Skydda Azure Kubernetes Service-inferensmiljön

Om du har ett Azure Kubernetes-kluster (AKS) bakom det virtuella nätverket skulle du behöva skydda Azure Machine Learning-arbetsyteresurser och en beräkningsmiljö med samma eller peer-kopplade virtuella nätverk. I den här artikeln får du lära dig:

• Vad är en säker AKS-slutsatsdragningsmiljö
• Konfigurera en säker AKS-slutsatsdragningsmiljö

Begränsningar

• Om AKS-klustret ligger bakom ett virtuellt nätverk måste arbetsytan och dess associerade resurser (lagring, nyckelvalv, Azure Container Registry) ha privata slutpunkter eller tjänstslutpunkter i samma eller peer-kopplade virtuella nätverk som AKS-klustrets virtuella nätverk. Mer information om hur du skyddar arbetsytan och associerade resurser finns i Skapa en säker arbetsyta.
• Om din arbetsyta har en privat slutpunkt måste Azure Kubernetes Service-klustret finnas i samma Azure-region som arbetsytan.
• Användning av ett offentligt fullständigt domännamn (FQDN) med ett privat AKS-klusterstöds inte med Azure Machine Learning.

Vad är en säker AKS-slutsatsdragningsmiljö

Azure Machine Learning AKS-slutsatsdragningsmiljön består av arbetsyta, ditt AKS-kluster och tillhörande resurser för arbetsytan – Azure Storage, Azure Key Vault och Azure Container Services (ARC). I följande tabell jämförs hur tjänster får åtkomst till olika delar av Azure Machine Learning-nätverket med eller utan ett virtuellt nätverk.

I en säker AKS-slutsatsdragningsmiljö får AKS-klustret åtkomst till en annan del av Azure Machine Learning-tjänster med endast privat slutpunkt (privat IP). Följande nätverksdiagram visar en skyddad Azure Machine Learning-arbetsyta med ett privat AKS-kluster eller ett AKS-standardkluster bakom det virtuella nätverket.

Konfigurera en säker AKS-slutsatsdragningsmiljö

Om du vill konfigurera en säker AKS-slutsatsdragningsmiljö måste du ha VNet-information för AKS. VNet kan skapas oberoende av varandra eller under AKS-klusterdistribution. Det finns två alternativ för AKS-kluster i ett virtuellt nätverk:

• Distribuera aks-standardklustret till ditt virtuella nätverk
• Eller skapa ett privat AKS-kluster till ditt virtuella nätverk

För aks-standardkluster kan du hitta VNet-information under resursgruppen MC_[rg_name][aks_name][region]för .

När du har VNet-information för AKS-kluster och om du redan har en tillgänglig arbetsyta använder du följande steg för att konfigurera en säker AKS-slutsatsdragningsmiljö:

• Använd information om ditt virtuella AKS-kluster för att lägga till nya privata slutpunkter för Azure Storage-kontot, Azure Key Vault och Azure Container Registry som används av din arbetsyta. Dessa privata slutpunkter bör finnas i samma eller peer-kopplade virtuella nätverk som AKS-kluster. Mer information finns i artikeln om säker arbetsyta med privat slutpunkt .
• Om du har annan lagring som används av dina Azure Machine Learning-arbetsbelastningar lägger du till en ny privat slutpunkt för lagringen. Den privata slutpunkten ska vara i samma eller peer-kopplade virtuella nätverk som AKS-kluster och ha privat DNS-zonintegrering aktiverad.
• Lägg till en ny privat slutpunkt på din arbetsyta. Den här privata slutpunkten ska finnas i samma eller peerkopplade virtuella nätverk som ditt AKS-kluster och ha privat DNS-zonintegrering aktiverad.

Om du har AKS-klustret klart men inte har skapat en arbetsyta ännu kan du använda aks-klustrets virtuella nätverk när du skapar arbetsytan. Använd information om aks-klustrets virtuella nätverk när du följer självstudien skapa säker arbetsyta . När arbetsytan har skapats lägger du till en ny privat slutpunkt i arbetsytan som det sista steget. För alla ovanstående steg är det viktigt att se till att alla privata slutpunkter ska finnas i samma virtuella AKS-klusternätverk och att integreringen av den privata DNS-zonen är aktiverad.

Särskilda anteckningar för att konfigurera en säker AKS-slutsatsdragningsmiljö:

• Använd systemtilldelad hanterad identitet när du skapar en arbetsyta, eftersom lagringskonto med privat slutpunkt endast tillåter åtkomst med systemtilldelad hanterad identitet.
• När du kopplar AKS-kluster till en HBI-arbetsyta tilldelar du en systemtilldelad hanterad identitet med både Storage Blob Data Contributor och Storage Account Contributor roller.
• Om du använder standard-ACR som skapats av arbetsytan kontrollerar du att du har premium-SKU:n för ACR. Aktivera Firewall exception även för att tillåta betrodda Microsoft-tjänster att komma åt ACR.
• Om din arbetsyta också finns bakom ett virtuellt nätverk följer du anvisningarna i anslut på ett säkert sätt till din arbetsyta för att få åtkomst till arbetsytan.
• För privat slutpunkt för lagringskontot måste du aktivera Allow Azure services on the trusted services list to access this storage account.

Nästa steg

Den här artikeln är en del av en serie om att skydda ett Azure Machine Learning-arbetsflöde. Se de andra artiklarna i den här serien:

• Översikt över virtuella nätverk
• Skydda träningsmiljön
• Skydda onlineslutpunkter (slutsatsdragning)
• Aktivera studiofunktioner
• Använda anpassad DNS
• Använda en brandvägg
• Självstudie: Skapa en säker arbetsyta
• Bicep-mall
• Terraform-mall.
• API-plattformsnätverksisolering