Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Private Service Connect-Schnittstelle für Gemini Enterprise Agent Platform-Ressourcen einrichten

In dieser Anleitung wird beschrieben, wie Sie eine Private Service Connect-Schnittstelle für Gemini Enterprise Agent Platform-Ressourcen einrichten.

Sie können Verbindungen zu Private Service Connect-Schnittstellen für bestimmte Ressourcen in der Gemini Enterprise Agent Platform konfigurieren, darunter:

Im Gegensatz zu VPC-Peering-Verbindungen sind Private Service Connect-Schnittstellenverbindungen transitiv. Dafür sind weniger IP-Adressen im VPC-Netzwerk des Nutzers erforderlich. So können Sie flexibler Verbindungen zu anderen VPC-Netzwerken in Ihrem Google Cloud Projekt und lokal herstellen.

Dieser Leitfaden richtet sich an Netzwerkadministratoren, die mit Google Cloud Netzwerkkonzepten vertraut sind.

Ziele

In diesem Leitfaden werden folgende Aufgaben behandelt:

Konfigurieren Sie ein Nutzer-VPC -Netzwerk, ein Subnetz und einen Netzwerkanhang.
Fügen Sie Ihrem Google Cloud Netzwerk-Hostprojekt Firewallregeln hinzu.
Erstellen Sie eine Agent Platform-Ressource, in der der Netzwerkanhang für die Verwendung einer Private Service Connect-Schnittstelle angegeben wird.

Hinweis

Folgen Sie der Anleitung unten, um ein Google Cloud -Projekt zu erstellen oder auszuwählen und es für die Verwendung mit der Gemini Enterprise Agent Platform und Private Service Connect zu konfigurieren.

Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Aktualisieren Sie die gcloud CLI nach der Initialisierung und installieren Sie die erforderlichen Komponenten:

gcloud components update
gcloud components install beta

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

Roles required to enable APIs

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Aktualisieren Sie die gcloud CLI nach der Initialisierung und installieren Sie die erforderlichen Komponenten:

gcloud components update
gcloud components install beta

Wenn Sie nicht der Projektinhaber sind und nicht die Rolle Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin) haben, bitten Sie den Inhaber, Ihnen eine IAM-Rolle zuzuweisen, die die Berechtigungen compute.networkAttachments.update, compute.networkAttachments.update und compute.regionOperations.get enthält, z. B. die Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin), um Netzwerkressourcen zu verwalten.
Weisen Sie dem AI Platform-Dienst-Agent die erforderlichen Rollen zu. Weitere Informationen dazu, welche Rollen in den verschiedenen Szenarien gewährt werden müssen, finden Sie im Abschnitt Erforderliche Rolle für den Dienst-Agent der Gemini Enterprise Agent Platform in diesem Dokument.

VPC-Netzwerk und ‑Subnetz einrichten

Folgen Sie der Anleitung, um ein neues VPC-Netzwerk zu erstellen, falls Sie noch keines haben.

VPC-Netzwerk erstellen:
```
gcloud compute networks create NETWORK \
    --subnet-mode=custom
```
Ersetzen Sie NETWORK durch einen Namen für das VPC-Netzwerk.
Subnetz erstellen:
```
gcloud compute networks subnets create SUBNET_NAME \
    --network=NETWORK \
    --range=PRIMARY_RANGE \
    --region=REGION
```
Ersetzen Sie Folgendes:
- SUBNET_NAME: Name für das Subnetz
- PRIMARY_RANGE: der primäre IPv4-Bereich für das neue Subnetz in CIDR-Notation.
  
