Consenti l'accesso alle risorse protette dall'endpoint privato all'interno di un perimetro dei controlli di servizio VPC

Nelle architetture VPC condiviso, la rete del progetto host viene condivisa con il progetto di servizio. Fino a poco tempo fa, ciò impediva di separare questi progetti in perimetri diversi. Con l'introduzione di regole in entrata e in uscita basate su indirizzi IP privati, i progetti host e di servizio ora possono risiedere in perimetri separati, mantenendo un accesso controllato tramite queste regole.

Architettura di riferimento

I seguenti attributi vengono utilizzati nelle norme del servizio:

  • Perimetri dei controlli di servizio VPC
  • Indirizzi IP privati di Gestore contesto accesso
  • Regole in entrata e in uscita

Nel componente di networking, questa architettura utilizza un endpoint Private Service Connect per accedere alle API di Google.

Diagramma dell'architettura dell'utilizzo dei Controlli di servizio VPC per creare un perimetro di servizio.

In questa architettura di riferimento, le regole di ingresso e uscita e gli indirizzi IP privati vengono utilizzati per controllare l'accesso tra le istanze Compute Engine e l'API Agent Platform per i seguenti perimetri di servizio e progetti:

Perimetro Progetti all'interno del perimetro
aiml-host-perimeter aiml-host-project
high-trust-svc-perimeter ph-fm-svc-project-1
low-trust-svc-perimeter ph-fm-svc-project-2, ph-fm-svc-project-3

L'accesso all'API Agent Platform dalle istanze Compute Engine di ogni progetto di servizio è controllato dalle regole di traffico in entrata e in uscita dei Controlli di servizio VPC. Queste regole utilizzano i livelli di accesso di Gestore contesto accesso configurati con indirizzi IP privati per consentire alle subnet condivise con ogni progetto di servizio di accedere ai rispettivi perimetri.

(Facoltativo) Crea un livello di accesso per il traffico pubblico dell'organizzazione

Se gli utenti finali richiedono l'accesso alla piattaforma di agenti Gemini Enterprise tramite la consoleGoogle Cloud , segui le istruzioni riportate in questa sezione per creare un livello di accesso da utilizzare in Controlli di servizio VPC. Tuttavia, se l'accesso alle API è strettamente programmatico da origini private (ad esempio on-premise con accesso privato Google per on-premise o Cloud Workstations), il livello di accesso non è obbligatorio.

In questa architettura di riferimento utilizziamo un intervallo CIDR, corp-public-block, per consentire al traffico dei dipendenti dell'organizzazione di accedere alla consoleGoogle Cloud .

Gestore contesto accesso consente agli amministratori dell'organizzazione di definire un controllo dell'accesso granulare e basato su attributi per le risorse in Google Cloud. Google Cloud

I livelli di accesso descrivono i requisiti che le richieste devono soddisfare per essere accettate. Ecco alcuni esempi:

  • Tipo di dispositivo e sistema operativo (richiede una licenza Chrome Enterprise Premium)
  • Indirizzo IP
  • Localizzazioni
  • Identità utente

Se è la prima volta che l'organizzazione utilizza Gestore contesto accesso, i suoi amministratori devono definire una policy di accesso, ovvero un contenitore per livelli di accesso e perimetri di servizio. Ecco come:

  1. Nel selettore di progetti nella parte superiore della console Google Cloud , fai clic sulla scheda Tutti e poi seleziona la tua organizzazione.
  2. Crea un livello di accesso di base seguendo le istruzioni riportate nella pagina Crea un livello di accesso di base. Specifica le seguenti opzioni:
    1. Nella sezione Crea condizioni in, scegli Modalità di base.
    2. Nel campo Titolo livello di accesso, inserisci corp-public-block.
    3. Nella sezione Condizioni, per l'opzione Se la condizione è soddisfatta, restituisci, scegli TRUE.
    4. In Subnet IP, scegli IP pubblico.
    5. Per l'intervallo di indirizzi IP, specifica l'intervallo CIDR esterno che richiede l'accesso al perimetro dei Controlli di servizio VPC.

