工作区托管虚拟网络隔离

• Azure 订阅。 如果没有 Azure 订阅，可在开始前创建一个试用帐户。 试用免费版或付费版 Azure 机器学习。

• 必须为 Azure 订阅注册 Microsoft.Network 资源提供程序。 为托管虚拟网络创建专用终结点时，工作区会使用此资源提供程序。

  有关注册资源提供程序的信息，请参阅解决资源提供程序注册错误。

• 部署托管网络时使用的 Azure 标识需要下列 Azure 基于角色的访问控制 (Azure RBAC)操作来创建专用终结点：

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Azure CLI 和 Azure CLI 的 ml 扩展。 有关详细信息，请参阅安装、设置和使用 CLI (v2)。

  提示

  Azure 机器学习托管 VNet 是在 2023 年 5 月 23 日推出的。 如果你的 ml 扩展版本较旧，则可能需要进行更新，以便顺利完成本文中的示例。 若要更新扩展，请使用以下 Azure CLI 命令：

  az extension update -n ml
  

• 本文中的 CLI 示例假定你使用的是 Bash（或兼容的）shell。 例如，从 Linux 系统或者适用于 Linux 的 Windows 子系统。

• 本文中的 Azure CLI 示例使用 ws 表示工作区的名称，并使用 rg 表示资源组的名称。 将命令用于 Azure 订阅时，请根据需要更改这些值。

• Azure 订阅。 如果没有 Azure 订阅，可在开始前创建一个试用帐户。 试用免费版或付费版 Azure 机器学习。

• 必须为 Azure 订阅注册 Microsoft.Network 资源提供程序。 为托管虚拟网络创建专用终结点时，工作区会使用此资源提供程序。

  有关注册资源提供程序的信息，请参阅解决资源提供程序注册错误。

• 部署托管网络时使用的 Azure 标识需要下列 Azure 基于角色的访问控制 (Azure RBAC)操作来创建专用终结点：

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

• Azure 机器学习 Python SDK v2。 有关 SDK 的详细信息，请参阅安装适用于 Azure 机器学习的 Python SDK v2。

  提示

  Azure 机器学习托管 VNet 是在 2023 年 5 月 23 日推出的。 如果你安装的 SDK 版本较旧，则可能需要进行更新，以便顺利完成本文中的示例。 使用以下命令更新 SDK：

  pip install --upgrade azure-ai-ml azure-identity
  

• 本文中的示例假定代码以以下 Python 开头。 此代码导入使用托管虚拟网络创建工作区时所需的类，为 Azure 订阅和资源组设置变量，并创建 ml_client：

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Workspace,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group)
  

• Azure 订阅。 如果没有 Azure 订阅，可在开始前创建一个试用帐户。 试用免费版或付费版 Azure 机器学习。

• 必须为 Azure 订阅注册 Microsoft.Network 资源提供程序。 为托管虚拟网络创建专用终结点时，工作区会使用此资源提供程序。

  有关注册资源提供程序的信息，请参阅解决资源提供程序注册错误。

• 部署托管网络时使用的 Azure 标识需要下列 Azure 基于角色的访问控制 (Azure RBAC)操作来创建专用终结点：

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

若要配置允许 Internet 出站通信的托管虚拟网络，可以使用 --managed-network allow_internet_outbound 参数或包含以下条目的 YAML 配置文件：

managed_network:
  isolation_mode: allow_internet_outbound

还可以为工作区所依赖的其他 Azure 服务定义出站规则。 这些规则定义允许 Azure 资源与托管虚拟网络进行安全通信的专用终结点。 以下规则演示如何将专用终结点添加到 Azure Blob 资源。

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

可以使用 az ml workspace create 或 az ml workspace update 命令配置托管虚拟网络：

• 创建新的工作区：

  以下示例将创建新工作区。 --managed-network allow_internet_outbound 参数为工作区配置托管虚拟网络：

  az ml workspace create --name ws --resource-group rg --managed-network allow_internet_outbound
  

  若要改为使用 YAML 文件创建工作区，请使用 --file 参数并指定包含配置设置的 YAML 文件：

  az ml workspace create --file workspace.yaml --resource-group rg --name ws
  

  以下 YAML 示例定义具有托管虚拟网络的工作区：

  name: myworkspace
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• 更新现有工作区：

  警告

  在更新现有工作区以使用托管虚拟网络之前，必须删除工作区的所有计算资源。 这包括计算实例、计算群集和托管联机终结点。

  以下示例更新现有工作区。 --managed-network allow_internet_outbound 参数为工作区配置托管虚拟网络：

  az ml workspace update --name ws --resource-group rg --managed-network allow_internet_outbound
  