  Im Folgenden finden Sie die IP-Anforderungen und ‑Einschränkungen für die Agent Platform:
  - Die Agent Platform empfiehlt ein /28-Subnetzwerk.
  - Das Subnetz der Netzwerkverbindung unterstützt RFC 1918- und Nicht-RFC 1918-Adressen, mit Ausnahme der Subnetze 100.64.0.0/20 und 240.0.0.0/4.
  - Die Agent-Plattform kann nur eine Verbindung zu RFC 1918-IP-Adressbereichen herstellen, die über das angegebene Netzwerk geroutet werden können.
  - Die Agent-Plattform kann keine privat verwendete öffentliche IP-Adresse oder die folgenden Bereiche außerhalb von RFC 1918 erreichen:
    - 100.64.0.0/20
    - 192.0.0.0/24
    - 192.0.2.0/24
    - 198.18.0.0/15
    - 198.51.100.0/24
    - 203.0.113.0/24
    - 240.0.0.0/4
  Weitere Informationen finden Sie unter IPv4-Subnetzbereiche.
- REGION: die Google Cloud Region, in der Sie das neue Subnetz erstellen.

Netzwerkanhang erstellen

Erstellen Sie in einer Bereitstellung mit freigegebene VPC das Subnetz, das für den Netzwerk-Anhang verwendet wird, im Hostprojekt und erstellen Sie dann den Private Service Connect-Netzwerk-Anhang im Dienstprojekt.

Das folgende Beispiel zeigt, wie Sie einen Netzwerkanhang erstellen, der Verbindungen automatisch akzeptiert.

   gcloud compute network-attachments create NETWORK_ATTACHMENT_NAME \
       --region=REGION \
       --connection-preference=ACCEPT_AUTOMATIC \
       --subnets=SUBNET_NAME

Ersetzen Sie NETWORK_ATTACHMENT_NAME durch einen Namen für den Netzwerkanhang.

Wenn der Netzwerkanhang in einem anderen Projekt als dem Dienstprojekt erstellt wird, müssen Sie beim Aufrufen von Gemini Enterprise den vollständigen Pfad des Netzwerkanhangs übergeben.

Erforderliche Rolle für den Dienst-Agent der Gemini Enterprise Agent Platform

Für den Gemini Enterprise Agent Platform-Dienst-Agent (AI Platform-Dienst-Agent) sind bestimmte IAM-Rollen erforderlich, um Netzwerkressourcen zu verwalten und Private Service Connect-Schnittstellenverbindungen zu ermöglichen.

Weisen Sie dem Dienst-Agenten (service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com) je nach Netzwerkkonfiguration die folgenden Rollen zu:

Compute-Netzwerkadministrator (roles/compute.networkAdmin)

In dem Projekt, in dem Sie den Netzwerk-Anhang erstellen, müssen Sie dem Dienst-Agent die Rolle roles/compute.networkAdmin zuweisen.
Compute-Netzwerknutzer (roles/compute.networkUser)

Wenn Sie eine gemeinsam genutzte VPC verwenden und den Netzwerk-Anhang in einem Dienstprojekt erstellen, weisen Sie dem Dienst-Agent (im Dienstprojekt) die Rolle roles/compute.networkUser im VPC-Hostprojekt zu.
DNS-Peer (roles/dns.peer)

Damit Ressourcen wie Agent Platform Managed Training oder Agent Runtime private DNS-Einträge auflösen können, weisen Sie dem Dienst-Agenten die Rolle roles/dns.peer zu. Weisen Sie diese Rolle dem Projekt zu, in dem Sie die Dienste verwenden. Wenn Sie eine freigegebene VPC verwenden, müssen Sie dem Dienst-Agenten auch die Rolle roles/dns.peer im VPC-Hostprojekt zuweisen.

Firewallregeln konfigurieren

Das System wendet Firewallregeln für eingehenden Traffic im Nutzer-VPC an, um die Kommunikation mit dem Subnetz des Netzwerkanhangs der Private Service Connect-Schnittstelle von Compute- und lokalen Endpunkten aus zu ermöglichen.

Die Konfiguration von Firewallregeln ist optional. Wir empfehlen jedoch, allgemeine Firewallregeln wie in den folgenden Beispielen zu konfigurieren.

