工作区托管虚拟网络隔离

以下示例将创建新工作区。 --managed-network allow_internet_outbound 参数为工作区配置托管虚拟网络：

az ml workspace create --name ws --resource-group rg --managed-network allow_internet_outbound

若要改为使用 YAML 文件创建工作区，请使用 --file 参数并指定包含配置设置的 YAML 文件：

az ml workspace create --file workspace.yaml --resource-group rg --name ws

以下 YAML 示例定义具有托管虚拟网络的工作区：

name: myworkspace
location: EastUS
managed_network:
    isolation_mode: allow_internet_outbound

以下示例更新现有工作区。 --managed-network allow_internet_outbound 参数为工作区配置托管虚拟网络：

az ml workspace update --name ws --resource-group rg --managed-network allow_internet_outbound

若要使用 YAML 文件更新现有工作区，请使用 --file 参数并指定包含配置设置的 YAML 文件：

az ml workspace update --file workspace.yaml --name ws --resource-group MyGroup

以下 YAML 示例为工作区定义托管虚拟网络。 它还演示了如何将专用终结点连接添加到工作区使用的资源；在本例中，即 blob 存储的专用终结点：

name: myworkspace
managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
    destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
    type: private_endpoint

以下示例创建一个名为 myworkspace 的新工作区，其中包含一个名为 myrule 的出站规则，该规则为 Azure Blob 存储添加专用终结点：

# Basic managed VNet configuration
network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Workspace configuration
ws = Workspace(
    name="myworkspace",
    location="ChinaNorth3",
    managed_network=network
)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Create the workspace
ws = ml_client.workspaces.begin_create(ws).result()

以下示例演示如何为名为 myworkspace 的现有 Azure 机器学习工作区创建托管虚拟网络：

# Get the existing workspace
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)

# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True

# Add the outbound 
ws.managed_network.outbound_rules = [PrivateEndpointDestination(
    name=rule_name, 
    service_resource_id=service_resource_id, 
    subresource_target=subresource_target, 
    spark_enabled=spark_enabled)]

# Create the workspace
ml_client.workspaces.begin_update(ws)

1. 登录到 Azure 门户，然后从“创建资源”菜单中选择“Azure 机器学习”。

2. 在“基本信息”选项卡中，提供必填的信息。

3. 在“网络”选项卡中，选择“Internet 出站专用”。

   

4. 若要添加出站规则，请从“网络”选项卡中选择“添加用户定义的出站规则”。在“工作区出站规则”边栏中，提供以下信息：

   • 规则名称：规则的名称。 此工作区的名称必须是唯一的。
   • 目标类型：当网络隔离是 Internet 出站专用时，专用终结点是唯一的选项。 Azure 机器学习托管虚拟网络不支持为所有 Azure 资源类型创建专用终结点。 请参阅 专用终结点 部分查看受支持资源的列表。
   • 订阅：包含要为其添加专用终结点的 Azure 资源的订阅。
   • 资源组：包含要为其添加专用终结点的 Azure 资源的资源组。
   • 资源类型：Azure 资源的类型。
   • 资源名称：Azure 资源的名称。
   • 子资源：Azure 资源类型的子资源。
   • Spark 已启用：如果要为工作区启用无服务器 Spark 作业，请选择此选项。 仅当资源类型为 Azure 存储时，此选项才可用。

   

   选择“保存”以保存规则。 可以继续使用“添加用户定义的出站规则”来添加规则。

5. 继续照常创建工作区。

1. 登录到Azure 门户，然后选择要为其启用托管虚拟网络隔离的 Azure 机器学习工作区。

2. 选择网络，工作区托管的出站访问，然后允许 Internet 出站。

   

   • 若要添加出站规则，请选择“添加用户定义的出站规则”。 在“工作区出站规则”边栏中，提供在“创建新工作区”部分中创建工作区时使用的相同信息。

     

   • 若要 删除 出站规则，请为该规则选择“删除”。

     

3. 选择页面顶部的“保存”，将更改保存到托管虚拟网络。

以下示例使用 --managed-network allow_only_approved_outbound 参数配置托管虚拟网络：

az ml workspace create --name ws --resource-group rg --managed-network allow_only_approved_outbound

以下 YAML 文件定义具有托管虚拟网络的工作区：

name: myworkspace
location: ChinaNorth3
managed_network:
    isolation_mode: allow_only_approved_outbound

若要使用 YAML 文件创建工作区，请使用 --file 参数：

az ml workspace create --file workspace.yaml --resource-group rg --name ws

以下示例使用 --managed-network allow_only_approved_outbound 参数为现有工作区配置托管虚拟网络：

az ml workspace update --name ws --resource-group rg --managed-network allow_only_approved_outbound