  若要使用 YAML 文件更新现有工作区，请使用 --file 参数并指定包含配置设置的 YAML 文件：

  az ml workspace update --file workspace.yaml --name ws --resource-group MyGroup
  

  以下 YAML 示例为工作区定义托管虚拟网络。 它还演示了如何将专用终结点连接添加到工作区使用的资源；在本例中，即 blob 存储的专用终结点：

  name: myworkspace
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

若要配置允许 Internet 出站通信的托管虚拟网络，请使用 ManagedNetwork 类定义具有 IsolationMode.ALLOW_INTERNET_OUTBOUND 的网络。 然后，可以使用 ManagedNetwork 对象创建新工作区或更新现有工作区。 若要定义工作区所依赖的 Azure 服务的出站规则，请使用 PrivateEndpointDestination 类定义服务的新专用终结点。

• 创建新的工作区：

  以下示例创建一个名为 myworkspace 的新工作区，其中包含一个名为 myrule 的出站规则，该规则为 Azure Blob 存储添加专用终结点：

  # Basic managed VNet configuration
  network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Workspace configuration
  ws = Workspace(
      name="myworkspace",
      location="ChinaNorth3",
      managed_network=network
  )
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the workspace
  ws = ml_client.workspaces.begin_create(ws).result()
  

• 更新现有工作区：

  警告

  在更新现有工作区以使用托管虚拟网络之前，必须删除工作区的所有计算资源。 这包括计算实例、计算群集和托管联机终结点。

  以下示例演示如何为名为 myworkspace 的现有 Azure 机器学习工作区创建托管虚拟网络：

  # Get the existing workspace
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound 
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the workspace
  ml_client.workspaces.begin_update(ws)
  

• 创建新的工作区：

  1. 登录到 Azure 门户，然后从“创建资源”菜单中选择“Azure 机器学习”。

  2. 在“基本信息”选项卡中，提供必填的信息。

  3. 在“网络”选项卡中，选择“Internet 出站专用”。

     

  4. 若要添加出站规则，请从“网络”选项卡中选择“添加用户定义的出站规则”。在“工作区出站规则”边栏中，提供以下信息：

     • 规则名称：规则的名称。 此工作区的名称必须是唯一的。
     • 目标类型：当网络隔离是 Internet 出站专用时，专用终结点是唯一的选项。 Azure 机器学习托管虚拟网络不支持为所有 Azure 资源类型创建专用终结点。 请参阅 专用终结点 部分查看受支持资源的列表。
     • 订阅：包含要为其添加专用终结点的 Azure 资源的订阅。
     • 资源组：包含要为其添加专用终结点的 Azure 资源的资源组。
     • 资源类型：Azure 资源的类型。
     • 资源名称：Azure 资源的名称。
     • 子资源：Azure 资源类型的子资源。
     • Spark 已启用：如果要为工作区启用无服务器 Spark 作业，请选择此选项。 仅当资源类型为 Azure 存储时，此选项才可用。

     

     选择“保存”以保存规则。 可以继续使用“添加用户定义的出站规则”来添加规则。

  5. 继续照常创建工作区。

• 更新现有工作区：

  警告

  在更新现有工作区以使用托管虚拟网络之前，必须删除工作区的所有计算资源。 这包括计算实例、计算群集和托管联机终结点。

  1. 登录到Azure 门户，然后选择要为其启用托管虚拟网络隔离的 Azure 机器学习工作区。

  2. 选择网络，工作区托管的出站访问，然后允许 Internet 出站。

     

     • 若要添加出站规则，请选择“添加用户定义的出站规则”。 在“工作区出站规则”边栏中，提供在“创建新工作区”部分中创建工作区时使用的相同信息。

       

     • 若要 删除 出站规则，请为该规则选择“删除”。

       

  3. 选择页面顶部的“保存”，将更改保存到托管虚拟网络。

若要配置仅允许已批准的出站通信的托管虚拟网络，可以使用 --managed-network allow_only_approved_outbound 参数或包含以下条目的 YAML 配置文件：

managed_network:
  isolation_mode: allow_only_approved_outbound

还可以定义出站规则以定义已批准的出站通信。 可以创建 service_tag、fqdn 和 private_endpoint 类型的出站规则。 以下规则演示了如何将专用终结点添加到 Azure Blob 资源，将服务标记添加到 Azure 数据工厂，并将 FQDN 添加到 pypi.org：

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

可以使用 az ml workspace create 或 az ml workspace update 命令配置托管虚拟网络：

• 创建新的工作区：

  以下示例使用 --managed-network allow_only_approved_outbound 参数配置托管虚拟网络：

  az ml workspace create --name ws --resource-group rg --managed-network allow_only_approved_outbound
  

