Como usar a interface do Private Service Connect com o Agent Runtime

O Agent Runtime é compatível com a interface do Private Service Connect (interface do PSC) e o peering de DNS para permitir o tráfego de saída particular e seguro. Isso permite que seus agentes acessem com segurança recursos nas redes VPC ou no local.

Neste documento, explicamos a visão geral e os detalhes de configuração para usar a interface do PSC com o Agent Runtime.

Visão geral

Seu agente é implantado em uma rede segura gerenciada pelo Google sem acesso à sua rede de nuvem privada virtual (VPC). Uma interface do PSC cria uma ponte particular e segura para sua rede, tornando-a a solução recomendada para interagir com serviços hospedados de forma privada em ambientes de VPC, locais e multicloud.

Quando você configura uma interface do PSC, o Agent Runtime provisiona uma interface em um projeto de locatário do Google em que o agente é executado. Essa interface se conecta diretamente a um anexo de rede no seu projeto. Todo o tráfego entre o agente e a VPC é transmitido com segurança na rede do Google, sem nunca passar pela Internet pública.

Além de fornecer acesso particular, a interface do PSC é necessária para ativar o acesso à Internet ao usar o VPC Service Controls.

A capacidade do agente de acessar a Internet pública depende da configuração de segurança do seu projeto, especificamente se você está usando o VPC Service Controls.

  • Sem o VPC Service Controls: quando você configura o agente apenas com uma interface do PSC, o tráfego dele é encaminhado para sua VPC. Por padrão, a VPC não fornece um caminho de saída para a Internet pública para esse tráfego. Para ativar o acesso à Internet para seu agente, configure explicitamente um caminho de saída na VPC. Por exemplo, é possível configurar uma VM de proxy dedicada na sua VPC. Para mais informações, consulte o codelab Interface PSC do Agent Runtime.

  • Com o VPC Service Controls: quando o projeto faz parte de um perímetro do VPC Service Controls, o acesso padrão do agente à Internet é bloqueado pelo perímetro para evitar a exfiltração de dados. Para permitir que o agente acesse a Internet pública nesse cenário, é necessário configurar explicitamente um caminho de saída seguro que encaminhe o tráfego pela VPC. A maneira recomendada de fazer isso é configurar um servidor proxy dentro do perímetro da VPC e criar um gateway do Cloud NAT para permitir que a VM proxy acesse a Internet.

Detalhes de configuração da interface do Private Service Connect

Para ativar a conectividade privada do agente implantado usando a interface do Private Service Connect, configure uma rede VPC, uma sub-rede e um anexo de rede no projeto do usuário.

Requisitos de intervalo de IP da sub-rede

O Agent Runtime exige uma sub-rede mínima /28 para cada projeto de usuário do Agent Engine.

A sub-rede do anexo de rede é compatível com endereços RFC 1918 e não RFC 1918, exceto as sub-redes 100.64.0.0/20 e 240.0.0.0/4. O Agent Runtime só pode se conectar a intervalos de endereços IP RFC 1918 que podem ser roteados da rede especificada. Agent Runtime não consegue acessar um endereço IP público usado de maneira particular ou os seguintes intervalos não RFC 1918:

  • 100.64.0.0/20
  • 192.0.0.0/24
  • 192.0.2.0/24
  • 198.18.0.0/15
  • 198.51.100.0/24
  • 203.0.113.0/24
  • 240.0.0.0/4

Consulte Configurar uma interface do Private Service Connect para mais informações.

Como usar a interface do Private Service Connect com a VPC compartilhada

É possível usar a interface do Private Service Connect com uma arquitetura de VPC compartilhada, que permite criar o Agent Runtime em um projeto de serviço usando uma rede de um projeto host central.

Para que o projeto de serviço use a rede do projeto host, o agente do serviço da plataforma de agentes do projeto de serviço precisa ter o papel de usuário da rede do Compute (roles/compute.networkUser) no projeto host.

Siga estas etapas:

  1. Crie a sub-rede no projeto host.

  2. Crie o anexo de rede no projeto de serviço ou no projeto host. O anexo de rede pode ser criado em qualquer projeto conectado à VPC compartilhada, mas recomendamos colocar o anexo de rede no projeto de serviço para simplificar as permissões:

    • Anexação de rede no projeto de serviço (recomendado): conceda o papel de administrador da rede do Compute (roles/compute.networkAdmin) ao agente de serviço da plataforma de agente do projeto de serviço. Esse papel é necessário para que o agente de serviço possa atualizar o anexo de rede para aceitar o tráfego do projeto interno do Google. Se você não quiser usar o papel de Administrador de Rede do Compute, crie um papel personalizado com as permissões a seguir e conceda esse papel ao Agente de Serviço da Agent Platform do projeto de serviço:

      • compute.networkAttachments.get
      • compute.networkAttachments.update
      • compute.regionOperations.get

    • Anexação de rede no projeto host: siga estas etapas:

      1. Ative a API Agent Platform no projeto host. Consulte Configurar uma interface do Private Service Connect para mais informações.

      2. Se o agente de serviço da plataforma do agente não existir no projeto host, crie-o usando o seguinte comando:

        gcloud beta services identity create --service=aiplatform.googleapis.com --project=PROJECT_ID

        em que PROJECT_ID é o ID do projeto.

      3. Conceda o papel de administrador da rede do Compute (roles/compute.networkAdmin) ao agente de serviço da plataforma de agente do projeto host. Consulte Configurar uma interface do Private Service Connect para mais informações. Se você não quiser usar o papel de Administrador de rede do Compute, crie um papel personalizado com as permissões a seguir e conceda esse papel ao agente de serviço da Agent Platform do projeto host:

        • compute.networkAttachments.get
        • compute.networkAttachments.update
        • compute.regionOperations.get

Peering de DNS

Enquanto a interface do Private Service Connect fornece o caminho de rede seguro, o peering de DNS fornece o mecanismo de descoberta de serviços. Com a interface do PSC, você precisa saber o endereço IP específico do serviço na rede VPC. Embora seja possível se conectar a serviços usando os endereços IP internos deles, isso não é recomendado para sistemas de produção em que os IPs podem mudar. Com o peering de DNS, o agente implantado pode se conectar a serviços na rede VPC usando nomes DNS estáveis e legíveis por humanos em vez de endereços IP. O peering de DNS permite que os agentes implantados resolvam nomes DNS usando os registros de uma zona particular do Cloud DNS na VPC. Consulte Configurar um peering de DNS particular para mais informações.

Limitações

A interface do Private Service Connect com o Agent Runtime está sujeita às seguintes limitações:

  • Não é possível mudar uma interface do Private Service Connect para um agente do ambiente de execução sem recriar os recursos.

A seguir

Guia

Conheça as cinco maneiras de implantar um agente no Agent Platform Runtime com base nas suas necessidades de desenvolvimento.