In diesem Dokument finden Sie eine Übersicht und Details zur Einrichtung der PSC-Schnittstelle mit Agent Runtime.
Übersicht
Ihr Agent wird in einem sicheren, von Google verwalteten Netzwerk ohne Zugriff auf Ihr VPC-Netzwerk (Virtual Private Cloud) bereitgestellt. Eine PSC-Schnittstelle erstellt eine private und sichere Bridge zu Ihrem Netzwerk und ist daher die empfohlene Lösung für die Interaktion mit privat gehosteten Diensten in Ihren VPC-, lokalen und Multi-Cloud-Umgebungen.
Wenn Sie eine PSC-Schnittstelle konfigurieren, stellt Agent Runtime eine Schnittstelle in einem von Google verwalteten Mandantenprojekt bereit, in dem Ihr Agent ausgeführt wird. Diese Schnittstelle stellt eine direkte Verbindung zu einem Netzwerkanhang in Ihrem Projekt her. Der gesamte Traffic zwischen Ihrem Agent und Ihrer VPC wird sicher im Google-Netzwerk übertragen und durchläuft niemals das öffentliche Internet.
Neben dem privaten Zugriff ist die PSC-Schnittstelle auch erforderlich, um den Internetzugriff bei Verwendung von VPC Service Controls zu aktivieren.
Die Möglichkeit des Agents, auf das öffentliche Internet zuzugreifen, hängt von der Sicherheitskonfiguration Ihres Projekts ab, insbesondere davon, ob Sie VPC Service Controls verwenden.
Ohne VPC Service Controls: Wenn Sie Ihren Agent nur mit einer PSC-Schnittstelle konfigurieren, wird der Traffic von Ihrem Agent in Ihre VPC weitergeleitet. Standardmäßig bietet Ihre VPC für diesen Traffic keinen ausgehenden Pfad zum öffentlichen Internet. Wenn Sie den Internetzugriff für Ihren Agent aktivieren möchten, müssen Sie explizit einen ausgehenden Pfad in Ihrer VPC konfigurieren. Sie können beispielsweise eine dedizierte Proxy-VM in Ihrer VPC einrichten. Weitere Informationen finden Sie im Codelab zur PSC-Schnittstelle von Agent Runtime.
Mit VPC Service Controls: Wenn Ihr Projekt Teil eines VPC Service Controls-Perimeters ist, wird der Standard- Internetzugriff des Agents vom Perimeter blockiert, um Daten-Exfiltration zu verhindern. Damit der Agent in diesem Szenario auf das öffentliche Internet zugreifen kann, müssen Sie explizit einen sicheren ausgehenden Pfad konfigurieren, der den Traffic über Ihre VPC weiterleitet. Die empfohlene Methode hierfür ist, einen Proxyserver innerhalb Ihres VPC-Perimeters einzurichten und ein Cloud NAT-Gateway zu erstellen, damit die Proxy-VM auf das Internet zugreifen kann.
Einrichtungsdetails für die Private Service Connect-Schnittstelle
Wenn Sie die private Verbindung für Ihren bereitgestellten Agent über die Private Service Connect-Schnittstelle aktivieren möchten, müssen Sie in Ihrem Nutzerprojekt ein VPC-Netzwerk, ein Subnetzwerk und einen Netzwerkanhang einrichten.
Anforderungen an den IP-Bereich des Subnetzwerks
Für jedes Agent Engine-Nutzerprojekt ist in Agent Runtime ein Subnetzwerk mit mindestens /28 erforderlich.
Das Subnetzwerk des Netzwerkanhangs unterstützt RFC 1918- und Nicht-RFC 1918-Adressen, mit Ausnahme der Subnetze 100.64.0.0/20 und 240.0.0.0/4.
Agent Runtime kann nur eine Verbindung zu RFC 1918-IP-Adressbereichen herstellen, die vom angegebenen Netzwerk aus weitergeleitet werden können. Agent Runtime kann keine privat verwendete öffentliche IP-Adresse oder die folgenden Nicht-RFC 1918-Bereiche erreichen:
100.64.0.0/20192.0.0.0/24192.0.2.0/24198.18.0.0/15198.51.100.0/24203.0.113.0/24240.0.0.0/4
Weitere Informationen finden Sie unter Private Service Connect-Schnittstelle einrichten.
