Autoriser l'accès aux ressources protégées depuis un point de terminaison privé à l'intérieur d'un périmètre VPC Service Controls

Dans les architectures de VPC partagé, le réseau du projet hôte est partagé avec le projet de service. Jusqu'à récemment, cela empêchait de séparer ces projets dans différents périmètres. Grâce à l'introduction de règles d'entrée et de sortie basées sur des adresses IP privées, les projets hôtes et de service peuvent désormais résider dans des périmètres distincts tout en conservant un accès contrôlé via ces règles.

Architecture de référence

Les attributs suivants sont utilisés dans la règle de service :

• Périmètres VPC Service Controls
• Adresses IP privées d'Access Context Manager
• Règles d'entrée et de sortie

Dans le composant de mise en réseau, cette architecture utilise un point de terminaison Private Service Connect pour accéder aux API Google.

Dans cette architecture de référence, les règles d'entrée et de sortie et les adresses IP privées sont utilisées pour contrôler l'accès entre les instances Compute Engine et l'API Agent Platform pour les périmètres de service et les projets suivants :

Périmètre	Projets dans le périmètre
aiml-host-perimeter	aiml-host-project
high-trust-svc-perimeter	ph-fm-svc-project-1
low-trust-svc-perimeter	ph-fm-svc-project-2, ph-fm-svc-project-3

L'accès à l'API Agent Platform à partir des instances Compute Engine de chaque projet de service est contrôlé par les règles d'entrée et de sortie de VPC Service Controls. Ces règles utilisent des niveaux d'accès Access Context Manager configurés avec des adresses IP privées pour permettre aux sous-réseaux partagés avec chaque projet de service d'accéder à leurs périmètres respectifs.

Facultatif : Créer un niveau d'accès pour le trafic public de l'organisation

Si vos utilisateurs finaux ont besoin d'accéder à Gemini Enterprise Agent Platform via la consoleGoogle Cloud , suivez les instructions de cette section pour créer un niveau d'accès à utiliser dans VPC Service Controls. Toutefois, si l'accès aux API est strictement programmatique à partir de sources privées (par exemple, sur site avec l'accès privé à Google pour les hôtes sur site ou Cloud Workstations), le niveau d'accès n'est pas requis.

Dans cette architecture de référence, nous utilisons une plage CIDR, corp-public-block, pour permettre au trafic des employés de l'organisation d'accéder à la consoleGoogle Cloud .

Access Context Manager permet aux administrateurs de l'organisation Google Cloud de définir un contrôle des accès précis et basé sur des attributs pour les ressources dans Google Cloud.

Les niveaux d'accès décrivent les conditions requises pour que les requêtes soient honorées. Voici quelques exemples :

• le type d'appareil et le système d'exploitation (nécessite une licence Chrome Enterprise Premium) ;
• Adresse IP
• Géolocalisations
• Identité des utilisateurs

Si l'organisation utilise Access Context Manager pour la première fois, ses administrateurs doivent définir une règle d'accès, qui est un conteneur pour les niveaux d'accès et les périmètres de service. Pour ce faire, procédez comme suit :

1. Dans le sélecteur de projet en haut de la console Google Cloud , cliquez sur l'onglet Tous, puis sélectionnez votre organisation.
2. Créez un niveau d'accès de base en suivant les instructions de la page Créer un niveau d'accès de base. Spécifiez les options suivantes :
   1. Sous Créer des conditions en, sélectionnez Mode de base.
   2. Dans le champ Titre du niveau d'accès, saisissez corp-public-block.
   3. Dans la section Conditions, pour l'option Lorsque la condition est remplie, renvoyer, sélectionnez VRAI.
   4. Sous Sous-réseaux IP, sélectionnez Adresse IP publique.
   5. Pour la plage d'adresses IP, spécifiez la plage CIDR externe qui nécessite un accès au périmètre VPC Service Controls.

