Configurar o tráfego de rede de entrada e saída

O Azure Machine Learning requer acesso a servidores e serviços na Internet pública. Ao implementar o isolamento de rede, você precisa entender qual acesso é necessário e como habilitá-lo.

Termos e informações comuns

Os seguintes termos e informações são usados ao longo deste artigo:

• Tags de serviço do Azure: uma marca de serviço é uma maneira fácil de especificar os intervalos de IP usados por um serviço do Azure. Por exemplo, a AzureMachineLearning marca representa os endereços IP usados pelo serviço Azure Machine Learning.

  Importante

  As tags de serviço do Azure são suportadas apenas por alguns serviços do Azure. Para obter uma lista de etiquetas de serviço suportadas com grupos de segurança de rede e Firewall do Azure, consulte o artigo Etiquetas de serviço de rede virtual.

  Se você estiver usando uma solução que não seja do Azure, como um firewall de terceiros 3rd, baixe uma lista de Intervalos de IP do Azure e Tags de Serviço. Extraia o arquivo e procure a etiqueta de serviço dentro do arquivo. Os endereços IP podem mudar periodicamente.

• Região: algumas tags de serviço permitem especificar uma região do Azure. Isso limita o acesso aos endereços IP do serviço em uma região específica, geralmente aquela em que o serviço está. Neste artigo, quando vir <region>, substitua a sua região do Azure. Por exemplo, BatchNodeManagement.<region> seria BatchNodeManagement.uswest se seu espaço de trabalho do Azure Machine Learning estiver na região Oeste dos EUA.

• Azure Batch: os clusters de computação e as instâncias de computação do Azure Machine Learning dependem de uma instância back-end do Azure Batch. Este serviço back-end está hospedado em uma assinatura da Microsoft.

• Portas: As seguintes portas são usadas neste artigo. Se um intervalo de portas não estiver listado nesta tabela, ele é específico para o serviço e pode não ter nenhuma informação publicada sobre para que é usado:

  Porta	Description
  80	Tráfego Web não seguro (HTTP)
  443	Tráfego Web seguro (HTTP)
  445	Tráfego SMB utilizado para aceder a partilhas de ficheiros no armazenamento do Ficheiro do Azure
  8787	Utilizado ao ligar ao RStudio numa instância de computação
  18881	Usado para se conectar ao servidor de idiomas para habilitar o IntelliSense para notebooks em uma instância de computação.

• Protocolo: Salvo indicação em contrário, todo o tráfego de rede mencionado neste artigo utiliza TCP.

Configuração básica

Essa configuração faz as seguintes suposições:

• Você está usando imagens docker fornecidas por um registro de contêiner fornecido e não usará imagens fornecidas pela Microsoft.
• Você está usando um repositório de pacotes Python privado e não acessará repositórios de pacotes públicos, como pypi.org, *.anaconda.comou *.anaconda.org.
• Os pontos de extremidade privados podem se comunicar diretamente uns com os outros dentro da VNet. Por exemplo, todos os serviços têm um ponto de extremidade privado na mesma VNet:
  • Área de trabalho do Azure Machine Learning
  • Conta de Armazenamento do Azure (blob, arquivo, tabela, fila)

Tráfego de entrada

Tráfego de saída

Configuração recomendada para treinamento e implantação de modelos

Tráfego de saída

Para permitir a instalação de pacotes Python para treinamento e implantação, permita o tráfego de saída para os seguintes nomes de host:

Cenário: Instalar o RStudio na instância de computação

Para permitir a instalação do RStudio numa instância de computação, a firewall deve permitir o acesso de saída aos sites para solicitar a imagem do Docker. Adicione a seguinte regra de Aplicativo à sua política de Firewall do Azure:

• Nome: AllowRStudioInstall
• Tipo de Origem: Endereço IP
• Endereços IP de origem: O intervalo de endereços IP da sub-rede onde você criará a instância de computação. Por exemplo, 172.16.0.0/24.
• Tipo de Destino: FQDN
• FQDN alvo: ghcr.io, pkg-containers.githubusercontent.com
• Protocolo: Https:443

Para permitir a instalação de pacotes R, permita o tráfego de saída para cloud.r-project.org. Este host é usado para instalar pacotes RAN.

