שימוש בחשבון שירות מותאם אישית

במדריך הזה מוסבר איך להגדיר את Gemini Enterprise Agent Platform כך שתשתמש בחשבון שירות מותאם אישית בתרחישים הבאים:

• כשמבצעים אימון בהתאמה אישית, אפשר להגדיר את Agent Platform כך שתשתמש בחשבון שירות בהתאמה אישית במאגר האימונים, בין אם מדובר במאגר מוכן מראש או במאגר בהתאמה אישית.

• כשפורסים משאב Model שאומן בהתאמה אישית למשאב Endpoint כדי להציג תחזיות אונליין, אפשר להגדיר את Agent Platform כך שישתמש בחשבון שירות בהתאמה אישית במאגר התגים שמציג את התחזיות, בין אם מדובר במאגר תגים מוכן מראש או במאגר תגים בהתאמה אישית.

• כשמעתיקים משאב Model בין פרויקטים, אפשר להגדיר את Agent Platform כך שישתמש בחשבון שירות בהתאמה אישית כדי לגשת למודלים בפרויקט המקור.

מתי כדאי להשתמש בחשבון שירות בהתאמה אישית

כשמריצים את Agent Platform, הוא פועל בדרך כלל עם ההרשאות של אחד מתוך כמה חשבונות שירות ש-Google יוצרת ומנהלת עבור פרויקט Cloud de Confiance by S3NS . כדי להעניק ל-Agent Platform גישה מוגברת לשירותים אחרים של Cloud de Confianceבהקשרים מסוימים, אפשר להוסיף תפקידים ספציפיים לסוכני השירות של Agent Platform.

עם זאת, יכול להיות שהתאמה אישית של ההרשאות של סוכני שירות לא תספק את בקרת הגישה המפורטת שאתם רוצים. דוגמאות לתרחישי שימוש נפוצים:

• הגדרת פחות הרשאות למשימות ולמודלים של Agent Platform. לסוכן השירות של Agent Platform שמוגדר כברירת מחדל יש גישה ל-BigQuery ול-Cloud Storage.
• מתן גישה למשימות שונות למשאבים שונים. יכול להיות שתרצו לאפשר להרבה משתמשים להפעיל משימות בפרויקט יחיד, אבל לתת למשימות של כל משתמש גישה רק לטבלה מסוימת ב-BigQuery או לקטגוריה מסוימת ב-Cloud Storage.

לדוגמה, יכול להיות שתרצו להתאים אישית כל משימת אימון בהתאמה אישית שאתם מריצים כדי שתהיה לה גישה לCloud de Confiance משאבים שונים מחוץ לפרויקט.

בנוסף, התאמה אישית של ההרשאות של סוכני שירות לא משנה את ההרשאות שזמינות לקונטיינר שמספק תחזיות מ-Model שאומן בהתאמה אישית.

כדי להתאים אישית את הגישה בכל פעם שמבצעים אימון מותאם אישית, או כדי להתאים אישית את ההרשאות של מאגר התחזיות של Modelמאומן בהתאמה אישית, צריך להשתמש בחשבון שירות מותאם אישית.

הרשאות גישה המוגדרות כברירת מחדל

בקטע הזה מוסבר על גישת ברירת המחדל שזמינה למאגרי קונטיינרים של אימון בהתאמה אישית ולמאגרי קונטיינרים של חיזוי של משאבי Model שאומנו בהתאמה אישית. כשמשתמשים בחשבון שירות בהתאמה אישית, מבטלים את הגישה הזו למשאב ספציפי מסוג CustomJob,‏ HyperparameterTuningJob,‏ TrainingPipeline או DeployedModel.

מכולות אימון

כשיוצרים CustomJob, HyperparameterTuningJob או TrainingPipeline בהתאמה אישית, מאגר ההדרכה פועל באמצעות סוכן שירות הקוד המותאם אישית של Gemini Enterprise Agent Platform בפרויקטCloud de Confiance כברירת מחדל.

מידע נוסף על סוכן שירות הקוד בהתאמה אישית של Gemini Enterprise Agent Platform, כולל איך לתת לו גישה למשאבים נוספים Cloud de Confiance .

מאגרי תגים של חיזוי

כשפורסים Model שאומן בהתאמה אישית ב-Endpoint, קובץ ה-container של התחזית פועל באמצעות חשבון שירות שמנוהל על ידי Agent Platform. חשבון השירות הזה שונה מסוכני השירות של Agent Platform.