Créer le périmètre de service VPC Service Controls

Lorsque vous créez un périmètre de service, vous pouvez autoriser l'accès aux services protégés depuis l'extérieur du périmètre en créant des niveaux d'accès (à l'aide d'adresses IP, dans notre exemple). Dans cette architecture de référence, plusieurs périmètres de service sont créés. Ils utilisent des règles d'entrée et de sortie pour contrôler l'accès aux communications de l'API Agent Platform et de l'API Compute Engine comme suit :

• Le sous-réseau des ressources de calcul appartenant au projet de service ph-fm-svc-project-1 est autorisé à accéder à l'API Agent Platform et à l'API Compute Engine dans ph-fm-svc-project-1 à partir de aiml-host-project.
• Le sous-réseau des ressources de calcul appartenant aux projets de service ph-fm-svc-project-2 et ph-fm-svc-project-3 est autorisé à accéder à l'API Agent Platform et à l'API Compute Engine dans les projets ph-fm-svc-project-2 et ph-fm-svc-project-3 à partir de aiml-host-project.

Chaque projet de service est autorisé à accéder à l'API Compute Engine dans le projet hôte (car des flux bidirectionnels se produisent entre le projet hôte et les projets de service lorsque des ressources de calcul sont créées dans un projet de service donné).

Dans cette architecture de référence, un niveau d'accès pour chaque sous-réseau est créé pour utiliser des règles d'entrée et de sortie afin d'autoriser les flux requis entre le périmètre du projet hôte et chaque périmètre de projet de service.

Créer un niveau d'accès gce-subnet-1

1. Dans le sélecteur de projet en haut de la console Google Cloud , cliquez sur l'onglet Tous, puis sélectionnez votre organisation.
2. Créez un niveau d'accès de base en suivant les instructions de la page Créer un niveau d'accès de base. Spécifiez les options suivantes :
   1. Sous Créer des conditions en, sélectionnez Mode de base.
   2. Dans le champ Titre du niveau d'accès, saisissez gce-subnet-1.
   3. Dans la section Conditions, pour l'option Lorsque la condition est remplie, renvoyer, sélectionnez VRAI.
   4. Sous Sous-réseaux IP, sélectionnez Adresse IP privée.
   5. Sélectionnez Réseaux VPC, identifiez votre projet, puis sélectionnez le nom de votre VPC.
   6. Pour Sous-réseaux IP, sélectionnez la plage CIDR représentant le sous-réseau que le projet hôte a partagé avec ph-fm-svc-project-1.

Créer un niveau d'accès gce-subnet-2

1. Dans le sélecteur de projet en haut de la console Google Cloud , cliquez sur l'onglet Tous, puis sélectionnez votre organisation.
2. Créez un niveau d'accès de base en suivant les instructions de la page Créer un niveau d'accès de base. Spécifiez les options suivantes :
   1. Sous Créer des conditions en, sélectionnez Mode de base.
   2. Dans le champ Titre du niveau d'accès, saisissez gce-subnet-2.
   3. Dans la section Conditions, pour l'option Lorsque la condition est remplie, renvoyer, sélectionnez VRAI.
   4. Sous Sous-réseaux IP, sélectionnez Adresse IP privée.
   5. Sélectionnez Réseaux VPC, identifiez votre projet, puis sélectionnez le nom de votre VPC.
   6. Pour Sous-réseaux IP, sélectionnez la plage CIDR représentant le sous-réseau que le projet hôte a partagé avec ph-fm-svc-project-2.

Créer un niveau d'accès gce-subnet-3

1. Dans le sélecteur de projet en haut de la console Google Cloud , cliquez sur l'onglet Tous, puis sélectionnez votre organisation.
2. Créez un niveau d'accès de base en suivant les instructions de la page Créer un niveau d'accès de base. Spécifiez les options suivantes :
   1. Sous Créer des conditions en, sélectionnez Mode de base.
   2. Dans le champ Titre du niveau d'accès, saisissez gce-subnet-3.
   3. Dans la section Conditions, pour l'option Lorsque la condition est remplie, renvoyer, sélectionnez VRAI.
   4. Sous Sous-réseaux IP, sélectionnez Adresse IP privée.
   5. Sélectionnez Réseaux VPC, identifiez votre projet, puis sélectionnez le nom de votre VPC.
   6. Pour Sous-réseaux IP, sélectionnez la plage CIDR représentant le sous-réseau que le projet hôte a partagé avec ph-fm-svc-project-3.

