Come configurare una rete gestita per gli hub di Azure AI Foundry

Articolo
11/19/2024

L'isolamento rete ha due aspetti. Uno è l'isolamento di rete per accedere a un hub di Azure AI Foundry. Un altro è l'isolamento rete delle risorse di calcolo per l'hub e il progetto, ad esempio l'istanza di calcolo, l'endpoint online serverless e quello online gestito. Questo documento illustra quest'ultimo evidenziato nel diagramma. È possibile usare l'isolamento rete predefinito dell'hub per proteggere le risorse di calcolo.

È necessario impostare le configurazioni di isolamento rete seguenti.

Scegliere la modalità di isolamento rete. Sono disponibili due opzioni: la modalità Consenti Internet in uscita o la modalità Consenti solo il traffico in uscita approvato.
Se si usa l'integrazione di Visual Studio Code con la modalità Consenti solo il traffico in uscita approvato, creare le regole in uscita FQDN descritte nella sezione Usare Visual Studio Code.
Se si usano modelli HuggingFace in Modelli con la modalità Consenti solo il traffico in uscita approvato, creare le regole FQDN in uscita descritte nella sezione Usare i modelli HuggingFace.
Se si usa uno dei modelli open source con la modalità Consenti solo il traffico in uscita approvato, creare le regole FQDN in uscita descritte nella sezione Curati da Azure per intelligenza artificiale.

Architettura dell'isolamento rete e modalità di isolamento

Quando si abilita l'isolamento della rete virtuale gestita, viene creata una rete virtuale gestita per l'hub. Le risorse di calcolo gestite create per l'hub usano automaticamente questa rete virtuale gestita. La rete virtuale gestita può usare endpoint privati per le risorse di Azure usate dall'hub, ad esempio Archiviazione di Azure, Azure Key Vault e Registro Azure Container.

Esistono tre diverse modalità di configurazione per il traffico in uscita dalla rete virtuale gestita:

Modalità in uscita	Descrizione	Scenari
Consenti Internet in uscita	Consentire tutto il traffico Internet in uscita dalla rete virtuale gestita.	Si vuole accedere senza restrizioni alle risorse di Machine Learning su Internet, ad esempio pacchetti Python o modelli con training preliminare.¹
Consenti solo il traffico in uscita approvato	Il traffico in uscita è consentito specificando i tag del servizio.	* Si vuole ridurre al minimo il rischio di esfiltrazione di dati, ma è necessario preparare tutti gli artefatti di apprendimento automatico necessari nell'ambiente privato. * Si vuole configurare l'accesso in uscita a un elenco approvato di servizi, tag del servizio o FQDN.
Disabilitata	Il traffico in ingresso e in uscita non è limitato.	Si vuole il traffico in ingresso e in uscita pubblico dall'hub.

¹: È possibile usare le regole in uscita con la modalità Consenti solo il traffico in uscita approvato per ottenere lo stesso risultato dell'uso previsto dalla modalità di Consenti Internet in uscita. Le differenze sono le seguenti:

Usare sempre gli endpoint privati per accedere alle risorse di Azure.
È necessario aggiungere regole per ogni connessione in uscita che bisogna consentire.
L'aggiunta di regole in uscita FQDN aumenta i costi perché questo tipo di regola usa il Firewall di Azure. Se si usano regole del nome di dominio completo in uscita, i costi per Firewall di Azure vengono inclusi nella fatturazione. Per altre informazioni, vedere Prezzi.
Le regole predefinite per Consenti solo il traffico in uscita approvato sono progettate per ridurre al minimo il rischio di esfiltrazione di dati. Eventuali regole in uscita aggiunte possono aumentare il rischio.

La rete virtuale gestita è preconfigurata con le regole predefinite necessarie. Viene configurato anche per le connessioni endpoint private all'hub, all'archiviazione predefinita dell'hub, al registro contenitori e all'insieme di credenziali delle chiavi se sono configurati come privati o la modalità di isolamento dell'hub è impostata per consentire solo il traffico in uscita approvato. Dopo aver scelto la modalità di isolamento, potrebbe essere necessario considerare solo altri requisiti in uscita da aggiungere.

Il diagramma seguente mostra una rete virtuale gestita configurata per consentire Internet in uscita:

Il diagramma seguente mostra una rete virtuale gestita configurata per consentire solo i valori in uscita approvati:

Nota

In questa configurazione, l'archiviazione, l'insieme di credenziali delle chiavi e il registro contenitori usati dall'hub vengono contrassegnati come privati. Poiché vengono contrassegnati come privati, viene usato un endpoint privato per comunicare con questi.