לחשבון השירות שבו מאגר התחזיות משתמש כברירת מחדל יש הרשאה לקרוא ארטיפקטים של מודלים ש-Agent Platform מספק ב-URI שמאוחסן במשתנה הסביבה AIP_STORAGE_URI. אל תסתמכו על כך שלחשבון השירות יש הרשאות אחרות. אי אפשר להתאים אישית את ההרשאות של חשבון השירות.

הגדרת חשבון שירות מותאם אישית

בקטעים הבאים מוסבר איך להגדיר חשבון שירות בהתאמה אישית לשימוש ב-Agent Platform, ואיך להגדיר CustomJob, ‏ HyperparameterTuningJob, ‏ TrainingPipeline או DeployedModel לשימוש בחשבון השירות. שימו לב: אי אפשר להגדיר חשבון שירות בהתאמה אישית כדי לשלוף תמונות מ-Artifact Registry. ‫Gemini Enterprise Agent Platform משתמש בחשבון השירות שמוגדר כברירת מחדל כדי לשלוף תמונות.

הגדרה של חשבון שירות בהתאמה אישית

כדי להגדיר חשבון שירות בהתאמה אישית:

1. יוצרים חשבון שירות שמנוהל על ידי משתמש. חשבון השירות שמנוהל על ידי המשתמש יכול להיות באותו פרויקט כמו המשאבים של Agent Platform או בפרויקט אחר.

2. מקצים לחשבון השירות החדש תפקידי IAM שמאפשרים גישה לשירותים ולמשאבים שרוצים ש-Agent Platform תוכל להשתמש בהם במהלך אימון מותאם אישית או חיזוי. Cloud de Confiance

3. אופציונלי: אם חשבון השירות בניהול המשתמש נמצא בפרויקט אחר מזה של משימות האימון, צריך להקצות את התפקיד Service Account Token Creator (יצירת אסימונים בחשבון שירות) (roles/iam.serviceAccountTokenCreator) לסוכן של Agent Platform בפרויקט שבו משתמשים ב-Agent Platform.

   gcloud iam service-accounts add-iam-policy-binding \
       --role=roles/iam.serviceAccountTokenCreator \
       --member=serviceAccount:AI_PLATFORM_SERVICE_AGENT \
       CUSTOM_SERVICE_ACCOUNT
   

4. אופציונלי: אם אתם מתכננים להשתמש בחשבון השירות שמנוהל על ידי המשתמש גם לחיזויים, אתם צריכים להעניק את התפקיד 'אדמין של חשבון שירות' (roles/iam.serviceAccountAdmin) לסוכן של Agent Platform Service בפרויקט שבו אתם משתמשים ב-Agent Platform:

   gcloud iam service-accounts add-iam-policy-binding \
     --role=roles/iam.serviceAccountAdmin \
     --member=serviceAccount:AI_PLATFORM_SERVICE_AGENT \
     CUSTOM_SERVICE_ACCOUNT
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫AI_PLATFORM_SERVICE_AGENT: כתובת האימייל של סוכן השירות של Agent Platform בפרויקט, בפורמט הבא:

     service-PROJECT_NUMBER@gcp-sa-aiplatform.s3ns-system.iam.gserviceaccount.com

     כדי למצוא את סוכן השירות של Agent Platform, עוברים לדף IAM במסוף Cloud de Confiance .

     כניסה לדף IAM

   • CUSTOM_SERVICE_ACCOUNT: כתובת האימייל של חשבון השירות החדש בניהול המשתמשים שיצרתם בשלב הראשון של הקטע הזה.

ציון חשבון שירות מותאם אישית למשאבי Agent Platform

התהליך של הגדרת Agent Platform לשימוש בחשבון שירות ספציפי עבור משאב נקרא צירוף חשבון השירות למשאב. בקטעים הבאים מוסבר איך לצרף את חשבון השירות שיצרתם בקטע הקודם לכמה משאבים של Agent Platform.

צירוף חשבון שירות למשאב אימון בהתאמה אישית

כדי להגדיר את Agent Platform כך שישתמש בחשבון השירות החדש במהלך אימון בהתאמה אישית, צריך לציין את כתובת האימייל של חשבון השירות בשדה serviceAccount של הודעת CustomJobSpec כשמתחילים אימון בהתאמה אישית. בהתאם לסוג המשאב של אימון בהתאמה אישית שאתם יוצרים, המיקום של השדה הזה בבקשת ה-API משתנה:

• אם אתם יוצרים CustomJob, מציינים את כתובת האימייל של חשבון השירות ב-CustomJob.jobSpec.serviceAccount.