Private Service Connect-Schnittstelle mit freigegebene VPC verwenden
Sie können die Private Service Connect-Schnittstelle mit einer gemeinsam genutzten VPC-Architektur verwenden. So können Sie Ihre Agent Runtime in einem Dienstprojekt erstellen und gleichzeitig ein Netzwerk aus einem zentralen Hostprojekt verwenden.
Damit das Dienstprojekt das Netzwerk des Hostprojekts verwenden kann, benötigt der Agent Platform Service Agent aus Ihrem Dienstprojekt die Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) für das Hostprojekt.
Gehen Sie folgendermaßen vor:
Erstellen Sie das Subnetzwerk im Hostprojekt.
Erstellen Sie den Netzwerkanhang entweder im Dienstprojekt oder im Hostprojekt. Der Netzwerkanhang kann in jedem Projekt erstellt werden, das mit der gemeinsam genutzten VPC verbunden ist. Wir empfehlen jedoch, den Netzwerkanhang im Dienstprojekt zu platzieren, um die Berechtigungen zu vereinfachen:
Netzwerkanhang im Dienstprojekt (empfohlen): Weisen Sie dem Agent Platform Service Agent des Dienstprojekts die Rolle „Compute-Netzwerkadministrator“ (
roles/compute.networkAdmin) zu. Diese Rolle ist erforderlich, damit der Dienst-Agent den Netzwerkanhang aktualisieren kann, um Traffic aus dem internen Projekt von Google zu akzeptieren. Wenn Sie die Rolle „Compute-Netzwerkadministrator“ nicht verwenden möchten, können Sie stattdessen eine benutzerdefinierte Rolle mit den folgenden Berechtigungen erstellen und diese Rolle dem Agent Platform Service Agent des Dienstprojekts zuweisen:compute.networkAttachments.getcompute.networkAttachments.updatecompute.regionOperations.get
Netzwerkanhang im Hostprojekt: Gehen Sie folgendermaßen vor:
Aktivieren Sie die Agent Platform API im Hostprojekt. Weitere Informationen finden Sie unter Private Service Connect-Schnittstelle einrichten.
Wenn der Agent Platform Service Agent im Hostprojekt nicht vorhanden ist, erstellen Sie ihn mit dem folgenden Befehl:
gcloud beta services identity create --service=aiplatform.googleapis.com --project=PROJECT_IDDabei ist PROJECT_ID Ihre Projekt-ID.
Weisen Sie dem Agent Platform Service Agent des Hostprojekts die Rolle „Compute-Netzwerkadministrator“ (
roles/compute.networkAdmin) zu. Weitere Informationen finden Sie unter Private Service Connect-Schnittstelle einrichten. Wenn Sie die Rolle „Compute-Netzwerkadministrator“ nicht verwenden möchten, können Sie stattdessen eine benutzerdefinierte Rolle mit den folgenden Berechtigungen erstellen und diese Rolle dem Agent Platform Service Agent des Hostprojekts zuweisen:compute.networkAttachments.getcompute.networkAttachments.updatecompute.regionOperations.get
DNS-Peering
Während die Private Service Connect-Schnittstelle den sicheren Netzwerkpfad bereitstellt, bietet DNS-Peering den Service Discovery-Mechanismus. Bei der PSC-Schnittstelle müssen Sie die spezifische IP-Adresse des Dienstes im VPC-Netzwerk kennen. Sie können zwar eine Verbindung zu Diensten über ihre internen IP-Adressen herstellen, dies wird jedoch für Produktionssysteme, in denen sich IPs ändern können, nicht empfohlen. Mit DNS-Peering kann der bereitgestellte Agent eine Verbindung zu Diensten in Ihrem VPC-Netzwerk mit stabilen, für Menschen lesbaren DNS-Namen anstelle von IP-Adressen herstellen. DNS-Peering ermöglicht es den bereitgestellten Agents, DNS-Namen mithilfe der Einträge aus einer privaten Cloud DNS-Zone in Ihrer VPC aufzulösen. Weitere Informationen finden Sie unter Privates DNS-Peering einrichten.
Beschränkungen
Die Private Service Connect-Schnittstelle mit Agent Runtime unterliegt den folgenden Einschränkungen:
- Sie können eine vorhandene Private Service Connect-Schnittstelle für einen Runtime-Agent nicht ändern, ohne die Ressourcen neu zu erstellen.
Nächste Schritte
Agents bereitstellen
Hier erfahren Sie mehr über die fünf Möglichkeiten, einen Agent in der Agent Platform Runtime bereitzustellen, je nach Ihren Entwicklungsanforderungen.