Impostare l'autenticazione tra Azure Machine Learning e altri servizi

SI APPLICA A:estensione ml dell'interfaccia della riga di comando di Azure v2 (corrente)Python SDK azure-ai-ml v2 (corrente)

Azure Machine Learning è costituita di più servizi di Azure. Ci sono molteplici modi in cui può avvenire l'autenticazione tra Azure Machine Learning e i servizi di cui si avvale.

• L'area di lavoro di Azure Machine Learning utilizza un'identità gestita per comunicare con altri servizi. Per impostazione predefinita, si tratta di un'identità gestita assegnata dal sistema. È possibile utilizzare anche un'identità gestita assegnata dall'utente al posto di quella predefinita.
• Azure Machine Learning usa Registro Azure Container (ACR) per archiviare le immagini Docker utilizzate per eseguire il training e distribuire i modelli. Se si consente ad Azure Machine Learning di creare automaticamente un ACR, verrà abilitato l'account amministratore.
• Il cluster dell'ambiente di calcolo di Azure Machine Learning utilizza un'identità gestita per recuperare informazioni di connessione per gli archivi dati da Azure Key Vault e per estrarre immagini Docker da ACR. È possibile configurare anche l'accesso basato sull'identità agli archivi dati, che utilizzerà invece l'identità gestita del cluster di elaborazione.
• L'accesso ai dati può avvenire attraverso percorsi multipli a seconda del servizio di archiviazione dati e della configurazione. Ad esempio, l'autenticazione all'archivio dati può utilizzare una chiave dell'account, un token, un'entità di sicurezza, un'identità gestita o un'identità utente.
• Gli endpoint online gestiti possono utilizzare un'identità gestita per accedere alle risorse Azure durante l'esecuzione dell'inferenza. Per altre informazioni, vedere Accedere alle risorse di Azure da un endpoint online.

Prerequisiti

Prima di seguire la procedura descritta in questo articolo, assicurarsi di disporre dei prerequisiti seguenti:

• Un'area di lavoro di Azure Machine Learning. Se non è disponibile, seguire la procedura descritta nell'articolo Avvio rapido: Creare risorse dell'area di lavoro per crearne una.

• L'interfaccia della riga di comando di Azure e l'estensione ml oppure Python SDK v2 per Azure Machine Learning:

  • Per installare l'interfaccia della riga di comando di Azure e l'estensione, vedere Installare, configurare e usare l'interfaccia della riga di comando di Azure (v2).

    Importante

    Gli esempi dell'interfaccia della riga di comando in questo articolo presuppongono che si usi la shell Bash (o compatibile). Ad esempio, un sistema Linux o un sottosistema Windows per Linux.

  • Per installare Python SDK v2, usare il comando seguente:

    pip install azure-ai-ml azure-identity
    

    Per aggiornare un'installazione esistente di SDK alla versione più recente, usare il comando seguente:

    pip install --upgrade azure-ai-ml azure-identity
    

    Per altre informazioni, vedere Installare Python SDK v2 per Azure Machine Learning.

• Per assegnare ruoli, l'accesso alla tua sottoscrizione Azure deve avere il ruolo di Operatore per identità gestita, o un altro ruolo che conceda le azioni richieste (come Proprietario).

• È necessario avere familiarità con la creazione e l'uso delle Identità gestite.

Tipi di identità dell'area di lavoro

L'area di lavoro di Azure Machine Learning utilizza un'identità gestita per comunicare con altri servizi. Sono supportati più tipi di identità per Azure Machine Learning.

Dopo aver creato un'area di lavoro con il tipo di identità SAI, può essere aggiornata a SAI+UAI, ma non da SAI+UAI a SAI. È possibile assegnare più identità assegnate dall'utente alla stessa area di lavoro.

Registro Azure Container e tipi di identità

Questa tabella seguente elenca la matrice di supporto durante l'autenticazione di un hub in Registro Azure Container, a seconda del metodo di autenticazione e della configurazione dell'accesso alla rete pubblica del Registro Azure Container.