Erstellen Sie eine Firewallregel, die SSH-Zugriff über den TCP-Port 22 zulässt:

gcloud compute firewall-rules create NETWORK-firewall1 \
    --network NETWORK \
    --allow tcp:22

Erstellen Sie eine Firewallregel, die HTTPS-Traffic über TCP-Port 443 zulässt:

gcloud compute firewall-rules create NETWORK-firewall2 \
    --network NETWORK \
    --allow tcp:443

Erstellen Sie eine Firewallregel, die ICMP-Traffic (z. B. Ping-Anfragen) zulässt:

gcloud compute firewall-rules create NETWORK-firewall3 \
    --network NETWORK \
    --allow icmp

Privates DNS-Peering einrichten

Wenn Sie möchten, dass von der Agent Platform verwaltete Trainingsjobs oder Agent Runtime-Agents, die mit Private Service Connect-Schnittstellen konfiguriert sind, private DNS-Einträge in von Kunden verwalteten Cloud DNS-Zonen auflösen können, können Sie Ihren Netzwerk-Anhang angeben und privates DNS-Peering erstellen, wenn Sie Ihre Ressource konfigurieren oder bereitstellen.

Sie können DNS-Peering konfigurieren, indem Sie Zielnetzwerke und Domainsuffixe im Feld dns_peering_configs unter psc_interface_config angeben:

dns_peering_configs: Eine Liste der DNS-Peering-Konfigurationen:
- domain: Der DNS-Name der privaten Cloud DNS-Zone.
- target_project: Das Projekt, in dem das VPC-Netzwerk gehostet wird. Es kann sich von dem Projekt unterscheiden, in dem Sie den Netzwerkanhang erstellt haben.
- target_network: Der Name des VPC-Netzwerk im Zielprojekt, für das das DNS-Peering eingerichtet wird.

Wenn Sie beispielsweise eine Ressource in Python erstellen, können Sie das private DNS-Peering so konfigurieren:

psc_interface_config = {
    "network_attachment": "NETWORK_ATTACHMENT",
    "dns_peering_configs": [
        {
            "domain": "DOMAIN_SUFFIX",
            "target_project": "TARGET_PROJECT",
            "target_network": "TARGET_NETWORK",
        },
    ],
}

Ersetzen Sie Folgendes:

NETWORK_ATTACHMENT: Der Name oder vollständige Pfad Ihres Netzwerkanhangs. Beispiel: projects/SERVICE_PROJECT/regions/REGION/networkAttachments/NETWORK_ATTACHMENT_NAME. Wenn Sie den Netzwerk-Anhang in einem anderen Projekt als dem Dienstprojekt erstellen, in dem Sie die Agent Platform verwenden, müssen Sie den vollständigen Pfad des Netzwerk-Anhangs übergeben.
DOMAIN_SUFFIX: der DNS-Name der privaten Cloud DNS-Zone (z. B. example.com.).
TARGET_PROJECT: das Projekt, das das VPC-Netzwerk hostet. Es kann sich von dem Projekt unterscheiden, in dem Sie den Netzwerkanhang erstellt haben.
TARGET_NETWORK: der Name des VPC-Netzwerk im Zielprojekt, für das das DNS-Peering eingerichtet wird.

Fehlerbehebung

In diesem Abschnitt werden einige häufige Probleme bei der Konfiguration von Private Service Connect mit der Gemini Enterprise Agent Platform behandelt.

Wenn Sie die Agent Platform mit einer freigegebene VPC konfigurieren, erstellen Sie den Netzwerk-Anhang im Dienstprojekt, in dem Sie die Agent Platform verwenden. So lassen sich bestimmte Fehlermeldungen vermeiden, z. B.:

_Please make sure that the Agent Platform API is enabled for the
project_, by ensuring the
necessary permissions and APIs are enabled in the correct project.