Crea il perimetro di servizio dei Controlli di servizio VPC

Quando crei un perimetro di servizio, un modo per consentire l'accesso ai servizi protetti dall'esterno del perimetro è creare livelli di accesso (utilizzando indirizzi IP, nel nostro esempio). In questa architettura di riferimento, vengono creati più perimetri di servizio che utilizzano regole in entrata e in uscita per controllare la comunicazione dell'API Agent Platform e dell'API Compute Engine nel seguente modo:

  • Alla subnet per le risorse di calcolo appartenenti al progetto di servizio ph-fm-svc-project-1 è consentito l'accesso all'API Agent Platform e all'API Compute Engine in ph-fm-svc-project-1 da aiml-host-project.
  • La subnet per le risorse di calcolo appartenenti ai progetti di servizio ph-fm-svc-project-2 e ph-fm-svc-project-3 può accedere all'API Agent Platform e all'API Compute Engine nei progetti ph-fm-svc-project-2 e ph-fm-svc-project-3 da aiml-host-project.

A ogni progetto di servizio è consentito l'accesso all'API Compute Engine nel progetto host (perché si verificano flussi bidirezionali tra il progetto host e i progetti di servizio quando le risorse di calcolo vengono create in un determinato progetto di servizio).

In questa architettura di riferimento, viene creato un livello di accesso per ogni subnet per utilizzare le regole in entrata e in uscita per consentire i flussi richiesti tra il perimetro del progetto host e il perimetro di ogni progetto di servizio.

Crea livello di accesso gce-subnet-1

  1. Nel selettore di progetti nella parte superiore della console Google Cloud , fai clic sulla scheda Tutti e poi seleziona la tua organizzazione.
  2. Crea un livello di accesso di base seguendo le istruzioni riportate nella pagina Crea un livello di accesso di base. Specifica le seguenti opzioni:
    1. Nella sezione Crea condizioni in, scegli Modalità di base.
    2. Nel campo Titolo livello di accesso, inserisci gce-subnet-1.
    3. Nella sezione Condizioni, per l'opzione Se la condizione è soddisfatta, restituisci, scegli TRUE.
    4. In Subnet IP, scegli IP privato.
    5. Seleziona Reti VPC, identifica il tuo progetto e seleziona il tuo nome VPC.
    6. Per Subnet IP, seleziona l'intervallo CIDR che rappresenta la subnet che il progetto host ha condiviso con ph-fm-svc-project-1.

Crea livello di accesso gce-subnet-2

  1. Nel selettore di progetti nella parte superiore della console Google Cloud , fai clic sulla scheda Tutti e poi seleziona la tua organizzazione.
  2. Crea un livello di accesso di base seguendo le istruzioni riportate nella pagina Crea un livello di accesso di base. Specifica le seguenti opzioni:
    1. Nella sezione Crea condizioni in, scegli Modalità di base.
    2. Nel campo Titolo livello di accesso, inserisci gce-subnet-2.
    3. Nella sezione Condizioni, per l'opzione Se la condizione è soddisfatta, restituisci, scegli TRUE.
    4. In Subnet IP, scegli IP privato.
    5. Seleziona Reti VPC, identifica il tuo progetto e seleziona il tuo nome VPC.
    6. Per Subnet IP, seleziona l'intervallo CIDR che rappresenta la subnet che il progetto host ha condiviso con ph-fm-svc-project-2.

Crea livello di accesso gce-subnet-3

  1. Nel selettore di progetti nella parte superiore della console Google Cloud , fai clic sulla scheda Tutti e poi seleziona la tua organizzazione.
  2. Crea un livello di accesso di base seguendo le istruzioni riportate nella pagina Crea un livello di accesso di base. Specifica le seguenti opzioni:
    1. Nella sezione Crea condizioni in, scegli Modalità di base.
    2. Nel campo Titolo livello di accesso, inserisci gce-subnet-3.
    3. Nella sezione Condizioni, per l'opzione Se la condizione è soddisfatta, restituisci, scegli TRUE.
    4. In Subnet IP, scegli IP privato.
    5. Seleziona Reti VPC, identifica il tuo progetto e seleziona il tuo nome VPC.
    6. Per Subnet IP, seleziona l'intervallo CIDR che rappresenta la subnet che il progetto host ha condiviso con ph-fm-svc-project-3.

Passaggi di configurazione per aiml-host-perimeter

Seleziona il tipo di configurazione per il nuovo perimetro

In questa sezione crei un perimetro di servizio dei Controlli di servizio VPC (aiml-host-perimeter) in modalità dry run. In modalità dry run, il perimetro registra le violazioni come se i perimetri fossero applicati in modo forzato, ma non impedisce l'accesso ai servizi limitati. L'utilizzo della modalità dry run prima di passare alla modalità di applicazione forzata è consigliato come best practice.

