Diese Seite wurde von der Cloud Translation API übersetzt.

Berechtigungen für generative KI-Funktionen festlegen, die Vertex AI LLMs aufrufen

In diesem Dokument erfahren Sie, wie Sie Berechtigungen zum Ausführen von generativen KI-Abfragen einrichten. Generative KI-Anfragen enthalten AI.*-Funktionen, die Basismodelle in Vertex AI aufrufen, z. B. AI.GENERATE.

Es gibt zwei Möglichkeiten, Berechtigungen zum Ausführen von Abfragen mit AI.*-Funktionen einzurichten:

Abfrage mit Ihren Endnutzeranmeldedaten ausführen
BigQuery ML-Verbindung erstellen, um die Abfrage mit einem Dienstkonto auszuführen

In den meisten Fällen können Sie Endnutzeranmeldedaten verwenden und das CONNECTION-Argument leer lassen. Wenn Ihr Abfragejob voraussichtlich 48 Stunden oder länger dauert, sollten Sie eine BigQuery-Verbindung verwenden und sie in das CONNECTION-Argument einfügen.

Generative KI-Abfragen mit Anmeldedaten von Endnutzern ausführen

Wenn Sie generative KI-Abfragen mit Anmeldedaten von Endnutzern ausführen möchten, konfigurieren Sie die erforderlichen Berechtigungen in der Google Cloud Console. Wenn Sie der Projektinhaber sind, haben Sie bereits alle erforderlichen Berechtigungen und müssen nichts weiter tun.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Ausführen eines Abfragejobs benötigen, der ein Vertex AI-Modell aufruft:

Abfragejobs ausführen: BigQuery Job User (roles/bigquery.jobUser)
Auf ein Foundation Model in Vertex AI zugreifen: Vertex AI-Nutzer (roles/aiplatform.user)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Weisen Sie dem Nutzer oder der Gruppe die erforderlichen Rollen zu.

Mit der Google Cloud Console können Sie einem Prinzipal die erforderlichen Rollen zuweisen. Der Prinzipal ist der Nutzer oder die Gruppe, die die Abfrage ausführt, in der AI.*-Funktionen zum Aufrufen eines Vertex AI-Foundation Models verwendet werden.

Rufen Sie in der Google Cloud Console die Seite IAM auf.

IAM aufrufen
Wählen Sie Ihr Projekt aus.
So weisen Sie einem Hauptkonto Rollen zu:
1. Rufen Sie die Seite IAM und Verwaltung auf.
  
  IAM & Verwaltung aufrufen
2. Klicken Sie auf Zugriff erlauben.
  
  Das Dialogfeld Principals hinzufügen wird geöffnet.
3. Geben Sie im Feld Neue Hauptkonten die Hauptkonto-ID ein, z. B. my-user@example.com oder //iam.googleapis.com/locations/global/workforcePools/example-pool/group/example-group@example.com.
4. Klicken Sie im Bereich Rollen zuweisen für Rolle auswählen auf den Drop-down-Pfeil.
5. Suchen Sie nach der Rolle Vertex AI User und wählen Sie sie aus.
6. Klicken Sie auf Weitere Rolle hinzufügen.
7. Klicken Sie im Bereich Rollen zuweisen für Rolle auswählen auf den Drop-down-Pfeil.
8. Suchen Sie nach der Rolle BigQuery-Jobnutzer oder wählen Sie sie aus.
9. Klicken Sie auf Speichern.

Wenn Sie Rollen für ein Hauptkonto ändern möchten, das bereits Rollen für das Projekt hat, lesen Sie den Abschnitt Hauptkonto zusätzliche Rollen zuweisen.

Informationen zu anderen Methoden zum Zuweisen von Rollen auf Projektebene zu einem Prinzipal finden Sie unter Mehrere IAM-Rollen programmatisch zuweisen oder entziehen.

Generative KI-Abfragen mit einer BigQuery-Verbindung ausführen

Wenn Sie generative KI-Abfragen über eine Verbindung ausführen möchten, erstellen Sie die Verbindung und gewähren Sie dann Zugriff auf das Dienstkonto, das durch die Verbindung erstellt wurde.

Verbindung herstellen

Sie können eine Cloud-Ressourcenverbindung einrichten, um alle generativen KI-Anfragen auszuführen, die AI.*-Funktionen enthalten. Wenn Sie eine Verbindung erstellen, gewähren Sie einem Dienstkonto Berechtigungen zum Ausführen von Abfragen.

Wählen Sie eine der folgenden Optionen aus:

Console

Rufen Sie die Seite BigQuery auf.

BigQuery aufrufen
Klicken Sie im linken Bereich auf Explorer:

Wenn das linke Steuerfeld nicht angezeigt wird, klicken Sie auf Linkes Steuerfeld maximieren, um es zu öffnen.
Maximieren Sie im Bereich Explorer den Namen Ihres Projekts und klicken Sie dann auf Verbindungen.
Klicken Sie auf der Seite Verbindungen auf Verbindung erstellen.
Wählen Sie als Verbindungstyp die Option Vertex AI-Remote-Modelle, Remote-Funktionen, BigLake und Cloud Spanner (Cloud-Ressource) aus.
Geben Sie im Feld Verbindungs-ID einen Namen für die Verbindung ein.
Wählen Sie unter Standorttyp einen Standort für die Verbindung aus. Die Verbindung sollte sich am selben Standort wie Ihre anderen Ressourcen, z. B. Datasets, befinden.
Klicken Sie auf Verbindung erstellen.
Klicken Sie auf Zur Verbindung.
Kopieren Sie im Bereich Verbindungsinformationen die Dienstkonto-ID zur Verwendung in einem späteren Schritt.

bq

Erstellen Sie in einer Befehlszeilenumgebung eine Verbindung:
```
bq mk --connection --location=REGION --project_id=PROJECT_ID \
    --connection_type=CLOUD_RESOURCE CONNECTION_ID
```
Der Parameter --project_id überschreibt das Standardprojekt.

