Autenticar clientes para endpoints online

1. Inicie sessão no Azure.

   az login
   

2. Se você quiser usar uma identidade específica, use o seguinte código para entrar com a identidade:

   az login --identity --username <identityID>
   

3. Use este contexto para obter o token:

   export CONTROL_PLANE_TOKEN=`(az account get-access-token --resource https://management.azure.com --query accessToken | tr -d '"')`
   

A partir de uma máquina virtual do Azure

Podes obter o token com base na identidade gerida para uma VM Azure (quando a VM ativa uma identidade gerida).

• Para obter o token Microsoft Entra (aad_token) para a operação do plano de controle na VM do Azure, envie a solicitação para o ponto de extremidade do Serviço de Metadados de Instância do Azure (IMDS) para o ponto de extremidade management.azure.comde recurso do Azure :

  export CONTROL_PLANE_TOKEN=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s | jq -r '.access_token' )`
  

  Gorjeta

  A jq ferramenta é usada para extrair o token da saída JSON. No entanto, você pode usar qualquer ferramenta adequada para este fim.

  Para obter mais informações sobre como obter tokens com base em identidades gerenciadas, consulte Obter um token usando HTTP.

A partir de uma instância de computação

Você pode obter o token se estiver usando a instância de computação do espaço de trabalho do Azure Machine Learning. Para obter o token, deve passar o ID do cliente e o segredo da identidade gerida da instância de computação para o endpoint de Identidade de Sistema Gerido (MSI) que está configurado localmente na instância de computação. Você pode obter o ponto de extremidade MSI, a ID do cliente e o segredo das variáveis MSI_ENDPOINTde ambiente , DEFAULT_IDENTITY_CLIENT_ID, e MSI_SECRET, respectivamente. Essas variáveis são definidas automaticamente se você habilitar a identidade gerenciada para a instância de computação.

• Obtenha o token para o ponto de extremidade management.azure.com de recurso do Azure da instância de computação do espaço de trabalho:

  export CONTROL_PLANE_TOKEN=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.access_token' )`
  

from azure.identity import DefaultAzureCredential, InteractiveBrowserCredential

try:
    credential = DefaultAzureCredential()
    # Check whether given credential can get token.
    access_token = credential.get_token("https://management.azure.com/.default")
    print(access_token)
except Exception as ex:
    # Fall back to InteractiveBrowserCredential in case DefaultAzureCredential doesn't work.
    # This will open a browser page. 
    credential = InteractiveBrowserCredential()

Consulte Obter um token usando a biblioteca cliente Azure Identity para mais informações.

O estúdio não expõe o token Microsoft Entra para operações de plano de controle.

A CLI não exige que você forneça explicitamente o token do plano de controle. Em vez disso, o comando CLI az login autentica-o durante o início de sessão, e o token é automaticamente recuperado e passado para si.

1. Crie um ficheiro YAML de definição de endpoint chamado endpoint.yml:

   $schema: https://azuremlschemas.azureedge.net/latest/managedOnlineEndpoint.schema.json
   name: my-endpoint
   auth_mode: aad_token
   

   Pode definir auth_mode para autenticação com chave key ou aml_token para autenticação de token do Azure Machine Learning. Este exemplo utiliza aad_token para autenticação de tokens Microsoft Entra.

2. Crie o ponto de extremidade:

   az ml online-endpoint create -f endpoint.yml
   

3. Verifique o status do endpoint:

   az ml online-endpoint show -n my-endpoint
   

4. Se você quiser substituir auth_mode (por exemplo, para aad_token) ao criar um ponto de extremidade, execute o seguinte código:

   az ml online-endpoint create -n my-endpoint --auth-mode aad_token
   

5. Se quiser atualizar o endpoint existente e especificar auth_mode (por exemplo, como aad_token), execute o seguinte código:

   az ml online-endpoint update -n my-endpoint --set auth_mode=aad_token
   

A chamada à API REST requer que você forneça explicitamente o token do plano de controle. Use o token de plano de controle recuperado anteriormente.

1. Criar ou atualizar um ponto de extremidade:

   export SUBSCRIPTION_ID=<SUBSCRIPTION_ID>
   export RESOURCE_GROUP=<RESOURCE_GROUP>
   export WORKSPACE=<WORKSPACE_NAME>
   export ENDPOINT_NAME=<ENDPOINT_NAME>
   export LOCATION=<LOCATION_NAME>
   export API_VERSION=2023-04-01
   
   response=$(curl --location --request PUT "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
   --header "Content-Type: application/json" \
   --header "Authorization: Bearer $CONTROL_PLANE_TOKEN" \
   --data-raw "{
       \"identity\": {
          \"type\": \"systemAssigned\"
       },
       \"properties\": {
           \"authMode\": \"AADToken\"
       },
       \"location\": \"$LOCATION\"
   }")
   
   echo $response
   

   Pode substituir authMode por key para autenticação por chave ou por AMLToken para autenticação de token do Azure Machine Learning. Neste exemplo, utiliza-se AADToken para autenticação de token Microsoft Entra.

