Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Configura un'interfaccia Private Service Connect per le risorse di Gemini Enterprise Agent Platform

Questa guida mostra come configurare un'interfaccia Private Service Connect per le risorse di Gemini Enterprise Agent Platform.

Puoi configurare le connessioni dell'interfaccia Private Service Connect per determinate risorse in Gemini Enterprise Agent Platform, tra cui:

A differenza delle connessioni di peering VPC, le connessioni di interfaccia Private Service Connect sono transitive. In questo modo sono necessari meno indirizzi IP nella rete VPC consumer. Ciò consente una maggiore flessibilità nella connessione ad altre reti VPC nel tuo progetto Google Cloud e on-premise.

Questa guida è rivolta agli amministratori di rete che hanno familiarità con i concetti di Google Cloud networking.

Obiettivi

Questa guida illustra le seguenti attività:

Configura una rete, una subnet e un collegamento di rete VPC consumer .
Aggiungi regole firewall al progetto host di rete Google Cloud .
Crea una risorsa Agent Platform specificando il collegamento di rete per utilizzare un'interfaccia Private Service Connect.

Prima di iniziare

Utilizza le seguenti istruzioni per creare o selezionare un progetto Google Cloud e configurarlo per l'utilizzo con Gemini Enterprise Agent Platform e Private Service Connect.

Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Dopo aver inizializzato gcloud CLI, aggiornala e installa i componenti richiesti:

gcloud components update
gcloud components install beta

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

Roles required to enable APIs

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Dopo aver inizializzato gcloud CLI, aggiornala e installa i componenti richiesti:

gcloud components update
gcloud components install beta

Se non sei il proprietario del progetto e non disponi del ruolo Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin), chiedi al proprietario di concederti un ruolo IAM che includa le autorizzazioni compute.networkAttachments.update, compute.networkAttachments.update e compute.regionOperations.get: ad esempio, il ruolo Amministratore rete Compute (roles/compute.networkAdmin), per gestire le risorse di rete.
Assegna i ruoli richiesti all'agente di servizio AI Platform. Per informazioni dettagliate sui ruoli da concedere in diversi scenari, consulta la sezione Ruolo richiesto per il service agent di Gemini Enterprise Agent Platform di questo documento.

Configura una rete VPC e una subnet

Segui i passaggi di configurazione per creare una nuova rete VPC se non ne hai una esistente.

Crea una rete VPC:

gcloud compute networks create NETWORK \
    --subnet-mode=custom

Sostituisci NETWORK con un nome per la rete VPC.

Crea una subnet:
```
gcloud compute networks subnets create SUBNET_NAME \
    --network=NETWORK \
    --range=PRIMARY_RANGE \
    --region=REGION
```
Sostituisci quanto segue:
- SUBNET_NAME: un nome per la subnet.
- PRIMARY_RANGE: l'intervallo IPv4 primario per la nuova subnet, in notazione CIDR.
  
  Di seguito sono riportati i requisiti e le limitazioni IP per Agent Platform:
  - Agent Platform consiglia una subnet /28.
  - La subnet del collegamento di rete supporta indirizzi RFC 1918 e non RFC 1918, ad eccezione delle subnet 100.64.0.0/20 e 240.0.0.0/4.
  - Agent Platform può connettersi solo a intervalli di indirizzi IP RFC 1918 instradabili dalla rete specificata.
  - Agent Platform non può raggiungere un indirizzo IP pubblico utilizzato privatamente o questi intervalli non RFC 1918:
    - 100.64.0.0/20
    - 192.0.0.0/24
    - 192.0.2.0/24
    - 198.18.0.0/15
    - 198.51.100.0/24
    - 203.0.113.0/24
    - 240.0.0.0/4
  Per saperne di più, consulta Intervalli di subnet IPv4.
- REGION: la regione Google Cloud in cui creare la nuova subnet.

Crea un collegamento di rete

In un deployment VPC condiviso, crea la subnet utilizzata per il collegamento di rete nel progetto host, poi crea il collegamento di rete Private Service Connect nel progetto di servizio.

L'esempio seguente mostra come creare un collegamento di rete che accetta automaticamente le connessioni.

   gcloud compute network-attachments create NETWORK_ATTACHMENT_NAME \
       --region=REGION \
       --connection-preference=ACCEPT_AUTOMATIC \
       --subnets=SUBNET_NAME

Sostituisci NETWORK_ATTACHMENT_NAME con un nome per l'allegato di rete.

Se il collegamento di rete viene creato in un progetto diverso dal progetto di servizio, devi trasmettere il percorso completo del collegamento di rete quando chiami Gemini Enterprise.

Ruolo obbligatorio per l'agente di servizio Gemini Enterprise Agent Platform

L'agente di servizio Gemini Enterprise Agent Platform (agente di servizio AI Platform) richiede ruoli IAM specifici per gestire le risorse di rete e facilitare le connessioni di interfaccia Private Service Connect (Private Service Connect).

