Azure 机器学习 - 机器学习中的企业安全和治理

目录

    • 限制对资源和操作的访问
    • 网络安全性和隔离
    • 数据加密
    • 数据渗透防护
    • 漏洞扫描
    • 审核和管理合规性

在本文中,你将了解可用于 Azure 机器学习的安全和治理功能。 如果管理员、DevOps 和 MLOps 想要创建符合公司策略的安全配置,那么这些功能对其十分有用。 通过 Azure 机器学习和 Azure 平台,你可以:

  • 按用户帐户或组限制对资源和操作的访问
  • 限制传入和传出的网络通信
  • 加密传输中的数据和静态数据
  • 扫描漏洞
  • 应用和审核配置策略

关注TechLead,分享AI全维度知识。作者拥有10+年互联网服务架构、AI产品研发经验、团队管理经验,同济本复旦硕,复旦机器人智能实验室成员,阿里云认证的资深架构师,项目管理专业人士,上亿营收AI产品研发负责人。

file

限制对资源和操作的访问

Microsoft Entra ID 是 Azure 机器学习的标识服务提供程序。 它允许你创建和管理用于向 Azure 资源进行_身份验证_的安全对象(用户、组、服务主体和托管标识)。 如果 Microsoft Entra ID 已配置为使用多重身份验证,则多重身份验证受支持。

下面是在 Microsoft Entra ID 中使用多重身份验证的 Azure 机器学习的身份验证过程:

  1. 客户端登录到 Microsoft Entra ID 并获取 Azure 资源管理器令牌。
  2. 客户端将令牌提供给 Azure 资源管理器和所有 Azure 机器学习服务。
  3. Azure 机器学习将机器学习服务令牌提供给用户计算目标(例如 Azure 机器学习计算群集或无服务器计算)。 作业完成后,用户计算目标使用此令牌回调机器学习服务。 范围限制为工作区。
    file
    每个工作区都有一个关联的系统分配的托管标识,该标识与工作区同名。 此托管标识用于安全地访问工作区使用的资源。 它对关联的资源具有以下 Azure RBAC 权限:
资源权限
工作区参与者
存储帐户存储 Blob 数据参与者
密钥保管库访问所有密钥、机密和证书
Azure 容器注册表参与者
包含工作区的资源组参与者

系统分配的托管标识用于在 Azure 机器学习与其他 Azure 资源之间进行内部的服务到服务身份验证。 用户无法访问标识令牌,并且无法使用它来获取对这些资源的访问权限。 用户在具有足够 RBAC 权限的情况下,只能通过 Azure 机器学习控制和数据平面 API 来访问这些资源。

不建议管理员撤销托管标识对上表中所述资源的访问权限。 可以使用“重新同步密钥”操作来恢复访问权限。

可以将工作区预配为使用用户分配的托管标识,并将其他角色授予托管标识,以便访问所需目标(例如,访问你自己的 Azure 容器注册表以获取基础 Docker 映像)。 还可以将托管标识配置为与 Azure 机器学习计算群集配合使用。 此托管标识独立于工作区托管标识。 使用计算群集时,可以使用托管标识来访问运行训练作业的用户可能无权访问的资源,例如安全数据存储。 有关详细信息,请参阅使用托管标识进行访问控制。

网络安全性和隔离

要限制对 Azure 机器学习资源的网络访问,可以使用 Azure 机器学习托管虚拟网络或 Azure 虚拟网络 (VNet)。 使用虚拟网络会减少解决方案的受攻击面并降低数据外泄的几率。

你不必非此即彼。 例如,你可以使用托管虚拟网络来保护托管计算资源,使用 Azure 虚拟网络来保护非托管资源,或者保护客户端对工作区的访问。

  • Azure 机器学习托管虚拟网络提供了一个完全托管的解决方案,可为你的工作区和托管计算资源启用网络隔离。 你可以使用专用终结点来保护与其他 Azure 服务的通信,并可以限制出站通信。 以下托管计算资源通过托管网络进行保护:

    • 无服务器计算(包括 Spark 无服务器)
    • 计算群集
    • 计算实例
    • 托管联机终结点
    • 批处理联机终结点

    有关详细信息,请参阅 Azure 机器学习托管虚拟网络。

  • Azure 虚拟网络提供了自定义程度更高的虚拟网络产品。 但是,你负责配置和管理。 你可能需要使用网络安全组、用户定义的路由或防火墙来限制出站通信。

数据加密

Azure 机器学习使用 Azure 平台上的各种计算资源和数据存储。 要详细了解其中每个志愿如何支持静态数据加密和传输中数据加密,请参阅 Azure 机器学习的数据加密。

数据渗透防护

Azure 机器学习有多个入站和出站网络依赖项。 其中一些依赖项可暴露由组织内的恶意代理导致的数据外泄风险。 这些风险与 Azure 存储、Azure Front Door 和 Azure Monitor 的出站要求相关联。 有关缓解此风险的建议,请参阅 Azure 机器学习数据外泄防护一文。

漏洞扫描

Microsoft Defender for Cloud 跨混合云工作负载提供统一的安全管理和高级威胁防护。 对于 Azure 机器学习,应启用对 Azure 容器注册表资源和 Azure Kubernetes 服务资源的扫描。 有关详细信息,请参阅通过 Defender for Cloud 扫描 Azure 容器注册表映像和 Azure Kubernetes 服务与 Defender for Cloud 的集成。