Prerequisiti

Prima di seguire la procedura descritta in questo articolo, assicurarsi di disporre dei prerequisiti seguenti:

Una sottoscrizione di Azure. Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.
Il provider di risorse Microsoft.Network deve essere registrato per la sottoscrizione di Azure. Questo provider di risorse viene usato dall'hub quando si creano endpoint privati per la rete virtuale gestita.

Per informazioni sulla registrazione dei provider di risorse, vedere Risoluzione degli errori di registrazione del provider di risorse.
L'identità di Azure usata per la distribuzione di una rete gestita richiede le azioni di controllo degli accessi in base al ruolo di Azure seguenti per creare endpoint privati:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

Una sottoscrizione di Azure. Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.
Il provider di risorse Microsoft.Network deve essere registrato per la sottoscrizione di Azure. Questo provider di risorse viene usato dall'hub quando si creano endpoint privati per la rete virtuale gestita.

Per informazioni sulla registrazione dei provider di risorse, vedere Risoluzione degli errori di registrazione del provider di risorse.
L'identità di Azure usata per la distribuzione di una rete gestita richiede le azioni di controllo degli accessi in base al ruolo di Azure seguenti per creare endpoint privati:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
L'interfaccia della riga di comando di Azure e l'estensione ml per l'interfaccia della riga di comando di Azure. Per altre informazioni, vedere Installare, configurare e usare l'interfaccia della riga di comando (v2).
Gli esempi dell'interfaccia della riga di comando in questo articolo presuppongono che si usi la shell Bash (o compatibile). Ad esempio, di un sistema Linux o sottosistema Windows per Linux.
Gli esempi dell'interfaccia della riga di comando di Azure in questo articolo usano ws per rappresentare il nome dell'hub e rg per rappresentare il nome del gruppo di risorse. Modificare questi valori in base alle esigenze quando si usano i comandi con la sottoscrizione di Azure.

Una sottoscrizione di Azure. Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare. Provare la versione gratuita o a pagamento di Azure Machine Learning.
Il provider di risorse Microsoft.Network deve essere registrato per la sottoscrizione di Azure. Questo provider di risorse viene usato dall'hub quando si creano endpoint privati per la rete virtuale gestita.

Per informazioni sulla registrazione dei provider di risorse, vedere Risoluzione degli errori di registrazione del provider di risorse.
L'identità di Azure usata per la distribuzione di una rete gestita richiede le azioni di controllo degli accessi in base al ruolo di Azure seguenti per creare endpoint privati:
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
- Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write
Python SDK v2 di Azure Machine Learning. Per altre informazioni sull'SDK, vedere Installare Python SDK v2 per Azure Machine Learning.

Gli esempi riportati in questo articolo presuppongono che il codice inizi con il codice Python seguente. Questo codice importa le classi necessarie quando si crea un hub con rete virtuale gestita, imposta le variabili per la sottoscrizione di Azure e il gruppo di risorse in uso e crea ml_client:

from azure.ai.ml import MLClient
from azure.ai.ml.entities import (
    Hub,
    ManagedNetwork,
    IsolationMode,
    ServiceTagDestination,
    PrivateEndpointDestination,
    FqdnDestination
)
from azure.identity import DefaultAzureCredential

# Replace with the values for your Azure subscription and resource group.
subscription_id = "<SUBSCRIPTION_ID>"
resource_group = "<RESOURCE_GROUP>"

# get a handle to the subscription
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)

Limiti

Azure AI Foundry attualmente non supporta l'uso della propria rete virtuale, ma supporta solo l'isolamento della rete virtuale gestita.
Dopo aver abilitato l'isolamento della rete virtuale gestita di Azure per intelligenza artificiale, non è possibile disabilitarlo.
La rete virtuale gestita usa la connessione dell'endpoint privato per accedere alle risorse private. Non è possibile avere un endpoint privato e un endpoint di servizio contemporaneamente per le risorse di Azure, ad esempio un account di archiviazione. È consigliabile usare gli endpoint privati in tutti gli scenari.
La rete virtuale gestita viene eliminata quando Azure per intelligenza artificiale viene eliminato.
La protezione dell'esfiltrazione di dati viene abilitata automaticamente per la di solo traffico in uscita approvato. Se si aggiungono altre regole in uscita, ad esempio i nomi di dominio completi, Microsoft non può garantire la protezione dall'esfiltrazione di dati a tali destinazioni in uscita.
L'uso delle regole in uscita FQDN aumenta il costo della rete virtuale gestita perché le regole FQDN usano Firewall di Azure. Per altre informazioni, vedere Prezzi.
Le regole in uscita FQDN supportano solo le porte 80 e 443.
Quando si usa un'istanza di calcolo con una rete gestita, usare il comando az ml compute connect-ssh per connettersi al calcolo tramite SSH.
Se la rete gestita è configurata per consentire solo l'approvazione in uscita, non è possibile usare una regola FQDN per accedere agli account Archiviazione di Azure. È invece necessario usare un endpoint privato.

