Flöde för nätverkstrafik när du använder en säker arbetsyta

  • Artikel

När du placerar din Azure Mašinsko učenje-arbetsyta och associerade resurser i ett virtuellt Azure-nätverk ändras nätverkstrafiken mellan resurser. Utan ett virtuellt nätverk flödar nätverkstrafiken över det offentliga Internet eller i ett Azure-datacenter. När du har introducerat ett virtuellt nätverk kanske du också vill förstärka nätverkssäkerheten. Du kanske till exempel vill blockera inkommande och utgående kommunikation mellan det virtuella nätverket och det offentliga Internet. Azure Mašinsko učenje kräver dock åtkomst till vissa resurser på det offentliga Internet. Den använder till exempel Azure Resource Manager för distributioner och hanteringsåtgärder.

I den här artikeln visas den trafik som krävs till och från det offentliga Internet. Den förklarar också hur nätverkstrafik flödar mellan din klientutvecklingsmiljö och en säker Azure Mašinsko učenje-arbetsyta i följande scenarier:

  • Använda Azure Mašinsko učenje Studio för att arbeta med:

    • Din arbetsyta
    • AutoML
    • Designer
    • Datauppsättningar och datalager

    Azure Mašinsko učenje studio är ett webbaserat användargränssnitt som delvis körs i webbläsaren. Den anropar Azure-tjänster för att utföra uppgifter som att träna en modell, använda designern eller visa datauppsättningar. Vissa av dessa anrop använder ett annat kommunikationsflöde än om du använder Azure Mašinsko učenje SDK, Azure CLI, REST API eller Visual Studio Code.

  • Använd Azure Mašinsko učenje Studio, Azure Mašinsko učenje SDK, Azure CLI eller REST-API:et för att arbeta med:

    • Beräkningsinstanser och kluster
    • Azure Kubernetes Service (AKS)
    • Docker-avbildningar som Azure Mašinsko učenje hanterar

Om ett scenario eller en aktivitet inte visas här bör det fungera på samma sätt med eller utan en säker arbetsyta.

Antaganden

Den här artikeln förutsätter följande konfiguration:

  • Azure Mašinsko učenje-arbetsytan använder en privat slutpunkt för att kommunicera med det virtuella nätverket.
  • Azure Storage-kontot, nyckelvalvet och containerregistret som arbetsytan använder använder också en privat slutpunkt för att kommunicera med det virtuella nätverket.
  • Klientarbetsstationer använder en VPN-gateway eller Azure ExpressRoute för att få åtkomst till det virtuella nätverket.

Krav för inkommande och utgående trafik

Scenario Obligatoriskt inkommande Obligatorisk utgående trafik Ytterligare konfiguration
Få åtkomst till en arbetsyta från studion Inte tillämpligt
  • Microsoft Entra ID
  • Azure Front Door
  • Azure Machine Learning
 Du kan behöva använda en anpassad DNS-server. Mer information finns i Använda din arbetsyta med en anpassad DNS-server.
Använd AutoML, designern, datauppsättningen och datalagringen från studion Ej tillämpligt Ej tillämpligt
  • Konfigurera tjänstens huvudnamn för arbetsytan
  • Tillåt åtkomst från betrodda Azure-tjänster
Mer information finns i Skydda en Azure Mašinsko učenje-arbetsyta med virtuella nätverk.
Använda en beräkningsinstans och ett beräkningskluster
  • Azure Mašinsko učenje på port 44224
  • Azure Batch på portarna 29876-29877
  • Microsoft Entra ID
  • Azure Resource Manager
  • Azure Machine Learning
  • Azure Storage
  • Azure Key Vault
 Om du använder en brandvägg skapar du användardefinierade vägar. Mer information finns i Konfigurera inkommande och utgående nätverkstrafik.
Använda Azure Kubernetes Service Inte tillämpligt Information om den utgående konfigurationen för AKS finns i Säker Azure Kubernetes Service-slutsatsdragningsmiljö.
Använda Docker-avbildningar som Azure Mašinsko učenje hanterar Inte tillämpligt Microsoft Artifact Registry Om containerregistret för din arbetsyta ligger bakom det virtuella nätverket konfigurerar du arbetsytan så att den använder ett beräkningskluster för att skapa avbildningar. Mer information finns i Skydda en Azure Mašinsko učenje-arbetsyta med virtuella nätverk.