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Sicurezza.

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, fai clic su Modalità dry run.

  4. Fai clic su Nuovo perimetro.

  5. Nella scheda Nuovo perimetro di servizio VPC, nella casella Nome perimetro, digita un nome per il perimetro, ad esempio aiml-host-perimeter.

    Il nome di un perimetro può avere una lunghezza massima di 50 caratteri, deve iniziare con una lettera e può contenere solo lettere latine ASCII (a-z, A-Z), numeri (0-9) e trattini bassi (_). Il nome del perimetro è sensibile alle maiuscole e deve essere univoco all'interno di una policy di accesso.

  6. Accetta le impostazioni predefinite per il perimetro.

Seleziona le risorse da proteggere

  1. Fai clic su Risorse da proteggere.
  2. Per aggiungere progetti o reti VPC che vuoi proteggere all'interno del perimetro, segui questi passaggi:
    1. Fai clic su Aggiungi risorse.
    2. Per aggiungere progetti al perimetro, nel riquadro Aggiungi risorse, fai clic su Aggiungi progetto.
      1. Seleziona il progetto che vuoi aggiungere, in questo caso aiml-host-project.
      2. Fai clic su Aggiungi risorse selezionate. I progetti aggiunti vengono visualizzati nella sezione Progetti.

Seleziona i servizi limitati

In questa architettura di riferimento, l'ambito delle API con limitazioni è limitato, consentendo solo le API necessarie per la piattaforma di agenti Gemini Enterprise. Tuttavia, come best practice, ti consigliamo di limitare tutti i servizi quando crei un perimetro per ridurre il rischio di esfiltrazione di dati dai servizi Google Cloud .

Per selezionare i servizi da proteggere all'interno del perimetro:

  1. Fai clic su Servizi limitati.
  2. Nel riquadro Servizi limitati, fai clic su Aggiungi servizi.
  3. Nella finestra di dialogo Specifica i servizi da limitare, seleziona l'API Compute Engine.
  4. Fai clic su Aggiungi API Compute Engine.

(Facoltativo) Seleziona i servizi accessibili da VPC

L'impostazione Servizi accessibili da VPC limita l'insieme di servizi accessibili dagli endpoint di rete all'interno del perimetro di servizio. In questa architettura di riferimento, manteniamo l'impostazione predefinita Tutti i servizi.

(Facoltativo) Seleziona il livello di accesso

Se hai creato un livello di accesso CIDR aziendale in una sezione precedente, procedi nel seguente modo per consentire l'accesso alle risorse protette dall'esterno del perimetro:

  1. Fai clic su Livelli di accesso.

  2. Fai clic sulla casella Scegli livello di accesso.

    Puoi anche aggiungere livelli di accesso dopo la creazione di un perimetro.

  3. Seleziona la casella di controllo corrispondente al livello di accesso. In questa architettura di riferimento, questo è corp-public-block.

Configura il criterio in entrata

La comunicazione bidirezionale avviene tra un progetto host e un progetto di servizio quando le risorse di calcolo vengono create in un determinato progetto di servizio, perché il progetto host è proprietario della rete VPC contenente la subnet condivisa con il progetto di servizio. In questa sezione configurerai una regola in entrata che consenta a tutti e tre i progetti di servizio di accedere alle risorse di calcolo nel progetto host per questi flussi.

  1. Nel menu a sinistra, fai clic su Policy di ingresso.
  2. Fai clic su Aggiungi regola.
  3. Nel riquadro Regola in entrata, procedi nel seguente modo:
    1. Per gli attributi FROM, seleziona i seguenti attributi FROM del client API:
      1. Identità: qualsiasi identità
      2. Fonte: progetti (ph-fm-svc-project-1, ph-fm-svc-project-2, ph-fm-svc-project-3)
    2. Per gli attributi TO, seleziona i seguenti attributi TO di servizi e risorse Google Cloud:
      1. Progetto: tutti i progetti
      2. Servizi: servizi selezionati
      3. Servizi selezionati: API Compute Engine
      4. Metodi: tutti i metodi

Configura la policy in uscita

In questa sezione, configuri due regole di uscita.