审核和管理合规性

Azure Policy 是一种管理工具,你可用它来确保 Azure 资源符合你的策略。 可以设置策略以允许或强制实施特定配置,例如 Azure 机器学习工作区是否使用专用终结点。 有关 Azure Policy 的详细信息,请参阅 Azure Policy 文档。 若要详细了解特定于 Azure 机器学习的策略,请参阅使用 Azure Policy 审核和管理合规性。

关注TechLead,分享AI全维度知识。作者拥有10+年互联网服务架构、AI产品研发经验、团队管理经验,同济本复旦硕,复旦机器人智能实验室成员,阿里云认证的资深架构师,项目管理专业人士,上亿营收AI产品研发负责人。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.hqwc.cn/news/168989.html

如若内容造成侵权/违法违规/事实不符,请联系编程知识网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

数据库安全:Hadoop 未授权访问-命令执行漏洞.

数据库安全:Hadoop 未授权访问-命令执行漏洞. Hadoop 未授权访问主要是因为 Hadoop YARN 资源管理系统配置不当,导致可以未经授权进行访问,从而被攻击者恶意利用。攻击者无需认证即可通过 RESTAPI 部署任务来执行任意指令,最终完…

KVM虚拟机迁移原理与实践

虚拟机迁移 迁移(migration)包括系统整体的迁移和某个工作负载的迁移,系统整体迁移是将系统上的所有软件,包括操作系统,完全复制到另一台物理硬件机器上,而工作负载迁移仅仅迁移特定的工作负载。 虚拟化技术的出现,丰…

upload 文件自动上传写法,前后端 下载流文件流

<el-uploadv-model:file-list"fileList":action"app.api/student/student/import":headers"{// Content-Type: multipart/form-data;boundary----split-boundary, 此处切记不要加&#xff0c;否则会造成后端报错 Required request part file is…

CSS 移动端 1px(线条/边框) 不同机型上显示粗细不同,解决办法

由于不同的手机有不同的像素密度导致的。如果移动显示屏的分辨率始终是普通屏幕的2倍&#xff0c;1px的边框在devicePixelRatio2的移动显示屏下会显示成2px&#xff0c;所以在高清瓶下看着1px总是感觉变胖了 <!DOCTYPE html> <html lang"en"> <head&g…

19.删除链表的倒数第N个结点(LeetCode)

想法一 先用tail指针找尾&#xff0c;计算出节点个数&#xff0c;再根据倒数第N个指定删除 想法二 根据进阶的要求&#xff0c;只能遍历一遍链表&#xff0c;那刚刚想法一就做不到 首先&#xff0c;我们要在一遍内找到倒数第N个节点&#xff0c;所以我们设置slow和fast两个指…

优化编辑距离以测量文本相似度

一、说明 编辑距离是一种文本相似度度量&#xff0c;用于测量 2 个单词之间的距离。它有许多方面应用&#xff0c;如文本自动完成和自动更正。 对于这两种用例中的任何一种&#xff0c;系统都会将用户输入的单词与字典中的单词进行比较&#xff0c;以找到最接近的匹配项&#x…

Codeforces Round 908 (Div. 2)题解

目录 A. Secret Sport 题目分析: B. Two Out of Three 题目分析: C. Anonymous Informant 题目分析: A. Secret Sport 题目分析: A,B一共打n场比赛&#xff0c;输入一个字符串由A和‘B’组成代表A赢或者B赢&#xff08;无平局&#xff09;&#xff0c;因为题目说明这个人…

FPGA与STM32_FSMC总线通信实验

FPGA与STM32_FSMC总线通信实验 内部存储器IP核的参数设置创建IP核FPGA代码STM32标准库的程序 STM32F407 上自带 FSMC 控制器&#xff0c;通过 FSMC 总线的地址复用模式实现STM32 与 FPGA 之间的通信&#xff0c;FPGA 内部建立 RAM 块&#xff0c;FPGA 桥接 STM32 和 RAM 块&…

图论13-最小生成树-Kruskal算法+Prim算法

文章目录 1 最小生成树2 最小生成树Kruskal算法的实现2.1 算法思想2.2 算法实现2.2.1 如果图不联通&#xff0c;直接返回空&#xff0c;该图没有mst2.2.2 获得图中的所有边&#xff0c;并且进行排序2.2.2.1 Edge类要实现Comparable接口&#xff0c;并重写compareTo方法 2.2.3 取…

网络运维Day10

文章目录 SHELL基础查看有哪些解释器使用usermod修改用户解释器BASH基本特性 shell脚本的设计与运行编写问世脚本脚本格式规范执行shell脚本方法一方法二实验 变量自定义变量环境变量位置变量案例 预定义变量 变量的扩展运用多种引号的区别双引号的应用单引号的应用反撇号或$()…

HTML使用lable将文字与控件进行关联以获取焦点

先养养眼再往下看 注释很详细&#xff0c;直接上代码 <form action""><!-- 第一种方法:用id的方式绑定账户(文字)和输入框 --><label for"zhanghu">账户</label><input "text" id"zhanghu" name"ac…

一步一步详细介绍如何使用 OpenCV 制作低成本立体相机

在这篇文章中,我们将学习如何创建定制的低成本立体相机(使用一对网络摄像头)并使用 OpenCV 捕获 3D 视频。我们提供 Python 和 C++ 代码。文末并附完整的免费代码下载链接 我们都喜欢观看上面所示的 3D 电影和视频。您需要如图 1 所示的红青色 3D 眼镜才能体验 3D 效果。它是…