对联机终结点的客户端进行身份验证

1. 登录 Azure。

   az login
   

2. 如果要使用特定标识，请通过以下代码使用标识进行登录：

   az login --identity --username <identityID>
   

3. 使用此上下文获取令牌：

   export CONTROL_PLANE_TOKEN=`(az account get-access-token --resource https://management.chinacloudapi.cn --query accessToken | tr -d '"')`
   

通过 Azure 虚拟机

可以根据 Azure VM 的托管标识（当 VM 启用托管标识时）获取令牌。

• 若要获取 Microsoft Entra 令牌 (aad_token) 来在 Azure VM 上进行控制平面操作，请将请求提交到 Azure 资源终结点 的 management.chinacloudapi.cn (IMDS) 终结点：

  export CONTROL_PLANE_TOKEN=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.chinacloudapi.cn%2F' -H Metadata:true -s | jq -r '.access_token' )`
  

  提示

  该 jq 实用工具用于从 JSON 输出中提取令牌。 但是，可以使用任何合适的工具来实现此目的。

  若要详细了解如何基于托管标识获取令牌，请参阅使用 HTTP 获取令牌。

从计算实例

如果使用 Azure 机器学习工作区的计算实例，则可以获取令牌。 要获取令牌，你必须将计算实例托管标识的客户端 ID 和机密传递到在计算实例本地配置的托管系统标识 (MSI) 终结点。 可以从环境变量 MSI_ENDPOINT、DEFAULT_IDENTITY_CLIENT_ID 和 MSI_SECRET 分别获取 MSI 终结点、客户端 ID 和机密。 如果为计算实例启用托管标识，会自动设置这些变量。

• 从工作区的计算实例获取 Azure 资源终结点 management.chinacloudapi.cn 的令牌：

  export CONTROL_PLANE_TOKEN=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.chinacloudapi.cn%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.access_token' )`
  

from azure.identity import DefaultAzureCredential, InteractiveBrowserCredential

try:
    credential = DefaultAzureCredential()
    # Check whether given credential can get token.
    access_token = credential.get_token("https://management.chinacloudapi.cn/.default")
    print(access_token)
except Exception as ex:
    # Fall back to InteractiveBrowserCredential in case DefaultAzureCredential doesn't work.
    # This will open a browser page. 
    credential = InteractiveBrowserCredential()

有关详细信息 ，请参阅使用 Azure 标识客户端库获取令牌 。

工作室不会公开用于控制平面操作的 Microsoft Entra 令牌。

CLI 不要求显式提供控制平面令牌。 相反，CLI az login 命令会在登录期间对你进行身份验证，并且会自动检索并传递令牌。

1. 创建名为 endpoint.yml的终结点定义 YAML 文件：

   $schema: https://azuremlschemas.azureedge.net/latest/managedOnlineEndpoint.schema.json
   name: my-endpoint
   auth_mode: aad_token
   

   可以将auth_mode设置为key以进行密钥身份验证或设置为aml_token以进行Azure机器学习令牌身份验证。 此示例使用 aad_token 进行 Microsoft Entra 令牌身份验证。

2. 创建终结点：

   az ml online-endpoint create -f endpoint.yml
   

3. 检查终结点的状态：

   az ml online-endpoint show -n my-endpoint
   

4. 如果要在创建终结点时替代 auth_mode（例如，替代为 aad_token），请运行以下代码：

   az ml online-endpoint create -n my-endpoint --auth-mode aad_token
   

5. 如果要更新现有终结点并指定 auth_mode （例如，如）， aad_token请运行以下代码：

   az ml online-endpoint update -n my-endpoint --set auth_mode=aad_token
   

REST API 调用不要求显式提供控制平面令牌。 使用之前检索到的控制平面令牌。

1. 创建或更新终结点：

   export SUBSCRIPTION_ID=<SUBSCRIPTION_ID>
   export RESOURCE_GROUP=<RESOURCE_GROUP>
   export WORKSPACE=<WORKSPACE_NAME>
   export ENDPOINT_NAME=<ENDPOINT_NAME>
   export LOCATION=<LOCATION_NAME>
   export API_VERSION=2023-04-01
   
   response=$(curl --location --request PUT "https://management.chinacloudapi.cn/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
   --header "Content-Type: application/json" \
   --header "Authorization: Bearer $CONTROL_PLANE_TOKEN" \
   --data-raw "{
       \"identity\": {
          \"type\": \"systemAssigned\"
       },
       \"properties\": {
           \"authMode\": \"AADToken\"
       },
       \"location\": \"$LOCATION\"
   }")
   
   echo $response
   

   可以将authMode替换为key以进行密钥身份验证，或替换为AMLToken以进行Azure机器学习令牌身份验证。 在此示例中，你使用 AADToken 进行 Microsoft Entra 令牌身份验证。