Identità gestita assegnata dall'utente

Area di lavoro

È possibile aggiungere un'identità gestita assegnata dall'utente quando si crea un'area di lavoro di Azure Machine Learning dal portale di Azure. Eseguire la procedura seguente durante la creazione dell'area di lavoro:

1. Dalla pagina Informazioni di base, selezionare l'account di archiviazione Azure, Registro Azure Container e Azure Key Vault che si vuole utilizzare con l'area di lavoro.
2. Dalla pagina Identità, selezionare Identità assegnata dall'utente e quindi selezionare l'identità gestita da utilizzare.

Le seguenti assegnazioni di ruolo Controllo degli accessi in base al ruolo di Azure sono richieste sull'identità gestita assegnata dall'utente affinché l'area di lavoro di Azure Machine Learning possa accedere ai dati sulle risorse associate all'area di lavoro.

Per la creazione automatizzata di assegnazioni di ruolo sulla tua identità gestita assegnata dall'utente, puoi utilizzare questo modello di ARM.

Per creare un'area di lavoro con più identità assegnate dall'utente, usare uno dei metodi seguenti:

az ml workspace create -f workspace_creation_with_multiple_UAIs.yml --subscription <subscription ID> --resource-group <resource group name> --name <workspace name>

location: <region name>
identity:
   type: user_assigned
   user_assigned_identities:
    '<UAI resource ID 1>': {}
    '<UAI resource ID 2>': {}
storage_account: <storage acccount resource ID>
key_vault: <key vault resource ID>
image_build_compute: <compute(virtual machine) resource ID>
primary_user_assigned_identity: <one of the UAI resource IDs in the above list>

from azure.ai.ml import MLClient, load_workspace
from azure.identity import DefaultAzureCredential

sub_id="<subscription ID>"
rg_name="<resource group name>"
ws_name="<workspace name>"

client = MLClient(DefaultAzureCredential(), sub_id, rg_name)
wps = load_workspace("workspace_creation_with_multiple_UAIs.yml")

workspace = client.workspaces.begin_create(workspace=wps).result()

Per aggiornare le identità assegnate dall'utente per un'area di lavoro, inclusa l'aggiunta di una nuova o l'eliminazione di quelle esistenti, utilizza uno dei seguenti metodi:

az ml workspace update -f workspace_update_with_multiple_UAIs.yml --subscription <subscription ID> --resource-group <resource group name> --name <workspace name>

identity:
   type: user_assigned
   user_assigned_identities:
    '<UAI resource ID 1>': {}
    '<UAI resource ID 2>': {}
primary_user_assigned_identity: <one of the UAI resource IDs in the above list>

from azure.ai.ml import MLClient, load_workspace
from azure.identity import DefaultAzureCredential

sub_id="<subscription ID>"
rg_name="<resource group name>"
ws_name="<workspace name>"

client = MLClient(DefaultAzureCredential(), sub_id, rg_name)
wps = load_workspace("workspace_update_with_multiple_UAIs.yml")

workspace = client.workspaces.begin_update(workspace=wps).result()

Aggiungere un'identità gestita assegnata dall'utente a un'area di lavoro oltre a un'identità assegnata dal sistema

In alcuni scenari potrebbe essere necessario usare un'identità gestita assegnata dall'utente oltre all'identità predefinita dell'area di lavoro assegnata dal sistema. Per aggiungere un'identità gestita assegnata dall'utente, senza modificare l'identità dell'area di lavoro esistente, seguire questa procedura:

1. Creare un'identità gestita assegnata dall'utente. Salvare l'ID per l'identità gestita creata.

2. Per collegare l'identità gestita all'area di lavoro, è necessario un file YAML che specifica l'identità. Il testo seguente è un esempio del contenuto del file YAML. Sostituire <TENANT_ID>, <RESOURCE_GROUP> e <USER_MANAGED_ID> con i propri valori.