Configurare una rete virtuale gestita per consentire Internet in uscita

Suggerimento

La creazione della rete virtuale gestita viene posticipata fino a quando non viene creata una risorsa di calcolo o il provisioning non viene avviato manualmente. Quando si consente la creazione automatica, potrebbero essere necessari circa 30 minuti per creare la prima risorsa di calcolo perché esegue anche il provisioning della rete.

Creare un nuovo hub:
1. Accedere al portale di Azure e scegliere Azure AI Foundry dal menu Crea una risorsa.
2. Selezionare + Nuovo Azure per intelligenza artificiale.
3. Specificare le informazioni necessarie nella scheda Informazioni di base.
4. Dalla scheda Rete, selezionare Privato con Internet in uscita.
5. Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla scheda Rete. Nella barra laterale Regole in uscita specificare le informazioni seguenti:
  - Nome della regola: un nome della regola. Il nome deve essere univoco per questo hub.
  - Tipo di destinazione: Endpoint privato è l'unica opzione quando l'isolamento rete è privato con Internet in uscita. La rete virtuale gestita dell'hub non supporta la creazione di un endpoint privato per tutti i tipi di risorse di Azure. Per un elenco delle risorse supportate, vedere la sezione Endpoint privati.
  - Sottoscrizione: la sottoscrizione contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
  - Gruppo di risorse: gruppo di risorse contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
  - Tipo di risorsa: tipo di risorsa di Azure.
  - Nome della risorsa: nome della risorsa di Azure.
  - Risorsa secondaria: risorsa secondaria del tipo di risorsa di Azure.
  Seleziona Salva per salvare la regola. È possibile continuare a usare Aggiungi regole in uscita definite dall'utente per aggiungere regole.
6. Continuare a creare l'hub come di consueto.
Aggiornare un hub esistente:
1. Accedere al portale di Azure e selezionare l'hub per cui si vuole abilitare l'isolamento della rete virtuale gestita.
2. Selezionare Rete, quindi selezionare Privato con Internet in uscita.
  - Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla schedaRete. Nella barra laterale Regole in uscita specificare le stesse informazioni usate durante la creazione di un hub nella sezione "Crea un nuovo hub".
  - Per eliminare una regola in uscita, selezionare elimina per la regola.
3. Selezionare Salva nella parte superiore della pagina per salvare le modifiche apportate alla rete virtuale gestita.

Per configurare una rete virtuale gestita che consenta le comunicazioni in uscita su Internet, è possibile usare il parametro --managed-network allow_internet_outbound o un file di configurazione YAML contenente le voci seguenti:

managed_network:
  isolation_mode: allow_internet_outbound

È anche possibile definire le regole in uscita ad altri servizi di Azure su cui si basa l'hub. Queste regole definiscono endpoint privati che consentono a una risorsa di Azure di comunicare in modo sicuro con la rete virtuale gestita. La regola seguente illustra l'aggiunta di un endpoint privato a una risorsa BLOB di Azure.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

È possibile configurare una rete virtuale gestita usando i comandi az ml workspace create o az ml workspace update:

Creare un nuovo hub:

