Private Service Connect-Schnittstelle für Gemini Enterprise Agent Platform-Ressourcen einrichten

In dieser Anleitung wird beschrieben, wie Sie eine Private Service Connect-Schnittstelle für Gemini Enterprise Agent Platform-Ressourcen einrichten.

Sie können Private Service Connect-Schnittstellenverbindungen für bestimmte Ressourcen in der Gemini Enterprise Agent Platform konfigurieren, darunter:

Im Gegensatz zu VPC-Peering Verbindungen sind Private Service Connect-Schnittstellenverbindungen transitiv. Dadurch sind weniger IP-Adressen im VPC-Netzwerk des Nutzers erforderlich. So können Sie flexibler eine Verbindung zu anderen VPC-Netzwerken in Ihrem Google Cloud Projekt und lokal herstellen.

Diese Anleitung richtet sich an Netzwerkadministratoren, die mit Google Cloud Netzwerk konzepten vertraut sind.

Ziele

In diesem Leitfaden werden folgende Aufgaben behandelt:

  • Konfigurieren Sie ein Nutzer-VPC -Netzwerk, ein Subnetz und einen Netzwerkanhang.
  • Fügen Sie Ihrem Google Cloud Netzwerk-Hostprojekt Firewallregeln hinzu.
  • Erstellen Sie eine Agent Platform-Ressource und geben Sie den Netzwerkanhang an, um eine Private Service Connect-Schnittstelle zu verwenden.

Hinweis

Folgen Sie der Anleitung, um ein Google Cloud Projekt zu erstellen oder auszuwählen und es für die Verwendung mit der Gemini Enterprise Agent Platform und Private Service Connect zu konfigurieren.

  1. Melden Sie sich in Ihrem Google Cloud Konto an. Wenn Sie noch kein Konto haben Google Cloud, erstellen Sie ein Konto, um zu testen, wie sich unsere Produkte in realen Szenarien schlagen. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  5. Install the Google Cloud CLI.

  6. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  7. To initialize the gcloud CLI, run the following command: 

    gcloud init

  8. Aktualisieren Sie die gcloud CLI nach der Initialisierung und installieren Sie die erforderlichen Komponenten: 

    gcloud components update
gcloud components install beta

  9. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  10. Verify that billing is enabled for your Google Cloud project.

  11. Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  12. Install the Google Cloud CLI.

  13. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  14. To initialize the gcloud CLI, run the following command: 

    gcloud init

  15. Aktualisieren Sie die gcloud CLI nach der Initialisierung und installieren Sie die erforderlichen Komponenten: 

    gcloud components update
gcloud components install beta
  16. Wenn Sie nicht der Project Owner sind und nicht die Rolle „Projekt-IAM-Administrator“ (roles/resourcemanager.projectIamAdmin) haben, bitten Sie den Owner, Ihnen die Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) zuzuweisen, damit Sie Netzwerkressourcen verwalten können. Wenn Sie nur einen Netzwerkanhang in einem vorhandenen VPC-Netzwerk erstellen, können Sie stattdessen eine benutzerdefinierte Rolle verwenden, die die compute.networkAttachments.create Berechtigung enthält.
  17. Weisen Sie dem KI-Plattform-Dienst-Agent die erforderlichen Rollen zu. Weitere Informationen zu den Rollen, die in verschiedenen Szenarien zugewiesen werden müssen, finden Sie im Abschnitt Erforderliche Rolle für den Gemini Enterprise Agent Platform-Dienst-Agent in diesem Dokument.

VPC-Netzwerk und Subnetz einrichten

Folgen Sie der Konfigurationsanleitung, um ein neues VPC-Netzwerk zu erstellen, wenn Sie noch keines haben.

  1. VPC-Netzwerk erstellen:

    gcloud compute networks create NETWORK \
    --subnet-mode=custom

    Ersetzen Sie NETWORK durch einen Namen für das VPC-Netzwerk.

  2. Subnetz erstellen:

    gcloud compute networks subnets create SUBNET_NAME \
    --network=NETWORK \
    --range=PRIMARY_RANGE \
    --region=REGION

    Ersetzen Sie Folgendes:

    • SUBNET_NAME: Ein Name für das Subnetz.

    • PRIMARY_RANGE: Der primäre IPv4-Bereich für das neue Subnetz in CIDR-Notation.