Étapes de configuration pour aiml-host-perimeter

Sélectionnez le type de configuration du nouveau périmètre.

Dans cette section, vous allez créer un périmètre de service VPC Service Controls (aiml-host-perimeter) en mode dry run. En mode de simulation, le périmètre consigne les cas de non-respect comme si les périmètres étaient appliqués, mais n'empêche pas l'accès aux services restreints. Il est recommandé d'utiliser le mode de simulation avant de passer au mode forcé.

1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité, puis sur VPC Service Controls.

   Accéder à la page Sécurité.

2. Si vous y êtes invité, sélectionnez votre organisation, votre dossier ou votre projet.

3. Sur la page VPC Service Controls, cliquez sur Mode dry run.

4. Cliquez sur Nouveau périmètre.

5. Dans l'onglet Nouveau périmètre de service VPC, saisissez un nom dans le champ Nom du périmètre, par exemple aiml-host-perimeter.

   Un nom de périmètre peut comporter jusqu'à 50 caractères. Il doit commencer par une lettre et ne peut contenir que des lettres de l'alphabet latin ASCII (a-z, A-Z), des chiffres (0-9) et des traits de soulignement (_). Le nom du périmètre est sensible à la casse et doit être unique dans une règle d'accès.

6. Acceptez les paramètres par défaut du périmètre.

Sélectionner les ressources à protéger

1. Cliquez sur Ressources à protéger.
2. Pour ajouter les projets ou les réseaux VPC que vous souhaitez sécuriser au sein du périmètre, procédez comme suit :
   1. Cliquez sur Ajouter des ressources.
   2. Pour ajouter des projets au périmètre, dans le volet Ajouter des ressources, cliquez sur Ajouter un projet.
      1. Sélectionnez le projet que vous souhaitez ajouter, dans ce cas aiml-host-project.
      2. Cliquez sur Ajouter les ressources sélectionnées. Les projets ajoutés apparaissent dans la section Projets.

Sélectionnez les services restreints

Dans cette architecture de référence, le champ d'application des API restreintes est limité, n'activant que les API nécessaires à Gemini Enterprise Agent Platform. Toutefois, nous vous recommandons de restreindre tous les services lorsque vous créez un périmètre afin de limiter le risque d'exfiltration de données des services Google Cloud .

Remarque : Cet exemple montre un modèle d'implémentation de base de Gemini Enterprise Agent Platform. Si vous utilisez d'autres services Gemini Enterprise Agent Platform ou Gemini, ajoutez-les à la liste des services restreints.

Pour sélectionner les services à sécuriser au sein du périmètre, procédez comme suit :

1. Cliquez sur Services restreints.
2. Dans le volet Services restreints, cliquez sur Ajouter des services.
3. Dans la boîte de dialogue Spécifier les services à limiter, sélectionnez l'API Compute Engine.
4. Cliquez sur Ajouter l'API Compute Engine.

Facultatif : Sélectionnez les services accessibles par VPC.

Le paramètre Services accessibles par VPC limite l'ensemble des services accessibles à partir de points de terminaison du réseau à l'intérieur de votre périmètre de service. Dans cette architecture de référence, nous conservons le paramètre par défaut Tous les services.

Facultatif : sélectionnez le niveau d'accès.

Si vous avez créé un niveau d'accès CIDR d'entreprise dans une section précédente, procédez comme suit pour autoriser l'accès aux ressources protégées depuis l'extérieur du périmètre :

1. Cliquez sur Niveaux d'accès.

2. Cochez la case Sélectionnez le niveau d'accès.

   Vous pouvez également ajouter des niveaux d'accès après la création d'un périmètre.