Nell'esempio seguente viene creato un nuovo hub. Il parametro --managed-network allow_internet_outbound configura una rete virtuale gestita per l'hub:
```
az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
Per creare un hub usando invece un file YAML, usare il parametro --file e specificare il file YAML che contiene le impostazioni di configurazione:
```
az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
```
L'esempio YAML seguente definisce un hub con una rete virtuale gestita:
```
name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_internet_outbound
```
Aggiornare un hub esistente:

Avviso

Prima di aggiornare un'area di lavoro esistente per usare una rete virtuale gestita, è necessario eliminare tutte le risorse di calcolo per l'area di lavoro. Sono inclusi l'istanza di calcolo, il cluster di elaborazione e gli endpoint online gestiti.

Nell'esempio seguente viene aggiornato un hub esistente. Il parametro --managed-network allow_internet_outbound configura una rete virtuale gestita per l'hub:
```
az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
```
Per aggiornare un hub esistente usando il file YAML, usare il parametro --file e specificare il file YAML che contiene le impostazioni di configurazione:
```
az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
```
L'esempio YAML seguente definisce una rete virtuale gestita per l'hub. Viene inoltre illustrato come aggiungere una connessione di un endpoint privato a una risorsa usata dall'hub; in questo esempio, un endpoint privato per un archivio BLOB:
```
name: myhub
managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint
```

Per configurare una rete virtuale gestita che consente le comunicazioni internet in uscita, usare la classe ManagedNetwork per definire una rete con IsolationMode.ALLOW_INTERNET_OUTBOUND. È quindi possibile usare l'oggetto ManagedNetwork per creare un nuovo hub o aggiornare una nuova area di lavoro esistente. Per definire le regole in uscita per i servizi di Azure su cui si basa l'hub, usare la classe PrivateEndpointDestination per definire un nuovo endpoint privato per il servizio.

Creare un nuovo hub:

L'esempio seguente crea un nuovo hub denominato myhub, con una regola in uscita denominata myrule che aggiunge un endpoint privato per un archivio BLOB di Azure:

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

Aggiornare un hub esistente:

L'esempio seguente illustra come creare una rete virtuale gestita per un hub esistente denominato myhub:

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
my_hub.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Update the hub
ml_client.workspaces.begin_update(ws)

Configurare una rete virtuale gestita per consentire solo il traffico in uscita approvato

Suggerimento

Il provisioning della rete virtuale gestita viene eseguito automaticamente quando si crea una risorsa di calcolo. Quando si consente la creazione automatica, potrebbero essere necessari circa 30 minuti per creare la prima risorsa di calcolo perché esegue anche il provisioning della rete. Se sono state configurate regole in uscita FQDN, la prima regola FQDN aggiunge circa 10 minuti al tempo di provisioning.

Creare un nuovo hub:
1. Accedere al portale di Azure e scegliere Azure AI Foundry dal menu Crea una risorsa.
2. Selezionare + Nuovo Azure per intelligenza artificiale.
3. Specificare le informazioni necessarie nella scheda Informazioni di base.
4. Dalla scheda Rete, selezionare Privato con traffico in uscita approvato.
5. Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla scheda Rete. Nella barra laterale Regole in uscita specificare le informazioni seguenti:
  - Nome della regola: un nome della regola. Il nome deve essere univoco per questo hub.
  - Tipo di destinazione: endpoint privato, tag del servizio o FQDN. I tag del servizio e il nome di dominio completo sono disponibili solo quando l'isolamento rete è privato traffico in uscita approvato.
  Se il tipo di destinazione è Endpoint privato, fornire le informazioni seguenti:
  - Sottoscrizione: la sottoscrizione contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
  - Gruppo di risorse: gruppo di risorse contenente la risorsa di Azure per cui si vuole aggiungere un endpoint privato.
  - Tipo di risorsa: tipo di risorsa di Azure.
  - Nome della risorsa: nome della risorsa di Azure.
  - Risorsa secondaria: risorsa secondaria del tipo di risorsa di Azure.
  Suggerimento
  
  La rete virtuale gestita dell'hub non supporta la creazione di un endpoint privato per tutti i tipi di risorse di Azure. Per un elenco delle risorse supportate, vedere la sezione Endpoint privati.
  
  Se il tipo di destinazione è Tag del servizio, specificare le informazioni seguenti:
  - Tag del servizio: il tag del servizio da aggiungere alle regole in uscita approvate.
  - Protocollo: il protocollo da consentire per il tag del servizio.
  - Intervalli porte: intervalli di porte da consentire per il tag del servizio.
  Se il tipo di destinazione è FQDN, specificare le informazioni seguenti:
  - Destinazione FQDN: il nome di dominio completo da aggiungere alle regole in uscita approvate.
