Projekt für Vertex AI einrichten

Auf dieser Seite erfahren Sie, wie Sie ein Projekt einrichten, um Vertex AI-Dienste in Google Distributed Cloud (GDC) mit Air Gap auszuführen. Dazu gehören Schritte zum Konfigurieren Ihrer Entwicklungsumgebung mit der gdcloud CLI, der Zertifizierungsstelle (CA) für das Trust Bundle und Ihren Dienstkonten, damit Sie mit der Integration von maschinellem Lernen in Ihre Anwendungen und Arbeitsabläufe beginnen können.

Diese Seite richtet sich an Anwendungsentwickler in Gruppen von Anwendungsoperatoren, die für die Optimierung von Anwendungen und Arbeitsabläufen mit Air Gap mit KI-Funktionen verantwortlich sind. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Administrator bitten, ein Projekt für Sie einzurichten

Für die meisten Aufgaben zum Einrichten eines Projekts ist Zugriff als Plattformadministrator erforderlich. Ein Administrator muss einen aussagekräftigen Projektnamen und eine Projekt-ID festlegen, um das Projekt zu identifizieren. Wenn Sie Teil einer Organisation sind oder mehrere Projekte erstellen möchten, sollten Sie sich überlegen, welche Namenskonventionen und Entitäten in Distributed Cloud erkannt werden. Weitere Informationen finden Sie unter Ressourcenhierarchie.

Wenn Sie nicht die erforderlichen Berechtigungen haben, bitten Sie Ihren Administrator, das Projekt in Ihrem Namen einzurichten.

Richten Sie ein Projekt ein, indem Sie der Anleitung in diesem Dokument folgen.

Hinweis

Bitten Sie Ihren IAM-Administrator der Organisation oder Ihren IAM-Administrator des Projekts, Ihnen die folgenden Rollen in Ihrem Projekt-Namespace zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen eines Projekts und zum Konfigurieren von Dienstkonten benötigen:

  • Um ein Projekt zu erstellen, benötigen Sie die Rolle „Projektersteller“ (project-creator).
  • Um Dienstkonten zu erstellen, benötigen Sie die Rolle „IAM-Administrator des Projekts“ (project-iam-admin).

Informationen zu diesen Rollen finden Sie unter IAM-Berechtigungen vorbereiten. Informationen zum Gewähren von Berechtigungen für ein Subjekt finden Sie unter Zugriff gewähren und widerrufen.

Erstellen Sie dann ein Projekt, um Ihre Vertex AI-Dienste zu gruppieren. Prüfen Sie, ob die Abrechnung für Ihr Distributed Cloud-Projekt aktiviert ist.

gdcloud CLI installieren

Installieren Sie die gdcloud CLI, um Distributed Cloud-Dienste zu aktivieren und Zugriff auf Tools und Komponenten zu erhalten.

Führen Sie die folgenden Schritte aus, um die gdcloud CLI zu installieren und die erforderlichen Komponenten zu verwalten:

  1. Laden Sie die gdcloud CLI herunter.

  2. Initialisieren Sie die gdcloud CLI:

    gdcloud init

    Weitere Informationen finden Sie unter gdcloud CLI installieren.

  3. Installieren Sie die erforderlichen Komponenten:

    gdcloud components install COMPONENT_ID

    Ersetzen Sie COMPONENT_ID durch den Namen der Komponente, die Sie installieren möchten.

    Weitere Informationen finden Sie unter gdcloud CLI-Komponenten verwalten.

  4. Authentifizieren Sie sich mit der gdcloud CLI:

    gdcloud auth login

    Weitere Informationen zur Authentifizierung mit Ihrem konfigurierten Identitäts anbieter und zum Abrufen einer kubeconfig-Datei für Ihre Nutzeridentität und Ihren Kubernetes Cluster finden Sie unter gdcloud CLI-Authentifizierung.