2. Obtenha o status atual do ponto de extremidade online:

   response=$(curl --location --request GET "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
   --header "Content-Type: application/json" \
   --header "Authorization: Bearer $CONTROL_PLANE_TOKEN" \
   )
   
   echo $response
   

Python SDK não requer que você forneça explicitamente o token de plano de controle. Em vez disso, o SDK MLClient autentica você durante o login, e o token é automaticamente recuperado e passado para você.

from azure.ai.ml import MLClient
from azure.ai.ml.entities import (
    ManagedOnlineEndpoint,
    ManagedOnlineDeployment,
    Model,
    Environment,
    CodeConfiguration,
)
from azure.identity import DefaultAzureCredential

subscription_id = "<SUBSCRIPTION_ID>"
resource_group = "<RESOURCE_GROUP>"
workspace = "<WORKSPACE_NAME>"

ml_client = MLClient(
    DefaultAzureCredential(), subscription_id, resource_group, workspace
)

endpoint = ManagedOnlineEndpoint(
    name="my-endpoint",
    description="this is a sample online endpoint",
    auth_mode="aad_token",
    tags={"foo": "bar"},
)
ml_client.online_endpoints.begin_create_or_update(endpoint).result()

Pode substituir auth_mode por key para autenticação por chave ou para autenticação de token do Azure Machine Learning. O exemplo utiliza aad_token para a autenticação de tokens Microsoft Entra.

O estúdio não exige que forneça explicitamente o token do plano de controlo porque o estúdio autentica-o durante o início de sessão, e o token é automaticamente recuperado e passado por si.

Para mais informações sobre a implementação de endpoints online, consulte Implementação de um modelo de machine learning com um endpoint online (via o estúdio).

O código a seguir é um exemplo de como criar uma implantação. Para mais informações sobre a implementação de endpoints online, consulte Deploy a machine learning model with a online endpoint (via CLI).

1. Crie um ficheiro YAML de definição de implementação chamado blue-deployment.yml:

   $schema: https://azuremlschemas.azureedge.net/latest/managedOnlineDeployment.schema.json
   name: blue
   endpoint_name: my-aad-auth-endp1
   model:
     path: ../../model-1/model/
   code_configuration:
     code: ../../model-1/onlinescoring/
     scoring_script: score.py
   environment: 
     conda_file: ../../model-1/environment/conda.yml
     image: mcr.microsoft.com/azureml/openmpi4.1.0-ubuntu20.04:latest
   instance_type: Standard_DS3_v2
   instance_count: 1
   

2. Crie a implementação usando o ficheiro YAML. Para este exemplo, defina todo o tráfego para a nova implantação.

   az ml online-deployment create -f blue-deployment.yml --all-traffic
   

Para mais informações sobre a implementação de endpoints online usando REST, veja Use REST para implementar um modelo como endpoint online.

Para mais informações sobre a implementação de endpoints online, consulte Deploy a machine learning model with an online endpoint (via SDK).

Para mais informações sobre a implementação de endpoints online, consulte Implementar um modelo de machine learning com um endpoint online (via o estúdio).

Se usares az ml online-endpoint invoke para chamar o endpoint, a CLI resolve automaticamente o URI de pontuação, por isso não precisas de o recuperar manualmente.

No entanto, se precisar do URI de pontuação para usar com outras ferramentas (como a API REST ou clientes HTTP personalizados), pode recuperá-lo com o seguinte comando:

scoringUri=$(az ml online-endpoint show -n my-endpoint --query "scoring_uri")

export SUBSCRIPTION_ID=<SUBSCRIPTION_ID>
export RESOURCE_GROUP=<RESOURCE_GROUP>
export WORKSPACE=<WORKSPACE_NAME>
export ENDPOINT_NAME=<ENDPOINT_NAME>
export API_VERSION=2023-04-01
response=$(curl --location --request GET "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME?api-version=$API_VERSION" \
--header "Content-Type: application/json" \
--header "Authorization: Bearer $CONTROL_PLANE_TOKEN")
scoringUri=$(echo $response | jq -r '.properties' | jq -r '.scoringUri')

echo $response
echo $scoringUri

Se planeias usar o SDK Python para invocar o endpoint, não precisas de obter explicitamente o URI de pontuação porque o SDK fornece-o por ti. No entanto, ainda podes usar o SDK para obter o URI de pontuação e assim a usá-lo com outros canais, como a API REST.

scoring_uri = ml_client.online_endpoints.get(name=endpoint_name).scoring_uri

Se planeias usar o Studio para invocar o endpoint, não precisas de obter o URI de pontuação de forma explícita porque o Studio o fornece para ti. No entanto, ainda podes usar o Studio para obter o URI de pontuação para que possas usá-lo com outros canais, como a API REST.