2. 获取联机终结点的当前状态：

   response=$(curl --location --request GET "https://management.chinacloudapi.cn/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
   --header "Content-Type: application/json" \
   --header "Authorization: Bearer $CONTROL_PLANE_TOKEN" \
   )
   
   echo $response
   

Python SDK 不要求显式提供控制平面令牌。 相反，SDK MLClient 会在登录期间对你进行身份验证，系统会自动检索和传递令牌。

from azure.ai.ml import MLClient
from azure.ai.ml.entities import (
    ManagedOnlineEndpoint,
    ManagedOnlineDeployment,
    Model,
    Environment,
    CodeConfiguration,
)
from azure.identity import DefaultAzureCredential

subscription_id = "<SUBSCRIPTION_ID>"
resource_group = "<RESOURCE_GROUP>"
workspace = "<WORKSPACE_NAME>"

ml_client = MLClient(
    DefaultAzureCredential(), subscription_id, resource_group, workspace
)

endpoint = ManagedOnlineEndpoint(
    name="my-endpoint",
    description="this is a sample online endpoint",
    auth_mode="aad_token",
    tags={"foo": "bar"},
)
ml_client.online_endpoints.begin_create_or_update(endpoint).result()

可以将auth_mode替换为key以进行密钥身份验证，或替换为aml_token以进行Azure机器学习令牌身份验证。 示例使用aad_token进行Microsoft Entra令牌身份验证。

工作室不要求你显式提供控制平面令牌，因为工作室会在登录期间对你进行身份验证，并且会自动检索并传递令牌。

有关部署联机终结点的详细信息，请参阅 使用联机终结点（通过工作室）部署机器学习模型。

以下代码是关于如何创建部署的示例。 有关部署联机终结点的详细信息，请参阅 使用联机终结点（通过 CLI）部署机器学习模型。

1. 创建名为 blue-deployment.yml的部署定义 YAML 文件：

   $schema: https://azuremlschemas.azureedge.net/latest/managedOnlineDeployment.schema.json
   name: blue
   endpoint_name: my-aad-auth-endp1
   model:
     path: ../../model-1/model/
   code_configuration:
     code: ../../model-1/onlinescoring/
     scoring_script: score.py
   environment: 
     conda_file: ../../model-1/environment/conda.yml
     image: mcr.microsoft.com/azureml/openmpi4.1.0-ubuntu20.04:latest
   instance_type: Standard_DS3_v2
   instance_count: 1
   

2. 使用 YAML 文件创建部署。 对于此示例，请将所有流量设置为新部署。

   az ml online-deployment create -f blue-deployment.yml --all-traffic
   

有关使用 REST 部署联机终结点的详细信息，请参阅 使用 REST 将模型部署为联机终结点。

有关部署联机终结点的详细信息，请参阅 使用联机终结点（通过 SDK）部署机器学习模型。

有关部署联机终结点的详细信息，请参阅 使用联机终结点（通过工作室）部署机器学习模型。

如果使用 az ml online-endpoint invoke 调用终结点，CLI 会自动解析评分 URI，因此无需手动检索它。

但是，如果需要用于其他工具（如 REST API 或自定义 HTTP 客户端）的评分 URI，可以使用以下命令检索它：

scoringUri=$(az ml online-endpoint show -n my-endpoint --query "scoring_uri")

export SUBSCRIPTION_ID=<SUBSCRIPTION_ID>
export RESOURCE_GROUP=<RESOURCE_GROUP>
export WORKSPACE=<WORKSPACE_NAME>
export ENDPOINT_NAME=<ENDPOINT_NAME>
export API_VERSION=2023-04-01
response=$(curl --location --request GET "https://management.chinacloudapi.cn/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
--header "Content-Type: application/json" \
--header "Authorization: Bearer $CONTROL_PLANE_TOKEN")
scoringUri=$(echo $response | jq -r '.properties' | jq -r '.scoringUri')

echo $response
echo $scoringUri

如果计划使用 Python SDK 调用终结点，则无需显式获取评分 URI，因为 SDK 会为你提供评分 URI。 但是，仍可以使用 SDK 获取评分 URI，以便将其与其他通道（例如 REST API）一起使用。

scoring_uri = ml_client.online_endpoints.get(name=endpoint_name).scoring_uri

如果计划使用 Studio 调用终结点，则无需显式获取评分 URI，因为 Studio 会为你提供它。 但是，你仍然可以使用工作室来获取评分 URI，以便你可以将其与其他通道（例如 REST API）一起使用。

