Projekt für Vertex AI einrichten

Mit Vertex AI in der Google Distributed Cloud (GDC)-Appliance mit Air Gap können Sie Arbeitslasten für maschinelles Lernen (ML) und künstliche Intelligenz (KI) in Ihren Anwendungen ausführen. Bevor Sie Vertex AI-Dienste implementieren, bereiten Sie Ihr Projekt vor und konfigurieren Sie die gdcloud CLI und die Dienstkonten in Ihrer Entwicklungsumgebung. Wenn Sie nicht die erforderlichen Berechtigungen haben, bitten Sie Ihren Administrator, das Projekt für Sie einzurichten.

Bitten Sie einen Administrator, ein Projekt für Sie einzurichten.

Für die meisten Aufgaben zum Einrichten eines Projekts ist Administratorzugriff erforderlich. Ein Administrator muss die folgenden Schritte ausführen, um ein Projekt für Sie einzurichten, damit Sie Vertex AI-Dienste im Projekt-Namespace ausführen können:

  1. Konfigurieren Sie die Appliance mit den DNS-Informationen (Domain Name System).
  2. Legen Sie einen aussagekräftigen Projektnamen und eine Projekt-ID fest, um das Projekt zu identifizieren.
  3. Richten Sie ein Projekt ein, indem Sie der Anleitung in diesem Dokument folgen.

Hinweis

Bitten Sie Ihren IAM-Administrator für die Organisation oder den IAM-Administrator für das Projekt, Ihnen die folgenden Rollen in Ihrem Projekt-Namespace zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen eines Projekts und zum Konfigurieren von Dienstkonten benötigen:

  • Um ein Projekt zu erstellen, benötigen Sie die Rolle „Project Creator“ (project-creator).
  • Zum Erstellen von Dienstkonten benötigen Sie die Rolle „Project IAM Admin“ (project-iam-admin).

Informationen zu diesen Rollen finden Sie unter IAM-Berechtigungen vorbereiten. Informationen zum Gewähren von Berechtigungen für ein Subjekt finden Sie unter Zugriff gewähren und widerrufen.

Erstellen Sie dann ein Projekt, um Ihre Vertex AI-Dienste zu gruppieren.

gdcloud CLI installieren

Installieren Sie die gdcloud CLI, um GDC-Appliance-Dienste mit Air Gap zu aktivieren und Zugriff auf Tools und Komponenten zu erhalten.

So installieren Sie die gdcloud CLI und verwalten die erforderlichen Komponenten:

  1. gdcloud CLI herunterladen

  2. Initialisieren Sie die gdcloud CLI:

    gdcloud init

    Weitere Informationen finden Sie unter gdcloud CLI installieren.

  3. Installieren Sie die erforderlichen Komponenten:

    gdcloud components install COMPONENT_ID

    Ersetzen Sie COMPONENT_ID durch den Namen der Komponente, die Sie installieren möchten.

    Weitere Informationen finden Sie unter gdcloud CLI-Komponenten verwalten.

  4. Authentifizieren Sie sich über die gdcloud CLI:

    gdcloud auth login

    Weitere Informationen zur Authentifizierung bei Ihrem konfigurierten Identitätsanbieter und zum Abrufen einer kubeconfig-Datei für Ihre Nutzeridentität und Ihren Kubernetes-Cluster finden Sie unter Authentifizierung mit der gdcloud CLI.

Dienstkonten einrichten

Dienstkonten, auch als Dienstidentitäten bezeichnet, spielen eine entscheidende Rolle bei der Verwaltung Ihrer Vertex AI-Dienste. Dies sind die Konten, die Ihre Arbeitslasten verwenden, um auf Vertex AI-Dienste zuzugreifen und autorisierte API-Aufrufe programmatisch auszuführen. Ähnlich wie Nutzerkonten können Dienstkonten Berechtigungen und Rollen zugewiesen werden, was eine sichere und kontrollierte Umgebung bietet. Sie können sich jedoch nicht wie ein menschlicher Nutzer anmelden.

