Configurer un projet pour Vertex AI

Vertex AI dans l'appareil air-gapped Google Distributed Cloud (GDC) vous permet d'exécuter des charges de travail de machine learning (ML) et d'intelligence artificielle (IA) dans vos applications. Avant d'implémenter les services Vertex AI, préparez votre projet et configurez la CLI gdcloud et les comptes de service dans votre environnement de développement. Si vous ne disposez pas des autorisations requises, demandez à votre administrateur de configurer le projet en votre nom.

Demander à un administrateur de configurer un projet pour vous

La plupart des tâches de configuration d'un projet nécessitent un accès administrateur. Un administrateur doit suivre les étapes ci-dessous pour configurer un projet afin que vous puissiez exécuter les services Vertex AI sur l'espace de noms du projet :

  1. Configurez l'appareil avec les informations du système de noms de domaine (DNS).
  2. Déterminez un nom et un ID de projet explicites pour identifier le projet.
  3. Configurez un projet en suivant les instructions de ce document.

Avant de commencer

Pour obtenir les autorisations nécessaires pour créer un projet et configurer des comptes de service, demandez à l'administrateur IAM de votre organisation ou à l'administrateur IAM de votre projet de vous accorder les rôles suivants dans l'espace de noms de votre projet :

  • Pour créer un projet, obtenez le rôle Créateur de projet (project-creator).
  • Pour créer des comptes de service, obtenez le rôle Administrateur IAM du projet (project-iam-admin).

Pour en savoir plus sur ces rôles, consultez Préparer les autorisations IAM. Pour savoir comment accorder des autorisations à un sujet, consultez Accorder et révoquer des accès.

Ensuite, créez un projet pour regrouper vos services Vertex AI.

Installer la CLI gdcloud

Pour activer les services de l'appareil GDC sous air gap et accéder aux outils et composants, installez la CLI gdcloud.

Suivez ces étapes pour installer la CLI gdcloud et gérer les composants requis :

  1. Téléchargez la CLI gdcloud.

  2. Initialisez la CLI gdcloud :

    gdcloud init

    Pour en savoir plus, consultez Installer la CLI gdcloud.

  3. Installez les composants requis :

    gdcloud components install COMPONENT_ID

    Remplacez COMPONENT_ID par le nom du composant que vous souhaitez installer.

    Pour en savoir plus, consultez Gérer les composants de la CLI gdcloud.

  4. Authentifiez-vous avec la CLI gdcloud :

    gdcloud auth login

    Pour en savoir plus sur l'authentification auprès de votre fournisseur d'identité configuré et l'obtention d'un fichier kubeconfig pour votre identité utilisateur et votre cluster Kubernetes, consultez Authentification avec la CLI gdcloud.

Configurer des comptes de service

Les comptes de service, également appelés identités de service, jouent un rôle crucial dans la gestion de vos services Vertex AI. Il s'agit des comptes que vos charges de travail utilisent pour accéder aux services Vertex AI et effectuer des appels d'API autorisés de manière programmatique. Comme pour un compte utilisateur, les comptes de service peuvent se voir attribuer des autorisations et des rôles, ce qui fournit un environnement sécurisé et contrôlé, mais ils ne peuvent pas se connecter comme un utilisateur humain.

Vous pouvez configurer des comptes de service pour les services Vertex AI en spécifiant le nom de votre compte de service, l'ID de votre projet et le nom d'un fichier JSON pour les paires de clés.

Pour savoir comment créer un compte de service, lui attribuer des liaisons de rôle, et créer et ajouter des paires de clés, consultez S'authentifier avec des comptes de service dans des projets.

Pour configurer des comptes de service à l'aide de la CLI gdcloud, procédez comme suit :

  1. Créez un compte de service :

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    Remplacez les éléments suivants :

    • SERVICE_ACCOUNT : nom du compte de service. Le nom doit être unique dans l'espace de noms du projet.
    • PROJECT_ID : ID du projet dans lequel vous souhaitez créer le compte de service. Si gdcloud init est déjà défini, vous pouvez omettre l'option --project.

  2. Créez le fichier JSON des identifiants par défaut de l'application, ainsi que les paires de clés publique et privée :

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    Remplacez les éléments suivants :

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME : nom du fichier JSON, par exemple my-service-key.json.
    • PROJECT_ID : projet pour lequel créer la clé.
    • SERVICE_ACCOUNT : nom du compte de service auquel ajouter la clé.
    • CA_CERTIFICATE_PATH : option facultative pour le chemin d'accès au certificat de l'autorité de certification (CA) qui valide le point de terminaison d'authentification. Si vous ne spécifiez pas ce chemin d'accès, les certificats CA du système sont utilisés. Vous devez installer l'autorité de certification dans les certificats d'autorité de certification du système.

    L'appareil GDC sous air gap ajoute la clé publique aux clés de compte de service que vous utilisez pour valider les jetons Web JSON (JWT) signés par la clé privée. La clé privée est écrite dans le fichier JSON des identifiants par défaut de l'application.

  3. Accordez au compte de service l'accès aux ressources du projet en attribuant une liaison de rôle. Le nom du rôle dépend du service Vertex AI pour lequel vous souhaitez utiliser le compte de service.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    Remplacez les éléments suivants :

    • PROJECT_ID : projet dans lequel créer la liaison de rôle.
    • SERVICE_ACCOUNT : nom du compte de service à utiliser.

    • ROLE : rôle prédéfini à attribuer au compte de service. Spécifiez les rôles au format Role/name, où Role est le type Kubernetes, tel que Role ou ProjectRole, et name est le nom du rôle prédéfini. Par exemple, voici les rôles que vous pouvez attribuer aux comptes de service pour utiliser les API pré-entraînées Vertex AI :

      • Pour attribuer le rôle de développeur AI OCR (ai-ocr-developer), définissez le rôle sur Role/ai-ocr-developer.
      • Pour attribuer le rôle Développeur AI Speech (ai-speech-developer), définissez le rôle sur Role/ai-speech-developer.
      • Pour attribuer le rôle Développeur AI Translation (ai-translation-developer), définissez le rôle sur Role/ai-translation-developer.