In diesem Dokument finden Sie eine Übersicht und Einrichtungsdetails für die Verwendung der PSC-Schnittstelle mit Agent Runtime.
Übersicht
Ihr Agent wird in einem sicheren, von Google verwalteten Netzwerk ohne Zugriff auf Ihr VPC-Netzwerk (Virtual Private Cloud) bereitgestellt. Eine PSC-Schnittstelle stellt eine private und sichere Verbindung zu Ihrem Netzwerk her. Daher ist sie die empfohlene Lösung für die Interaktion mit privat gehosteten Diensten in Ihrer VPC, in lokalen und in Multi-Cloud-Umgebungen.
Wenn Sie eine PSC-Schnittstelle konfigurieren, stellt die Agent Runtime eine Schnittstelle in einem Google-Mandantenprojekt bereit, in dem Ihr Agent ausgeführt wird. Diese Schnittstelle stellt eine direkte Verbindung zu einem Netzwerkanhang in Ihrem Projekt her. Der gesamte Traffic zwischen Ihrem Agent und Ihrer VPC wird sicher im Google-Netzwerk übertragen und durchläuft nie das öffentliche Internet.
Zusätzlich zum privaten Zugriff ist die PSC-Schnittstelle erforderlich, um den Internetzugriff bei Verwendung von VPC Service Controls zu ermöglichen.
Ob der Agent auf das öffentliche Internet zugreifen kann, hängt von der Sicherheitskonfiguration Ihres Projekts ab, insbesondere davon, ob Sie VPC Service Controls verwenden.
Ohne VPC Service Controls: Wenn Sie Ihren Agenten nur mit einer PSC-Schnittstelle konfigurieren, wird der Traffic von Ihrem Agenten in Ihre VPC weitergeleitet. Standardmäßig bietet Ihre VPC keinen ausgehenden Pfad zum öffentlichen Internet für diesen Traffic. Wenn Sie den Internetzugriff für Ihren KI-Agenten aktivieren möchten, müssen Sie explizit einen Pfad für ausgehenden Traffic in Ihrer VPC konfigurieren. Sie können beispielsweise eine dedizierte Proxy-VM in Ihrer VPC einrichten. Weitere Informationen finden Sie im Codelab zur PSC-Schnittstelle für die Agent Runtime.
Mit VPC Service Controls: Wenn Ihr Projekt Teil eines VPC Service Controls-Perimeters ist, wird der standardmäßige Internetzugriff des Agents durch den Perimeter blockiert, um Daten-Exfiltration zu verhindern. Damit der Agent in diesem Szenario auf das öffentliche Internet zugreifen kann, müssen Sie explizit einen sicheren Pfad für ausgehenden Traffic konfigurieren, der Traffic über Ihre VPC weiterleitet. Die empfohlene Methode hierfür ist die Einrichtung eines Proxyservers innerhalb Ihres VPC-Perimeters und die Erstellung eines Cloud NAT-Gateways, damit die Proxy-VM auf das Internet zugreifen kann.
Einrichtungsdetails für die Private Service Connect-Schnittstelle
Wenn Sie die private Konnektivität für Ihren bereitgestellten Agenten über die Private Service Connect-Schnittstelle aktivieren möchten, müssen Sie in Ihrem Nutzerprojekt ein VPC-Netzwerk, ein Subnetzwerk und einen Netzwerkanhang einrichten.
Anforderungen an Subnetzwerk-IP-Bereiche
Für jedes Agent Engine-Nutzerprojekt ist in Agent Runtime mindestens ein /28-Subnetzwerk erforderlich.
Das Subnetz des Netzwerkanhangs unterstützt RFC 1918- und Nicht-RFC 1918-Adressen, mit Ausnahme der Subnetze 100.64.0.0/20 und 240.0.0.0/4.
Die Agent-Laufzeit kann nur eine Verbindung zu RFC 1918-IP-Adressbereichen herstellen, die über das angegebene Netzwerk geroutet werden können. Die Agent-Laufzeit kann keine privat verwendete öffentliche IP-Adresse oder die folgenden Bereiche außerhalb von RFC 1918 erreichen:
100.64.0.0/20192.0.0.0/24192.0.2.0/24198.18.0.0/15198.51.100.0/24203.0.113.0/24240.0.0.0/4
Weitere Informationen finden Sie unter Private Service Connect-Schnittstelle einrichten.