  Seleziona Salva per salvare la regola. È possibile continuare a usare Aggiungi regole in uscita definite dall'utente per aggiungere regole.
6. Continuare a creare l'hub come di consueto.
Aggiornare un hub esistente:
1. Accedere al portale di Azure e selezionare l'hub per cui si vuole abilitare l'isolamento della rete virtuale gestita.
2. Selezionare Rete, quindi Privato con traffico in uscita approvato.
  - Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla schedaRete. Nella barra laterale Regole in uscita specificare le stesse informazioni usate durante la creazione di un hub nella sezione "Crea un nuovo hub" precedente.
  - Per eliminare una regola in uscita, selezionare elimina per la regola.
3. Selezionare Salva nella parte superiore della pagina per salvare le modifiche apportate alla rete virtuale gestita.

Per configurare una rete virtuale gestita che consenta solo le comunicazioni in uscita approvate, è possibile usare il parametro --managed-network allow_only_approved_outbound o un file di configurazione YAML contenente le voci seguenti:

managed_network:
  isolation_mode: allow_only_approved_outbound

È anche possibile definire regole in uscita per definire le comunicazioni in uscita approvate. È possibile creare una regola in uscita per un tipo di service_tag, fqdn e private_endpoint. La regola seguente illustra l'aggiunta di un endpoint privato a una risorsa BLOB di Azure, un tag del servizio ad Azure Data Factory e un FQDN a pypi.org:

Importante

L'aggiunta di traffico in uscita per un tag del servizio o FQDN è valida solo quando la rete virtuale gestita è configurata su allow_only_approved_outbound.
Se si aggiungono regole in uscita, Microsoft non può garantire l'esfiltrazione di dati.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

È possibile configurare una rete virtuale gestita usando i comandi az ml workspace create o az ml workspace update:

Creare un nuovo hub:

L'esempio seguente usa il parametro --managed-network allow_only_approved_outbound per configurare la rete virtuale gestita:

az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound

Il file YAML seguente definisce un hub con una rete virtuale gestita:

name: myhub
location: EastUS
managed_network:
  isolation_mode: allow_only_approved_outbound

Per creare un hub usando il file YAML, usare il parametro --file:

az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub

Aggiornare un hub esistente

Avviso

Prima di aggiornare un'area di lavoro esistente per usare una rete virtuale gestita, è necessario eliminare tutte le risorse di calcolo per l'area di lavoro. Sono inclusi l'istanza di calcolo, il cluster di elaborazione e gli endpoint online gestiti.

L'esempio seguente usa il parametro --managed-network allow_only_approved_outbound per configurare la rete virtuale gestita per un hub esistente:

az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound

Il file YAML seguente definisce una rete virtuale gestita per l'hub. Illustra anche come aggiungere una rete in uscita approvata alla rete virtuale gestita. In questo esempio viene aggiunta una regola in uscita per entrambi i tag del servizio:

name: myhub_dep
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Per configurare una rete virtuale gestita che consente solo le comunicazioni in uscita approvate, usare la classe ManagedNetwork per definire una rete con IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND. È quindi possibile usare l'oggetto ManagedNetwork per creare un nuovo hub o aggiornare una nuova area di lavoro esistente. Per definire le regole in uscita, usare le classi seguenti:

Destinazione	Classe
Servizio di Azure su cui si basa l'hub	`PrivateEndpointDestination`
Tag del servizio di Azure	`ServiceTagDestination`
nome di dominio completo (FQDN)	`FqdnDestination`

Creare un nuovo hub:

L'esempio seguente crea un nuovo hub denominato myhub, con diverse regole in uscita:

myrule: aggiunge un endpoint privato per un archivio BLOB di Azure.
datafactory: aggiunge una regola di tag del servizio per comunicare con Azure Data Factory.

Importante

L'aggiunta di traffico in uscita per un tag del servizio o FQDN è valida solo quando la rete virtuale gestita è configurata su IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
Se si aggiungono regole in uscita, Microsoft non può garantire l'esfiltrazione di dati.

# Basic managed VNet configuration
network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Hub configuration
ws = Hub(
    name="myhub",
    location="eastus",
    managed_network=network
)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Create the hub
ws = ml_client.workspaces.begin_create(ws).result()

Aggiornare un hub esistente:

L'esempio seguente illustra come creare una rete virtuale gestita per un hub Azure Machine Learning esistente denominato myhub. Nell'esempio vengono aggiunte anche diverse regole in uscita per la rete virtuale gestita:

myrule: aggiunge un endpoint privato per un archivio BLOB di Azure.
datafactory: aggiunge una regola di tag del servizio per comunicare con Azure Data Factory.

