para obter mais informações, consulte usando a identidade gerenciada com clusters de computação.

az ml compute create --name cpu-cluster --type <cluster name>  --identity-type systemassigned

from azure.ai.ml.entities import IdentityConfiguration, AmlCompute
from azure.ai.ml.constants import ManagedServiceIdentityType

# Create an identity configuration for a system-assigned managed identity
identity_config = IdentityConfiguration(type = ManagedServiceIdentityType.SYSTEM_ASSIGNED)

# specify aml compute name.
cpu_compute_target = "cpu-cluster"

try:
    ml_client.compute.get(cpu_compute_target)
except Exception:
    print("Creating a new cpu compute target...")
    # Pass the identity configuration
    compute = AmlCompute(
        name=cpu_compute_target, size="STANDARD_D2_V2", min_instances=0, max_instances=4, identity=identity_config
    )
    ml_client.compute.begin_create_or_update(compute)

Uma identidade gerenciada recebe automaticamente a função ACRPull no ACR do espaço de trabalho para habilitar a extração de imagens do Docker para treinamento.

Usar imagens do Docker para inferência

Depois de configurar o ACR sem o usuário administrador, conforme descrito anteriormente, você pode acessar as imagens do Docker para inferência sem chaves de administração do seu AKS (serviço kubernetes do Azure). Quando você cria ou anexa AKS ao espaço de trabalho, a entidade de serviço do cluster recebe automaticamente o acesso de ACRPull ao ACR do espaço de trabalho.

Cenário: usar um Registro de Contêiner do Azure privado

Por padrão, o Azure Machine Learning usa imagens base do Docker que vêm de um repositório público gerenciado pela Microsoft. Em seguida, ele cria seu ambiente de treinamento ou inferência nessas imagens. Para saber mais, confira O que são Ambientes ML.

Para usar uma imagem de base personalizada interna à sua empresa, você pode usar identidades gerenciadas para acessar seu ACR privado. Há dois casos de uso:

• Use a imagem base para treinamento como está.
• Crie Azure Machine Learning imagem gerenciada com imagem personalizada como base.

Extrair a imagem base do Docker para o cluster de computação do Machine Learning para treinamento como está

Crie o cluster de computação do Machine Learning com a identidade gerenciada atribuída pelo sistema habilitada conforme descrito anteriormente. Em seguida, determine a ID de entidade de segurança da identidade gerenciada.

APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

az ml compute show --name <cluster name> -n <workspace> -g <resource group>

Opcionalmente, você pode atualizar o cluster de computação para atribuir uma identidade gerenciada atribuída pelo usuário:

APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

az ml compute update --name <cluster name> --user-assigned-identities <my-identity-id>

Para permitir que o cluster de computação Extraia as imagens base, conceda a função de ACRPull de identidade de serviço gerenciada no ACR privado

APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

az role assignment create --assignee <principal ID> \
--role acrpull \
--scope "/subscriptions/<subscription ID>/resourceGroups/<private ACR resource group>/providers/Microsoft.ContainerRegistry/registries/<private ACR name>"

Por fim, crie um ambiente e especifique o local da imagem base no arquivo YAML do ambiente.

APLICA-SE A: Extensão de ML da CLI do Azurev2 (atual)

$schema: https://azuremlschemas.azureedge.net/latest/environment.schema.json
name: docker-image-example
image: pytorch/pytorch:latest
description: Environment created from a Docker image.

az ml environment create --file <yaml file>

Agora você pode usar o ambiente em um trabalho de treinamento.

Crie Azure Machine Learning ambiente gerenciado na imagem base do ACR privado para treinamento ou inferência

Próximas etapas

• Saiba mais sobre a Segurança corporativa no Azure Machine Learning
• Saiba mais sobre administração de dados
• Saiba mais sobre identidades gerenciadas em cluster de computação.