以下 YAML 文件为工作区定义托管虚拟网络。 它还演示如何将已批准的出站添加到托管虚拟网络。 在此示例中，为两个服务标记都添加了出站规则：

name: myworkspace_dep
managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
    destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
    type: service_tag
    - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
    - name: added-perule
    destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
    type: private_endpoint

以下示例创建一个名为 myworkspace 的新工作区，其中包含多个出站规则：

• myrule - 为 Azure Blob 存储添加专用终结点。
• datafactory - 添加服务标记规则以与 Azure 数据工厂通信。

# Basic managed VNet configuration
network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Workspace configuration
ws = Workspace(
    name="myworkspace",
    location="ChinaNorth3",
    managed_network=network
)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Create the workspace
ws = ml_client.workspaces.begin_create(ws).result()

以下示例演示如何为名为 myworkspace 的现有 Azure 机器学习工作区创建托管虚拟网络。 该示例还为托管虚拟网络添加了多个出站规则：

• myrule - 为 Azure Blob 存储添加专用终结点。
• datafactory - 添加服务标记规则以与 Azure 数据工厂通信。

# Get the existing workspace
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
ws = ml_client.workspaces.get()

# Basic managed VNet configuration
ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)

# Append some rules
ws.managed_network.outbound_rules = []
# Example private endpoint outbound to a blob
rule_name = "myrule"
service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
subresource_target = "blob"
spark_enabled = True
ws.managed_network.outbound_rules.append(
    PrivateEndpointDestination(
        name=rule_name, 
        service_resource_id=service_resource_id, 
        subresource_target=subresource_target, 
        spark_enabled=spark_enabled
    )
)

# Example service tag rule
rule_name = "datafactory"
service_tag = "DataFactory"
protocol = "TCP"
port_ranges = "80, 8080-8089"
ws.managed_network.outbound_rules.append(
    ServiceTagDestination(
        name=rule_name, 
        service_tag=service_tag, 
        protocol=protocol, 
        port_ranges=port_ranges
    )
)

# Example FQDN rule
ws.managed_network.outbound_rules.append(
    FqdnDestination(
        name="fqdnrule", 
        destination="pypi.org"
    )
)

# Update the workspace
ml_client.workspaces.begin_update(ws)

1. 登录到 Azure 门户，然后从“创建资源”菜单中选择“Azure 机器学习”。

2. 在“基本信息”选项卡中，提供必填的信息。

3. 在“网络”选项卡中，选择“已批准出站专用”。

   

4. 若要添加出站规则，请从“网络”选项卡中选择“添加用户定义的出站规则”。在“工作区出站规则”边栏中，提供以下信息：

   • 规则名称：规则的名称。 此工作区的名称必须是唯一的。
   • 目标类型：专用终结点、服务标记或 FQDN。 服务标记和 FQDN 仅在网络隔离为专用且已批准的出站时可用。

   如果目标类型为 专用终结点，请提供以下信息：

   • 订阅：包含要为其添加专用终结点的 Azure 资源的订阅。
   • 资源组：包含要为其添加专用终结点的 Azure 资源的资源组。
   • 资源类型：Azure 资源的类型。
   • 资源名称：Azure 资源的名称。
   • 子资源：Azure 资源类型的子资源。
   • Spark 已启用：如果要为工作区启用无服务器 Spark 作业，请选择此选项。 仅当资源类型为 Azure 存储时，此选项才可用。

   提示

   Azure 机器学习托管 VNet 不支持为所有 Azure 资源类型创建专用终结点。 请参阅 专用终结点 部分查看受支持资源的列表。

   

   如果目标类型为 服务标记，请提供以下信息：

   • 服务标记：要添加到已批准出站规则的服务标记。
   • 协议：允许服务标记的协议。
   • 端口范围：服务标记允许的端口范围。

   

   如果目标类型为 FQDN，请提供以下信息：

   警告

   FQDN 出站规则是使用 Azure 防火墙实现的。 如果使用出站 FQDN 规则，则 Azure 防火墙费用将添加到账单中。 有关详细信息，请参阅定价。

   • FQDN 目标：要添加到已批准的出站规则的完全限定域名。

   

   选择“保存”以保存规则。 可以继续使用“添加用户定义的出站规则”来添加规则。

5. 继续照常创建工作区。

1. 登录到Azure 门户，然后选择要为其启用托管虚拟网络隔离的 Azure 机器学习工作区。

2. 选择网络，工作区托管的出站访问，然后选择已批准的私有出站。

   

   • 若要添加出站规则，请从“网络”选项卡中选择“添加用户定义的出站规则”。在“工作区出站规则”边栏中，提供前面在“创建新工作区”部分中创建工作区时使用的相同信息。

   • 若要 删除 出站规则，请为该规则选择“删除”。

     

3. 选择页面顶部的“保存”，将更改保存到托管虚拟网络。