Private Service Connect-Schnittstelle mit freigegebene VPC verwenden
Sie können die Private Service Connect-Schnittstelle mit einer gemeinsam genutzten VPC-Architektur verwenden. So können Sie Ihre Agent Runtime in einem Dienstprojekt erstellen und gleichzeitig ein Netzwerk aus einem zentralen Hostprojekt verwenden.
Damit das Dienstprojekt das Netzwerk des Hostprojekts verwenden kann, benötigt der Agent Platform Service-Agent aus Ihrem Dienstprojekt die Rolle „Compute Network User“ (roles/compute.networkUser) im Hostprojekt.
Gehen Sie folgendermaßen vor:
Erstellen Sie das Subnetz im Hostprojekt.
Erstellen Sie den Netzwerkanhang entweder im Dienstprojekt oder im Hostprojekt. Der Netzwerkanhang kann in jedem Projekt erstellt werden, das mit der gemeinsam genutzten VPC verbunden ist. Wir empfehlen jedoch, den Netzwerkanhang im Dienstprojekt zu platzieren, um die Berechtigungen zu vereinfachen:
Netzwerkanhang im Dienstprojekt (empfohlen): Weisen Sie dem Agent Platform-Dienst-Agent des Dienstprojekts die Rolle „Compute-Netzwerkadministrator“ (
roles/compute.networkAdmin) zu. Diese Rolle ist erforderlich, damit der Dienst-Agent den Netzwerkanhang aktualisieren kann, um Traffic aus dem internen Projekt von Google zu akzeptieren. Wenn Sie die Rolle „Compute Network Admin“ nicht verwenden möchten, können Sie stattdessen eine benutzerdefinierte Rolle mit den folgenden Berechtigungen erstellen und diese Rolle dem Agent Platform Service Agent des Dienstprojekts zuweisen:compute.networkAttachments.getcompute.networkAttachments.updatecompute.regionOperations.get
Netzwerkanhang im Hostprojekt: Führen Sie die folgenden Schritte aus:
Aktivieren Sie die Agent Platform API im Hostprojekt. Weitere Informationen finden Sie unter Private Service Connect-Schnittstelle einrichten.
Wenn der Agent Platform-Dienst-Agent im Hostprojekt nicht vorhanden ist, erstellen Sie ihn mit dem folgenden Befehl:
gcloud beta services identity create --service=aiplatform.googleapis.com --project=PROJECT_IDDabei ist PROJECT_ID Ihre Projekt-ID.
Weisen Sie dem Agent Platform-Dienst-Agenten des Hostprojekts die Rolle „Compute-Netzwerkadministrator“ (
roles/compute.networkAdmin) zu. Weitere Informationen finden Sie unter Private Service Connect-Schnittstelle einrichten. Wenn Sie die Rolle „Compute Network Admin“ nicht verwenden möchten, können Sie stattdessen eine benutzerdefinierte Rolle mit den folgenden Berechtigungen erstellen und diese Rolle dem Agent Platform Service Agent des Hostprojekts zuweisen:compute.networkAttachments.getcompute.networkAttachments.updatecompute.regionOperations.get
DNS-Peering
Während die Private Service Connect-Schnittstelle den sicheren Netzwerkpfad bereitstellt, bietet DNS-Peering den Mechanismus zur Diensterkennung. Bei der PSC-Schnittstelle müssen Sie die spezifische IP-Adresse des Dienstes im VPC-Netzwerk kennen. Sie können zwar über die internen IP-Adressen eine Verbindung zu Diensten herstellen, dies wird jedoch für Produktionssysteme, in denen sich IP-Adressen ändern können, nicht empfohlen. Mit DNS-Peering kann der bereitgestellte Agent über stabile, menschenlesbare DNS-Namen anstelle von IP-Adressen eine Verbindung zu Diensten in Ihrem VPC-Netzwerk herstellen. Mit DNS-Peering können die bereitgestellten Agents DNS-Namen mithilfe der Einträge aus einer privaten Cloud DNS-Zone in Ihrer VPC auflösen. Weitere Informationen finden Sie unter Private DNS-Peering-Verbindung einrichten.
Beschränkungen
Private Service Connect-Schnittstellen mit Agent Runtime unterliegen den folgenden Einschränkungen:
- Sie können eine vorhandene Private Service Connect-Schnittstelle für einen Laufzeit-Agent nicht ändern, ohne die Ressourcen neu zu erstellen.
Nächste Schritte
KI-Agenten bereitstellen
Hier erfahren Sie, wie Sie einen Agenten in der Agent Platform Runtime bereitstellen können.