Suggerimento

L'aggiunta di traffico in uscita per un tag del servizio o FQDN è valida solo quando la rete virtuale gestita è configurata su IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

# Get the existing hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Update the hub
ml_client.workspaces.begin_update(ws)

Effettuare manualmente il provisioning di una rete virtuale gestita

Il provisioning della rete virtuale gestita viene eseguito automaticamente quando si crea un'istanza di calcolo. Quando si fa affidamento sul provisioning automatico, possono essere necessari circa 30 minuti per creare la prima istanza di calcolo perché viene effettuato anche il provisioning della rete. Se sono state configurate regole in uscita FQDN (disponibili solo con la modalità Consentire solo traffico approvato), la prima regola FQDN aggiunge circa 10 minuti al tempo di provisioning. Se si ha un set di regole in uscita di grandi dimensioni da sottoporre a provisioning nella rete gestita, il completamento del provisioning può richiedere più tempo. Un tempo di provisioning più elevato può causare il timeout della creazione della prima istanza di calcolo.

Per ridurre il tempo di attesa ed evitare potenziali errori di timeout, è consigliabile effettuare manualmente il provisioning della rete gestita. Attendere quindi il completamento del provisioning prima di creare un'istanza di calcolo.

In alternativa, è possibile usare il flag per effettuare il provision_network_now provisioning della rete gestita come parte della creazione dell'hub. Questo flag è in anteprima.

Nota

Per creare una distribuzione online, è necessario effettuare manualmente il provisioning della rete gestita o creare prima un'istanza di calcolo che ne effettui automaticamente il provisioning.

Durante la creazione dell'hub selezionare Provisioning della rete gestita in modo proattivo durante la creazione per effettuare il provisioning della rete gestita. Gli addebiti vengono addebitati dalle risorse di rete, ad esempio gli endpoint privati, dopo il provisioning della rete virtuale. Questa opzione di configurazione è disponibile solo durante la creazione dell'area di lavoro ed è in anteprima.

L'esempio seguente illustra come effettuare il provisioning di una rete virtuale gestita durante la creazione dell'hub. Il --provision-network-now flag è in anteprima.

az ml workspace create -n myworkspace -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now

Nell'esempio seguente viene illustrato come effettuare il provisioning di una rete virtuale gestita.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Per verificare che il provisioning sia stato completato, usare il comando seguente:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

L'esempio seguente illustra come effettuare il provisioning di una rete virtuale gestita durante la creazione dell'hub. Il --provision-network-now flag è in anteprima.

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

L'esempio seguente illustra come effettuare il provisioning di una rete virtuale gestita:

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myAIHubName")

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ai_hub_name).result()

Per verificare che sia stato effettuato il provisioning dell'Hub IA, usare ml_client.workspaces.get() per ottenere informazioni sull'Hub IA. La proprietà managed_network contiene lo stato della rete gestita.

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

Gestire le regole in uscita

Accedere al portale di Azure e selezionare l'hub per cui si vuole abilitare l'isolamento della rete virtuale gestita.
Selezionare Rete. La sezione Accesso in uscita di Azure per intelligenza artificiale consente di gestire le regole in uscita.

Per aggiungere una regola in uscita, selezionare Aggiungi regole in uscita definite dall'utente dalla schedaRete. Nella barra laterale Regole in uscita di Azure per intelligenza artificiale specificare le informazioni seguenti:
Per abilitare o disabilitare una regola, usare l'interruttore nella colonna Attiva.
Per eliminare una regola in uscita, selezionare elimina per la regola.

Per elencare le regole in uscita della rete virtuale gestita per un hub, usare il comando seguente:

az ml workspace outbound-rule list --workspace-name myhub --resource-group rg

Per visualizzare i dettagli di una regola in uscita della rete virtuale gestita, usare il comando seguente:

az ml workspace outbound-rule show --rule rule-name --workspace-name myhub --resource-group rg

Per rimuovere una regola in uscita dalla rete virtuale gestita, usare il comando seguente:

az ml workspace outbound-rule remove --rule rule-name --workspace-name myhub --resource-group rg

L'esempio seguente illustra come gestire le regole in uscita per un hub denominato myhub:

# Connect to the hub
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name="myhub")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Elenco delle regole obbligatorie

Suggerimento

Queste regole vengono aggiunte automaticamente alla rete virtuale gestita.

Endpoint privati:

Quando la modalità di isolamento per la rete virtuale gestita è Allow internet outbound, le regole in uscita dell'endpoint privato vengono create automaticamente come regole necessarie dalla rete virtuale gestita per l'hub e le risorse associate con accesso alla rete pubblica disabilitato (insieme di credenziali delle chiavi, account di archiviazione, registro contenitori, hub).
Quando la modalità di isolamento per la rete virtuale gestita è Allow only approved outbound, le regole in uscita dell'endpoint privato vengono create automaticamente come regole necessarie dalla rete virtuale gestita per l'hub e le risorse associate indipendentemente dalla modalità di accesso alla rete pubblica per queste risorse (insieme di credenziali delle chiavi, account di archiviazione, registro contenitori, hub).

Regole dei tag del servizio in uscita:

AzureActiveDirectory
Azure Machine Learning
BatchNodeManagement.region
AzureResourceManager
AzureFrontDoor.FirstParty
MicrosoftContainerRegistry
AzureMonitor

Regole dei tag del servizio in ingresso :

AzureMachineLearning

Elenco di regole in uscita specifiche dello scenario

Scenario: accedere ai pacchetti di apprendimento automatico pubblici

Per consentire l'installazione di pacchetti Python per il training e la distribuzione, aggiungere regole FQDN in uscita per consentire il traffico verso i nomi host seguenti:

Nota

Questo non è un elenco completo degli host necessari per tutte le risorse di Python su Internet, ma solo dei più usati. Ad esempio, se è necessario accedere a un repository GitHub o a un altro host, occorre identificare e aggiungere gli host necessari per tale scenario.

Nome host	Scopo
`anaconda.com` `*.anaconda.com`	Usato per installare i pacchetti predefiniti.
`*.anaconda.org`	Usato per ricevere i dati del repository.
`pypi.org`	Usato per elencare le dipendenze dall'indice predefinito, se presenti e se l'indice non viene sovrascritto dalle impostazioni utente. Se l'indice è sovrascritto, è necessario consentire anche `*.pythonhosted.org`.
`pytorch.org` `*.pytorch.org`	Usato da alcuni esempi basati su PyTorch.
`*.tensorflow.org`	Usato da alcuni esempi basati su Tensorflow.

Scenario: usare Visual Studio Code

Visual Studio Code si basa su host e porte specifici per stabilire una connessione remota.

Hosts

Se si prevede di usare Visual Studio Code con l'hub, aggiungere regole FQDN in uscita per consentire il traffico agli host seguenti:

*.vscode.dev
vscode.blob.core.windows.net
*.gallerycdn.vsassets.io
raw.githubusercontent.com
*.vscode-unpkg.net
*.vscode-cdn.net
*.vscodeexperiments.azureedge.net
default.exp-tas.com
code.visualstudio.com
update.code.visualstudio.com
*.vo.msecnd.net
marketplace.visualstudio.com
pkg-containers.githubusercontent.com
github.com

Porti

È necessario consentire il traffico di rete verso le porte comprese tra la 8704 e la 8710. Il server di VS Code seleziona in modo dinamico la prima porta disponibile compresa in questo intervallo.

Scenario: usare modelli HuggingFace

Se si prevede di usare modelli HuggingFace con l'hub, aggiungere regole FQDN in uscita per consentire il traffico verso gli host seguenti:

docker.io
*.docker.io
*.docker.com
production.cloudflare.docker.com
cnd.auth0.com
cdn-lfs.huggingface.co

Scenario: Curati da Azure per intelligenza artificiale

Questi modelli comportano l'installazione dinamica delle dipendenze in fase di esecuzione e richiedono regole FQDN in uscita per consentire il traffico verso gli host seguenti:

*.anaconda.org *.anaconda.com anaconda.com pypi.org *.pythonhosted.org *.pytorch.org pytorch.org

Endpoint privati

Gli endpoint privati sono attualmente supportati per i servizi di Azure seguenti:

Hub di Azure AI Foundry
Azure AI Search
Servizi di Azure AI
Gestione API di Azure
Registro Azure Container
Azure Cosmos DB (tutti i tipi di risorse secondarie)
Azure Data Factory
Database di Azure per MariaDB
Database di Azure per MySQL
Database di Azure per PostgreSQL - Server singolo
Database di Azure per PostgreSQL - Server flessibile
Azure Databricks
Hub eventi di Azure
Azure Key Vault
Azure Machine Learning
Registri di Azure Machine Learning
Cache Redis di Azure
Azure SQL Server
Archiviazione di Azure (tutti i tipi di risorse secondarie)

Quando si crea un endpoint privato, si specifica il tipo di risorsa e la risorsa secondaria a cui si connette l'endpoint. Alcune risorse hanno più tipi e risorse secondarie. Per altre informazioni, vedere Che cos'è un endpoint privato.

Quando si crea un endpoint privato per le risorse di dipendenza dell'hub, ad esempio Archiviazione di Azure, Registro Azure Container e Azure Key Vault, la risorsa può trovarsi in una sottoscrizione di Azure diversa. Tuttavia, la risorsa deve trovarsi nello stesso tenant dell'hub.

Un endpoint privato viene creato automaticamente per una connessione se la risorsa di destinazione è una risorsa di Azure elencata in precedenza. È previsto un ID di destinazione valido per l'endpoint privato. Un ID di destinazione valido per la connessione può essere l'ID Azure Resource Manager di una risorsa padre. L'ID di destinazione è previsto anche nella destinazione della connessione o in metadata.resourceid. Per altre informazioni sulle connessioni, vedere Come aggiungere una nuova connessione nel portale di Azure AI Foundry.