Cenário: Usando cluster de computação ou instância de computação com um IP público

Ao usar a instância de computação do Azure Machine Learning ou o cluster de computação (com um endereço IP público), permita o tráfego de entrada do serviço Azure Machine Learning. Uma instância de computação ou cluster de computação sem IP público (visualização) não requer essa comunicação de entrada. Um Grupo de Segurança de Rede que permite esse tráfego é criado dinamicamente para você, no entanto, talvez seja necessário também criar rotas definidas pelo usuário (UDR) se você tiver um firewall. Ao criar um UDR para esse tráfego, você pode usar endereços IP ou tags de serviço para rotear o tráfego.

az network route-table route create -g MyResourceGroup --route-table-name MyRouteTable -n AzureMLRoute --address-prefix AzureMachineLearning --next-hop-type Internet

Para obter informações sobre como configurar o UDR, consulte Rotear o tráfego de rede com uma tabela de roteamento.

Cenário: Firewall entre o Azure Machine Learning e os pontos de extremidade do Armazenamento do Azure

Você também deve permitir o acesso de saída para na Storage.<region> porta 445.

Cenário: Espaço de trabalho criado com o sinalizador ativado hbi_workspace

Você também deve permitir o acesso de saída ao Keyvault.<region>. Esse tráfego de saída é usado para acessar a instância do cofre de chaves para o serviço de Lote do Azure back-end.

Para obter mais informações sobre o hbi_workspace sinalizador, consulte o artigo sobre criptografia de dados.

Cenário: Usar computação do Kubernetes

O Cluster Kubernetes executado atrás de um servidor proxy de saída ou firewall precisa de uma configuração de rede de saída extra.

• Para Kubernetes com conexão do Azure Arc, configure os requisitos de rede do Azure Arc necessários para os agentes do Azure Arc.
• Para cluster AKS sem conexão Azure Arc, configure os requisitos de rede de extensão AKS.

Além dos requisitos acima, as seguintes URLs de saída também são necessárias para o Azure Machine Learning,

Requisitos de comunicação no cluster

Para instalar a extensão do Azure Machine Learning na computação do Kubernetes, todos os componentes relacionados ao Azure Machine Learning são implantados em um azureml namespace. A seguinte comunicação no cluster é necessária para garantir que as cargas de trabalho de ML funcionem bem no cluster AKS.

• Os componentes no azureml namespace devem ser capazes de se comunicar com o servidor de API do Kubernetes.
• Os componentes no azureml namespace devem ser capazes de se comunicar uns com os outros.
• Os componentes no azureml namespace devem ser capazes de se comunicar com kube-dns e konnectivity-agent no kube-system namespace.
• Se o cluster for usado para inferência em tempo real, azureml-fe-xxx os PODs deverão ser capazes de se comunicar com os PODs do modelo implantado na porta 5001 em outro namespace. azureml-fe-xxx Os PODs devem abrir portas 11001, 12001, 12101, 12201, 20000, 8000, 8001, 9001 para comunicação interna.
• Se o cluster for usado para inferência em tempo real, os PODs de modelo implantados deverão ser capazes de se comunicar com amlarc-identity-proxy-xxx PODs na porta 9999.

Cenário: Visual Studio Code

O Visual Studio Code depende de hosts e portas específicos para estabelecer uma conexão remota.

Anfitriões

Os hosts nesta seção são usados para instalar pacotes do Visual Studio Code para estabelecer uma conexão remota entre o Visual Studio Code e instâncias de computação em seu espaço de trabalho do Azure Machine Learning.

