Configura un progetto per Vertex AI

Questa pagina ti guida nella configurazione di un progetto per eseguire i servizi Vertex AI su Google Distributed Cloud (GDC) air-gapped. Include i passaggi per configurare l'ambiente di sviluppo con la CLI gdcloud, l'autorità di certificazione (CA) del bundle di attendibilità e i service account, in modo da poter iniziare a integrare il machine learning nelle applicazioni e nei flussi di lavoro.

Questa pagina è rivolta agli sviluppatori di applicazioni all'interno dei gruppi di operatori di applicazioni che sono responsabili dell'ottimizzazione delle applicazioni e dei flussi di lavoro air-gapped con le funzionalità di AI. Per saperne di più, consulta Pubblico per la documentazione di GDC con air gap.

Chiedi a un amministratore di configurare un progetto per te

La maggior parte delle attività di configurazione di un progetto richiede l'accesso amministrativo alla piattaforma. Un amministratore deve determinare un nome e un ID progetto significativi per identificare il progetto. Se fai parte di un'organizzazione o prevedi di creare più progetti, valuta le convenzioni di denominazione e le entità riconosciute su Distributed Cloud. Per saperne di più, consulta Gerarchia delle risorse.

Se non disponi delle autorizzazioni necessarie, chiedi all'amministratore di configurare il progetto per tuo conto.

Configura un progetto seguendo le istruzioni riportate in questo documento.

Prima di iniziare

Per ottenere le autorizzazioni necessarie per creare un progetto e configurare i service account, chiedi all'amministratore IAM dell'organizzazione o all'amministratore IAM del progetto di concederti i seguenti ruoli nello spazio dei nomi del progetto:

  • Per creare un progetto, ottieni il ruolo Autore progetto (project-creator).
  • Per creare service account, ottieni il ruolo Project IAM Admin (project-iam-admin).

Per informazioni su questi ruoli, consulta Prepara le autorizzazioni IAM. Per scoprire come concedere le autorizzazioni a un'entità, consulta Concedere e revocare l'accesso.

Quindi, crea un progetto per raggruppare i servizi Vertex AI. Assicurati che la fatturazione sia abilitata per il progetto Distributed Cloud.

Installa la CLI gdcloud

Per attivare i servizi Distributed Cloud e accedere a strumenti e componenti, installa la CLI gdcloud.

Segui questi passaggi per installare la CLI gdcloud e gestire i componenti richiesti:

  1. Scarica la CLI gdcloud.

  2. Inizializza la CLI gdcloud:

    gdcloud init

    Per saperne di più, consulta Installa la CLI gdcloud.

  3. Installa i componenti richiesti:

    gdcloud components install COMPONENT_ID

    Sostituisci COMPONENT_ID con il nome del componente che vuoi installare.

    Per saperne di più, consulta Gestisci i componenti della CLI gdcloud.

  4. Esegui l'autenticazione con la CLI gdcloud:

    gdcloud auth login

    Per saperne di più su come eseguire l'autenticazione con il provider di identità configurato e ottenere un file kubeconfig per l'identità utente e il cluster Kubernetes, consulta Autenticazione della CLI gdcloud.

Configura i service account

I service account, chiamati anche identità di servizio, svolgono un ruolo fondamentale nella gestione dei servizi Vertex AI. Sono gli account utilizzati dai workload per accedere ai servizi e ai modelli di AI di Vertex AI ed effettuare chiamate API autorizzate a livello di programmazione. Ad esempio, i service account possono gestire il notebook Vertex AI Workbench per trascrivere file audio utilizzando l'API Speech-to-Text. Analogamente a un account utente, ai service account possono essere concessi autorizzazioni e ruoli, fornendo un ambiente sicuro e controllato, ma non possono accedere come un utente umano.

Puoi configurare i service account per i servizi Vertex AI specificando il nome del account di servizio, l'ID progetto e il nome di un file JSON per le coppie di chiavi.

Per saperne di più su come creare un account di servizio, assegnargli associazioni di ruoli, e creare e aggiungere coppie di chiavi, consulta Gestisci i service account.

Segui questi passaggi per configurare i service account utilizzando la CLI gdcloud:

  1. Crea un account di servizio:

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    Sostituisci quanto segue:

    • SERVICE_ACCOUNT: il nome del account di servizio. Il nome deve essere univoco all'interno dello spazio dei nomi del progetto.
    • PROJECT_ID: l'ID progetto in cui vuoi creare il account di servizio. Se gdcloud init è già impostato, puoi omettere il flag --project.

  2. Crea il file JSON delle credenziali predefinite dell'applicazione e le coppie di chiavi pubblica e privata:

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    Sostituisci quanto segue:

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME: il nome del file JSON, ad esempio my-service-key.json.
    • PROJECT_ID: il progetto per cui creare la chiave.
    • SERVICE_ACCOUNT: il nome del account di servizio a cui aggiungere la chiave.
    • CA_CERTIFICATE_PATH: un flag facoltativo per il percorso del certificato dell'autorità di certificazione (CA) che verifica l'endpoint di autenticazione. Se non specifichi questo percorso, vengono utilizzati i certificati CA di sistema. Devi installare la CA nei certificati CA di sistema.

    Distributed Cloud aggiunge la chiave pubblica alle chiavi del account di servizio che utilizzi per verificare i token web JSON (JWT) firmati dalla chiave privata. La chiave privata viene scritta nel file JSON delle credenziali predefinite dell'applicazione.

  3. Concedi al account di servizio l'accesso alle risorse del progetto assegnando un'associazione di ruoli. Il nome del ruolo dipende dal servizio Vertex AI per cui vuoi utilizzare il account di servizio.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    Sostituisci quanto segue:

    • PROJECT_ID: il progetto in cui creare l'associazione di ruoli.
    • SERVICE_ACCOUNT: il nome del account di servizio da utilizzare.

    • ROLE: il ruolo predefinito da assegnare al account di servizio. Specifica i ruoli nel formato Role/name, dove Role è il tipo Kubernetes, ad esempio Role o ProjectRole, e name è il nome della risorsa Kubernetes del ruolo predefinito. Ad esempio, di seguito sono riportati i ruoli che puoi assegnare ai service account per utilizzare alcune delle API preaddestrate di Vertex AI:

      • Per assegnare il ruolo Sviluppatore AI OCR (ai-ocr-developer), imposta il ruolo su Role/ai-ocr-developer.
      • Per assegnare il ruolo Sviluppatore AI Speech (ai-speech-developer), imposta il ruolo su Role/ai-speech-developer.
      • Per assegnare il ruolo Sviluppatore AI Translation (ai-translation-developer) imposta il ruolo su Role/ai-translation-developer.