Você pode encontrar o URI de pontuação na guia Detalhes da página do ponto de extremidade.

Se planeias usar a CLI para invocar o endpoint, não precisas de obter as chaves ou o token para operações no plano de dados explicitamente porque a CLI fornece isso para ti. No entanto, ainda pode usar a CLI para obter as chaves ou o token para operações no plano de dados, de modo a poder usá-lo com outros canais, como a API REST.

Para obter as chaves ou o token para operações de plano de dados, use o comando az ml online-endpoint get-credentials . Este comando devolve a saída JSON que contém as chaves, o token e/ou informações adicionais.

Quando o auth_mode do ponto final é key

• As chaves são retornadas nos primaryKey campos e secondaryKey .

  export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query primaryKey)
  export DATA_PLANE_TOKEN2=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query secondaryKey)
  

Quando o auth_mode do ponto final é aml_token

• O token é devolvido no accessToken campo.

• O tempo de expiração do token é devolvido no expiryTimeUtc campo.

• O tempo de atualização do token é devolvido no refreshAfterTimeUtc campo.

  export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query accessToken)
  export EXPIRY_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query expiryTimeUtc)
  export REFRESH_AFTER_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query refreshAfterTimeUtc)
  

Quando o auth_mode do ponto final é aad_token

• O token é devolvido no accessToken campo.

• O tempo de expiração do token é devolvido no expiryTimeUtc campo.

  export DATA_PLANE_TOKEN=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query accessToken)
  export EXPIRY_TIME_UTC=$(az ml online-endpoint get-credentials -n $ENDPOINT_NAME -g $RESOURCE_GROUP -w $WORKSPACE_NAME -o tsv --query expiryTimeUtc)
  

Para obter as chaves ou o token para operações de plano de dados, escolha a API correta, dependendo do auth_mode ponto de extremidade. A API devolve saída JSON que inclui as chaves e o token.

Quando o auth_mode do ponto final é key

• Use a listkeys API.

• As chaves são retornadas nos primaryKey campos e secondaryKey .

  response=$(curl -H "Content-Length: 0" --location --request POST "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME/listkeys?api-version=$API_VERSION" \
  --header "Authorization: Bearer $CONTROL_PLANE_TOKEN")
  
  export DATA_PLANE_TOKEN=$(echo $response | jq -r '.primaryKey')
  

Quando o auth_mode do ponto final é aml_token

• Use a token API.

• O token é devolvido no accessToken campo.

• O tempo de expiração do token é devolvido no expiryTimeUtc campo.

• O tempo de atualização do token é devolvido no refreshAfterTimeUtc campo.

  response=$(curl -H "Content-Length: 0" --location --request POST "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.MachineLearningServices/workspaces/$WORKSPACE/onlineEndpoints/$ENDPOINT_NAME/token?api-version=$API_VERSION" \
  --header "Authorization: Bearer $CONTROL_PLANE_TOKEN")
  
  export DATA_PLANE_TOKEN=$(echo $response | jq -r '.accessToken')
  export EXPIRY_TIME_UTC=$(echo $response | jq -r '.expiryTimeUtc')
  export REFRESH_AFTER_TIME_UTC=$(echo $response | jq -r '.refreshAfterTimeUtc')
  

Quando o auth_mode do ponto final é aad_token

• Use o endpoint IMDS ou o endpoint MSI, dependendo de onde solicita o token.
• O token é devolvido no accessToken campo.
• O tempo de expiração do token é devolvido no expiryTimeUtc campo.

A partir de uma máquina virtual do Azure

Podes obter o token com base nas identidades geridas para uma VM Azure (quando a VM ativa uma identidade gerida).

• Para obter o token Microsoft Entra (aad_token) para a operação do plano de dados na VM Azure com identidade gerida, submeta o pedido para o endpoint IMDS para o endpoint ml.azure.comde recursos Azure :

  export DATA_PLANE_TOKEN=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F' -H Metadata:true -s | jq -r '.access_token' )`
  export EXPIRY_TIME_UTC=`(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F' -H Metadata:true -s | jq -r '.expiryTimeUtc' )`
  

  Para obter mais informações sobre como obter tokens com base em identidades gerenciadas, consulte Obter um token usando HTTP.

A partir de uma instância de computação

Você pode obter o token se estiver usando a instância de computação do espaço de trabalho do Azure Machine Learning. Para obter o token, tens de passar o ID do cliente e o segredo da identidade gerida da instância de computação ao endpoint MSI que está configurado localmente na instância de computação. Você pode obter o ponto de extremidade MSI, a ID do cliente e o segredo das variáveis MSI_ENDPOINTde ambiente , DEFAULT_IDENTITY_CLIENT_ID, e MSI_SECRET, respectivamente. Essas variáveis são definidas automaticamente se você habilitar a identidade gerenciada para a instância de computação.