Syftet med lagringskonton

Azure Mašinsko učenje använder flera lagringskonton. Var och en lagrar olika data och har ett annat syfte:

  • Din lagring: Lagringskontona i din Azure-prenumeration lagrar dina data och artefakter, till exempel modeller, träningsdata, träningsloggar och Python-skript. Standardlagringskontot för din arbetsyta finns till exempel i din prenumeration. Azure Mašinsko učenje-beräkningsinstansen och beräkningsklustrets åtkomstfil och blobdata i den här lagringen via portarna 445 (SMB) och 443 (HTTPS).

    När du använder en beräkningsinstans eller ett beräkningskluster monteras ditt lagringskonto som en filresurs via SMB-protokollet. Beräkningsinstansen och klustret använder den här filresursen för att lagra objekt som data, modeller, Jupyter Notebooks och datauppsättningar. Beräkningsinstansen och klustret använder den privata slutpunkten när de kommer åt lagringskontot.

  • Microsoft Storage: Azure Mašinsko učenje beräkningsinstans och beräkningskluster förlitar sig på Azure Batch. De har åtkomst till lagring som finns i en Microsoft-prenumeration. Den här lagringen används endast för hantering av beräkningsinstansen eller klustret. Ingen av dina data lagras här. Beräkningsinstansen och beräkningsklustret får åtkomst till blob-, tabell- och ködata i den här lagringen med hjälp av port 443 (HTTPS).

Mašinsko učenje lagrar även metadata i en Azure Cosmos DB-instans. Som standard finns den här instansen i en Microsoft-prenumeration och Microsoft hanterar den. Du kan också använda en Azure Cosmos DB-instans i din Azure-prenumeration. Mer information finns i Datakryptering med Azure Mašinsko učenje.

Scenario: Få åtkomst till en arbetsyta från studion

Kommentar

Informationen i det här avsnittet är specifik för användning av arbetsytan från Azure Mašinsko učenje Studio. Om du använder Azure Mašinsko učenje SDK, REST API, Azure CLI eller Visual Studio Code gäller inte informationen i det här avsnittet för dig.

När du kommer åt din arbetsyta från studion är nätverkstrafikflödena följande:

  • För att autentisera till resurser använder konfigurationen Microsoft Entra-ID.
  • För hanterings- och distributionsåtgärder använder konfigurationen Azure Resource Manager.
  • För uppgifter som är specifika för Azure Mašinsko učenje använder konfigurationen Tjänsten Azure Mašinsko učenje.
  • För åtkomst till Azure Mašinsko učenje Studio använder konfigurationen Azure Front Door.
  • För de flesta lagringsåtgärder flödar trafiken via den privata slutpunkten för standardlagringen för din arbetsyta. I avsnittet Använd AutoML, designern, datamängden och datalagringen från studioavsnittet i den här artikeln beskrivs undantag.
  • Du måste också konfigurera en DNS-lösning som gör att du kan matcha namnen på resurserna i det virtuella nätverket. Mer information finns i Använda din arbetsyta med en anpassad DNS-server.

Diagram över nätverkstrafik mellan klienten och arbetsytan när du använder studion.

Scenario: Använd AutoML, designern, datamängden och datalagringen från studion

Följande funktioner i Azure Mašinsko učenje Studio använder dataprofilering:

  • Datauppsättning: Utforska datamängden från studion.
  • Designer: Visualisera utdata för modulen.
  • AutoML: Visa en dataförhandsgranskning eller profil och välj en målkolumn.
  • Etikettering: Använd etiketter för att förbereda data för ett maskininlärningsprojekt.