      Im Folgenden finden Sie die IP-Anforderungen und -Beschränkungen für die Agent Platform:

      • Für die Agent Platform wird ein /28-Subnetz empfohlen.
      • Das Subnetz des Netzwerkanhangs unterstützt RFC 1918- und Nicht-RFC 1918-Adressen, mit Ausnahme der Subnetze 100.64.0.0/20 und 240.0.0.0/4.
      • Die Agent Platform kann nur eine Verbindung zu RFC 1918-IP-Adressbereichen herstellen, die über das angegebene Netzwerk weitergeleitet werden können.

      • Die Agent Platform kann keine privat verwendete öffentliche IP-Adresse oder diese Nicht-RFC 1918-Bereiche erreichen:

        • 100.64.0.0/20
        • 192.0.0.0/24
        • 192.0.2.0/24
        • 198.18.0.0/15
        • 198.51.100.0/24
        • 203.0.113.0/24
        • 240.0.0.0/4

      Weitere Informationen finden Sie unter IPv4-Subnetzbereiche.

    • REGION: die Google Cloud Region, in der Sie das neue Subnetz erstellen.

Netzwerkanhang erstellen

Erstellen Sie in einer freigegebene VPC-Bereitstellung das Subnetz, das für den Netzwerkanhang im Hostprojekt verwendet wird, und erstellen Sie dann den Private Service Connect-Netzwerkanhang im Dienstprojekt.

Das folgende Beispiel zeigt, wie Sie einen Netzwerkanhang erstellen , der Verbindungen automatisch akzeptiert.

   gcloud compute network-attachments create NETWORK_ATTACHMENT_NAME \
       --region=REGION \
       --connection-preference=ACCEPT_AUTOMATIC \
       --subnets=SUBNET_NAME

Ersetzen Sie NETWORK_ATTACHMENT_NAME durch einen Namen für den Netzwerkanhang.

Wenn der Netzwerkanhang in einem anderen Projekt als dem Dienstprojekt erstellt wird, müssen Sie beim Aufrufen von Gemini Enterprise den vollständigen Pfad des Netzwerkanhangs übergeben.

Erforderliche Rolle für den Gemini Enterprise Agent Platform-Dienst-Agent

Der Gemini Enterprise Agent Platform-Dienst-Agent (KI-Plattform-Dienst-Agent) benötigt bestimmte IAM-Rollen, um Netzwerkressourcen zu verwalten und Private Service Connect-Schnittstellenverbindungen zu ermöglichen.

Weisen Sie dem Dienst-Agent (service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com) je nach Netzwerkkonfiguration die folgenden Rollen zu:

  1. Compute-Netzwerkadministrator (roles/compute.networkAdmin)

    Weisen Sie dem Dienst-Agent im Projekt, in dem Sie den Netzwerkanhang erstellen, die Rolle roles/compute.networkAdmin zu. Wenn Sie die roles/compute.networkAdmin Rolle nicht zuweisen möchten, können Sie eine benutzerdefinierte Rolle mit den folgenden Berechtigungen erstellen und sie dem Dienst-Agent zuweisen:

    • compute.networkAttachments.get
    • compute.networkAttachments.update
    • compute.regionOperations.get

  2. Compute-Netzwerknutzer (roles/compute.networkUser)

    Wenn Sie eine gemeinsam genutzte VPC verwenden und den Netzwerkanhang in einem Dienstprojekt erstellen, weisen Sie dem Dienst-Agent (im Dienstprojekt) die roles/compute.networkUser Rolle im VPC-Hostprojekt zu.

  3. DNS-Peer (roles/dns.peer)

    Damit Ressourcen wie das verwaltete Training der Agent Platform oder die Agent Runtime private DNS-Einträge auflösen können, weisen Sie dem Dienst-Agent die Rolle roles/dns.peer zu. Weisen Sie diese Rolle in dem Projekt zu, in dem Sie die Dienste verwenden. Wenn Sie eine freigegebene VPC verwenden, müssen Sie dem Dienst-Agent auch die Rolle roles/dns.peer im VPC-Hostprojekt zuweisen.

Firewallregeln konfigurieren

Das System wendet Ingress-Firewallregeln in der Nutzer-VPC an, um die Kommunikation mit dem Subnetz des Netzwerkanhangs der Private Service Connect-Schnittstelle von Compute- und lokalen Endpunkten aus zu ermöglichen.

Das Konfigurieren von Firewallregeln ist optional. Wir empfehlen jedoch, allgemeine Firewallregeln festzulegen, wie in den folgenden Beispielen gezeigt.