3. Cochez la case correspondant au niveau d'accès. (Dans cette architecture de référence, il s'agit de corp-public-block.)

Configurer la règle d'entrée

Une communication bidirectionnelle s'établit entre un projet hôte et un projet de service lorsque des ressources de calcul sont créées dans un projet de service donné, car le projet hôte est propriétaire du réseau VPC contenant le sous-réseau partagé avec le projet de service. Dans cette section, vous allez configurer une règle d'entrée qui permet aux trois projets de service d'accéder aux ressources de calcul du projet hôte pour ces flux.

1. Dans le menu de gauche, cliquez sur Règle d'entrée.
2. Cliquez sur Ajouter une règle.
3. Dans le volet Règle d'entrée, procédez comme suit :
   1. Pour Attributs FROM, sélectionnez les attributs FROM suivants du client API :
      1. Identité : toutes les identités
      2. Source : projets (ph-fm-svc-project-1, ph-fm-svc-project-2, ph-fm-svc-project-3)
   2. Pour Attributs "TO", sélectionnez les attributs "TO" suivants des services et ressources Google Cloud :
      1. Projet : tous les projets
      2. Services : services sélectionnés
      3. Services sélectionnés : API Compute Engine
      4. Méthodes : toutes les méthodes

Configurer la règle de sortie

Dans cette section, vous allez configurer deux règles de sortie.

Première règle de sortie

Étant donné que le projet hôte est propriétaire du sous-réseau partagé avec ph-fm-svc-project-1, une règle de sortie est requise pour permettre à ce sous-réseau d'accéder au périmètre de ph-fm-svc-project-1 à partir du périmètre du projet hôte. Le niveau d'accès d'entreprise permet la communication bidirectionnelle requise pour la création d'instances de calcul lorsqu'un utilisateur final crée des ressources de calcul dans un projet de service à l'aide du niveau d'accès configuré.

1. Dans le menu de gauche, cliquez sur Règle de sortie.
2. Cliquez sur Ajouter une règle.
3. Dans le volet Règle de sortie, procédez comme suit :
   1. Pour Attributs FROM, sélectionnez les attributs FROM suivants du client API :
      1. Identité : toutes les identités
      2. Sélectionnez Activer les sources de sortie du niveau d'accès.
      3. Niveaux d'accès corp-public-block et gce-subnet-1.
   2. Pour les attributs TO, sélectionnez les attributs TO suivants des services et ressources Google Cloud :
      1. Projet : projets sélectionnés
      2. Ajouter un projet : ph-fm-svc-project-1
      3. Services : tous les services

Deuxième règle de sortie

Étant donné que le projet hôte est propriétaire des sous-réseaux partagés avec ph-fm-svc-project-2 et ph-fm-svc-project-3, une règle de sortie est requise pour permettre à ces sous-réseaux d'accéder au périmètre des projets de service à partir du périmètre du projet hôte. Le niveau d'accès d'entreprise permet la communication bidirectionnelle requise pour la création d'instances de calcul lorsqu'un utilisateur final crée des ressources de calcul dans un projet de service à l'aide du niveau d'accès configuré.

1. Dans le menu de gauche, cliquez sur Règle de sortie.
2. Cliquez sur Ajouter une règle.
3. Dans le volet Règle de sortie, procédez comme suit :
   1. Pour Attributs FROM, sélectionnez les attributs FROM suivants du client API :
      1. Identité : toutes les identités
      2. Sélectionnez Activer les sources de sortie du niveau d'accès.
      3. Niveaux d'accès corp-public-block, gce-subnet-2 et gce-subnet-3.
   2. Pour Attributs "TO", sélectionnez les attributs "TO" suivants des services et ressources Google Cloud :
      1. Projet : projets sélectionnés
      2. Ajouter un projet : ph-fm-svc-project-2, ph-fm-svc-project-3
      3. Services : tous les services

Créer le périmètre

Une fois que vous avez terminé les étapes de configuration précédentes, créez le périmètre en cliquant sur Créer un périmètre.