   identity:
       type: system_assigned,user_assigned
       tenant_id: <TENANT_ID>
       user_assigned_identities:
           '/subscriptions/<SUBSCRIPTION_ID/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<USER_MANAGED_ID>':
           {}
   

3. Usare il comando az ml workspace update dell'interfaccia della riga di comando di Azure per aggiornare l'area di lavoro. Specificare il file YAML del passaggio precedente usando il parametro --file. Di seguito è mostrato un esempio di questo comando:

   az ml workspace update --resource-group <RESOURCE_GROUP> --name <WORKSPACE_NAME> --file <YAML_FILE_NAME>.yaml
   

Cluster di elaborazione

L'identità gestita predefinita è l'identità gestita assegnata dal sistema o la prima identità gestita assegnata dall'utente.

Durante un'esecuzione sono previste due applicazioni di un'identità:

1. Il sistema usa un'identità per configurare i montaggi di archiviazione dell'utente, il registro contenitori e gli archivi dati.

   • In questo caso, il sistema userà l'identità gestita predefinita.

2. Si applica un'identità per accedere alle risorse dal codice per un processo inviato:

   • In questo caso, fornire il client_id corrispondente all'identità gestita che si vuole utilizzare per recuperare una credenziale.
   • In alternativa, ottenere l'ID del client dell'identità assegnata dall'utente tramite la variabile di ambiente DEFAULT_IDENTITY_CLIENT_ID.

   Ad esempio, per recuperare un token per un archivio dati con l'identità gestita predefinita:

   client_id = os.environ.get('DEFAULT_IDENTITY_CLIENT_ID')
   credential = ManagedIdentityCredential(client_id=client_id)
   token = credential.get_token('https://storage.azure.com/')
   

Per configurare un cluster di elaborazione con identità gestita, utilizzare uno dei seguenti metodi:

az ml compute create -f create-cluster.yml

$schema: https://azuremlschemas.azureedge.net/latest/amlCompute.schema.json 
name: basic-example
type: amlcompute
size: STANDARD_DS3_v2
min_instances: 0
max_instances: 2
idle_time_before_scale_down: 120
identity:
  type: user_assigned
  user_assigned_identities: 
    - resource_id: "identity_resource_id"

$schema: https://azuremlschemas.azureedge.net/latest/amlCompute.schema.json 
name: basic-example
type: amlcompute
size: STANDARD_DS3_v2
min_instances: 0
max_instances: 2
idle_time_before_scale_down: 120
identity:
  type: system_assigned

export MSI_NAME=my-cluster-identity
export COMPUTE_NAME=mycluster-msi

does_compute_exist()
{
  if [ -z $(az ml compute show -n $COMPUTE_NAME --query name) ]; then
    echo false
  else
    echo true
  fi
}

echo "Creating MSI $MSI_NAME"
# Get the resource id of the identity
IDENTITY_ID=$(az identity show --name "$MSI_NAME" --query id -o tsv | tail -n1 | tr -d "[:cntrl:]" || true)
if [[ -z $IDENTITY_ID ]]; then
    IDENTITY_ID=$(az identity create -n "$MSI_NAME" --query id -o tsv | tail -n1 | tr -d "[:cntrl:]")
fi
echo "MSI created: $MSI_NAME"
sleep 15 # Let the previous command finish: https://github.com/Azure/azure-cli/issues/8530


echo "Checking if compute $COMPUTE_NAME already exists"
if [ "$(does_compute_exist)" == "true" ]; then
  echo "Skipping, compute: $COMPUTE_NAME exists"
else
  echo "Provisioning compute: $COMPUTE_NAME"
  az ml compute create --name "$COMPUTE_NAME" --type amlcompute --identity-type user_assigned --user-assigned-identities "$IDENTITY_ID"
fi
az ml compute update --name "$COMPUTE_NAME" --identity-type user_assigned --user-assigned-identities "$IDENTITY_ID"