Dienstkonten einrichten

Dienstkonten, auch Dienstidentitäten genannt, spielen eine entscheidende Rolle bei der Verwaltung Ihrer Vertex AI-Dienste. Sie sind die Konten, die Ihre Arbeitslasten verwenden, um auf Vertex AI-Dienste und KI-Modelle zuzugreifen und autorisierte API-Aufrufe programmatisch auszuführen. Mit Dienstkonten können Sie beispielsweise Ihr Vertex AI Workbench-Notebook verwalten, um Audiodateien mit der Speech-to-Text API zu transkribieren. Ähnlich wie bei einem Nutzerkonto können Dienstkonten Berechtigungen und Rollen zugewiesen werden, wodurch eine sichere und kontrollierte Umgebung entsteht. Sie können sich jedoch nicht wie ein menschlicher Nutzer anmelden.

Sie können Dienstkonten für Vertex AI-Dienste einrichten, indem Sie den Namen Ihres Dienstkontos, Ihre Projekt-ID und den Namen einer JSON-Datei für Schlüsselpaare angeben.

Weitere Informationen zum Erstellen eines Dienstkontos, zum Zuweisen von Rollenbindungen und zum Erstellen und Hinzufügen von Schlüsselpaaren finden Sie unter Dienstkonten verwalten.

Führen Sie die folgenden Schritte aus, um Dienstkonten mit der gdcloud CLI einzurichten:

  1. Erstellen Sie ein Dienstkonto:

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    Ersetzen Sie Folgendes:

    • SERVICE_ACCOUNT: der Name des Dienstkontos. Der Name muss innerhalb des Projekt-Namespace eindeutig sein.
    • PROJECT_ID: die Projekt-ID, in der Sie das Dienstkonto erstellen möchten. Wenn gdcloud init bereits festgelegt ist, können Sie das Flag --project weglassen.

  2. Erstellen Sie die JSON-Datei mit den Standardanmeldedaten für Anwendungen und die öffentlichen und privaten Schlüsselpaare:

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    Ersetzen Sie Folgendes:

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME: der Name der JSON-Datei, z. B. my-service-key.json.
    • PROJECT_ID: das Projekt, für das der Schlüssel erstellt werden soll.
    • SERVICE_ACCOUNT: der Name des Dienstkontos, für das der Schlüssel hinzugefügt werden soll.
    • CA_CERTIFICATE_PATH: ein optionales Flag für den Pfad zum Zertifikat der Zertifizierungsstelle (CA), das den Authentifizierungsendpunkt überprüft. Wenn Sie diesen Pfad nicht angeben, werden die CA-Zertifikate des Systems verwendet. Sie müssen die CA in den CA-Zertifikaten des Systems installieren.

    Distributed Cloud fügt den öffentlichen Schlüssel den Dienstkontoschlüsseln hinzu, mit denen Sie die JSON-Web-Tokens (JWT) überprüfen, die mit dem privaten Schlüssel signiert wurden. Der private Schlüssel wird in die JSON-Datei mit den Standardanmeldedaten für Anwendungen geschrieben.

  3. Gewähren Sie dem Dienstkonto Zugriff auf Projektressourcen, indem Sie eine Rollenbindung zuweisen. Der Name der Rolle hängt vom Vertex AI-Dienst ab, für den Sie das Dienstkonto verwenden möchten.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    Ersetzen Sie Folgendes:

    • PROJECT_ID: das Projekt, in dem die Rollenbindung erstellt werden soll.
    • SERVICE_ACCOUNT: der Name des zu verwendenden Dienstkontos.

    • ROLE: die vordefinierte Rolle, die dem Dienstkonto zugewiesen werden soll. Geben Sie Rollen im Format Role/name an, wobei Role der Kubernetes-Typ ist, z. B. Role oder ProjectRole, und name der Kubernetes-Ressourcenname der vordefinierten Rolle ist. Beispiele für Rollen, die Sie Dienstkonten zuweisen können, um einige der vortrainierten Vertex AI-APIs zu verwenden:

      • Um die Rolle „AI OCR Developer“ (ai-ocr-developer) zuzuweisen, legen Sie die Rolle auf Role/ai-ocr-developer fest.
      • Um die Rolle „AI Speech Developer“ (ai-speech-developer) zuzuweisen, legen Sie die Rolle auf Role/ai-speech-developer fest.
      • Um die Rolle „AI Translation Developer“ (ai-translation-developer) zuzuweisen, legen Sie die Rolle auf Role/ai-translation-developer fest.