Étapes de configuration pour high-trust-svc-perimeter

Sélectionnez le type de configuration du nouveau périmètre.

1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité, puis sur VPC Service Controls.

   Accéder à la page Sécurité.

2. Si vous y êtes invité, sélectionnez votre organisation, votre dossier ou votre projet.

3. Sur la page VPC Service Controls, cliquez sur Mode dry run.

4. Cliquez sur Nouveau périmètre.

5. Dans l'onglet Nouveau périmètre de service VPC, saisissez un nom dans le champ Nom du périmètre, par exemple high-trust-svc-perimeter.

   Un nom de périmètre peut comporter jusqu'à 50 caractères. Il doit commencer par une lettre et ne peut contenir que des lettres de l'alphabet latin ASCII (a-z, A-Z), des chiffres (0-9) et des traits de soulignement (_). Le nom du périmètre est sensible à la casse et doit être unique dans une règle d'accès.

6. Acceptez les paramètres par défaut du périmètre.

Sélectionner les ressources à protéger

1. Cliquez sur Ressources à protéger.
2. Pour ajouter les projets ou les réseaux VPC que vous souhaitez sécuriser au sein du périmètre, procédez comme suit :
   1. Cliquez sur Ajouter des ressources.
   2. Pour ajouter des projets au périmètre, dans le volet Ajouter des ressources, cliquez sur Ajouter un projet.
      1. Sélectionnez le projet que vous souhaitez ajouter, dans ce cas ph-fm-svc-project-1.
      2. Cliquez sur Ajouter les ressources sélectionnées. Les projets ajoutés apparaissent dans la section Projets.

Sélectionnez les services restreints

Dans cette architecture de référence, le champ d'application des API restreintes est limité, n'activant que les API nécessaires pour Gemini. Toutefois, nous vous recommandons de restreindre tous les services lorsque vous créez un périmètre afin de limiter le risque d'exfiltration de données des services Google Cloud .

Remarque : Cet exemple montre un modèle d'implémentation de base de Gemini Enterprise Agent Platform. Si vous utilisez d'autres services Gemini Enterprise Agent Platform ou Gemini, ajoutez-les à la liste des services restreints.

Pour sélectionner les services à sécuriser au sein du périmètre, procédez comme suit :

1. Cliquez sur Services restreints.
2. Dans le volet Services restreints, cliquez sur Ajouter des services.
3. Dans la boîte de dialogue Spécifier les services à limiter, sélectionnez l'API Compute Engine.
4. Cliquez sur Ajouter l'API Compute Engine.
5. Dans le volet Services restreints, cliquez sur Ajouter des services.
6. Dans la boîte de dialogue Spécifier les services à limiter, sélectionnez l'API Agent Platform.
7. Cliquez sur Ajouter l'API Agent Platform.

Facultatif : Sélectionnez les services accessibles par VPC.

Le paramètre Services accessibles par VPC limite l'ensemble des services accessibles à partir de points de terminaison du réseau à l'intérieur de votre périmètre de service. Dans cette architecture de référence, nous conservons le paramètre par défaut Tous les services.

Facultatif : sélectionnez le niveau d'accès.

Si vous avez créé un niveau d'accès CIDR d'entreprise dans une section précédente, procédez comme suit pour autoriser l'accès aux ressources protégées depuis l'extérieur du périmètre :

1. Cliquez sur Niveaux d'accès.

2. Cochez la case Sélectionnez le niveau d'accès.

   Vous pouvez également ajouter des niveaux d'accès après la création d'un périmètre.

3. Cochez la case correspondant au niveau d'accès. (Dans cette architecture de référence, il s'agit de corp-public-block.)

Configurer la règle d'entrée

Étant donné que le projet hôte est propriétaire du sous-réseau partagé avec ph-fm-svc-project-1, une règle d'entrée est requise pour autoriser ce sous-réseau à accéder au périmètre de ph-fm-svc-project-1 à partir du projet hôte. Cela permet aux instances de calcul de ph-fm-svc-project-1 d'accéder au service géré dans ph-fm-svc-project-1.