export COMPUTE_NAME=mycluster-sa

does_compute_exist()
{
  if [ -z $(az ml compute show -n $COMPUTE_NAME --query name) ]; then
    echo false
  else
    echo true
  fi
}

echo "Checking if compute $COMPUTE_NAME already exists"
if [ "$(does_compute_exist)" == "true" ]; then
  echo "Skipping, compute: $COMPUTE_NAME exists"
else
  echo "Provisioning compute: $COMPUTE_NAME"
  az ml compute create --name "$COMPUTE_NAME" --type amlcompute
fi

az ml compute update --name "$COMPUTE_NAME" --identity-type system_assigned

from azure.ai.ml.entities import ManagedIdentityConfiguration, IdentityConfiguration, AmlCompute
from azure.ai.ml.constants import ManagedServiceIdentityType

# Create an identity configuration from the user-assigned managed identity
managed_identity = ManagedIdentityConfiguration(resource_id="/subscriptions/<subscription_id>/resourcegroups/<resource_group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>")
identity_config = IdentityConfiguration(type = ManagedServiceIdentityType.USER_ASSIGNED, user_assigned_identities=[managed_identity])

# specify aml compute name.
cpu_compute_target = "cpu-cluster"

try:
    ml_client.compute.get(cpu_compute_target)
except Exception:
    print("Creating a new cpu compute target...")
    # Pass the identity configuration
    compute = AmlCompute(
        name=cpu_compute_target, size="STANDARD_D2_V2", min_instances=0, max_instances=4, identity=identity_config
    )
    ml_client.compute.begin_create_or_update(compute)

Archiviazione di dati

Quando si crea un archivio dati che utilizza l'accesso ai dati basato su identità, l'account Azure (token Microsoft Entra) viene utilizzato per confermare che si dispone dell'autorizzazione ad accedere al servizio di archiviazione. Nello scenario di accesso ai dati basato su identità, non vengono salvate credenziali di autenticazione. Solo le informazioni sull'account di archiviazione sono archiviate nell'archivio dati.

Al contrario, gli archivi dati che utilizzano l'autenticazione basata su credenziali archiviano in cache le informazioni di connessione, come la chiave dell'account di archiviazione o il token SAS, nell'insieme di credenziali delle chiavi associato all'area di lavoro. Questo approccio ha la limitazione che altri utenti dell'area di lavoro con autorizzazioni sufficienti possono recuperare tali credenziali, il che può essere motivo di preoccupazione per la sicurezza per alcune organizzazioni.

Per maggiori informazioni su come viene autenticato l'accesso ai dati, vedere l'articolo sull'Amministrazione dei dati. Per informazioni sulla configurazione dell'accesso ai dati basato su identità, vedere Crea archivio dati.

Ci sono due scenari in cui puoi applicare l'accesso ai dati basato su identità in Azure Machine Learning. Questi scenari sono adatti per l'accesso basato su identità quando si lavora con dati riservati e si ha bisogno di una gestione dell'accesso ai dati più granulare:

• Accesso ai servizi di archiviazione
• Eseguire training di modelli di machine learning

L'accesso basato su identità ti consente di utilizzare i controlli degli accessi in base ai ruoli (RBAC) per limitare quali identità, come utenti o risorse di calcolo, hanno accesso ai dati.

Accesso ai servizi di archiviazione

È possibile connettersi ai servizi di archiviazione tramite l'accesso ai dati basato sull'identità con gli archivi dati di Azure Machine Learning.

Quando si utilizza l'accesso basato sull'identità, Azure Machine Learning richiede il token Microsoft Entra per l'autenticazione dell'accesso ai dati, anziché conservare le credenziali nell'archivio dati. Questo approccio consente la gestione dell'accesso ai dati a livello di archiviazione e mantiene le credenziali riservate.

Lo stesso comportamento si applica quando si lavora con i dati in modo interattivo tramite un notebook di Jupyter sul computer locale o sull'istanza di ambiente di calcolo.