可以在终结点页面的“详细信息”选项卡上找到评分 URI。

如果计划使用 CLI 调用终结点，则无需显式获取数据平面操作的密钥或令牌，因为 CLI 会为你提供这些信息。 但是，仍然可以使用 CLI 来获取密钥或令牌，用于数据平面操作，这样可以与其他通道一起使用，例如 REST API。

若要获取数据平面操作的密钥或令牌，请使用 az ml online-endpoint get-credentials 命令。 此命令返回包含密钥、令牌和/或其他信息的 JSON 输出。

当终结点的 auth_mode 为 key

• 密钥在 primaryKey 和 secondaryKey 字段中返回。

  export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query primaryKey)
  export DATA_PLANE_TOKEN2=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query secondaryKey)
  

当终结点的 auth_mode 为 aml_token

• 令牌在 accessToken 字段中返回。

• 令牌过期时间在 expiryTimeUtc 字段中返回。

• 令牌刷新时间在 refreshAfterTimeUtc 字段中返回。

  export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query accessToken)
  export EXPIRY_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query expiryTimeUtc)
  export REFRESH_AFTER_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query refreshAfterTimeUtc)
  

当终结点的 auth_mode 为 aad_token

• 令牌在 accessToken 字段中返回。

• 令牌过期时间在 expiryTimeUtc 字段中返回。

  export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query accessToken)
  export EXPIRY_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query expiryTimeUtc)
  

若要获取数据平面操作的密钥或令牌，请选择正确的 API，具体取决于终结点的 auth_mode。 API 返回包含密钥和令牌的 JSON 输出。

当终结点的 auth_mode 为 key

• 使用 listkeys API。

• 密钥在 primaryKey 和 secondaryKey 字段中返回。

  response=$(curl -H "Content-Length: 0" --location --request POST "https://management.chinacloudapi.cn/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME/listkeys?api-version=$API_VERSION" \
  --header "Authorization: Bearer $CONTROL_PLANE_TOKEN")
  
  export DATA_PLANE_TOKEN=$(echo $response | jq -r '.primaryKey')
  

当终结点的 auth_mode 为 aml_token

• 使用 token API。

• 令牌在 accessToken 字段中返回。

• 令牌过期时间在 expiryTimeUtc 字段中返回。

• 令牌刷新时间在 refreshAfterTimeUtc 字段中返回。

  response=$(curl -H "Content-Length: 0" --location --request POST "https://management.chinacloudapi.cn/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME/token?api-version=$API_VERSION" \
  --header "Authorization: Bearer $CONTROL_PLANE_TOKEN")
  
  export DATA_PLANE_TOKEN=$(echo $response | jq -r '.accessToken')
  export EXPIRY_TIME_UTC=$(echo $response | jq -r '.expiryTimeUtc')
  export REFRESH_AFTER_TIME_UTC=$(echo $response | jq -r '.refreshAfterTimeUtc')
  

当终结点的 auth_mode 为 aad_token

• 可以根据请求令牌的来源选择使用 IMDS 终结点或 MSI 终结点。
• 令牌在 accessToken 字段中返回。
• 令牌过期时间在 expiryTimeUtc 字段中返回。

通过 Azure 虚拟机

可以根据 Azure VM 的托管标识（当 VM 启用托管标识时）获取令牌。

• 若要获取针对具有托管标识的 Azure VM 的数据平面操作的 Microsoft Entra 令牌（aad_token），请将请求提交到 Azure 资源终结点的 IMDS 终结点 studio.ml.azure.cn：

  export DATA_PLANE_TOKEN=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fstudio.ml.azure.cn%2F' -H Metadata:true -s | jq -r '.access_token' )`
  export EXPIRY_TIME_UTC=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fstudio.ml.azure.cn%2F' -H Metadata:true -s | jq -r '.expiryTimeUtc' )`
  