Prima regola in uscita

Poiché il progetto host è proprietario della subnet condivisa con ph-fm-svc-project-1, è necessaria una regola in uscita per consentire a questa subnet di accedere al perimetro di ph-fm-svc-project-1 dal perimetro del progetto host. Il livello di accesso aziendale consente la comunicazione bidirezionale necessaria per la creazione di istanze di computing quando un utente finale crea risorse di calcolo in un progetto di servizio utilizzando il livello di accesso configurato.

  1. Nel menu a sinistra, fai clic su Norme di uscita.
  2. Fai clic su Aggiungi regola.
  3. Nel riquadro Regola in uscita, procedi nel seguente modo:
    1. Per gli attributi FROM, seleziona i seguenti attributi FROM del client API:
      1. Identità: qualsiasi identità
      2. Seleziona Abilita le origini in uscita a livello di accesso.
      3. Livelli di accesso corp-public-block e gce-subnet-1.
    2. Per gli attributi TO, seleziona i seguenti attributi TO di servizi e risorse Google Cloud:
      1. Progetto: progetti selezionati
      2. Aggiungi progetto: ph-fm-svc-project-1
      3. Servizi: tutti i servizi

Seconda regola in uscita

Poiché il progetto host è proprietario delle subnet condivise con ph-fm-svc-project-2 e ph-fm-svc-project-3, è necessaria una regola in uscita per consentire a queste subnet di accedere al perimetro dei progetti di servizio dal perimetro del progetto host. Il livello di accesso aziendale consente la comunicazione bidirezionale necessaria per la creazione di istanze di computing quando un utente finale crea risorse di computing in un progetto di servizio utilizzando il livello di accesso configurato.

  1. Nel menu a sinistra, fai clic su Norme di uscita.
  2. Fai clic su Aggiungi regola.
  3. Nel riquadro Regola in uscita, procedi nel seguente modo:
    1. Per gli attributi FROM, seleziona i seguenti attributi FROM del client API:
      1. Identità: qualsiasi identità
      2. Seleziona Abilita le origini in uscita a livello di accesso.
      3. Livelli di accesso corp-public-block, gce-subnet-2 e gce-subnet-3.
    2. Per gli attributi TO, seleziona i seguenti attributi TO di servizi e risorse Google Cloud:
      1. Progetto: progetti selezionati
      2. Aggiungi progetto: ph-fm-svc-project-2, ph-fm-svc-project-3
      3. Servizi: tutti i servizi

Crea il perimetro

Una volta completati i passaggi di configurazione precedenti, crea il perimetro facendo clic su Crea perimetro.

Passaggi di configurazione per high-trust-svc-perimeter

Seleziona il tipo di configurazione per il nuovo perimetro

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Sicurezza.

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, fai clic su Modalità dry run.

  4. Fai clic su Nuovo perimetro.

  5. Nella scheda Nuovo perimetro di servizio VPC, nella casella Nome perimetro, digita un nome per il perimetro, ad esempio high-trust-svc-perimeter.

    Il nome di un perimetro può avere una lunghezza massima di 50 caratteri, deve iniziare con una lettera e può contenere solo lettere latine ASCII (a-z, A-Z), numeri (0-9) e trattini bassi (_). Il nome del perimetro è sensibile alle maiuscole e deve essere univoco all'interno di una policy di accesso.

  6. Accetta le impostazioni predefinite per il perimetro.

Seleziona le risorse da proteggere

  1. Fai clic su Risorse da proteggere.
  2. Per aggiungere progetti o reti VPC che vuoi proteggere all'interno del perimetro, segui questi passaggi:
    1. Fai clic su Aggiungi risorse.
    2. Per aggiungere progetti al perimetro, nel riquadro Aggiungi risorse, fai clic su Aggiungi progetto.
      1. Seleziona il progetto che vuoi aggiungere, in questo caso ph-fm-svc-project-1.
      2. Fai clic su Aggiungi risorse selezionate. I progetti aggiunti vengono visualizzati nella sezione Progetti.

Seleziona i servizi limitati

In questa architettura di riferimento, l'ambito delle API con restrizioni è limitato, consentendo solo le API necessarie per Gemini. Tuttavia, come best practice, ti consigliamo di limitare tutti i servizi quando crei un perimetro per ridurre il rischio di esfiltrazione di dati dai servizi Google Cloud .