Sie können Dienstkonten für Vertex AI-Dienste einrichten, indem Sie den Namen Ihres Dienstkontos, Ihre Projekt-ID und den Namen einer JSON-Datei für Schlüsselpaare angeben.

Weitere Informationen zum Erstellen eines Dienstkontos, zum Zuweisen von Rollenbindungen und zum Erstellen und Hinzufügen von Schlüsselpaaren finden Sie unter Mit Dienstkonten in Projekten authentifizieren.

So richten Sie Dienstkonten mit der gdcloud CLI ein:

  1. Erstellen Sie ein Dienstkonto:

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    Ersetzen Sie Folgendes:

    • SERVICE_ACCOUNT ist der Name des Dienstkontos. Der Name muss innerhalb des Projekt-Namespace eindeutig sein.
    • PROJECT_ID: die Projekt-ID, unter der Sie das Dienstkonto erstellen möchten. Wenn gdcloud init bereits festgelegt ist, können Sie das Flag --project weglassen.

  2. Erstellen Sie die JSON-Datei mit den Standardanmeldedaten für Anwendungen und die öffentlichen und privaten Schlüsselpaare:

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    Ersetzen Sie Folgendes:

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME: der Name der JSON-Datei, z. B. my-service-key.json.
    • PROJECT_ID: das Projekt, für das der Schlüssel erstellt werden soll.
    • SERVICE_ACCOUNT: der Name des Dienstkontos, für das der Schlüssel hinzugefügt werden soll.
    • CA_CERTIFICATE_PATH: ein optionales Flag für den Pfad zum Zertifikat der Zertifizierungsstelle (CA), das den Authentifizierungsendpunkt verifiziert. Wenn Sie diesen Pfad nicht angeben, werden die CA-Zertifikate des Systems verwendet. Sie müssen die Zertifizierungsstelle in den System-Zertifizierungsstellenzertifikaten installieren.

    Die GDC-Appliance mit Air Gap fügt den öffentlichen Schlüssel den Dienstkontoschlüsseln hinzu, mit denen Sie die JSON Web Tokens (JWT) prüfen, die mit dem privaten Schlüssel signiert werden. Der private Schlüssel wird in die JSON-Datei mit den Standardanmeldedaten für Anwendungen geschrieben.

  3. Gewähren Sie dem Dienstkonto Zugriff auf Projektressourcen, indem Sie eine Rollenbindung zuweisen. Der Name der Rolle hängt vom Vertex AI-Dienst ab, für den Sie das Dienstkonto verwenden möchten.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    Ersetzen Sie Folgendes:

    • PROJECT_ID: das Projekt, in dem die Rollenbindung erstellt werden soll.
    • SERVICE_ACCOUNT: der Name des zu verwendenden Dienstkontos.

    • ROLE: die vordefinierte Rolle, die dem Dienstkonto zugewiesen werden soll. Geben Sie Rollen im Format Role/name an, wobei Role der Kubernetes-Typ ist, z. B. Role oder ProjectRole, und name der Name der vordefinierten Rolle ist. Im Folgenden finden Sie beispielsweise Rollen, die Sie Dienstkonten zuweisen können, um vortrainierte Vertex AI APIs zu verwenden:

      • Wenn Sie die Rolle „AI OCR Developer“ (ai-ocr-developer) zuweisen möchten, legen Sie die Rolle auf Role/ai-ocr-developer fest.
      • Wenn Sie die Rolle „AI Speech Developer“ (ai-speech-developer) zuweisen möchten, legen Sie die Rolle auf Role/ai-speech-developer fest.
      • Wenn Sie die Rolle „AI Translation Developer“ (ai-translation-developer) zuweisen möchten, legen Sie die Rolle auf Role/ai-translation-developer fest.