  若要详细了解如何基于托管标识获取令牌，请参阅使用 HTTP 获取令牌。

从计算实例

如果使用 Azure 机器学习工作区的计算实例，则可以获取令牌。 要获取令牌，你必须将计算实例托管标识的客户端 ID 和机密传递到在计算实例本地配置的 MSI 终结点。 可以从环境变量 MSI_ENDPOINT、DEFAULT_IDENTITY_CLIENT_ID 和 MSI_SECRET 分别获取 MSI 终结点、客户端 ID 和机密。 如果为计算实例启用托管标识，会自动设置这些变量。

• 从工作区的计算实例获取 Azure 资源终结点 studio.ml.azure.cn 的令牌：

  export DATA_PLANE_TOKEN=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fstudio.ml.azure.cn%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.access_token' )`
  export EXPIRY_TIME_UTC=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fstudio.ml.azure.cn%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.expiryTimeUtc' )`
  

如果使用 SDK invoke() 的方法调用终结点，SDK 会自动处理身份验证，因此无需手动检索密钥或令牌。

但是，如果需要检索用于其他工具（如 REST API 或自定义 HTTP 客户端）的密钥或令牌，则可以在类中使用 OnlineEndpointOperations 方法。 此方法将返回包含密钥和令牌的对象。

当终结点的 auth_mode 为 key

• 密钥在 primary_key 和 secondary_key 字段中返回。

  DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).primary_key
  DATA_PLANE_TOKEN2 = ml_client.online_endpoints.get_keys(name=endpoint_name).secondary_key
  

当终结点的 auth_mode 为 aml_token

• 令牌在 access_token 字段中返回。

• 令牌过期时间在 expiry_time_utc 字段中返回。

• 令牌刷新时间在 refresh_after_time_utc 字段中返回。

  DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).access_token
  EXPIRY_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).expiry_time_utc
  REFRESH_AFTER_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).refresh_after_time_utc
  

当终结点的 auth_mode 为 aad_token

• 令牌在 access_token 字段中返回。

• 令牌过期时间在 expiry_time_utc 字段中返回。

  DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).access_token
  EXPIRY_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).expiry_time_utc
  

有关详细信息，请参阅使用 Azure 标识客户端库获取令牌。

可以在部署页的“ 使用 ”选项卡上找到密钥、Azure 机器学习令牌或Microsoft Entra 令牌。

可以将 az ml online-endpoint invoke 用于具有密钥或 Azure 机器学习令牌或 Microsoft Entra 令牌的终结点。 CLI 自动提供密钥或令牌，因此无需显式传递密钥或令牌。

az ml online-endpoint invoke -n my-endpoint -r request.json

调用联机终结点进行评分时，请在授权标头中传递密钥、Azure 机器学习令牌或 Microsoft Entra 令牌。 以下代码演示如何使用 cURL 实用工具通过密钥或令牌调用联机终结点：

curl --request POST "$scoringUri" --header "Authorization: Bearer $DATA_PLANE_TOKEN" --header 'Content-Type: application/json' --data @endpoints/online/model-1/sample-request.json

Azure 机器学习 SDK ml_client.online_endpoints.invoke() 支持密钥、Azure 机器学习令牌和 Microsoft Entra 令牌。 还可以使用通用 Python SDK 将 POST 请求发送到评分 URI。

调用联机终结点进行评分时，请在授权标头中传递密钥或令牌。 以下代码演示如何通过通用 Python SDK 使用密钥或令牌来调用联机终结点。 在代码中，将 api_key 变量替换为你的密钥或令牌。

import urllib.request
import json
import os

data = {"data": [
    [1,2,3,4,5,6,7,8,9,10], 
    [10,9,8,7,6,5,4,3,2,1]
]}

body = str.encode(json.dumps(data))

url = '<scoring URI as retrieved earlier>'
api_key = '<key or token as retrieved earlier>'
headers = {'Content-Type':'application/json', 'Authorization':('Bearer '+ api_key)}

req = urllib.request.Request(url, body, headers)

try:
    response = urllib.request.urlopen(req)

    result = response.read()
    print(result)
except urllib.error.HTTPError as error:
    print("The request failed with status code: " + str(error.code))

    # Print the headers. They include the request ID and the timestamp, which are useful for debugging the failure.
    print(error.info())
    print(error.read().decode("utf8", 'ignore'))

密钥或 Azure 机器学习令牌

部署详细信息页的“ 测试 ”选项卡支持使用密钥、Azure 机器学习令牌或Microsoft Entra 令牌身份验证的终结点评分。