הגדרת פרויקט ל-Vertex AI

כדי להריץ שירותי Vertex AI ב-Google Distributed Cloud (GDC)‎ עם air gap, צריך להכין פרויקט ייעודי ולהגדיר את סביבת הפיתוח. הגדירו את gdcloud CLI ואת חשבונות השירות כדי שתוכלו לשלב למידת מכונה באפליקציות ובתהליכי העבודה שלכם עם air gap.

המסמך הזה מיועד למפתחי אפליקציות בקבוצות של מפעילי אפליקציות, שמשפרים אפליקציות ותהליכי עבודה עם air gap באמצעות תכונות מבוססות-AI. מידע נוסף זמין במאמר קהלי היעד של GDC עם air gap.

לבקש מאדמין להגדיר פרויקט בשבילכם

כדי לבצע את רוב המשימות להגדרת פרויקט, צריך הרשאת אדמין בפלטפורמה. האדמין צריך לקבוע שם ומזהה פרויקט משמעותיים כדי לזהות את הפרויקט. אם אתם חלק מארגון או מתכננים ליצור כמה פרויקטים, כדאי להביא בחשבון את מוסכמות השמות והישויות שמוכרות ב-Distributed Cloud. מידע נוסף על היררכיית המשאבים

אם אין לכם את ההרשאות הנדרשות, בקשו מהאדמין להגדיר את הפרויקט בשבילכם.

מגדירים פרויקט לפי ההוראות שבמסמך הזה.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות ליצירת פרויקט ולהגדרת חשבונות שירות, בקשו ממנהל חשבון ארגוני ב-IAM או מהאדמין של הפרויקט ב-IAM להקצות לכם את התפקידים הבאים במרחב השמות של הפרויקט:

  • כדי ליצור פרויקט, צריך לקבל את התפקיד "יצירת פרויקטים" (project-creator).
  • כדי ליצור חשבונות שירות, צריך לקבל את התפקיד "אדמין של פרויקט ב-IAM" (project-iam-admin).

למידע נוסף על התפקידים האלה, ראו הכנת הרשאות IAM. במאמר מתן גישה וביטול גישה מוסבר איך נותנים הרשאות לנושא.

אחר כך יוצרים פרויקט כדי לקבץ את שירותי Vertex AI. מוודאים שהחיוב מופעל בפרויקט בענן ב-Distributed Cloud.

התקנת ה-gdcloud CLI

כדי להפעיל את שירותי Distributed Cloud ולקבל גישה לכלים ולרכיבים, צריך להתקין את gdcloud CLI.

כדי להתקין את gdcloud CLI:

  1. מורידים את gdcloud CLI.

  2. מאתחלים את ה-gdcloud CLI:

    gdcloud init

    מידע נוסף זמין במאמר התקנת ה-gdcloud CLI.

  3. אימות באמצעות gdcloud CLI:

    gdcloud auth login

    למידע נוסף על אימות באמצעות ספק הזהויות שהגדרתם וקבלת קובץ kubeconfig לזהות המשתמש ולאשכול Kubernetes, קראו את המאמר אימות gdcloud CLI.

הגדרת חשבונות שירות

חשבונות שירות, שנקראים גם זהויות שירות, ממלאים תפקיד חיוני בניהול שירותי Vertex AI. אלה החשבונות שבהם עומסי העבודה משתמשים כדי לגשת לשירותים ולמודלים של Vertex AI, ולבצע קריאות מורשות ל-API באופן פרוגרמטי. לדוגמה, חשבונות שירות יכולים לנהל את ה-notebook של Vertex AI Workbench כדי לתמלל קובצי אודיו באמצעות Speech-to-Text API. בדומה לחשבון משתמש, אפשר להעניק לחשבונות שירות הרשאות ותפקידים, וכך לספק סביבה מאובטחת ומבוקרת, אבל הם לא יכולים להיכנס כמו משתמש אנושי.

כדי להגדיר חשבונות שירות ל-Vertex AI, צריך לציין את שם חשבון השירות, את מזהה הפרויקט ואת השם של קובץ ה-JSON לזוגות המפתחות.

במאמר ניהול חשבונות שירות מוסבר איך יוצרים חשבון שירות, מקצים לו קישורי תפקידים ויוצרים ומוסיפים זוגות מפתחות.

כדי להגדיר חשבונות שירות באמצעות gdcloud CLI:

  1. יוצרים חשבון שירות:

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SERVICE_ACCOUNT: השם של חשבון השירות. השם חייב להיות ייחודי במרחב השמות של הפרויקט.
    • ‫PROJECT_ID: מזהה הפרויקט שבו רוצים ליצור את חשבון השירות. אם gdcloud init כבר מוגדר, אפשר להשמיט את הדגל --project.

  2. יוצרים את קובץ ה-JSON של פרטי הכניסה שמוגדרים כברירת מחדל לאפליקציה ואת זוגות המפתחות הציבוריים והפרטיים:

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫APPLICATION_DEFAULT_CREDENTIALS_FILENAME: השם של קובץ ה-JSON, למשל my-service-key.json.
    • ‫PROJECT_ID: הפרויקט שבו רוצים ליצור את המפתח.
    • ‫SERVICE_ACCOUNT: השם של חשבון השירות שאליו רוצים להוסיף את המפתח.
    • ‫CA_CERTIFICATE_PATH: דגל אופציונלי לנתיב לאישור של רשות האישורים (CA) שמאמת את נקודת הקצה לאימות. אם לא מציינים את הנתיב הזה, המערכת משתמשת באישורי ה-CA של המערכת. צריך להתקין את ה-CA באישורי ה-CA של המערכת.

    המפתח הציבורי מתווסף ב-Distributed Cloud למפתחות של חשבון השירות שמשמשים לאימות אסימוני ה-JWT‏ (JSON Web Token) שהמפתח הפרטי חותם עליהם. המפתח הפרטי נכתב בקובץ ה-JSON של פרטי הכניסה שמוגדרים כברירת מחדל באפליקציה.

  3. מקצים לחשבון השירות תפקיד כדי לתת לו גישה למשאבים בפרויקט. שם התפקיד תלוי בשירות של Vertex AI שבו רוצים להשתמש בחשבון השירות.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: הפרויקט שבו יוצרים את קישור התפקידים.
    • ‫SERVICE_ACCOUNT: השם של חשבון השירות שבו רוצים להשתמש.

    • ‫ROLE: התפקיד המוגדר מראש שרוצים להקצות לחשבון השירות. מציינים תפקידים בפורמט Role/name, כאשר Role הוא הסוג ב-Kubernetes, כמו Role או ProjectRole, ו-name הוא שם המשאב ב-Kubernetes של התפקיד המוגדר מראש. לדוגמה, אלה התפקידים שאפשר להקצות לחשבונות שירות כדי להשתמש בחלק מממשקי ה-API המאומנים מראש של Vertex AI:

      • כדי להקצות את התפקיד "מפתח AI OCR"‏ (ai-ocr-developer), מגדירים את התפקיד כ-Role/ai-ocr-developer.
      • כדי להקצות את התפקיד "מפתח AI Speech"‏ (ai-speech-developer), מגדירים את התפקיד ל-Role/ai-speech-developer.
      • כדי להקצות את התפקיד "מפתח AI Translation"‏ (ai-translation-developer), מגדירים את התפקיד ל-Role/ai-translation-developer.