Dataprofilering beror på azure-Mašinsko učenje hanterade tjänstens möjlighet att komma åt standardkontot för Azure Storage för din arbetsyta. Den hanterade tjänsten finns inte i det virtuella nätverket, så den kan inte komma åt lagringskontot direkt i det virtuella nätverket. I stället använder arbetsytan ett huvudnamn för tjänsten för att få åtkomst till lagring.

Dricks

Du kan ange ett huvudnamn för tjänsten när du skapar arbetsytan. Om du inte gör det skapas en åt dig och har samma namn som din arbetsyta.

Om du vill tillåta åtkomst till lagringskontot konfigurerar du lagringskontot så att en resursinstans tillåts för din arbetsyta eller väljer Tillåt att Azure-tjänster i listan över betrodda tjänster får åtkomst till det här lagringskontot. Med den här inställningen kan den hanterade tjänsten komma åt lagring via Azures datacenternätverk.

Lägg sedan till tjänstens huvudnamn för arbetsytan till rollen Läsare i lagringskontots privata slutpunkt. Azure använder den här rollen för att verifiera information om arbetsytan och lagringsundernätet. Om de är likadana tillåter Azure åtkomst. Slutligen kräver tjänstens huvudnamn också åtkomst till lagringskontot för blobdatadeltagare .

Mer information finns i avsnittet "Säkra Azure-lagringskonton" i Skydda en Azure-Mašinsko učenje-arbetsyta med virtuella nätverk.

Diagram över trafik mellan klienten, dataprofilering och lagring.

Scenario: Använda en beräkningsinstans och ett beräkningskluster

En Azure Mašinsko učenje beräkningsinstans och beräkningskluster är hanterade tjänster som Microsoft är värd för. De bygger på Azure Batch-tjänsten. Även om de finns i en Microsoft-hanterad miljö matas de också in i ditt virtuella nätverk.

När du skapar en beräkningsinstans eller ett beräkningskluster skapas även följande resurser i ditt virtuella nätverk:

  • En nätverkssäkerhetsgrupp med nödvändiga regler för utgående trafik. Dessa regler tillåter inkommande åtkomst från Azure Mašinsko učenje (TCP på port 44224) och Azure Batch (TCP på portarna 29876-29877).

    Viktigt!

    Om du använder en brandvägg för att blockera Internetåtkomst till det virtuella nätverket måste du konfigurera brandväggen för att tillåta den här trafiken. Med Azure Firewall kan du till exempel skapa användardefinierade vägar. Mer information finns i Konfigurera inkommande och utgående nätverkstrafik.

  • En lastbalanserare med en offentlig IP-adress.

Tillåt även utgående åtkomst till följande tjänsttaggar. Ersätt med Azure-regionen för beräkningsinstansen eller klustret för varje tagg region :

  • Storage.region: Den här utgående åtkomsten används för att ansluta till Azure Storage-kontot i det hanterade virtuella Azure Batch-nätverket.
  • Keyvault.region: Den här utgående åtkomsten används för att ansluta till Azure Key Vault-kontot i det hanterade virtuella Azure Batch-nätverket.

Dataåtkomst från beräkningsinstansen eller klustret går via den privata slutpunkten för lagringskontot för ditt virtuella nätverk.

Om du använder Visual Studio Code på en beräkningsinstans måste du tillåta annan utgående trafik. Mer information finns i Konfigurera inkommande och utgående nätverkstrafik.

Diagram över trafikflödet när du använder en beräkningsinstans eller ett kluster.

Scenario: Använda onlineslutpunkter

Du konfigurerar säkerhet för inkommande och utgående kommunikation separat för hanterade onlineslutpunkter.