Ersetzen Sie dabei Folgendes:
- REGION: Ihre Verbindungsregion
- PROJECT_ID: Ihre Google Cloud Projekt-ID
- CONNECTION_ID: eine ID für Ihre Verbindung
Wenn Sie eine Verbindungsressource herstellen, erstellt BigQuery ein eindeutiges Systemdienstkonto und ordnet es der Verbindung zu.

Fehlerbehebung:Wird der folgende Verbindungsfehler angezeigt, aktualisieren Sie das Google Cloud SDK:
```
Flags parsing error: flag --connection_type=CLOUD_RESOURCE: value should be one of...
```

Rufen Sie die Dienstkonto-ID ab und kopieren Sie sie zur Verwendung in einem späteren Schritt:

bq show --connection PROJECT_ID.REGION.CONNECTION_ID

Die Ausgabe sieht in etwa so aus:

name                          properties
1234.REGION.CONNECTION_ID     {"serviceAccountId": "connection-1234-9u56h9@gcp-sa-bigquery-condel.iam.gserviceaccount.com"}

Terraform

Verwenden Sie die Ressource google_bigquery_connection:

Richten Sie zur Authentifizierung bei BigQuery die Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für Clientbibliotheken einrichten.

Im folgenden Beispiel wird eine Cloud-Ressourcenverbindung mit dem Namen my_cloud_resource_connection in der Region US erstellt:


# This queries the provider for project information.
data "google_project" "default" {}

# This creates a cloud resource connection in the US region named my_cloud_resource_connection.
# Note: The cloud resource nested object has only one output field - serviceAccountId.
resource "google_bigquery_connection" "default" {
  connection_id = "my_cloud_resource_connection"
  project       = data.google_project.default.project_id
  location      = "US"
  cloud_resource {}
}

Führen Sie die Schritte in den folgenden Abschnitten aus, um Ihre Terraform-Konfiguration auf ein Google Cloud -Projekt anzuwenden.

Cloud Shell vorbereiten

Rufen Sie Cloud Shell auf.
Legen Sie das Standardprojekt Google Cloud fest, auf das Sie Ihre Terraform-Konfigurationen anwenden möchten.

Sie müssen diesen Befehl nur einmal pro Projekt und in jedem beliebigen Verzeichnis ausführen.
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
Umgebungsvariablen werden überschrieben, wenn Sie in der Terraform-Konfigurationsdatei explizite Werte festlegen.

Verzeichnis vorbereiten

Jede Terraform-Konfigurationsdatei muss ein eigenes Verzeichnis haben (auch als Stammmodul bezeichnet).

Erstellen Sie in Cloud Shell ein Verzeichnis und eine neue Datei in diesem Verzeichnis. Der Dateiname muss die Erweiterung .tf haben, z. B. main.tf. In dieser Anleitung wird die Datei als main.tf bezeichnet.
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
Wenn Sie einer Anleitung folgen, können Sie den Beispielcode in jedem Abschnitt oder Schritt kopieren.

Kopieren Sie den Beispielcode in das neu erstellte main.tf.

Kopieren Sie optional den Code aus GitHub. Dies wird empfohlen, wenn das Terraform-Snippet Teil einer End-to-End-Lösung ist.
Prüfen und ändern Sie die Beispielparameter, die auf Ihre Umgebung angewendet werden sollen.
Speichern Sie die Änderungen.
Initialisieren Sie Terraform. Dies ist nur einmal für jedes Verzeichnis erforderlich.
```
terraform init
```
Fügen Sie optional die Option -upgrade ein, um die neueste Google-Anbieterversion zu verwenden:
```
terraform init -upgrade
```

Änderungen anwenden

Prüfen Sie die Konfiguration und prüfen Sie, ob die Ressourcen, die Terraform erstellen oder aktualisieren wird, Ihren Erwartungen entsprechen:
```
terraform plan
```
Korrigieren Sie die Konfiguration nach Bedarf.
Wenden Sie die Terraform-Konfiguration an. Führen Sie dazu den folgenden Befehl aus und geben Sie yes an der Eingabeaufforderung ein:
```
terraform apply
```
Warten Sie, bis Terraform die Meldung „Apply complete“ anzeigt.
Öffnen Sie Ihr Google Cloud Projekt, um die Ergebnisse aufzurufen. Rufen Sie in der Google Cloud Console Ihre Ressourcen in der Benutzeroberfläche auf, um sicherzustellen, dass Terraform sie erstellt oder aktualisiert hat.

Weitere Informationen finden Sie unter Cloud-Ressourcenverbindung erstellen und einrichten.

Zugriff auf das Dienstkonto gewähren

Wenn Sie Abfragen ausführen möchten, in denen generative AI.*-Funktionen verwendet werden, mit denen Vertex AI-Modelle aufgerufen werden, müssen Sie dem Dienstkonto, das beim Erstellen der Verbindung erstellt wurde, die entsprechenden Berechtigungen erteilen. Zum Ausführen von Funktionen, die ein Vertex AI Foundation Model aufrufen, ist die Vertex AI-Nutzerrolle (roles/aiplatform.user) erforderlich.