  以下 YAML 文件定义具有托管虚拟网络的工作区：

  name: myworkspace
  location: ChinaNorth3
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  若要使用 YAML 文件创建工作区，请使用 --file 参数：

  az ml workspace create --file workspace.yaml --resource-group rg --name ws
  

• 更新现有工作区

  警告

  在更新现有工作区以使用托管虚拟网络之前，必须删除工作区的所有计算资源。 这包括计算实例、计算群集和托管联机终结点。

  以下示例使用 --managed-network allow_only_approved_outbound 参数为现有工作区配置托管虚拟网络：

  az ml workspace update --name ws --resource-group rg --managed-network allow_only_approved_outbound
  

  以下 YAML 文件为工作区定义托管虚拟网络。 它还演示如何将已批准的出站添加到托管虚拟网络。 在此示例中，为两个服务标记都添加了出站规则：

  警告

  FQDN 出站规则是使用 Azure 防火墙实现的。 如果使用出站 FQDN 规则，则 Azure 防火墙的费用将添加到账单中。有关详细信息，请参阅定价。

  name: myworkspace_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

若要配置仅允许已批准的出站通信的托管虚拟网络，请使用 ManagedNetwork 类定义具有 IsolationMode.ALLOw_ONLY_APPROVED_OUTBOUND 的网络。 然后，可以使用 ManagedNetwork 对象创建新工作区或更新现有工作区。 若要定义 出站规则，请使用以下类：

• 创建新的工作区：

  以下示例创建一个名为 myworkspace 的新工作区，其中包含多个出站规则：

  • myrule - 为 Azure Blob 存储添加专用终结点。
  • datafactory - 添加服务标记规则以与 Azure 数据工厂通信。

  重要

  • 仅当托管 VNet 配置为 IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND 时，为服务标记或 FQDN 添加出站这一操作才有效。
  • 如果添加出站规则，则 Microsoft 无法保证数据不会外泄。

  警告

  FQDN 出站规则是使用 Azure 防火墙实现的。 如果使用出站 FQDN 规则，则 Azure 防火墙费用将添加到账单中。 有关详细信息，请参阅定价。

  # Basic managed VNet configuration
  network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Workspace configuration
  ws = Workspace(
      name="myworkspace",
      location="ChinaNorth3",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the workspace
  ws = ml_client.workspaces.begin_create(ws).result()
  

• 更新现有工作区：

  警告

  在更新现有工作区以使用托管虚拟网络之前，必须删除工作区的所有计算资源。 这包括计算实例、计算群集和托管联机终结点。

  以下示例演示如何为名为 myworkspace 的现有 Azure 机器学习工作区创建托管虚拟网络。 该示例还为托管虚拟网络添加了多个出站规则：

  • myrule - 为 Azure Blob 存储添加专用终结点。
  • datafactory - 添加服务标记规则以与 Azure 数据工厂通信。

  提示

  仅当托管 VNet 配置为 IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND 时，为服务标记或 FQDN 添加出站这一操作才有效。

  警告

  FQDN 出站规则是使用 Azure 防火墙实现的。 如果使用出站 FQDN 规则，则 Azure 防火墙费用将添加到账单中。 有关详细信息，请参阅定价。

  # Get the existing workspace
  ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the workspace
  ml_client.workspaces.begin_update(ws)
  

• 创建新的工作区：

  1. 登录到 Azure 门户，然后从“创建资源”菜单中选择“Azure 机器学习”。

  2. 在“基本信息”选项卡中，提供必填的信息。

  3. 在“网络”选项卡中，选择“已批准出站专用”。

     

  4. 若要添加出站规则，请从“网络”选项卡中选择“添加用户定义的出站规则”。在“工作区出站规则”边栏中，提供以下信息：

     • 规则名称：规则的名称。 此工作区的名称必须是唯一的。
     • 目标类型：专用终结点、服务标记或 FQDN。 服务标记和 FQDN 仅在网络隔离为专用且已批准的出站时可用。

     如果目标类型为 专用终结点，请提供以下信息：

     • 订阅：包含要为其添加专用终结点的 Azure 资源的订阅。
     • 资源组：包含要为其添加专用终结点的 Azure 资源的资源组。
     • 资源类型：Azure 资源的类型。
     • 资源名称：Azure 资源的名称。
     • 子资源：Azure 资源类型的子资源。
     • Spark 已启用：如果要为工作区启用无服务器 Spark 作业，请选择此选项。 仅当资源类型为 Azure 存储时，此选项才可用。

     提示

     Azure 机器学习托管 VNet 不支持为所有 Azure 资源类型创建专用终结点。 请参阅 专用终结点 部分查看受支持资源的列表。

     

     如果目标类型为 服务标记，请提供以下信息：

     • 服务标记：要添加到已批准出站规则的服务标记。
     • 协议：允许服务标记的协议。
     • 端口范围：服务标记允许的端口范围。

     

