Projekt für Vertex AI einrichten

Wenn Sie Vertex AI-Dienste in Google Distributed Cloud (GDC) mit Air Gap ausführen möchten, müssen Sie ein dediziertes Projekt vorbereiten und Ihre Entwicklungsumgebung konfigurieren. Richten Sie die gdcloud CLI und Dienstkonten ein, um maschinelles Lernen in Ihre Anwendungen und Workflows mit Air Gap zu integrieren.

Dieses Dokument richtet sich an Anwendungsentwickler in Anwendungsoperatorgruppen, die Air-Gap-Anwendungen und ‑Workflows mit KI-Funktionen optimieren. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Bitten Sie einen Administrator, ein Projekt für Sie einzurichten.

Für die meisten Aufgaben zum Einrichten eines Projekts ist der Zugriff als Plattformadministrator erforderlich. Ein Administrator muss einen aussagekräftigen Projektnamen und eine Projekt-ID festlegen, um das Projekt zu identifizieren. Wenn Sie Teil einer Organisation sind oder mehrere Projekte erstellen möchten, sollten Sie sich überlegen, welche Namenskonventionen und Entitäten in Distributed Cloud erkannt werden. Weitere Informationen finden Sie unter Ressourcenhierarchie.

Wenn Sie nicht die erforderlichen Berechtigungen haben, bitten Sie Ihren Administrator, das Projekt für Sie einzurichten.

Richten Sie ein Projekt ein, indem Sie der Anleitung in diesem Dokument folgen.

Hinweis

Bitten Sie Ihren IAM-Organisationsadministrator oder IAM-Projektadministrator, Ihnen die folgenden Rollen in Ihrem Projekt-Namespace zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen eines Projekts und zum Konfigurieren von Dienstkonten benötigen:

  • Um ein Projekt zu erstellen, benötigen Sie die Rolle „Project Creator“ (project-creator).
  • Zum Erstellen von Dienstkonten benötigen Sie die IAM-Rolle „Projektadministrator“ (project-iam-admin).

Informationen zu diesen Rollen finden Sie unter IAM-Berechtigungen vorbereiten. Informationen zum Gewähren von Berechtigungen für ein Subjekt finden Sie unter Zugriff gewähren und widerrufen.

Erstellen Sie dann ein Projekt, um Ihre Vertex AI-Dienste zu gruppieren. Prüfen Sie, ob für Ihr Distributed Cloud-Projekt die Abrechnung aktiviert ist.

gdcloud CLI installieren

Installieren Sie die gdcloud CLI, um Distributed Cloud-Dienste zu aktivieren und Zugriff auf Tools und Komponenten zu erhalten.

So installieren Sie die gdcloud CLI:

  1. gdcloud CLI herunterladen

  2. Initialisieren Sie die gdcloud CLI:

    gdcloud init

    Weitere Informationen finden Sie unter gdcloud CLI installieren.

  3. Authentifizieren Sie sich über die gdcloud CLI:

    gdcloud auth login

    Weitere Informationen zur Authentifizierung bei Ihrem konfigurierten Identitätsanbieter und zum Abrufen einer kubeconfig-Datei für Ihre Nutzeridentität und Ihren Kubernetes-Cluster finden Sie unter Authentifizierung mit der gdcloud CLI.

Dienstkonten einrichten

Dienstkonten, auch als Dienstidentitäten bezeichnet, spielen eine entscheidende Rolle bei der Verwaltung Ihrer Vertex AI-Dienste. Dies sind die Konten, die Ihre Arbeitslasten verwenden, um auf Vertex AI-Dienste und KI-Modelle zuzugreifen und autorisierte API-Aufrufe programmatisch auszuführen. Dienstkonten können beispielsweise Ihr Vertex AI Workbench-Notebook verwalten, um Audiodateien mit der Speech-to-Text API zu transkribieren. Ähnlich wie Nutzerkonten können Dienstkonten Berechtigungen und Rollen zugewiesen werden, was eine sichere und kontrollierte Umgebung bietet. Sie können sich jedoch nicht wie ein menschlicher Nutzer anmelden.

