您的应用可以从 Google Cloud 内部或混合（本地和多云）网络连接到 Google 的生产环境中的 API。Google Cloud 提供了以下公共和专用访问选项，可提供全球可访问性和 SSL/TLS 安全性：
- 公共互联网访问：将流量发送到
REGION-aiplatform.googleapis.com。 - Google API 的 Private Service Connect 端点：使用用户定义的内部 IP 地址（例如
10.0.0.100）来访问REGION-aiplatform.googleapis.com或已分配的 DNS 名称（例如aiplatform-genai1.p.googleapis.com）。
下图展示了这些访问选项。
某些 Gemini Enterprise Agent Platform 服务提供方要求您通过 Private Service Connect 端点 或 Private Service Connect 接口连接到其服务。 这些服务列在 Gemini Enterprise Agent Platform 的专用访问选项 表中。
在区域级和全球 Gemini Enterprise Agent Platform 端点之间进行选择
区域级 Gemini Enterprise Agent Platform 端点
(REGION-aiplatform.googleapis.com) 是访问 Google API 的标准方式。对于跨多个 Google Cloud
区域部署的应用，除非您所需模型或功能仅在区域级提供，否则强烈建议您使用全球端点
(aiplatform.googleapis.com)，以实现一致的 API 调用和更稳健的设计。使用全球端点的好处包括：
- 模型和功能可用性：Gemini Enterprise Agent Platform 中的一些最新、专用或
特定于区域的模型和功能最初
或永久仅通过区域级端点
（例如
us-central1-aiplatform.googleapis.com）提供。如果您的应用 依赖于其中一个特定资源，则必须使用与该资源 位置对应的区域级端点。这是确定端点策略时的主要限制条件。 - 简化多区域设计：如果模型支持全球 端点，则使用该端点可让您的应用无需根据其当前部署区域动态 切换 API 端点。单个静态配置适用于所有区域，从而大大简化了部署、测试和运营。
- 缓解速率限制（避免
429错误）：对于受支持的模型，通过全球端点路由请求会在 Google 的网络中将流量内部分配到最近的可用区域级服务。 这种分布通常有助于缓解本地化服务拥塞或区域速率限制 (429) 错误，从而利用 Google 的骨干网进行内部负载均衡。
如需查看合作伙伴模型的全球可用性，请参阅 模型端点位置表 中的 Google Cloud 全球标签页，该标签页还列出了 区域级位置。
Gemini Enterprise Agent Platform 共享 VPC 注意事项
使用 共享 VPC 是建立 Google Cloud 强大的网络和组织治理的最佳实践。此模型通过指定由网络安全管理员管理的中央宿主项目和由应用团队使用的多个服务项目来分离职责。
通过这种分离，网络管理员可以集中管理和强制执行网络安全（包括防火墙规则、子网和路由），同时将资源创建和管理（例如虚拟机、GKE 集群和结算）委托给服务项目。
共享 VPC 通过启用以下功能，解锁了多层细分方法：
- 管理和结算细分：每个服务项目（例如“Finance-AI-Project”或“Marketing-AI-Project”）都有自己的结算、配额和资源所有权。这样可以防止单个团队耗尽整个组织的配额，并提供清晰的费用归因。
- IAM 和访问权限细分：您可以在项目级层应用精细的
Identity and Access Management (IAM) 权限，例如：
- “Finance Users”Google 群组仅在“Finance-AI-Project”中被授予 roles/aiplatform.user 角色。
- “Marketing Users”Google 群组仅在“Marketing-AI-Project”中被授予相同的角色。
- 此配置可确保财务组中的用户只能访问与其自己的项目关联的 Gemini Enterprise Agent Platform 端点、模型和资源。他们与营销团队的 AI 工作负载完全隔离。
API 级强制执行：Gemini Enterprise API 端点本身旨在 强制执行这种基于项目的细分。如 API 调用结构所示，项目 ID 是 URI 的必需部分：
https://aiplatform.googleapis.com/v1/projects/${PROJECT_ID}/locations/global/publishers/google/models/${MODEL_ID}:streamGenerateContent