Per garantire una connessione sicura al proprio servizio di storage su Azure, Azure Machine Learning richiede di disporre dell'autorizzazione ad accedere all'archiviazione dei dati corrispondente.

L'accesso ai dati basato sull'identità supporta connessioni solo ai servizi di archiviazione seguenti.

• Archiviazione BLOB di Azure
• Azure Data Lake Storage Gen1
• Azure Data Lake Storage Gen2

Per accedere a questi servizi di archiviazione, è necessario disporre almeno dell'accesso di tipo Lettore dei dati dei BLOB di archiviazione per l'account di archiviazione. Solo i proprietari degli account di archiviazione possono modificare il livello di accesso tramite il portale Azure.

Accesso ai dati per processi di training di calcolo tramite identità gestita

Alcuni scenari di machine learning comportano l'utilizzo di dati privati. In tali casi, i data scientist potrebbero non avere accesso diretto ai dati come utenti di Microsoft Entra. In questo scenario, l'identità gestita di un calcolo può essere utilizzata per l'autenticazione dell'accesso ai dati. In questo scenario, i dati possono essere accessibili solo da un'istanza di ambiente di calcolo o un cluster di elaborazione per machine learning che esegue un processo di training. Con questo approccio, l'amministratore concede all'identità gestita dell'istanza di ambiente di calcolo o del cluster di elaborazione, le autorizzazioni del Lettore dei dati BLOB di archiviazione sulla risorsa di archiviazione. Non è necessario concedere l'accesso ai singoli data scientist.

Per abilitare l'autenticazione con l'identità gestita di calcolo:

• Creare il calcolo con l'identità gestita abilitata. Vedere la sezione del cluster di elaborazione, o per l'istanza di ambiente di calcolo, la sezione Assegna identità gestita.

  Importante

  Se l'istanza di ambiente di calcolo è configurata anche per l'arresto per inattività, la suddetta non si arresterà a causa dell'inattività a meno che l'identità gestita non abbia accesso come collaboratore all'area di lavoro di Azure Machine Learning. Per altre informazioni sull'assegnazione delle autorizzazioni, vedere Gestire gli accessi all'area di lavoro di Azure Machine Learning.

• Concedere all'identità gestita di calcolo almeno il ruolo Lettore dati BLOB di archiviazione nell'account di archiviazione.

• Creare eventuali datastore con l'autenticazione basata sull'identità abilitata. Vedere Creare datastore.

Una volta abilitata l'autenticazione basata sull'identità, l'identità gestita di calcolo viene utilizzata per impostazione predefinita quando si accede ai dati all'interno dei processi di training. Facoltativamente, è possibile autenticarsi con l'identità utente seguendo i passaggi descritti nella sezione successiva.

Per informazioni sull'uso della configurazione del controllo degli accessi in base al ruolo di Azure per l'archiviazione, vedere controlli degli accessi basati sui ruoli.

Accesso ai dati per processi di training di calcolo tramite identità utente

SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

Quando si effettua il training sui cluster di elaborazione di Azure Machine Learning, è possibile autenticarsi alla risorsa di archiviazione con il proprio token utente di Microsoft Entra.

Questa modalità di autenticazione consente di:

• Impostare autorizzazioni con granularità fine, dove diversi utenti dell'area di lavoro possono avere accesso a diversi account di archiviazione o cartelle all'interno degli account di archiviazione.
• Consentire ai data scientist di riutilizzare le autorizzazioni esistenti sui sistemi di archiviazione.
• Verificare l'accesso alla risorsa di archiviazione poiché i log di archiviazione mostrano quali identità sono state utilizzate per accedere ai dati.

I seguenti passaggi descrivono come configurare l'accesso ai dati con identità utente per processi di training sui cluster di elaborazione tramite interfaccia della riga di comando.