Per selezionare i servizi da proteggere all'interno del perimetro:

  1. Fai clic su Servizi limitati.
  2. Nel riquadro Servizi limitati, fai clic su Aggiungi servizi.
  3. Nella finestra di dialogo Specifica i servizi da limitare, seleziona l'API Compute Engine.
  4. Fai clic su Aggiungi API Compute Engine.
  5. Nel riquadro Servizi limitati, fai clic su Aggiungi servizi.
  6. Nella finestra di dialogo Specifica i servizi da limitare, seleziona l'API Agent Platform.
  7. Fai clic su Aggiungi l'API Agent Platform.

(Facoltativo) Seleziona i servizi accessibili da VPC

L'impostazione Servizi accessibili da VPC limita l'insieme di servizi accessibili dagli endpoint di rete all'interno del perimetro di servizio. In questa architettura di riferimento, manteniamo l'impostazione predefinita Tutti i servizi.

(Facoltativo) Seleziona il livello di accesso

Se hai creato un livello di accesso CIDR aziendale in una sezione precedente, procedi nel seguente modo per consentire l'accesso alle risorse protette dall'esterno del perimetro:

  1. Fai clic su Livelli di accesso.

  2. Fai clic sulla casella Scegli livello di accesso.

    Puoi anche aggiungere livelli di accesso dopo la creazione di un perimetro.

  3. Seleziona la casella di controllo corrispondente al livello di accesso. In questa architettura di riferimento, questo è corp-public-block.

Configura il criterio in entrata

Poiché il progetto host è proprietario della subnet condivisa con ph-fm-svc-project-1, è necessaria una regola di ingresso per consentire a questa subnet di accedere al perimetro di ph-fm-svc-project-1 dal progetto host. Consente alle istanze di computing di ph-fm-svc-project-1 di accedere al servizio gestito all'interno di ph-fm-svc-project-1.

  1. Nel menu a sinistra, fai clic su Policy di ingresso.
  2. Fai clic su Aggiungi regola.
  3. Nel riquadro Regola in entrata, procedi nel seguente modo:
    1. Per gli attributi FROM, seleziona i seguenti attributi FROM del client API:
      1. Identità: qualsiasi identità
      2. Origine: livello di accesso
      3. Livello di accesso: gce-subnet-1
    2. Per gli attributi TO, seleziona i seguenti attributi TO di servizi e risorse Google Cloud:
      1. Progetto: tutti i progetti
      2. Servizi: tutti i servizi

Configura la policy in uscita

Poiché il progetto host è proprietario della subnet condivisa con ph-fm-svc-project-1, è necessaria una regola di uscita per consentire la comunicazione bidirezionale che avviene tra il progetto di servizio e il relativo progetto host quando vengono create risorse di calcolo nel progetto di servizio.

  1. Nel menu a sinistra, fai clic su Norme di uscita.
  2. Fai clic su Aggiungi regola.
  3. Nel riquadro Regola in uscita, procedi nel seguente modo:
    1. Per gli attributi FROM, seleziona i seguenti attributi FROM del client API:
      1. Identità: qualsiasi identità
    2. Per gli attributi TO, seleziona i seguenti attributi TO di servizi e risorse Google Cloud:
      1. Progetto: progetti selezionati
      2. Aggiungi progetto: aiml-host-project
      3. Servizi: servizi selezionati
      4. Servizi selezionati: API Compute Engine
      5. Metodi: tutti i metodi

Crea il perimetro

Una volta completati i passaggi di configurazione precedenti, crea il perimetro facendo clic su Crea perimetro.

Passaggi di configurazione per low-trust-svc-perimeter

Seleziona il tipo di configurazione per il nuovo perimetro

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Sicurezza.

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, fai clic su Modalità dry run.

  4. Fai clic su Nuovo perimetro.

  5. Nella scheda Nuovo perimetro di servizio VPC, nella casella Nome perimetro, digita un nome per il perimetro, ad esempio low-trust-svc-perimeter.

    Il nome di un perimetro può avere una lunghezza massima di 50 caratteri, deve iniziare con una lettera e può contenere solo lettere latine ASCII (a-z, A-Z), numeri (0-9) e trattini bassi (_). Il nome del perimetro è sensibile alle maiuscole e deve essere univoco all'interno di una policy di accesso.

