Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Configura una interfaz de Private Service Connect para los recursos de Gemini Enterprise Agent Platform

En esta guía, se muestra cómo configurar una interfaz de Private Service Connect para los recursos de Gemini Enterprise Agent Platform.

Puedes configurar conexiones de interfaz de Private Service Connect para ciertos recursos en Gemini Enterprise Agent Platform, incluidos los siguientes:

A diferencia de las conexiones de intercambio de tráfico de VPC, las conexiones de interfaz de Private Service Connect son transitivas. Esto requiere menos direcciones IP en la red de VPC del consumidor. Esto permite una mayor flexibilidad para conectarse a otras redes de VPC en tu Google Cloud proyecto y de forma local.

Esta guía está destinada a administradores de red que estén familiarizados con los conceptos de herramientas de redes Google Cloud .

Objetivos

En esta guía, se abarcan las siguientes tareas:

Configurar una red de VPC , una subred y un adjunto de red del consumidor
Agregar reglas de firewall a tu Google Cloud proyecto host de red
Crear un recurso de Agent Platform que especifique el adjunto de red para usar una interfaz de Private Service Connect

Antes de comenzar

Usa las siguientes instrucciones para crear o seleccionar un Google Cloud proyecto y configurarlo para usarlo con Gemini Enterprise Agent Platform y Private Service Connect.

Accede a tu Google Cloud cuenta de. Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Después de inicializar gcloud CLI, actualízala y, luego, instala los componentes necesarios:

gcloud components update
gcloud components install beta

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

Roles required to enable APIs

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Después de inicializar gcloud CLI, actualízala y, luego, instala los componentes necesarios:

gcloud components update
gcloud components install beta

Si no eres el propietario del proyecto y no tienes el rol de administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin), pídele al propietario que te otorgue el rol de administrador de red de Compute (roles/compute.networkAdmin) para administrar los recursos de herramientas de redes. Si solo creas un adjunto de red en una red de VPC existente, puedes usar un rol personalizado que incluya el compute.networkAttachments.create permiso.
Asigna los roles necesarios al agente de servicio de plataforma de IA. Para obtener detalles sobre qué roles otorgar en diferentes situaciones, consulta la sección Rol obligatorio del agente de servicio de Gemini Enterprise Agent Platform de este documento.

Configura una red y una subred de VPC

Sigue los pasos de configuración para crear una red de VPC nueva si no tienes una red existente.

Crea una red de VPC:

gcloud compute networks create NETWORK \
    --subnet-mode=custom

Reemplaza NETWORK por un nombre para la red de VPC.

Crea una subred:
```
gcloud compute networks subnets create SUBNET_NAME \
    --network=NETWORK \
    --range=PRIMARY_RANGE \
    --region=REGION
```
Reemplaza lo siguiente:
- SUBNET_NAME: Es un nombre de la subred.
- PRIMARY_RANGE: Es el rango IPv4 principal para la subred nueva, en notación CIDR.
  
  Los siguientes son los requisitos y las limitaciones de IP para Agent Platform:
  - Agent Platform recomienda una subred /28.
  - La subred del adjunto de red admite direcciones RFC 1918 y que no sean RFC 1918, con la excepción de las subredes 100.64.0.0/20 y 240.0.0.0/4.
  - Agent Platform solo puede conectarse a rangos de direcciones IP RFC 1918 que se puedan enrutar desde la red especificada.
  - Agent Platform no puede acceder a una dirección IP pública de uso privado ni a estos rangos que no sean RFC 1918:
    - 100.64.0.0/20
    - 192.0.0.0/24
    - 192.0.2.0/24
    - 198.18.0.0/15
    - 198.51.100.0/24
    - 203.0.113.0/24
    - 240.0.0.0/4
  Para obtener más información, consulta Rangos de subredes IPv4.
- REGION: Es la Google Cloud región en la que se crea la subred nueva.

Crea un adjunto de red

En una implementación de VPC compartida, crea la subred que se usa para el adjunto de red en el proyecto host y, luego, crea el adjunto de red de Private Service Connect en el proyecto de servicio.

En el siguiente ejemplo, se muestra cómo crear un adjunto de red que acepte conexiones de forma automática.

   gcloud compute network-attachments create NETWORK_ATTACHMENT_NAME \
       --region=REGION \
       --connection-preference=ACCEPT_AUTOMATIC \
       --subnets=SUBNET_NAME

Reemplaza NETWORK_ATTACHMENT_NAME por un nombre para el adjunto de red.

Si el adjunto de red se crea en un proyecto diferente del proyecto de servicio, debes pasar la ruta de acceso completa del adjunto de red cuando llames a Gemini Enterprise.

Rol obligatorio del agente de servicio de Gemini Enterprise Agent Platform

El agente de servicio de Gemini Enterprise Agent Platform (agente de servicio de plataforma de IA) requiere roles de IAM específicos para administrar los recursos de redes y facilitar las conexiones de interfaz de Private Service Connect (Private Service Connect).