1. Concedere all'identità utente l'accesso alle risorse di archiviazione. Ad esempio, concedere l'accesso StorageBlobReader all'account di archiviazione specifico che si vuole utilizzare o concedere autorizzazioni basate su ACL a cartelle o file specifici in Azure Data Lake Gen 2.

2. Creare un datastore di Azure Machine Learning senza credenziali memorizzate nella cache per l'account di archiviazione. Se un datastore ha credenziali memorizzate nella cache, come la chiave dell'account di archiviazione, queste credenziali vengono utilizzate invece dell'identità utente.

3. Inviare un processo di training con la proprietà identità impostata su type: user_identity, come mostrato nella seguente specifica del processo. Durante il processo di training, l'autenticazione all'archiviazione avviene tramite identità utente che invia il processo.

   Nota

   Se la proprietà identità non è specificata e il datastore non ha credenziali memorizzate nella cache, l'identità gestita del calcolo diventa l'opzione di fallback.

   command: |
   echo "--census-csv: ${{inputs.census_csv}}"
   python hello-census.py --census-csv ${{inputs.census_csv}}
   code: src
   inputs:
   census_csv:
       type: uri_file 
       path: azureml://datastores/mydata/paths/census.csv
   environment: azureml:AzureML-sklearn-1.0-ubuntu20.04-py38-cpu@latest
   compute: azureml:cpu-cluster
   identity:
   type: user_identity
   

I seguenti passaggi descrivono come configurare l'accesso ai dati con identità utente per processi di training sui cluster di elaborazione tramite Python SDK.

1. Concedere l'accesso ai dati e creare un datastore come descritto sopra per l'interfaccia della riga di comando.

2. Inviare un processo di training con il parametro identità impostato su azure.ai.ml.UserIdentityConfiguration. Tale configurazione del parametro consente al processo di accedere ai dati per conto dell'utente che invia il processo.

   from azure.ai.ml import command
   from azure.ai.ml.entities import Data, UriReference
   from azure.ai.ml import Input
   from azure.ai.ml.constants import AssetTypes
   from azure.ai.ml import UserIdentityConfiguration
   
   # Specify the data location
   my_job_inputs = {
       "input_data": Input(type=AssetTypes.URI_FILE, path="<path-to-my-data>")
   }
   
   # Define the job
   job = command(
       code="<my-local-code-location>", 
       command="python <my-script>.py --input_data ${{inputs.input_data}}",
       inputs=my_job_inputs,
       environment="AzureML-sklearn-0.24-ubuntu18.04-py37-cpu:9",
       compute="<my-compute-cluster-name>",
       identity= UserIdentityConfiguration() 
   )
   # submit the command
   returned_job = ml_client.jobs.create_or_update(job)
   

Lavorare con reti virtuali

Per impostazione predefinita, Azure Machine Learning non può comunicare con un account di archiviazione che si trova dietro un firewall o in una rete virtuale.

È possibile configurare gli account di archiviazione per consentire l'accesso solo da reti virtuali specifiche. Questa configurazione richiede passaggi aggiuntivi per garantire che i dati non vengano divulgati al di fuori della rete. Questo comportamento è lo stesso per l'accesso ai dati basato su credenziali. Per altre informazioni, vedere Come impedire l'esfiltrazione dei dati.

Se l'account di archiviazione dispone di impostazioni di rete virtuale, ciò determina il tipo di identità e le autorizzazioni di accesso necessarie. Ad esempio, per l'anteprima dei dati e il profilo dei dati, le impostazioni della rete virtuale determinano quale tipo di identità viene utilizzato per autenticare l'accesso ai dati.

• In scenari in cui solo determinati indirizzi IP e subnet sono autorizzati ad accedere al servizio di archiviazione, Azure Machine Learning usa l'identità del servizio gestita dell'area di lavoro per realizzare anteprime e profili dei dati.

• Se l'archiviazione è ADLS Gen 2 o Blob e dispone di impostazioni di rete virtuale, i clienti possono utilizzare sia l'identità utente che l'identità del servizio gestita dell'area di lavoro a seconda delle impostazioni del datastore definite durante la creazione.

