为Azure Machine Learning工作区配置专用终结点

适用于：Azure CLI ml 扩展 v2 （当前版本）

将 Azure CLI extension 2.0 CLI 用于机器学习时，可以使用 YAML 文档配置工作区。 以下示例演示如何使用 YAML 配置来创建新工作区：

$schema: https://azuremlschemas.azureedge.net/latest/workspace.schema.json
name: mlw-privatelink-prod
location: chinaeast2
display_name: Private Link endpoint workspace-example
description: When using private link, you must set the image_build_compute property to a cluster name to use for Docker image environment building. You can also specify whether the workspace should be accessible over the internet.
image_build_compute: cpu-compute
public_network_access: Disabled
tags:
  purpose: demonstration

az ml workspace create \
    -g <resource-group-name> \
    --file privatelink.yml

创建工作区后，请使用 Azure 网络 CLI 命令为工作区创建专用链接终结点。

az network private-endpoint create \
    --name <private-endpoint-name> \
    --vnet-name <vnet-name> \
    --subnet <subnet-name> \
    --private-connection-resource-id "/subscriptions/<subscription>/resourceGroups/<resource-group-name>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>" \
    --group-id amlworkspace \
    --connection-name workspace -l <location>

若要为工作区创建专用 DNS 区域条目，请使用以下命令：

# Add privatelink.api.ml.azure.cn
az network private-dns zone create \
    -g <resource-group-name> \
    --name privatelink.api.ml.azure.cn

az network private-dns link vnet create \
    -g <resource-group-name> \
    --zone-name privatelink.api.ml.azure.cn \
    --name <link-name> \
    --virtual-network <vnet-name> \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
    -g <resource-group-name> \
    --endpoint-name <private-endpoint-name> \
    --name myzonegroup \
    --private-dns-zone privatelink.api.ml.azure.cn \
    --zone-name privatelink.api.ml.azure.cn

# Add privatelink.notebooks.chinacloudapi.cn
az network private-dns zone create \
    -g <resource-group-name> \
    --name privatelink.notebooks.chinacloudapi.cn

az network private-dns link vnet create \
    -g <resource-group-name> \
    --zone-name privatelink.notebooks.chinacloudapi.cn \
    --name <link-name> \
    --virtual-network <vnet-name> \
    --registration-enabled false

az network private-endpoint dns-zone-group add \
    -g <resource-group-name> \
    --endpoint-name <private-endpoint-name> \
    --name myzonegroup \
    --private-dns-zone privatelink.notebooks.chinacloudapi.cn \
    --zone-name privatelink.notebooks.chinacloudapi.cn

Azure Machine Learning门户中的 Networking 选项卡允许配置专用终结点。 但是，它需要现有虚拟网络。 有关详细信息，请参阅在门户中创建工作区。

适用于：Azure CLI ml 扩展 v2 （当前版本）

将 Azure CLI extension 2.0 CLI 用于机器学习时，请使用 Azure 网络 CLI 命令为工作区创建专用链接终结点。

az network private-endpoint create \
    --name <private-endpoint-name> \
    --vnet-name <vnet-name> \
    --subnet <subnet-name> \
    --private-connection-resource-id "/subscriptions/<subscription>/resourceGroups/<resource-group-name>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>" \
    --group-id amlworkspace \
    --connection-name workspace -l <location>

若要为工作区创建专用 DNS 区域条目，请使用以下命令：

# Add privatelink.api.ml.azure.cn
az network private-dns zone create \
    -g <resource-group-name> \
    --name 'privatelink.api.ml.azure.cn'

az network private-dns link vnet create \
    -g <resource-group-name> \
    --zone-name 'privatelink.api.ml.azure.cn' \
    --name <link-name> \
    --virtual-network <vnet-name> \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
    -g <resource-group-name> \
    --endpoint-name <private-endpoint-name> \
    --name myzonegroup \
    --private-dns-zone 'privatelink.api.ml.azure.cn' \
    --zone-name 'privatelink.api.ml.azure.cn'

# Add privatelink.notebooks.chinacloudapi.cn
az network private-dns zone create \
    -g <resource-group-name> \
    --name 'privatelink.notebooks.chinacloudapi.cn'

az network private-dns link vnet create \
    -g <resource-group-name> \
    --zone-name 'privatelink.notebooks.chinacloudapi.cn' \
    --name <link-name> \
    --virtual-network <vnet-name> \
    --registration-enabled false

az network private-endpoint dns-zone-group add \
    -g <resource-group-name> \
    --endpoint-name <private-endpoint-name> \
    --name myzonegroup \
    --private-dns-zone 'privatelink.notebooks.chinacloudapi.cn' \
    --zone-name 'privatelink.notebooks.chinacloudapi.cn'

在门户中的 Azure Machine Learning 工作区中，选择 设置、网络、专用终结点连接，然后选择 + 专用终结点。 使用字段创建新的专用终结点。

• 选择“区域”时，请选择与虚拟网络相同的区域。
• 选择“虚拟网络”时，请选择要连接到的虚拟网络。
• 选择“子网”时，请选择从中分配了专用终结点 IP 地址的虚拟网络中的子网。

可以将其他字段保留为默认值，也可以根据需要对其进行修改。 最后，选择“创建”以创建专用终结点。

适用于：Azure CLI ml 扩展 v2 （当前版本）

将 Azure CLI extension 2.0 CLI 用于机器学习时，请使用以下命令删除专用终结点：

az network private-endpoint delete \
    --name <private-endpoint-name> \
    --resource-group <resource-group-name> \

1. 在 Azure 门户中，选择Azure Machine Learning工作区。
2. 从页面左侧，选择“网络”，然后选择“专用终结点连接”选项卡。
3. 选择要删除的终结点，然后选择“删除”。

适用于：Azure CLI ml 扩展 v2 （当前版本）

在使用 Azure CLI extension 2.0 CLI 执行机器学习任务时，请使用 az ml update 命令在工作区中启用 public_network_access：

az ml workspace update \
    --set public_network_access=Enabled \
    -n <workspace-name> \
    -g <resource-group-name>

还可以通过使用 YAML 文件来启用公共网络访问。 有关详细信息，请参阅工作区 YAML 参考。

1. 在 Azure 门户中，选择Azure Machine Learning工作区。
2. 从页面左侧，选择“网络”，然后选择“公共访问”选项卡。
3. 选择从所有网络启用，然后选择保存。

适用于：Azure CLI ml 扩展 v2 （当前版本）

将 az ml workspace update Azure CLI 命令与 --network-acls 参数配合使用，从 IP 地址或地址范围管理公共访问：

properties:
  # ...
  network_acls:
    description: "The network ACLs for this workspace, enforced when public_network_access is set to Enabled."

• 列出 IP 网络规则：az ml workspace show --resource-group "myresourcegroup" --name "myWS" --query network_acls
• 为一个或多个 IP 地址（逗号分隔）添加规则： az ml workspace update --resource-group "myresourcegroup" --name "myWS" --public-network-access Enabled --network-acls "16.17.18.19,16.17.18.0/24"
• 重置以允许所有网络： az ml workspace update --resource-group "myresourcegroup" --name "myWS" --public-network-access Enabled --network-acls none

1. 在 Azure 门户中，选择Azure Machine Learning工作区。
2. 从页面左侧，选择“网络”，然后选择“公共访问”选项卡。
3. 从所选 IP 地址中选择“已启用”，输入地址范围，然后选择“保存”。