  1. Erstellen Sie eine Firewallregel, die den SSH-Zugriff über den TCP-Port 22 zulässt:

    gcloud compute firewall-rules create NETWORK-firewall1 \
    --network NETWORK \
    --allow tcp:22

  2. Erstellen Sie eine Firewallregel, die HTTPS-Traffic über den TCP-Port 443 zulässt:

    gcloud compute firewall-rules create NETWORK-firewall2 \
    --network NETWORK \
    --allow tcp:443

  3. Erstellen Sie eine Firewallregel, die ICMP-Traffic zulässt (z. B. Ping-Anfragen):

    gcloud compute firewall-rules create NETWORK-firewall3 \
    --network NETWORK \
    --allow icmp

Privates DNS-Peering einrichten

Damit verwaltete Trainingsjobs der Agent Platform oder Agent Runtime-Agents, die mit Private Service Connect-Schnittstellen konfiguriert wurden, private DNS-Einträge in vom Kunden verwalteten Cloud DNS-Zonen auflösen können, können Sie Ihren Netzwerkanhang angeben und privates DNS-Peering erstellen, während Sie Ihre Ressource konfigurieren oder bereitstellen.

Sie können das DNS-Peering konfigurieren, indem Sie Zielnetzwerke und Domainsuffixe im Feld dns_peering_configs unter psc_interface_config angeben:

  • dns_peering_configs: Eine Liste von DNS-Peering-Konfigurationen:
    • domain: Der DNS-Name der privaten Cloud DNS-Zone.
    • target_project: Das Projekt, in dem das VPC-Netzwerk gehostet wird. Es kann sich von dem Projekt unterscheiden, in dem Sie den Netzwerkanhang erstellt haben.
    • target_network: Der VPC-Netzwerkname im Zielprojekt, für das das DNS-Peering eingerichtet wird.

Wenn Sie beispielsweise eine Ressource in Python erstellen, können Sie das private DNS-Peering so konfigurieren:

psc_interface_config = {
    "network_attachment": "NETWORK_ATTACHMENT",
    "dns_peering_configs": [
        {
            "domain": "DOMAIN_SUFFIX",
            "target_project": "TARGET_PROJECT",
            "target_network": "TARGET_NETWORK",
        },
    ],
}

Ersetzen Sie Folgendes:

  • NETWORK_ATTACHMENT: Der Name oder vollständige Pfad Ihres Netzwerkanhangs. Beispiel: projects/SERVICE_PROJECT/regions/REGION/networkAttachments/NETWORK_ATTACHMENT_NAME. Wenn Sie den Netzwerkanhang in einem anderen Projekt als dem Dienstprojekt erstellen, in dem Sie die Agent Platform verwenden, müssen Sie den vollständigen Pfad des Netzwerkanhangs übergeben.
  • DOMAIN_SUFFIX: Der DNS-Name der privaten Cloud DNS-Zone (z. B. example.com.).
  • TARGET_PROJECT: Das Projekt, in dem das VPC-Netzwerk gehostet wird. Es kann sich von dem Projekt unterscheiden, in dem Sie den Netzwerkanhang erstellt haben.
  • TARGET_NETWORK: Der VPC-Netzwerkname im Zielprojekt, für das das DNS-Peering eingerichtet wird.

Fehlerbehebung

In diesem Abschnitt werden einige häufige Probleme bei der Konfiguration von Private Service Connect mit der Gemini Enterprise Agent Platform behandelt.

Wenn Sie die Agent Platform mit einer freigegebene VPC konfigurieren, erstellen Sie den Netzwerkanhang im Dienstprojekt, in dem Sie die Agent Platform verwenden. So lassen sich bestimmte Fehlermeldungen vermeiden, z. B.:

_Please make sure that the Agent Platform API is enabled for the
project_, by ensuring the
necessary permissions and APIs are enabled in the correct project.

Nächste Schritte

  • Ausgehenden Traffic über die Private Service Connect-Schnittstelle für Ray in Vertex AI konfigurieren
  • Ausgehenden Traffic über die Private Service Connect-Schnittstelle für benutzerdefiniertes Training konfigurieren
  • Ausgehenden Traffic über die Private Service Connect-Schnittstelle für Agent Platform-Pipelines konfigurieren
  • Ausgehenden Traffic über die Private Service Connect-Schnittstelle für die Agent Runtime konfigurieren