• Obtenha o token para o ponto de extremidade ml.azure.com de recurso do Azure da instância de computação do espaço de trabalho:

  export DATA_PLANE_TOKEN=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.access_token' )`
  export EXPIRY_TIME_UTC=`(curl $MSI_ENDPOINT'?api-version=2018-02-01&resource=https%3A%2F%2Fml.azure.com%2F&clientid='$DEFAULT_IDENTITY_CLIENT_ID -H Metadata:true -H Secret:$MSI_SECRET -s | jq -r '.expiryTimeUtc' )`
  

Se usares o método do invoke() SDK para chamar o endpoint, o SDK trata da autenticação automaticamente, por isso não precisas de recuperar chaves ou tokens manualmente.

No entanto, se precisares de recuperar chaves ou tokens para usar com outras ferramentas (como API REST ou clientes HTTP personalizados), podes usar o método get_keys na OnlineEndpointOperations classe. Esse método retorna um objeto que inclui chaves e token.

Quando o auth_mode do ponto final é key

• As chaves são retornadas nos primary_key campos e secondary_key .

  DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).primary_key
  DATA_PLANE_TOKEN2 = ml_client.online_endpoints.get_keys(name=endpoint_name).secondary_key
  

Quando o auth_mode do ponto final é aml_token

• O token é devolvido no access_token campo.

• O tempo de expiração do token é devolvido no expiry_time_utc campo.

• O tempo de atualização do token é devolvido no refresh_after_time_utc campo.

  DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).access_token
  EXPIRY_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).expiry_time_utc
  REFRESH_AFTER_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).refresh_after_time_utc
  

Quando o auth_mode do ponto final é aad_token

• O token é devolvido no access_token campo.

• O tempo de expiração do token é devolvido no expiry_time_utc campo.

  DATA_PLANE_TOKEN = ml_client.online_endpoints.get_keys(name=endpoint_name).access_token
  EXPIRY_TIME_UTC = ml_client.online_endpoints.get_keys(name=endpoint_name).expiry_time_utc
  

Consulte Obter um token usando a biblioteca de cliente de identidade do Azure para obter mais informações.

Pode encontrar a chave, o token Azure Machine Learning ou o token Microsoft Entra, no separador Consume da página de uma implementação.

Você pode usar az ml online-endpoint invoke para pontos de extremidade com uma chave, um token do Azure Machine Learning ou um token do Microsoft Entra. A CLI fornece automaticamente a chave ou token, por isso não precisa de a passar explicitamente.

az ml online-endpoint invoke -n my-endpoint -r request.json

Ao invocar o ponto de extremidade online para pontuação, passe a chave, o token do Azure Machine Learning ou o token do Microsoft Entra no cabeçalho de autorização. O código seguinte mostra como usar a utilidade cURL para chamar o endpoint online usando uma chave ou token:

curl --request POST "$scoringUri" --header "Authorization: Bearer $DATA_PLANE_TOKEN" --header 'Content-Type: application/json' --data @endpoints/online/model-1/sample-request.json

O Azure Machine Learning SDK ml_client.online_endpoints.invoke() é suportado para chaves, tokens Azure Machine Learning e tokens Microsoft Entra. Também pode usar um SDK genérico em Python para enviar o pedido POST ao URI de pontuação.

Ao chamar o ponto de extremidade online para pontuação, passe a chave ou token no cabeçalho de autorização. O código seguinte mostra como chamar o endpoint online usando uma chave ou token com um SDK genérico em Python. No código, substitua a api_key variável pela sua chave ou token.

import urllib.request
import json
import os

data = {"data": [
    [1,2,3,4,5,6,7,8,9,10], 
    [10,9,8,7,6,5,4,3,2,1]
]}

body = str.encode(json.dumps(data))

url = '<scoring URI as retrieved earlier>'
api_key = '<key or token as retrieved earlier>'
headers = {'Content-Type':'application/json', 'Authorization':('Bearer '+ api_key)}

req = urllib.request.Request(url, body, headers)

try:
    response = urllib.request.urlopen(req)

    result = response.read()
    print(result)
except urllib.error.HTTPError as error:
    print("The request failed with status code: " + str(error.code))

    # Print the headers. They include the request ID and the timestamp, which are useful for debugging the failure.
    print(error.info())
    print(error.read().decode("utf8", 'ignore'))

Chave ou token do Azure Machine Learning

O separador Teste da página de detalhes da implementação suporta a avaliação para endpoints com a chave, o token do Azure Machine Learning ou o token de autenticação do Microsoft Entra.