  6. Accetta le impostazioni predefinite per il perimetro.

Seleziona le risorse da proteggere

  1. Fai clic su Risorse da proteggere.
  2. Per aggiungere progetti o reti VPC che vuoi proteggere all'interno del perimetro, segui questi passaggi:
    1. Fai clic su Aggiungi risorse.
    2. Per aggiungere progetti al perimetro, nel riquadro Aggiungi risorse, fai clic su Aggiungi progetto.
      1. Seleziona il progetto da aggiungere. Per questa architettura di riferimento, scegli quanto segue:
        • ph-fm-svc-project-2
        • ph-fm-svc-project-3
      2. Fai clic su Aggiungi risorse selezionate. I progetti aggiunti vengono visualizzati nella sezione Progetti.

Seleziona i servizi limitati

In questa architettura di riferimento, l'ambito delle API con restrizioni è limitato, consentendo solo le API necessarie per Gemini. Tuttavia, come best practice, ti consigliamo di limitare tutti i servizi quando crei un perimetro per ridurre il rischio di esfiltrazione di dati dai servizi Google Cloud .

Per selezionare i servizi da proteggere all'interno del perimetro:

  1. Fai clic su Servizi limitati.
  2. Nel riquadro Servizi limitati, fai clic su Aggiungi servizi.
  3. Nella finestra di dialogo Specifica i servizi da limitare, seleziona l'API Compute Engine.
  4. Fai clic su Aggiungi API Compute Engine.
  5. Nel riquadro Servizi limitati, fai clic su Aggiungi servizi.
  6. Nella finestra di dialogo Specifica i servizi da limitare, seleziona l'API Agent Platform.
  7. Fai clic su Aggiungi l'API Agent Platform.

(Facoltativo) Seleziona i servizi accessibili da VPC

L'impostazione Servizi accessibili da VPC limita l'insieme di servizi accessibili dagli endpoint di rete all'interno del perimetro di servizio. In questa architettura di riferimento, manteniamo l'impostazione predefinita Tutti i servizi.

(Facoltativo) Seleziona il livello di accesso

Se hai creato un livello di accesso CIDR aziendale in una sezione precedente, procedi nel seguente modo per consentire l'accesso alle risorse protette dall'esterno del perimetro:

  1. Fai clic su Livelli di accesso.

  2. Fai clic sulla casella Scegli livello di accesso.

    Puoi anche aggiungere livelli di accesso dopo la creazione di un perimetro.

  3. Seleziona la casella di controllo corrispondente al livello di accesso. In questa architettura di riferimento, questo è corp-public-block.

Configura il criterio in entrata

Poiché il progetto host è proprietario della subnet condivisa con ph-fm-svc-project-2 e ph-fm-svc-project-3, è necessaria una regola di ingresso per concedere a queste subnet l'accesso al perimetro del progetto di servizio dal progetto host. In questo modo, le istanze di Compute di questi progetti di servizio possono accedere al servizio gestito all'interno di ph-fm-svc-project-2 e ph-fm-svc-project-3.

  1. Nel menu a sinistra, fai clic su Policy di ingresso.
  2. Fai clic su Aggiungi regola.
  3. Nel riquadro Regola in entrata, procedi nel seguente modo:
    1. Per gli attributi FROM, seleziona i seguenti attributi FROM del client API:
      1. Identità: qualsiasi identità
      2. Origine: livello di accesso
      3. Livello di accesso: gce-subnet-2, gce-subnet-3
    2. Per gli attributi TO, seleziona i seguenti attributi TO di servizi e risorse Google Cloud:
      1. Progetto: tutti i progetti
      2. Servizi: tutti i servizi

Configura la policy in uscita

Poiché il progetto host è proprietario della subnet condivisa con ph-fm-svc-project-２ e ph-fm-svc-project-3, è necessaria una regola di uscita per consentire la comunicazione bidirezionale che avviene tra i progetti di servizio e il relativo progetto host quando vengono create risorse di calcolo nei progetti di servizio.

  1. Nel menu a sinistra, fai clic su Norme di uscita.
  2. Fai clic su Aggiungi regola.
  3. Nel riquadro Regola in uscita, procedi nel seguente modo:
    1. Per gli attributi FROM, seleziona i seguenti attributi FROM del client API:
      1. Identità: qualsiasi identità
    2. Per gli attributi TO, seleziona i seguenti attributi TO di servizi e risorse Google Cloud:
      1. Progetto: progetti selezionati
      2. Aggiungi progetto: aiml-host-project
      3. Servizi: servizi selezionati
      4. Servizi selezionati: API Compute Engine
      5. Metodi: tutti i metodi

Crea il perimetro

Una volta completati i passaggi di configurazione precedenti, crea il perimetro facendo clic su Crea perimetro.