Portas

Você deve permitir o tráfego de rede para as portas 8704 a 8710. O servidor VS Code seleciona dinamicamente a primeira porta disponível dentro deste intervalo.

Cenário: Firewall de terceiros ou Firewall do Azure sem marcas de serviço

A orientação nesta seção é genérica, pois cada firewall tem sua própria terminologia e configurações específicas. Em caso de dúvidas, verifique a documentação do firewall que está usando.

Se não estiver configurado corretamente, o firewall pode causar problemas ao usar seu espaço de trabalho. Há vários nomes de host que são usados pelo espaço de trabalho do Azure Machine Learning. As seções a seguir listam os hosts necessários para o Azure Machine Learning.

API de dependências

Você também pode usar a API REST do Azure Machine Learning para obter uma lista de hosts e portas para os quais você deve permitir o tráfego de saída . Para usar essa API, use as seguintes etapas:

1. Obtenha um token de autenticação. O comando a seguir demonstra o uso da CLI do Azure para obter um token de autenticação e uma ID de assinatura:

   TOKEN=$(az account get-access-token --query accessToken -o tsv)
   SUBSCRIPTION=$(az account show --query id -o tsv)
   

2. Chame a API. No comando a seguir, substitua os seguintes valores:

   • Substitua <region> pela região do Azure em que seu espaço de trabalho está. Por exemplo, westus2.
   • Substitua <resource-group> pelo grupo de recursos que contém seu espaço de trabalho.
   • Substitua <workspace-name> pelo nome do seu espaço de trabalho.

   az rest --method GET \
       --url "https://<region>.api.azureml.ms/rp/workspaces/subscriptions/$SUBSCRIPTION/resourceGroups/<resource-group>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>/outboundNetworkDependenciesEndpoints?api-version=2018-03-01-preview" \
       --header Authorization="Bearer $TOKEN"
   

O resultado da chamada de API é um documento JSON. O trecho a seguir é um trecho deste documento:

{
  "value": [
    {
      "properties": {
        "category": "Azure Active Directory",
        "endpoints": [
          {
            "domainName": "login.microsoftonline.com",
            "endpointDetails": [
              {
                "port": 80
              },
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
    {
      "properties": {
        "category": "Azure portal",
        "endpoints": [
          {
            "domainName": "management.azure.com",
            "endpointDetails": [
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
...

Anfitriões da Microsoft

Os hosts nas tabelas a seguir são de propriedade da Microsoft e fornecem os serviços necessários para o bom funcionamento do seu espaço de trabalho. As tabelas listam hosts para o público do Azure, Azure Government e Microsoft Azure operados por 21Vianet regiões.

Hosts gerais do Azure

Hosts do Azure Machine Learning

Instância de computação do Azure Machine Learning e hosts de cluster de computação

Imagens do Docker mantidas pelo Azure Machine Learning

Além disso, use as informações na seção Computação com IP público para adicionar endereços IP para BatchNodeManagement e AzureMachineLearning.

Para obter informações sobre como restringir o acesso a modelos implantados no AKS, consulte Restringir tráfego de saída no Serviço Kubernetes do Azure.

Monitoramento, métricas e diagnósticos

• dc.applicationinsights.azure.com
• dc.applicationinsights.microsoft.com
• dc.services.visualstudio.com
• *.in.applicationinsights.azure.com

Para obter uma lista de endereços IP para esses hosts, consulte Endereços IP usados pelo Azure Monitor.

Próximos passos

Este artigo faz parte de uma série sobre como proteger um fluxo de trabalho do Azure Machine Learning. Veja os outros artigos desta série:

• Descrição geral da rede virtual

• Ativar funcionalidade de estúdio
• Utilizar o DNS personalizado

Para obter mais informações sobre como configurar o Firewall do Azure, consulte Tutorial: Implantar e configurar o Firewall do Azure usando o portal do Azure.