1. Dans le menu de gauche, cliquez sur Règle d'entrée.
2. Cliquez sur Ajouter une règle.
3. Dans le volet Règle d'entrée, procédez comme suit :
   1. Pour Attributs FROM, sélectionnez les attributs FROM suivants du client API :
      1. Identité : toutes les identités
      2. Source : niveau d'accès
      3. Niveau d'accès : gce-subnet-1
   2. Pour Attributs "TO", sélectionnez les attributs "TO" suivants des services et ressources Google Cloud :
      1. Projet : tous les projets
      2. Services : tous les services

Configurer la règle de sortie

Étant donné que le projet hôte est propriétaire du sous-réseau partagé avec ph-fm-svc-project-1, une règle de sortie est requise pour autoriser la communication bidirectionnelle qui se produit entre le projet de service et son projet hôte lorsque des ressources de calcul sont créées dans le projet de service.

1. Dans le menu de gauche, cliquez sur Règle de sortie.
2. Cliquez sur Ajouter une règle.
3. Dans le volet Règle de sortie, procédez comme suit :
   1. Pour Attributs FROM, sélectionnez les attributs FROM suivants du client API :
      1. Identité : toutes les identités
   2. Pour Attributs "TO", sélectionnez les attributs "TO" suivants des services et ressources Google Cloud :
      1. Projet : projets sélectionnés
      2. Ajouter un projet : aiml-host-project
      3. Services : services sélectionnés
      4. Services sélectionnés : API Compute Engine
      5. Méthodes : toutes les méthodes

Créer le périmètre

Une fois que vous avez terminé les étapes de configuration précédentes, créez le périmètre en cliquant sur Créer un périmètre.

Étapes de configuration pour low-trust-svc-perimeter

Sélectionnez le type de configuration du nouveau périmètre.

1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité, puis sur VPC Service Controls.

   Accéder à la page Sécurité.

2. Si vous y êtes invité, sélectionnez votre organisation, votre dossier ou votre projet.

3. Sur la page VPC Service Controls, cliquez sur Mode dry run.

4. Cliquez sur Nouveau périmètre.

5. Dans l'onglet Nouveau périmètre de service VPC, saisissez un nom dans le champ Nom du périmètre, par exemple low-trust-svc-perimeter.

   Un nom de périmètre peut comporter jusqu'à 50 caractères. Il doit commencer par une lettre et ne peut contenir que des lettres de l'alphabet latin ASCII (a-z, A-Z), des chiffres (0-9) et des traits de soulignement (_). Le nom du périmètre est sensible à la casse et doit être unique dans une règle d'accès.

6. Acceptez les paramètres par défaut du périmètre.

Sélectionner les ressources à protéger

1. Cliquez sur Ressources à protéger.
2. Pour ajouter les projets ou les réseaux VPC que vous souhaitez sécuriser au sein du périmètre, procédez comme suit :
   1. Cliquez sur Ajouter des ressources.
   2. Pour ajouter des projets au périmètre, dans le volet Ajouter des ressources, cliquez sur Ajouter un projet.
      1. Sélectionnez le projet que vous souhaitez ajouter. Pour cette architecture de référence, choisissez les options suivantes :
         • ph-fm-svc-project-2
         • ph-fm-svc-project-3
      2. Cliquez sur Ajouter les ressources sélectionnées. Les projets ajoutés apparaissent dans la section Projets.

Sélectionnez les services restreints

Dans cette architecture de référence, le champ d'application des API restreintes est limité, n'activant que les API nécessaires pour Gemini. Toutefois, nous vous recommandons de restreindre tous les services lorsque vous créez un périmètre afin de limiter le risque d'exfiltration de données des services Google Cloud .