  מידע נוסף על יצירת CustomJob

• אם יוצרים HyperparameterTuningJob, מציינים את כתובת האימייל של חשבון השירות ב-HyperparameterTuningJob.trialJobSpec.serviceAccount.

  מידע נוסף על יצירת HyperparameterTuningJob

• אם יוצרים TrainingPipeline בהתאמה אישית בלי כוונון של היפרפרמטרים, צריך לציין את כתובת האימייל של חשבון השירות ב-TrainingPipeline.trainingTaskInputs.serviceAccount.

• אם אתם יוצרים TrainingPipeline מותאם אישית עם כוונון היפר-פרמטרים, צריך לציין את כתובת האימייל של חשבון השירות ב-TrainingPipeline.trainingTaskInputs.trialJobSpec.serviceAccount.

צירוף חשבון שירות למאגר שמספק תחזיות אונליין

כדי להגדיר מאגר תחזיות של Model שאומן בהתאמה אישית כך שישתמש בחשבון השירות החדש, צריך לציין את כתובת האימייל של חשבון השירות כשפורסים את Model ב-Endpoint:

gcloud ai endpoints deploy-model ENDPOINT_ID \
  --region=LOCATION \
  --model=MODEL_ID \
  --display-name=DEPLOYED_MODEL_NAME \
  --machine-type=MACHINE_TYPE \
  --min-replica-count=MIN_REPLICA_COUNT \
  --max-replica-count=MAX_REPLICA_COUNT \
  --traffic-split=0=100 \
  --service-account=CUSTOM_SERVICE_ACCOUNT

gcloud ai endpoints deploy-model ENDPOINT_ID `
  --region=LOCATION `
  --model=MODEL_ID `
  --display-name=DEPLOYED_MODEL_NAME `
  --machine-type=MACHINE_TYPE `
  --min-replica-count=MIN_REPLICA_COUNT `
  --max-replica-count=MAX_REPLICA_COUNT `
  --traffic-split=0=100 `
  --service-account=CUSTOM_SERVICE_ACCOUNT

gcloud ai endpoints deploy-model ENDPOINT_ID ^
  --region=LOCATION ^
  --model=MODEL_ID ^
  --display-name=DEPLOYED_MODEL_NAME ^
  --machine-type=MACHINE_TYPE ^
  --min-replica-count=MIN_REPLICA_COUNT ^
  --max-replica-count=MAX_REPLICA_COUNT ^
  --traffic-split=0=100 ^
  --service-account=CUSTOM_SERVICE_ACCOUNT

צירוף חשבון שירות לבקשת CopyModel

כדי להגדיר את Agent Platform כך שישתמש בחשבון השירות החדש שלכם כשמעתיקים מודל, מציינים את כתובת האימייל של חשבון השירות בשדה customServiceAccount של ההודעה CopyModelRequest. חשבון השירות הזה צריך להיות שייך לפרויקט היעד שאליו מועתק המודל, וצריכה להיות לכם ההרשאה iam.serviceAccounts.actAs בחשבון השירות הזה.

גישה Cloud de Confiance לשירותים בקוד

אם תגדירו את Agent Platform כך שישתמש בחשבון שירות בהתאמה אישית לפי ההוראות שבקטעים הקודמים, מאגר ההדרכה או מאגר התחזיות יוכלו לגשת לכל השירותים והמשאבים שלחשבון השירות יש גישה אליהם. Cloud de Confiance

כדי לגשת לשירותים של Cloud de Confiance , צריך לכתוב את קוד האימון או את קוד ההגשה של התחזית כך שישתמש בפרטי כניסה שמוגדרים כברירת מחדל לאפליקציה (ADC) ויציין באופן מפורש את מזהה הפרויקט או את מספר הפרויקט של המשאב שאליו רוצים לגשת. מידע נוסף על כתיבת קוד לגישה לשירותים אחרים Cloud de Confiance

מגבלות

לחשבונות שירות בהתאמה אישית ב-Gemini Enterprise Agent Platform יש את המגבלות הבאות:

• במקרה של הסקת מסקנות באצווה, עדיין ייעשה שימוש בסוכן השירות של Gemini Enterprise Agent Platform כדי לגשת ל-BigQuery ול-Cloud Storage, גם אם מוגדר חשבון שירות בהתאמה אישית.
• יש מכסה של עד 20 חשבונות שירות בהתאמה אישית לכל פרויקט, לכל אזור ולכל שירות (לדוגמה, Vertex AI Inference).

המאמרים הבאים

• מידע נוסף על בקרת גישה ל-Agent Platform
• מידע נוסף על הרשאות IAM ספציפיות ועל הפעולות שהן תומכות בהן