Sie können Dienstkonten für Vertex AI-Dienste einrichten, indem Sie den Namen Ihres Dienstkontos, Ihre Projekt-ID und den Namen einer JSON-Datei für Schlüsselpaare angeben.

Weitere Informationen zum Erstellen eines Dienstkontos, zum Zuweisen von Rollenbindungen und zum Erstellen und Hinzufügen von Schlüsselpaaren finden Sie unter Dienstkonten verwalten.

So richten Sie Dienstkonten mit der gdcloud CLI ein:

  1. Erstellen Sie ein Dienstkonto:

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    Ersetzen Sie Folgendes:

    • SERVICE_ACCOUNT ist der Name des Dienstkontos. Der Name muss innerhalb des Projekt-Namespace eindeutig sein.
    • PROJECT_ID: die Projekt-ID, unter der Sie das Dienstkonto erstellen möchten. Wenn gdcloud init bereits festgelegt ist, können Sie das Flag --project weglassen.

  2. Erstellen Sie die JSON-Datei mit den Standardanmeldedaten für Anwendungen und die öffentlichen und privaten Schlüsselpaare:

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    Ersetzen Sie Folgendes:

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME: der Name der JSON-Datei, z. B. my-service-key.json.
    • PROJECT_ID: das Projekt, für das der Schlüssel erstellt werden soll.
    • SERVICE_ACCOUNT: der Name des Dienstkontos, für das der Schlüssel hinzugefügt werden soll.
    • CA_CERTIFICATE_PATH: ein optionales Flag für den Pfad zum Zertifikat der Zertifizierungsstelle (CA), das den Authentifizierungsendpunkt verifiziert. Wenn Sie diesen Pfad nicht angeben, werden die CA-Zertifikate des Systems verwendet. Sie müssen die Zertifizierungsstelle in den System-Zertifizierungsstellenzertifikaten installieren.

    Distributed Cloud fügt den öffentlichen Schlüssel den Dienstkontoschlüsseln hinzu, mit denen Sie die JSON Web Tokens (JWT) prüfen, die mit dem privaten Schlüssel signiert werden. Der private Schlüssel wird in die JSON-Datei mit den Standardanmeldedaten für Anwendungen geschrieben.

  3. Gewähren Sie dem Dienstkonto Zugriff auf Projektressourcen, indem Sie eine Rollenbindung zuweisen. Der Name der Rolle hängt vom Vertex AI-Dienst ab, für den Sie das Dienstkonto verwenden möchten.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    Ersetzen Sie Folgendes:

    • PROJECT_ID: das Projekt, in dem die Rollenbindung erstellt werden soll.
    • SERVICE_ACCOUNT: der Name des zu verwendenden Dienstkontos.

    • ROLE: die vordefinierte Rolle, die dem Dienstkonto zugewiesen werden soll. Geben Sie Rollen im Format Role/name an, wobei Role der Kubernetes-Typ ist, z. B. Role oder ProjectRole, und name der Kubernetes-Ressourcenname der vordefinierten Rolle ist. Im Folgenden finden Sie beispielsweise Rollen, die Sie Dienstkonten zuweisen können, um einige der vortrainierten Vertex AI APIs zu verwenden:

      • Wenn Sie die Rolle „AI OCR Developer“ (ai-ocr-developer) zuweisen möchten, legen Sie die Rolle auf Role/ai-ocr-developer fest.
      • Wenn Sie die Rolle „AI Speech Developer“ (ai-speech-developer) zuweisen möchten, legen Sie die Rolle auf Role/ai-speech-developer fest.
      • Wenn Sie die Rolle „AI Translation Developer“ (ai-translation-developer) zuweisen möchten, legen Sie die Rolle auf Role/ai-translation-developer fest.