A seconda della configurazione di rete, concedi i seguenti ruoli al service agent (service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com):

Compute Network Admin (roles/compute.networkAdmin)

Nel progetto in cui crei il collegamento di rete, devi concedere il ruolo roles/compute.networkAdmin al service agent.
Compute Network User (roles/compute.networkUser)

Se utilizzi un VPC condiviso e crei il collegamento di rete in un progetto di servizio, concedi all'agente di servizio (che si trova nel progetto di servizio) il ruolo roles/compute.networkUser nel progetto host VPC.
DNS Peer (roles/dns.peer)

Per consentire a risorse come l'addestramento gestito di Agent Platform o Agent Runtime di risolvere i record DNS privati, concedi il ruolo roles/dns.peer al service agent. Concedi questo ruolo nel progetto in cui utilizzi i servizi. Se utilizzi un VPC condiviso, devi concedere anche il ruolo roles/dns.peer all'agente di servizio nel progetto host VPC.

Configura le regole firewall

Il sistema applica le regole firewall in entrata nella rete VPC consumer per abilitare la comunicazione con la subnet di collegamento di rete dell'interfaccia Private Service Connect dagli endpoint di calcolo e on-premise.

La configurazione delle regole firewall è facoltativa. Tuttavia, ti consigliamo di impostare regole firewall comuni come mostrato negli esempi seguenti.

Crea una regola firewall che consenta l'accesso SSH sulla porta TCP 22:

gcloud compute firewall-rules create NETWORK-firewall1 \
    --network NETWORK \
    --allow tcp:22

Crea una regola firewall che consenta il traffico HTTPS sulla porta TCP 443:

gcloud compute firewall-rules create NETWORK-firewall2 \
    --network NETWORK \
    --allow tcp:443

Crea una regola firewall che consenta il traffico ICMP (ad esempio le richieste ping):

gcloud compute firewall-rules create NETWORK-firewall3 \
    --network NETWORK \
    --allow icmp

Configura un peering DNS privato

Per consentire ai job di addestramento gestito di Agent Platform o agli agenti di Agent Runtime configurati con interfacce Private Service Connect di risolvere i record DNS privati nelle zone Cloud DNS gestite dal cliente, puoi specificare il collegamento di rete e creare il peering DNS privato durante la configurazione o il deployment della risorsa.

Puoi configurare il peering DNS specificando le reti di destinazione e i suffissi di dominio nel campo dns_peering_configs in psc_interface_config:

dns_peering_configs: un elenco di configurazioni di peering DNS:
- domain: il nome DNS della zona Cloud DNS privata.
- target_project: il progetto che ospita la rete VPC. Può essere diverso dal progetto in cui hai creato il collegamento di rete.
- target_network: il nome della rete VPC nel progetto di destinazione a cui viene stabilito il peering DNS.

Ad esempio, quando crei una risorsa in Python, puoi configurare il peering DNS privato nel seguente modo:

psc_interface_config = {
    "network_attachment": "NETWORK_ATTACHMENT",
    "dns_peering_configs": [
        {
            "domain": "DOMAIN_SUFFIX",
            "target_project": "TARGET_PROJECT",
            "target_network": "TARGET_NETWORK",
        },
    ],
}

Sostituisci quanto segue:

NETWORK_ATTACHMENT: il nome o il percorso completo del collegamento di rete. Ad esempio, projects/SERVICE_PROJECT/regions/REGION/networkAttachments/NETWORK_ATTACHMENT_NAME. Se crei il collegamento di rete in un progetto diverso dal progetto di servizio in cui utilizzi Agent Platform, devi trasmettere il percorso completo del collegamento di rete.
DOMAIN_SUFFIX: il nome DNS della zona Cloud DNS privata (ad esempio example.com.).
TARGET_PROJECT: il progetto che ospita la rete VPC. Può essere diverso dal progetto in cui hai creato il collegamento di rete.
TARGET_NETWORK: il nome della rete VPC nel progetto di destinazione a cui viene stabilito il peering DNS.

Risoluzione dei problemi

Questa sezione tratta alcuni problemi comuni relativi alla configurazione di Private Service Connect con Gemini Enterprise Agent Platform.

Quando configuri Agent Platform con un VPC condiviso, crea il collegamento di rete nel progetto di servizio in cui utilizzi Agent Platform. Questo approccio aiuta a evitare determinati messaggi di errore, ad esempio:

_Please make sure that the Agent Platform API is enabled for the
project_, by ensuring the
necessary permissions and APIs are enabled in the correct project.

Passaggi successivi

Scopri come utilizzare l'uscita dell'interfaccia Private Service Connect per Ray su Vertex AI.
Scopri come utilizzare l'uscita dell'interfaccia Private Service Connect per l'addestramento personalizzato.
Scopri come utilizzare il traffico in uscita dell'interfaccia Private Service Connect per Agent Platform Pipelines.
Scopri come utilizzare il traffico in uscita dell'interfaccia Private Service Connect per Agent Runtime