Configurer un projet pour Vertex AI

Pour exécuter des services Vertex AI dans Google Distributed Cloud (GDC) avec isolation physique, préparez un projet dédié et configurez votre environnement de développement. Configurez la CLI gdcloud et les comptes de service pour pouvoir intégrer le machine learning à vos applications et workflows sous air gap.

Ce document s'adresse aux développeurs d'applications des groupes d'opérateurs d'applications qui optimisent les applications et les workflows sous air gap avec des fonctionnalités d'IA. Pour en savoir plus, consultez Audiences pour la documentation GDC sous air gap.

Demander à un administrateur de configurer un projet pour vous

La plupart des tâches de configuration d'un projet nécessitent un accès administrateur de plate-forme. Un administrateur doit déterminer un nom et un ID de projet explicites pour identifier le projet. Si vous faites partie d'une organisation ou si vous prévoyez de créer plusieurs projets, déterminez les conventions de nommage et les entités reconnues sur Distributed Cloud. Pour plus d'informations, consultez la section Hiérarchie des ressources.

Si vous ne disposez pas des autorisations nécessaires, demandez à votre administrateur de configurer le projet en votre nom.

Configurez un projet en suivant les instructions de ce document.

Avant de commencer

Pour obtenir les autorisations nécessaires pour créer un projet et configurer des comptes de service, demandez à l'administrateur de l'organisation IAM ou à l'administrateur de projet IAM de vous accorder les rôles suivants dans l'espace de noms de votre projet :

  • Pour créer un projet, obtenez le rôle Créateur de projet (project-creator).
  • Pour créer des comptes de service, obtenez le rôle IAM "Administrateur de projet" (project-iam-admin).

Pour en savoir plus sur ces rôles, consultez Préparer les autorisations IAM. Pour savoir comment accorder des autorisations à un sujet, consultez Accorder et révoquer des accès.

Ensuite, créez un projet pour regrouper vos services Vertex AI. Assurez-vous que la facturation est activée pour votre projet Distributed Cloud.

Installer la CLI gdcloud

Pour activer les services Distributed Cloud et accéder aux outils et composants, installez la CLI gdcloud.

Pour installer la CLI gdcloud, procédez comme suit :

  1. Téléchargez la CLI gdcloud.

  2. Initialisez la CLI gdcloud :

    gdcloud init

    Pour en savoir plus, consultez Installer la CLI gdcloud.

  3. Authentifiez-vous avec la CLI gdcloud :

    gdcloud auth login

    Pour en savoir plus sur l'authentification auprès de votre fournisseur d'identité configuré et l'obtention d'un fichier kubeconfig pour votre identité utilisateur et votre cluster Kubernetes, consultez Authentification avec la CLI gdcloud.

Configurer des comptes de service

Les comptes de service, également appelés identités de service, jouent un rôle crucial dans la gestion de vos services Vertex AI. Il s'agit des comptes que vos charges de travail utilisent pour accéder aux services et aux modèles d'IA de Vertex AI, et pour effectuer des appels d'API autorisés de manière programmatique. Par exemple, les comptes de service peuvent gérer votre notebook Vertex AI Workbench pour transcrire des fichiers audio à l'aide de l'API Speech-to-Text. Comme pour un compte utilisateur, les comptes de service peuvent se voir attribuer des autorisations et des rôles, ce qui fournit un environnement sécurisé et contrôlé, mais ils ne peuvent pas se connecter comme un utilisateur humain.

Vous pouvez configurer des comptes de service pour les services Vertex AI en spécifiant le nom de votre compte de service, l'ID de votre projet et le nom d'un fichier JSON pour les paires de clés.

Pour savoir comment créer un compte de service, lui attribuer des liaisons de rôles, et créer et ajouter des paires de clés, consultez Gérer les comptes de service.

Pour configurer des comptes de service à l'aide de la CLI gdcloud, procédez comme suit :

  1. Créez un compte de service :

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    Remplacez les éléments suivants :

    • SERVICE_ACCOUNT : nom du compte de service. Le nom doit être unique dans l'espace de noms du projet.
    • PROJECT_ID : ID du projet dans lequel vous souhaitez créer le compte de service. Si gdcloud init est déjà défini, vous pouvez omettre l'option --project.

  2. Créez le fichier JSON des identifiants par défaut de l'application, ainsi que les paires de clés publique et privée :

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    Remplacez les éléments suivants :

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME : nom du fichier JSON, par exemple my-service-key.json.
    • PROJECT_ID : projet pour lequel créer la clé.
    • SERVICE_ACCOUNT : nom du compte de service auquel ajouter la clé.
    • CA_CERTIFICATE_PATH : option facultative pour le chemin d'accès au certificat de l'autorité de certification (CA) qui valide le point de terminaison d'authentification. Si vous ne spécifiez pas ce chemin d'accès, les certificats CA du système sont utilisés. Vous devez installer l'autorité de certification dans les certificats d'autorité de certification du système.

    Distributed Cloud ajoute la clé publique aux clés de compte de service que vous utilisez pour valider les jetons Web JSON (JWT) signés par la clé privée. La clé privée est écrite dans le fichier JSON des identifiants par défaut de l'application.

  3. Accordez au compte de service l'accès aux ressources du projet en attribuant une liaison de rôle. Le nom du rôle dépend du service Vertex AI pour lequel vous souhaitez utiliser le compte de service.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    Remplacez les éléments suivants :

    • PROJECT_ID : projet dans lequel créer la liaison de rôle.
    • SERVICE_ACCOUNT : nom du compte de service à utiliser.

    • ROLE : rôle prédéfini à attribuer au compte de service. Spécifiez les rôles au format Role/name, où Role est le type Kubernetes, tel que Role ou ProjectRole, et name est le nom de la ressource Kubernetes du rôle prédéfini. Par exemple, voici les rôles que vous pouvez attribuer aux comptes de service pour utiliser certaines des API pré-entraînées Vertex AI :

      • Pour attribuer le rôle de développeur AI OCR (ai-ocr-developer), définissez le rôle sur Role/ai-ocr-developer.
      • Pour attribuer le rôle Développeur AI Speech (ai-speech-developer), définissez le rôle sur Role/ai-speech-developer.
      • Pour attribuer le rôle Développeur AI Translation (ai-translation-developer), définissez le rôle sur Role/ai-translation-developer.