Selezionare una versione Firewall di Azure per l'autorizzazione solo in uscita approvata (anteprima)

Viene distribuita una Firewall di Azure se viene creata una regola in uscita FQDN mentre è consentita solo la modalità in uscita approvata. Gli addebiti per il Firewall di Azure sono inclusi nella fatturazione. Per impostazione predefinita, viene creata una versione Standard di AzureFirewall. Facoltativamente, è possibile selezionare per usare una versione di base . È possibile modificare la versione del firewall usata in base alle esigenze. Per capire quale versione è migliore per te, visita Scegliere la versione Firewall di Azure corretta.

Importante

Il firewall non viene creato fino a quando non si aggiunge una regola FQDN in uscita. Per altre informazioni sui prezzi, vedere Prezzi di Firewall di Azure e visualizzare i prezzi per la versione standard.

Usare le schede seguenti per informazioni su come selezionare la versione del firewall per la rete virtuale gestita.

Dopo aver selezionato l'opzione Consenti solo la modalità in uscita approvata, viene visualizzata un'opzione per selezionare la versione Firewall di Azure (SKU). Selezionare Standard per usare la versione standard o Basic per usare la versione di base. Selezionare Salva per salvare la configurazione.

Per configurare la versione del firewall dall'interfaccia della riga di comando, usare un file YAML e specificare .firewall_sku L'esempio seguente illustra un file YAML che imposta lo SKU del firewall su basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Per configurare la versione del firewall da Python SDK, impostare la firewall_sku proprietà dell'oggetto ManagedNetwork . L'esempio seguente illustra come impostare lo SKU del firewall su basic:

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND,
                         firewall_sku='basic')

Prezzi

La funzionalità di rete virtuale gestita dall'hub è gratuita. Tuttavia, vengono addebitati i costi per le seguenti risorse usate dalla rete virtuale gestita:

Collegamento privato di Azure: gli endpoint privati usati per proteggere le comunicazioni tra la rete virtuale gestita e le risorse di Azure si basano sul collegamento privato di Azure. Per altre informazioni sui prezzi, vedere Prezzi di Collegamento privato di Azure.
Regole in uscita FQDN: le regole in uscita FQDN vengono implementate tramite Firewall di Azure. Se si usano regole del nome di dominio completo in uscita, i costi per Firewall di Azure vengono inclusi nella fatturazione. Per impostazione predefinita, viene usata una versione standard di Firewall di Azure. Per informazioni sulla selezione della versione di base, vedere Selezionare una versione Firewall di Azure. Viene effettuato il provisioning di Firewall di Azure per hub.

Importante

Il firewall non viene creato fino a quando non si aggiunge una regola FQDN in uscita. Se non si usano regole FQDN, non verranno addebitati i costi per Firewall di Azure. Per altre informazioni sui prezzi, vedere Prezzi di Firewall di Azure.

Creare l'hub e il progetto di Azure AI Foundry usando l'SDK

Condividi tramite

Come configurare una rete gestita per gli hub di Azure AI Foundry

Architettura dell'isolamento rete e modalità di isolamento

Prerequisiti

Limiti

Configurare una rete virtuale gestita per consentire Internet in uscita

Configurare una rete virtuale gestita per consentire solo il traffico in uscita approvato

Effettuare manualmente il provisioning di una rete virtuale gestita

Gestire le regole in uscita

Elenco delle regole obbligatorie

Elenco di regole in uscita specifiche dello scenario

Scenario: accedere ai pacchetti di apprendimento automatico pubblici

Scenario: usare Visual Studio Code

Hosts

Porti

Scenario: usare modelli HuggingFace

Scenario: Curati da Azure per intelligenza artificiale

Endpoint privati

Selezionare una versione Firewall di Azure per l'autorizzazione solo in uscita approvata (anteprima)

Prezzi

Commenti e suggerimenti

Risorse aggiuntive

Condividi tramite

Come configurare una rete gestita per gli hub di Azure AI Foundry

Architettura dell'isolamento rete e modalità di isolamento

Prerequisiti

Limiti

Configurare una rete virtuale gestita per consentire Internet in uscita

Configurare una rete virtuale gestita per consentire solo il traffico in uscita approvato

Effettuare manualmente il provisioning di una rete virtuale gestita

Gestire le regole in uscita

Elenco delle regole obbligatorie

Elenco di regole in uscita specifiche dello scenario

Scenario: accedere ai pacchetti di apprendimento automatico pubblici

Scenario: usare Visual Studio Code

Hosts

Porti

Scenario: usare modelli HuggingFace

Scenario: Curati da Azure per intelligenza artificiale

Endpoint privati

Selezionare una versione Firewall di Azure per l'autorizzazione solo in uscita approvata (anteprima)

Prezzi

Contenuto correlato

Commenti e suggerimenti

Risorse aggiuntive