• Se l'impostazione della rete virtuale è "Consenti ai servizi Azure nell'elenco dei servizi attendibili di accedere a questo account di archiviazione", allora viene utilizzata l'identità del servizio gestita dell'area di lavoro.

Scenario: Registro Azure Container senza utente amministratore

Quando si disabilita l'utente amministratore per il Registro Azure Container, Azure Machine Learning utilizza un'identità gestita per compilare ed eseguire il pull delle immagini Docker. Sono due i flussi di lavoro quando si configura Azure Machine Learning per utilizzare un Registro Azure Container con l'utente amministratore disabilitato:

• Consentire ad Azure Machine Learning di creare l'istanza del Registro Azure Container e quindi disabilitare l'utente amministratore successivamente.
• Portare un Registro Azure Container esistente con l'utente amministratore già disabilitato.

Azure Machine Learning con istanza del Registro Azure Container creata automaticamente

1. Creare una nuova area di lavoro di Azure Machine Learning.

2. Eseguire un'azione che richiede il Registro Azure Container. Ad esempio, il Esercitazione: Eseguire il training del primo modello.

3. Ottenere il nome del Registro Azure Container creato dal cluster.

   SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

   az ml workspace show --name <my workspace name> \
   --resource-group <my resource group> \
   --subscription <my subscription id> \
   --query container_registry
   

   Questo comando restituisce un valore simile al testo seguente. È necessaria solo l'ultima parte del testo, ovvero il nome dell'istanza di Registro Azure Container:

   /subscriptions/<subscription id>/resourceGroups/<my resource group>/providers/MicrosoftContainerReggistry/registries/<ACR instance name>
   

4. Aggiornare il Registro Azure Container per disabilitare l'utente amministratore:

   az acr update --name <ACR instance name> --admin-enabled false
   

Usare il proprio Registro Azure Container

Se l'utente amministratore del Registro Azure Container non è consentito dai criteri di sottoscrizione, è prima necessario creare Registro Azure Container senza utente amministratore, quindi associarlo all'area di lavoro. Creare un Registro Azure Container dall'interfaccia della riga di comando di Azure senza impostare l'argomento --admin-enabled oppure dal portale di Azure senza abilitare l'utente amministratore. Quindi, durante la creazione dell'area di lavoro di Azure Machine Learning, specificare l'ID risorsa di Azure del Registro Azure Container. L'esempio seguente illustra la creazione di una nuova area di lavoro di Azure Machine Learning che usa un registro Azure Container esistente:

SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

az ml workspace create -n <workspace name> \
-g <workspace resource group> \
-l <region> \
--container-registry /subscriptions/<subscription id>/resourceGroups/<acr resource group>/providers/Microsoft.ContainerRegistry/registries/<acr name>

Inoltre, se si dispone di un Registro Azure Container con l'utente amministratore disabilitato, è possibile collegarlo all'area di lavoro eseguendo l’aggiornamento. L'esempio seguente illustra l’aggiornamento di un’area di lavoro di Azure Machine Learning che usa un registro Azure Container esistente:

SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

az ml workspace update --update-dependent-resources \
--name <workspace name> \
--resource-group <workspace resource group> \
--container-registry /subscriptions/<subscription id>/resourceGroups/<acr resource group>/providers/Microsoft.ContainerRegistry/registries/<acr name>

Creare risorse di calcolo con identità gestita per accedere alle immagini Docker per il training

Per accedere al Registro Azure Container dell'area di lavoro, creare un cluster di elaborazione di Machine Learning con l'identità gestita assegnata dal sistema abilitata. È possibile abilitare l'identità dal portale di Azure o da Studio durante la creazione dell'ambiente di calcolo o dall'interfaccia della riga di comando di Azure usando quanto segue. Per altre informazioni, vedere come usare l'identità gestita con cluster di elaborazione.