Según la configuración de tu red, otorga los siguientes roles al agente de servicio (service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com):

Administrador de red de Compute (roles/compute.networkAdmin)

En el proyecto en el que creas el adjunto de red, debes otorgar el rol roles/compute.networkAdmin al agente de servicio. Si no deseas otorgar el rol roles/compute.networkAdmin, puedes crear un rol personalizado con los siguientes permisos y otorgarlo al agente de servicio:
- compute.networkAttachments.get
- compute.networkAttachments.update
- compute.regionOperations.get
Usuario de la red de Compute (roles/compute.networkUser)

Si usas una VPC compartida y creas el adjunto de red en un proyecto de servicio, otorga al agente de servicio (ubicado en el proyecto de servicio) el rol roles/compute.networkUser en el proyecto host de VPC.
Intercambio de tráfico de DNS (roles/dns.peer)

Para habilitar recursos como Agent Platform Managed Training o Agent Runtime para resolver registros DNS privados, otorga el rol roles/dns.peer al agente de servicio. Otorga este rol en el proyecto en el que usas los servicios. Si usas una VPC compartida, también debes otorgar el rol roles/dns.peer al agente de servicio en el proyecto host de VPC.

Configura reglas de firewall

El sistema aplica reglas de firewall de entrada en la VPC del consumidor para habilitar la comunicación con la subred del adjunto de red de la interfaz de Private Service Connect desde extremos de procesamiento y locales.

La configuración de reglas de firewall es opcional. Sin embargo, te recomendamos que establezcas reglas de firewall comunes como se muestra en los siguientes ejemplos.

Crea una regla de firewall que permita el acceso SSH en el puerto TCP 22:

gcloud compute firewall-rules create NETWORK-firewall1 \
    --network NETWORK \
    --allow tcp:22

Crea una regla de firewall que permita el tráfico HTTPS en el puerto TCP 443:

gcloud compute firewall-rules create NETWORK-firewall2 \
    --network NETWORK \
    --allow tcp:443

Crea una regla de firewall que permita el tráfico ICMP (como las solicitudes de ping):

gcloud compute firewall-rules create NETWORK-firewall3 \
    --network NETWORK \
    --allow icmp

Configura un intercambio de tráfico de DNS privado

Para habilitar los trabajos de entrenamiento administrado de Agent Platform o los agentes de Agent Runtime configurados con interfaces de Private Service Connect para resolver registros DNS privados en zonas del DNS de Cloud DNS administradas por el cliente, puedes especificar tu adjunto de red y crear un intercambio de tráfico de DNS privado mientras configuras o implementas tu recurso.

Puedes configurar el intercambio de tráfico de DNS si especificas redes de destino y sufijos de dominio en el campo dns_peering_configs en psc_interface_config:

dns_peering_configs: Es una lista de configuraciones de intercambio de tráfico de DNS:
- domain: Es el nombre DNS de la zona privada de Cloud DNS.
- target_project: Es el proyecto que aloja la red de VPC. Puede ser diferente del proyecto en el que creaste el adjunto de red.
- target_network: Es el nombre de la red de VPC en el proyecto de destino al que se establece el intercambio de tráfico de DNS.

Por ejemplo, cuando creas un recurso en Python, puedes configurar el intercambio de tráfico de DNS privado de la siguiente manera:

psc_interface_config = {
    "network_attachment": "NETWORK_ATTACHMENT",
    "dns_peering_configs": [
        {
            "domain": "DOMAIN_SUFFIX",
            "target_project": "TARGET_PROJECT",
            "target_network": "TARGET_NETWORK",
        },
    ],
}

Reemplaza lo siguiente:

NETWORK_ATTACHMENT: Es el nombre o la ruta de acceso completa de tu adjunto de red. Por ejemplo, projects/SERVICE_PROJECT/regions/REGION/networkAttachments/NETWORK_ATTACHMENT_NAME. Si creas el adjunto de red en un proyecto diferente del proyecto de servicio en el que usas Agent Platform, debes pasar la ruta de acceso completa del adjunto de red.
DOMAIN_SUFFIX: Es el nombre DNS de la zona privada de Cloud DNS (por ejemplo, example.com.).
TARGET_PROJECT: Es el proyecto que aloja la red de VPC. Puede ser diferente del proyecto en el que creaste el adjunto de red.
TARGET_NETWORK: Es el nombre de la red de VPC en el proyecto de destino al que se establece el intercambio de tráfico de DNS.

Soluciona problemas

En esta sección, se abarcan algunos problemas comunes para configurar Private Service Connect con Gemini Enterprise Agent Platform.

Cuando configures Agent Platform con una VPC compartida, crea el adjunto de red en el proyecto de servicio en el que usas Agent Platform. Este enfoque ayuda a evitar ciertos mensajes de error, como los siguientes:

_Please make sure that the Agent Platform API is enabled for the
project_, by ensuring the
necessary permissions and APIs are enabled in the correct project.

¿Qué sigue?

Obtén información para usar la salida de la interfaz de Private Service Connect para Ray on Vertex AI.
Obtén información para usar la salida de la interfaz de Private Service Connect para el entrenamiento personalizado.
Obtén información para usar la salida de la interfaz de Private Service Connect para las canalizaciones de Agent Platform.
Obtén información para usar la salida de la interfaz de Private Service Connect para Agent Runtime.