当用户进行此调用时，系统会验证经过身份验证的身份是否具有网址中提供的特定 ${PROJECT_ID} 所需的 IAM
权限。如果用户仅具有“Finance-AI-Project”的权限，但尝试使用“Marketing-AI-Project”ID 调用
API，则请求将被拒绝。这种方法提供了一个稳健且伸缩框架，可确保在您的组织采用 AI 时，您能够保持清晰的职责分离、费用和安全边界。
对 Agent Platform API 的公共互联网访问
如果您的应用使用
Gemini Enterprise Agent Platform 支持的访问方法表
中列出的 Google 服务，则您的应用可以通过对
服务端点
（REGION-aiplatform.googleapis.com 或 aiplatform.googleapis.com）执行 DNS 查找来访问 API，该端点会返回
公共可路由的虚拟 IP 地址。只要有互联网连接，您就可以在世界任何地方使用该 API。
但是，从 Google Cloud 资源发送到这些 IP
地址的流量仍保留在 Google 的网络中。如需限制对
Gemini Enterprise API
的公开访问，需要使用VPC Service Controls
。
Agent Platform API 的 Private Service Connect 端点
通过 Private Service Connect，您可以使用 VPC 网络中的全局内部 IP 地址创建专用端点。
您可以使用有意义的名称（例如 aiplatform-genai1.p.googleapis.com 和 bigtable-adsteam.p.googleapis.com）将这些 DNS 名称分配给这些内部 IP 地址。这些名称和 IP 地址均属于 VPC 网络以及通过混合网络服务连接到该网络的任何本地网络的内部资源。您可以控制要将哪些流量引导至哪个端点，并且可以证明流量保留在 Google Cloud中。
- 您可以创建用户定义的全球 Private Service Connect 端点 IP 地址 (/32)。如需了解详情，请参阅 IP 地址要求。
- 您可以在与 Cloud Router 相同的 VPC 网络中创建 Private Service Connect 端点。
- 您可以使用有意义的名称（例如
aiplatform-prodpsc.p.googleapis.com）将这些 DNS 名称分配给这些内部 IP 地址。如需了解详情，请参阅关于通过端点访问 Google API。 - 在共享 VPC 中，在宿主项目中部署 Private Service Connect 端点。
部署考虑事项
以下是一些重要的注意事项，它们会影响您使用专用 Google 访问通道和 Private Service Connect 访问 Agent Platform API 的方式。
专用 Google 访问通道
作为最佳实践，您应 在 VPC 子网上启用专用 Google 访问通道 ，以允许没有外部 IP 地址的计算资源（例如 Compute Engine 和 GKE 虚拟机实例）访问 Google Cloud API 和服务（例如 Gemini Enterprise Agent Platform、Cloud Storage 和 BigQuery）。
IP 通告
您必须将专用 Google 访问通道子网范围或 Private Service Connect 端点 IP 地址从 Cloud Router 路由器通告给本地和多云环境作为自定义通告路由。如需了解详情，请参阅通告自定义 IP 范围。
防火墙规则
您必须确保本地和多云环境的防火墙配置允许从专用 Google 访问通道或 Private Service Connect 子网的 IP 地址发出的出站流量。
DNS 配置
- 您的本地网络必须配置 DNS 区域和记录，以便对
REGION-aiplatform.googleapis.com或aiplatform.googleapis.com的请求解析为专用 Google 访问通道子网或 Private Service Connect 端点 IP 地址。 - 您可以创建 Cloud DNS 托管专用区域并使用 Cloud DNS 入站服务器政策，也可以配置本地域名服务器。例如，您可以使用 BIND 或 Microsoft Active Directory DNS。
- 如果您的本地网络连接到 VPC 网络，您可以使用 Private Service Connect 和端点的内部 IP 地址从本地主机访问 Google API 和服务。如需了解详情，请参阅从本地主机访问端点。