Remarque : Cet exemple montre un modèle d'implémentation de base de Gemini Enterprise Agent Platform. Si vous utilisez d'autres services Gemini Enterprise Agent Platform ou Gemini, ajoutez-les à la liste des services restreints.

Pour sélectionner les services à sécuriser au sein du périmètre, procédez comme suit :

1. Cliquez sur Services restreints.
2. Dans le volet Services restreints, cliquez sur Ajouter des services.
3. Dans la boîte de dialogue Spécifier les services à limiter, sélectionnez l'API Compute Engine.
4. Cliquez sur Ajouter l'API Compute Engine.
5. Dans le volet Services restreints, cliquez sur Ajouter des services.
6. Dans la boîte de dialogue Spécifier les services à limiter, sélectionnez l'API Agent Platform.
7. Cliquez sur Ajouter l'API Agent Platform.

Facultatif : Sélectionnez les services accessibles par VPC.

Le paramètre Services accessibles par VPC limite l'ensemble des services accessibles à partir de points de terminaison du réseau à l'intérieur de votre périmètre de service. Dans cette architecture de référence, nous conservons le paramètre par défaut Tous les services.

Facultatif : sélectionnez le niveau d'accès.

Si vous avez créé un niveau d'accès CIDR d'entreprise dans une section précédente, procédez comme suit pour autoriser l'accès aux ressources protégées depuis l'extérieur du périmètre :

1. Cliquez sur Niveaux d'accès.

2. Cochez la case Sélectionnez le niveau d'accès.

   Vous pouvez également ajouter des niveaux d'accès après la création d'un périmètre.

3. Cochez la case correspondant au niveau d'accès. (Dans cette architecture de référence, il s'agit de corp-public-block.)

Configurer la règle d'entrée

Étant donné que le projet hôte est propriétaire du sous-réseau partagé avec ph-fm-svc-project-2 et ph-fm-svc-project-3, une règle d'entrée est requise pour accorder à ces sous-réseaux l'accès au périmètre du projet de service à partir du projet hôte. Cela permet aux instances de calcul de ces projets de service d'accéder au service géré dans ph-fm-svc-project-2 et ph-fm-svc-project-3.

1. Dans le menu de gauche, cliquez sur Règle d'entrée.
2. Cliquez sur Ajouter une règle.
3. Dans le volet Règle d'entrée, procédez comme suit :
   1. Pour Attributs FROM, sélectionnez les attributs FROM suivants du client API :
      1. Identité : toutes les identités
      2. Source : niveau d'accès
      3. Niveau d'accès : gce-subnet-2, gce-subnet-3
   2. Pour Attributs "TO", sélectionnez les attributs "TO" suivants des services et ressources Google Cloud :
      1. Projet : tous les projets
      2. Services : tous les services

Configurer la règle de sortie

Étant donné que le projet hôte est propriétaire du sous-réseau partagé avec ph-fm-svc-project-２ et ph-fm-svc-project-3, une règle de sortie est requise pour autoriser la communication bidirectionnelle qui se produit entre les projets de service et leur projet hôte lorsque des ressources de calcul sont créées dans les projets de service.

1. Dans le menu de gauche, cliquez sur Règle de sortie.
2. Cliquez sur Ajouter une règle.
3. Dans le volet Règle de sortie, procédez comme suit :
   1. Pour Attributs FROM, sélectionnez les attributs FROM suivants du client API :
      1. Identité : toutes les identités
   2. Pour Attributs "TO", sélectionnez les attributs "TO" suivants des services et ressources Google Cloud :
      1. Projet : projets sélectionnés
      2. Ajouter un projet : aiml-host-project
      3. Services : services sélectionnés
      4. Services sélectionnés : API Compute Engine
      5. Méthodes : toutes les méthodes

Créer le périmètre

Une fois que vous avez terminé les étapes de configuration précédentes, créez le périmètre en cliquant sur Créer un périmètre.

Configurer le réseau

Utiliser un point de terminaison Private Service Connect pour accéder aux API Google

L'accès aux API Google à l'aide de Private Service Connect est une alternative à l'utilisation de l'accès privé à Google ou des noms de domaine publics pour les API Google. Dans ce cas, le producteur est Google.