Configura la rete

Utilizzare un endpoint Private Service Connect per accedere alle API di Google

Private Service Connect per accedere alle API di Google è un'alternativa all'utilizzo dell'accesso privato Google o dei nomi di dominio pubblici per le API di Google. In questo caso, il produttore è Google.

L'utilizzo di Private Service Connect ti consente di:

  • Crea uno o più indirizzi IP interni per accedere alle API di Google per diversi casi d'uso.
  • Dirigi il traffico on-premise verso indirizzi IP e regioni specifici quando accedi alle API di Google.
  • Crea un nome DNS dell'endpoint personalizzato da utilizzare per risolvere le API di Google.

Nell'architettura di riferimento, un endpoint API Google Private Service Connect denominato restricted con indirizzo IP 192.168.10.2 viene implementato con i Controlli di servizio VPC di destinazione, utilizzato come IP virtuale (VIP) per accedere ai servizi limitati configurati nel perimetro dei Controlli di servizio VPC. L'endpoint Private Service Connect viene implementato nel progetto host, aiml-host-project.

Accedere a Gemini Pro dalle istanze Compute Engine

Quando crei un endpoint Private Service Connect, Service Directory crea record DNS in una zona privata p.googleapis.com. I record puntano all'indirizzo IP dell'endpoint e utilizzano il formato SERVICE-ENDPOINT.p.googleapis.com, che corrisponde al nome di dominio completo utilizzato per accedere all'API Agent Platform: LOCATION-aiplatform-restricted.p.googleapis.com.

Convalida la configurazione di rete

Dalle istanze Compute Engine di cui è stato eseguito il deployment nei progetti di servizio, viene utilizzata la seguente procedura per aggiornare l'API Agent Platform in modo da utilizzare il nome di dominio completo personalizzato ed eseguire la convalida.

  1. Inizializza le variabili di ambiente Python come segue:

    PROJECT_ID="ph-fm-svc-project-1"
LOCATION_ID="us-central1"
API_ENDPOINT="us-central1-aiplatform-restricted.p.googleapis.com"
MODEL_ID="gemini-2.0-flash-exp"
GENERATE_CONTENT_API="streamGenerateContent"

  2. Con un editor di testo, crea un file request.json contenente il seguente JSON:

    {
  "contents": [
    {
      "role": "user",
      "parts": [
        {
          "text": "what weight more 1kg feathers vs 1kg stones"
        }
      ]
    }
  ],
  "generationConfig": {
    "temperature": 1,
    "maxOutputTokens": 8192,
    "topP": 0.95,
    "seed": 0
  },
  "safetySettings": [
    {
      "category": "HARM_CATEGORY_HATE_SPEECH",
      "threshold": "OFF"
    },
    {
      "category": "HARM_CATEGORY_DANGEROUS_CONTENT",
      "threshold": "OFF"
    },
    {
      "category": "HARM_CATEGORY_SEXUALLY_EXPLICIT",
      "threshold": "OFF"
    },
    {
      "category": "HARM_CATEGORY_HARASSMENT",
      "threshold": "OFF"
    }
  ]
}

  3. Invia la seguente richiesta cURL all'API Gemini di Gemini Enterprise Agent Platform:

    curl \
-X POST \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://${API_ENDPOINT}/v1/projects/${PROJECT_ID}/locations/${LOCATION_ID}/publishers/google/models/${MODEL_ID}:${GENERATE_CONTENT_API}" -d '@request.json'

Convalida il perimetro in modalità dry run

In questa architettura di riferimento, il perimetro di servizio è configurato in modalità dry run, il che ti consente di testare l'effetto della policy di accesso senza applicazione forzata. Ciò significa che puoi vedere l'impatto delle tue policy sull'ambiente se fossero attive, ma senza il rischio di interrompere il traffico legittimo.

Per scoprire come convalidare il perimetro in modalità dry run, guarda il video di YouTube Registrazione dry run dei Controlli di servizio VPC.

Dopo aver convalidato il perimetro in modalità dry run, passa alla modalità di applicazione forzata.