az ml compute create --name cpu-cluster --type <cluster name>  --identity-type systemassigned

from azure.ai.ml.entities import IdentityConfiguration, AmlCompute
from azure.ai.ml.constants import ManagedServiceIdentityType

# Create an identity configuration for a system-assigned managed identity
identity_config = IdentityConfiguration(type = ManagedServiceIdentityType.SYSTEM_ASSIGNED)

# specify aml compute name.
cpu_compute_target = "cpu-cluster"

try:
    ml_client.compute.get(cpu_compute_target)
except Exception:
    print("Creating a new cpu compute target...")
    # Pass the identity configuration
    compute = AmlCompute(
        name=cpu_compute_target, size="STANDARD_D2_V2", min_instances=0, max_instances=4, identity=identity_config
    )
    ml_client.compute.begin_create_or_update(compute)

A un'identità gestita viene concesso automaticamente il ruolo ACRPull nel Registro Azure Container dell'area di lavoro per abilitare il pull delle immagini Docker per il training.

Usare immagini Docker per l'inferenza

Dopo aver configurato il Registro Azure Container senza l'utente amministratore come descritto in precedenza, è possibile accedere alle immagini Docker per l'inferenza senza chiavi di amministratore dal servizio Azure Kubernetes. Quando si crea o si collega il servizio Azure Kubernetes all'area di lavoro, all'entità di servizio del cluster viene assegnato automaticamente l'accesso ACRPull all'area di lavoro del Registro Azure Container.

Scenario: Usare un Registro Azure Container privato

Per impostazione predefinita, Azure Machine Learning usa immagini di base Docker provenienti da un repository pubblico gestito da Microsoft. Crea quindi l'ambiente di training o inferenza in base a tali immagini. Per altre informazioni, vedere Che cosa sono gli ambienti ML?.

Per usare un'immagine di base personalizzata interna all'azienda, è possibile usare le identità gestite per accedere al Registro Azure Container privato. Esistono due casi di utilizzo:

• Usare l'immagine di base per il training così come è.
• Creare un'immagine gestita di Azure Machine Learning con un'immagine personalizzata come base.

Eseguire il pull dell'immagine di base Docker nel cluster di elaborazione di apprendimento automatico per il training così come è

Creare un cluster di calcolo di elaborazione di apprendimento automatico con l'identità gestita assegnata dal sistema abilitata come descritto in precedenza. Determinare quindi l'ID entità dell'identità gestita.

SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

az ml compute show --name <cluster name> -n <workspace> -g <resource group>

Facoltativamente, è possibile aggiornare il cluster di elaborazione per assegnare un'identità gestita assegnata dall'utente:

SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

az ml compute update --name <cluster name> --user-assigned-identities <my-identity-id>

Per consentire al cluster di elaborazione di eseguire il pull delle immagini di base, concedere all'identità del servizio gestito il ruolo ACRPull nel Registro Azure Container privato

SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

az role assignment create --assignee <principal ID> \
--role acrpull \
--scope "/subscriptions/<subscription ID>/resourceGroups/<private ACR resource group>/providers/Microsoft.ContainerRegistry/registries/<private ACR name>"

Infine, creare un ambiente e specificare la posizione dell'immagine di base nel file YAML dell'ambiente.

SI APPLICA A: estensione ML dell'interfaccia della riga di comando di Azure v2 (corrente)

$schema: https://azuremlschemas.azureedge.net/latest/environment.schema.json
name: docker-image-example
image: pytorch/pytorch:latest
description: Environment created from a Docker image.

az ml environment create --file <yaml file>

È ora possibile usare l'ambiente in un processo di training.

Creare un ambiente gestito di Azure Machine Learning nell'immagine di base dal Registro Azure Container privato per il training o l'inferenza

Passaggi successivi

• Per altre informazioni, vedere Sicurezza aziendale in Azure Machine Learning
• Vedere altre informazioni sull'amministrazione dati
• Vedere altre informazioni sulle identità gestite per il cluster di elaborazione.