L'utilisation de Private Service Connect vous permet d'effectuer les opérations suivantes :

• Créer une ou plusieurs adresses IP internes pour accéder aux API Google pour différents cas d'utilisation.
• Diriger votre trafic sur site vers des adresses IP et des régions spécifiques lors de l'accès aux API Google.
• Créez un nom DNS de point de terminaison personnalisé à utiliser pour résoudre les API Google.

Dans l'architecture de référence, un point de terminaison d'API Google Private Service Connect nommé restricted avec l'adresse IP 192.168.10.2 est déployé avec VPC Service Controls cible, utilisé comme adresse IP virtuelle (VIP) pour accéder aux services restreints configurés dans le périmètre VPC Service Controls. Le point de terminaison Private Service Connect est déployé dans le projet hôte, aiml-host-project.

Accéder à Gemini Pro depuis des instances Compute Engine

Lorsque vous créez un point de terminaison Private Service Connect, l'Annuaire des services crée des enregistrements DNS dans une zone privée p.googleapis.com. Les enregistrements pointent vers l'adresse IP du point de terminaison et utilisent le format SERVICE-ENDPOINT.p.googleapis.com, qui correspond au nom de domaine complet utilisé pour accéder à l'API Agent Platform : LOCATION-aiplatform-restricted.p.googleapis.com.

Valider la configuration réseau

À partir des instances Compute Engine déployées dans les projets de service, la procédure suivante permet de mettre à jour l'API Agent Platform pour utiliser le nom de domaine complet personnalisé et effectuer la validation.

1. Initialisez vos variables d'environnement Python comme suit :

   PROJECT_ID="ph-fm-svc-project-1"
   LOCATION_ID="us-central1"
   API_ENDPOINT="us-central1-aiplatform-restricted.p.googleapis.com"
   MODEL_ID="gemini-2.0-flash-exp"
   GENERATE_CONTENT_API="streamGenerateContent"
   

2. À l'aide d'un éditeur de texte, créez un fichier request.json contenant le code JSON suivant :

   {
     "contents": [
       {
         "role": "user",
         "parts": [
           {
             "text": "what weight more 1kg feathers vs 1kg stones"
           }
         ]
       }
     ],
     "generationConfig": {
       "temperature": 1,
       "maxOutputTokens": 8192,
       "topP": 0.95,
       "seed": 0
     },
     "safetySettings": [
       {
         "category": "HARM_CATEGORY_HATE_SPEECH",
         "threshold": "OFF"
       },
       {
         "category": "HARM_CATEGORY_DANGEROUS_CONTENT",
         "threshold": "OFF"
       },
       {
         "category": "HARM_CATEGORY_SEXUALLY_EXPLICIT",
         "threshold": "OFF"
       },
       {
         "category": "HARM_CATEGORY_HARASSMENT",
         "threshold": "OFF"
       }
     ]
   }
   

3. Envoyez la requête cURL suivante à l'API Gemini de Gemini Enterprise Agent Platform :

   curl \
   -X POST \
   -H "Content-Type: application/json" \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://${API_ENDPOINT}/v1/projects/${PROJECT_ID}/locations/${LOCATION_ID}/publishers/google/models/${MODEL_ID}:${GENERATE_CONTENT_API}" -d '@request.json'
   

Valider votre périmètre en mode de simulation

Dans cette architecture de référence, le périmètre de service est configuré en mode dry run, ce qui vous permet de tester l'effet de la règle d'accès sans l'appliquer. Cela signifie que vous pouvez voir l'impact de vos règles sur votre environnement si elles étaient actives, mais sans risquer de perturber le trafic légitime.

Pour savoir comment valider votre périmètre en mode de simulation, regardez la vidéo YouTube Journalisation du mode dry run de VPC Service Controls.

Après avoir validé votre périmètre en mode de simulation, passez-le en mode forcé.