透過 Private Service Connect 介面存取 Gemini Enterprise Agent Platform 服務

部分 Gemini Enterprise Agent Platform 服務供應商會要求您透過 Private Service Connect 介面連線至他們的服務。這些服務會列在 Gemini Enterprise Agent Platform 存取方法表格中。

建立 Private Service Connect 介面時，系統也會建立至少有兩個網路介面的 VM 執行個體。第一個介面會連線至生產者虛擬私有雲網路中的子網路。第二個介面會要求連線至用戶端網路中的網路連結子網路。如果接受，系統會從使用端子網路為這個介面指派內部 IP 位址。

私人連線的服務供應商端是虛擬私有雲網路，其中佈建了您的服務資源。這個網路是專為您建立，並且只包含您的資源。生產者和消費者網路之間的連線，是透過 Private Service Connect 介面建立。

下圖顯示 Gemini Enterprise Agent Platform Pipelines 架構，其中 Gemini Enterprise 會在消費者網路中啟用及管理。Gemini Enterprise Agent Platform Pipelines 資源會以 Google 管理的基礎架構即服務 (IaaS) 形式，部署在服務供應商的虛擬私有雲網路中。由於 Private Service Connect 介面是透過消費者子網路的 IP 位址部署，供應商網路可以存取消費者學習到的路徑，這些路徑可跨越虛擬私有雲網路、多雲端環境和地端網路。

圖片

功能與限制

Private Service Connect (PSC) 介面的功能和限制如下：

  • 服務用戶會在虛擬私有雲網路中建立網路連結，這個資源代表私人連線的用戶端。
  • 服務供應商會建立代管資源，並使用參照消費者網路連結的 PSC 介面。
  • 消費者接受連線後，系統會從消費者虛擬私有雲網路的子網路中，為 PSC 介面指派內部 IP 位址，以利安全、私密地進行雙向通訊。
  • 網路附件的子網路支援 RFC 1918 和非 RFC 1918 位址，但 100.64.0.0/10 和 240.0.0.0/4 子網路除外。
  • Gemini Enterprise Agent Platform 只能連線至可從指定網路路由傳輸的 RFC 1918 IP 位址範圍。
  • Private Service Connect 介面不支援外部 IP 位址。

  • Gemini Enterprise Agent Platform 無法連線至私用公開 IP 位址，或下列非 RFC 1918 範圍：

    • 100.64.0.0/10
    • 192.0.0.0/24
    • 192.0.2.0/24
    • 198.18.0.0/15
    • 198.51.100.0/24
    • 203.0.113.0/24
    • 240.0.0.0/4

Private Service Connect 連線偏好設定

部署網路連結時，Private Service Connect 會提供連線偏好設定，決定是否自動接受生產端的連線要求，或需要手動核准。在 Gemini Enterprise Agent Platform 中，存取偏好設定為「Automatically accept connections for all projects」(自動接受所有專案的連線) (ACCEPT_AUTOMATIC) 或「Accept connections for selected projects」(接受所選專案的連線) (ACCEPT_MANUAL) 的網路連結時，系統會採取下列做法：

  • 在 Gemini Enterprise Agent Platform 中，系統支援使用 ACCEPT_MANUAL 連線偏好設定設定的網路附件，不必在接受的專案中設定 Gemini Enterprise Agent Platform 專案 ID。
  • Gemini Enterprise Agent Platform 會使用權限 (compute.networkAttachments.update 和 compute.regionOperations.get) 授權代管 Gemini Enterprise Agent Platform 的租戶專案，針對 ACCEPT_AUTOMATIC 和 ACCEPT_MANUAL 連線偏好設定，使用 PSC 介面部署的網路附件。

如要進一步瞭解 IAM 和部署指南，請參閱「為 Gemini Enterprise Agent Platform 資源設定 Private Service Connect 介面」。

Private Service Connect 介面部署選項

如要建立 Private Service Connect 介面，請先在與生產者服務位於相同區域的消費者 VPC 中部署子網路。請檢查特定服務需求，確保沒有應避免的子網路範圍。接著，建立參照子網路的網路連結。建議您將分配給網路連結的子網路專用於 Private Service Connect 介面部署作業。

下列頁面將討論 Gemini Enterprise Agent Platform Private Service Connect 介面的特定用途：

VPC Service Controls 注意事項

Gemini Enterprise Agent Platform 生產端的服務能否存取公用網際網路，取決於專案的安全設定，特別是您是否使用 VPC Service Controls。

  • 沒有 VPC Service Controls：Google 管理的 Gemini Enterprise Agent Platform 租戶會保留預設的網際網路存取權。這類輸出流量會直接從安全無虞的 Google 管理環境輸出，而您的製作人服務會在該環境中執行。Agent Runtime 是例外狀況，因為它不會提供網際網路輸出功能。您必須部署具有 RFC 1918 位址的 Proxy VM，才能輸出網際網路流量。
  • 使用 VPC Service Controls：當專案屬於 VPC Service Controls perimeter 時，perimeter 會封鎖 Google 代管的暫時性主機，防止 Gemini Enterprise Agent Platform 預設網際網路連線能力遭濫用，以防資料竊取。如要允許存取公開網際網路，您必須明確設定安全輸出路徑，透過虛擬私有雲網路轉送流量。建議您在 VPC 邊界內設定 Proxy 伺服器，並建立 Cloud NAT 閘道，允許 Proxy VM 存取網際網路。

如要進一步瞭解 VPC Service Controls 注意事項，請參閱「搭配使用 VPC Service Controls 與 Gemini Enterprise Agent Platform」。

部署考量事項

以下是從地端部署、多雲和 VPC 工作負載與 Google 管理的 Gemini Enterprise Agent Platform 服務通訊時，需要考量的事項。

Gemini Enterprise Agent Platform 子網路建議

下表列出 Gemini Enterprise Agent Platform 服務的建議子網路範圍，這些服務支援 Private Service Connect 介面。

Gemini Enterprise Agent Platform 功能 建議的子網路範圍
Agent Platform Pipelines /28
自訂訓練工作 /28
Ray on Agent Platform /28
Agent Runtime /28

IP 廣告

  • 使用 Private Service Connect 介面連線至用戶端虛擬私有雲網路中的服務時，請從虛擬私有雲網路的支援 IP 範圍清單中選擇 IP 位址。
  • 根據預設，除非設定自訂通告模式，否則 Cloud Router 會通告一般 VPC 子網路。詳情請參閱「自訂通告」。
  • 網路連結與 Private Service Connect 介面之間的連線是遞移性。供應商虛擬私有雲網路中的工作負載，可以與連線至用戶虛擬私有雲網路的工作負載通訊。

防火牆規則

Private Service Connect 介面是由生產者機構建立及管理，但位於消費者虛擬私有雲網路中。為確保消費者端安全，建議您根據消費者虛擬私有雲網路的 IP 位址範圍，設定防火牆規則。您必須更新防火牆規則，允許網路連結子網路存取消費者網路。詳情請參閱「限制生產者到消費者的傳入流量」。

網域名稱解析

單獨使用 Private Service Connect 介面時，必須透過服務的內部 IP 位址連線。這不建議用於生產系統，因為 IP 位址可能會變更，導致設定不穩定。

實作 DNS 對等互連後，Gemini Enterprise Agent Platform 生產者就能解析並連線至虛擬私有雲、地端部署或多雲端網路中的服務。方法是查詢虛擬私有雲網路中的 Cloud DNS 私人區域記錄，確保服務存取穩定可靠，即使基礎 IP 位址經過修改也不受影響。

詳情請參閱「設定私人 DNS 對等互連」。

後續步驟