Inkommande kommunikation

Du kan skydda inkommande kommunikation med poäng-URL:en för onlineslutpunkten med hjälp public_network_access av flaggan på slutpunkten. Om du anger flaggan till ser du till disabled att onlineslutpunkten endast tar emot trafik från en klients virtuella nätverk via Azure Mašinsko učenje arbetsytans privata slutpunkt.

Flaggan public_network_access för Azure Mašinsko učenje-arbetsytan styr också synligheten för onlineslutpunkten. Om den här flaggan är disabledkan poängslutpunkterna endast nås från virtuella nätverk som innehåller en privat slutpunkt för arbetsytan. Om den här flaggan är enabledkan bedömningsslutpunkten nås från det virtuella nätverket och offentliga nätverk.

Utgående kommunikation

Du kan skydda utgående kommunikation från en distribution på arbetsytans nivå med hjälp av hanterad isolering av virtuella nätverk för din Azure-Mašinsko učenje arbetsyta. Med den här inställningen skapar Azure Mašinsko učenje ett hanterat virtuellt nätverk för arbetsytan. Alla distributioner i arbetsytans hanterade virtuella nätverk kan använda det virtuella nätverkets privata slutpunkter för utgående kommunikation.

Den äldre metoden för nätverksisolering för att skydda utgående kommunikation fungerade genom att inaktivera en distributionsflagga egress_public_network_access . Vi rekommenderar starkt att du hjälper till att skydda utgående kommunikation för distributioner med hjälp av ett arbetsytehanterat virtuellt nätverk i stället. Till skillnad från den äldre metoden egress_public_network_access gäller inte längre distributionsflaggan när du använder ett hanterat virtuellt nätverk på arbetsytan med distributionen. I stället styr de regler som du anger för arbetsytans hanterade virtuella nätverk utgående kommunikation.

Scenario: Använda Azure Kubernetes Service

Information om den nödvändiga utgående konfigurationen för Azure Kubernetes Service finns i Skydda en Azure-Mašinsko učenje slutsatsdragningsmiljö med virtuella nätverk.

Kommentar

Azure Kubernetes Service-lastbalanseraren är inte samma som lastbalanseraren som Azure Mašinsko učenje skapar. Om du vill vara värd för din modell som ett skyddat program som endast är tillgängligt i det virtuella nätverket använder du den interna lastbalanseraren som Azure Mašinsko učenje skapar. Om du vill tillåta offentlig åtkomst använder du den offentliga lastbalanserare som Azure Mašinsko učenje skapar.

Om din modell kräver extra inkommande eller utgående anslutning, till exempel till en extern datakälla, använder du en nätverkssäkerhetsgrupp eller brandväggen för att tillåta trafiken.

Scenario: Använda Docker-avbildningar som Azure Mašinsko učenje hanterar

Azure Mašinsko učenje tillhandahåller Docker-avbildningar som du kan använda för att träna modeller eller utföra slutsatsdragning. Dessa avbildningar finns i Microsoft Artifact Registry.

Om du tillhandahåller egna Docker-avbildningar, till exempel i ett containerregister som du anger, behöver du inte utgående kommunikation med Artifact Registry.

Dricks

Om ditt containerregister skyddas i det virtuella nätverket kan Azure Mašinsko učenje inte använda det för att skapa Docker-avbildningar. I stället måste du ange ett Azure Mašinsko učenje beräkningskluster för att skapa avbildningar. Mer information finns i Skydda en Azure Mašinsko učenje-arbetsyta med virtuella nätverk.

Diagram över trafikflödet när du använder tillhandahållna Docker-avbildningar.

Nästa steg

Nu när du har lärt dig hur nätverkstrafik flödar i en säker konfiguration kan du läsa mer om hur du skyddar Azure Mašinsko učenje i ett virtuellt nätverk genom att läsa översiktsartikeln om isolering och sekretess för virtuella nätverk.

Information om metodtips finns i artikeln Om bästa praxis för Azure Mašinsko učenje för företagssäkerhet.