     如果目标类型为 FQDN，请提供以下信息：

     警告

     FQDN 出站规则是使用 Azure 防火墙实现的。 如果使用出站 FQDN 规则，则 Azure 防火墙费用将添加到账单中。 有关详细信息，请参阅定价。

     • FQDN 目标：要添加到已批准的出站规则的完全限定域名。

     

     选择“保存”以保存规则。 可以继续使用“添加用户定义的出站规则”来添加规则。

  5. 继续照常创建工作区。

• 更新现有工作区：

  警告

  在更新现有工作区以使用托管虚拟网络之前，必须删除工作区的所有计算资源。 这包括计算实例、计算群集和托管联机终结点。

  1. 登录到Azure 门户，然后选择要为其启用托管虚拟网络隔离的 Azure 机器学习工作区。

  2. 选择网络，工作区托管的出站访问，然后选择已批准的私有出站。

     

     • 若要添加出站规则，请从“网络”选项卡中选择“添加用户定义的出站规则”。在“工作区出站规则”边栏中，提供前面在“创建新工作区”部分中创建工作区时使用的相同信息。

     • 若要 删除 出站规则，请为该规则选择“删除”。

       

  3. 选择页面顶部的“保存”，将更改保存到托管虚拟网络。

以下示例演示如何在工作区创建期间预配托管虚拟网络。 --provision-network-now 标志目前为预览版。

az ml workspace create -n myworkspace -g my_resource_group --managed-network AllowInternetOutbound --provision-network-now

以下示例演示如何手动预配托管虚拟网络。

az ml workspace provision-network -g my_resource_group -n my_workspace_name

若要验证预配是否已完成，请使用以下命令：

az ml workspace show -n my_workspace_name -g my_resource_group --query managed_network

若要在工作区创建期间预配托管网络，请将 provision_network_now 标志设置为 True。 此标志目前为预览版。

provision_network_now: True

以下示例演示如何预配托管虚拟网络：

# Connect to a workspace named "myworkspace"
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")

# whether to provision Spark vnet as well
include_spark = True

provision_network_result = ml_client.workspaces.begin_provision_network(workspace_name=ws_name, include_spark=include_spark).result()

若要验证工作区是否已预配，请使用 ml_client.workspaces.get() 获取工作区信息。 managed_network 属性包含托管网络的状态。

ws = ml_client.workspaces.get()
print(ws.managed_network.status)

在工作区创建期间，选择“在创建时主动预配托管网络”来预配托管网络。 预配了虚拟网络后，就会从网络资源（例如专用终结点）产生费用。 此配置选项仅在工作区创建期间可用，并且目前为预览版。

若要将工作区更新为使用计算群集或计算实例来生成 Docker 映像，请结合 --image-build-compute 参数使用 az ml workspace update 命令：

az ml workspace update --name ws --resource-group rg --image-build-compute mycompute

以下示例演示如何将工作区更新为使用计算群集来生成映像：

# import required libraries
from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

subscription_id = "<your subscription ID>"
resource_group = "<your resource group name>"
workspace = "<your workspace name>"

ml_client = MLClient(
    DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name=workspace
)

# Get workspace info
ws=ml_client.workspaces.get(name=workspace)
# Update to use cpu-cluster for image builds
ws.image_build_compute="mycompute"
ml_client.workspaces.begin_update(ws)
# To switch back to using ACR to build (if ACR is not in the virtual network):
# ws.image_build_compute = ''
# ml_client.workspaces.begin_update(ws)

目前，无法从 Azure 门户设置映像生成计算。 使用“Azure CLI”或“Python SDK”选项卡了解如何手动配置映像生成。

若要列出工作区的托管虚拟网络出站规则，请使用以下命令：

az ml workspace outbound-rule list --workspace-name ws --resource-group rg

若要查看托管虚拟网络出站规则的详细信息，请使用以下命令：

az ml workspace outbound-rule show --rule rule-name --workspace-name ws --resource-group rg

若要从托管虚拟网络中删除出站规则，请使用以下命令：

az ml workspace outbound-rule remove --rule rule-name --workspace-name ws --resource-group rg

以下示例演示如何管理名为 myworkspace 的工作区的出站规则：

# Connect to the workspace
ml_client = MLClient(DefaultAzureCredential(), subscription_id=subscription_id, resource_group_name=resource_group, workspace_name="myworkspace")

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a workspace
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a workspace
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

1. 登录到Azure 门户，然后选择要为其启用托管虚拟网络隔离的 Azure 机器学习工作区。

2. 选择“网络”。 可通过“工作区出站访问”部分管理出站规则。

   

• 若要添加出站规则，请从“网络”选项卡中选择“添加用户定义的出站规则”。在“工作区出站规则”边栏中，提供以下信息：

• 若要启用或禁用规则，请使用“活动”列中的切换按钮。

• 若要 删除 出站规则，请为该规则选择“删除”。