הגדרת ממשק Private Service Connect למשאבים של Gemini Enterprise Agent Platform

במדריך הזה מוסבר איך להגדיר ממשק Private Service Connect למשאבים של Gemini Enterprise Agent Platform.

אתם יכולים להגדיר חיבורים של ממשק Private Service Connect למשאבים מסוימים ב-Gemini Enterprise Agent Platform, כולל:

בניגוד לחיבורים של VPC peering, חיבורים של ממשק Private Service Connect הם טרנזיטיביים. כך צריך פחות כתובות IP ברשת ה-VPC של הצרכן. כך יש יותר גמישות בחיבור לרשתות VPC אחרות בפרויקט ב- Cloud de Confiance by S3NS ובמקום הפיזי.

המדריך הזה מיועד למנהלי רשתות שמכירים את המושגים שקשורים לרשתות ב- Cloud de Confiance by S3NS .

מטרות

המדריך הזה כולל את המשימות הבאות:

  • מגדירים רשת VPC של הצרכן , רשת משנה ומחבר רשת.
  • מוסיפים כללי חומת אש ל Cloud de Confiance by S3NS פרויקט המארח של הרשת.
  • יוצרים משאב של Agent Platform ומציינים את מחבר הרשת כדי להשתמש בממשק Private Service Connect.

לפני שמתחילים

כדי ליצור או לבחור פרויקט ב- Cloud de Confiance ולהגדיר אותו לשימוש עם Gemini Enterprise Agent Platform ו-Private Service Connect, צריך לפעול לפי ההוראות הבאות.

  1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Cloud de Confiance project.

  3. Enable the Gemini Enterprise Agent Platform, Compute Engine, and Cloud Storage APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  4. Install the Google Cloud CLI.

  5. Configure the gcloud CLI to use your federated identity.

    For more information, see Sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. אחרי שתאתחלו את ה-CLI של gcloud, עדכנו אותו והתקינו את הרכיבים הנדרשים: 

    gcloud components update
gcloud components install beta
  8. אם אתם לא הבעלים של הפרויקט ואין לכם את התפקיד אדמין IAM בפרויקט (roles/resourcemanager.projectIamAdmin), בקשו מהבעלים להקצות לכם את התפקיד אדמין רשת ב-Compute‏ (roles/compute.networkAdmin) כדי לנהל את משאבי הרשת. אם אתם יוצרים רק צירוף רשת ברשת VPC קיימת, אתם יכולים במקום זאת להשתמש בתפקיד בהתאמה אישית שכולל את ההרשאה compute.networkAttachments.create.
  9. מקצים את התפקידים הנדרשים לסוכן השירות של פלטפורמת AI. פרטים על התפקידים שצריך להעניק בתרחישים שונים מופיעים בקטע התפקיד הנדרש לסוכן שירות בפלטפורמת הסוכנים של Gemini Enterprise במסמך הזה.

הגדרת רשת VPC ורשת משנה

אם אין לכם רשת קיימת, בצעו את שלבי ההגדרה כדי ליצור רשת VPC חדשה.

  1. thought יוצרים רשת VPC:

    gcloud compute networks create NETWORK \
    --subnet-mode=custom

    מחליפים את NETWORK בשם של רשת ה-VPC.

  2. יצירת תת-רשת:

    gcloud compute networks subnets create SUBNET_NAME \
    --network=NETWORK \
    --range=PRIMARY_RANGE \
    --region=REGION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SUBNET_NAME: שם לתת-הרשת.

    • ‫PRIMARY_RANGE: טווח ה-IPv4 הראשי של תת-הרשת החדשה, בסימון CIDR.

      אלה הדרישות והמגבלות של כתובות ה-IP ב-Agent Platform:

      • ‫Agent Platform ממליצה על רשת משנה מסוג /28.
      • תת-הרשת של מחבר הרשת תומכת בכתובות RFC 1918 ובכתובות שהן לא RFC 1918, חוץ מתת-הרשתות 100.64.0.0/20 ו-240.0.0.0/4.
      • פלטפורמת הסוכן יכולה להתחבר רק לטווחים של כתובות IP מסוג RFC 1918 שאפשר לנתב מהרשת שצוינה.

      • פלטפורמת Agent לא יכולה להגיע לכתובת IP ציבורית שמשמשת לשימוש פרטי או לטווחים הבאים שאינם RFC 1918:

        • 100.64.0.0/20
        • 192.0.0.0/24
        • 192.0.2.0/24
        • 198.18.0.0/15
        • 198.51.100.0/24
        • 203.0.113.0/24
        • 240.0.0.0/4

      מידע נוסף מופיע במאמר בנושא טווחים של רשתות משנה ב-IPv4.

    • ‫REGION: האזור ב- Cloud de Confiance שבו יוצרים את תת-הרשת החדשה.

יצירת קובץ מצורף לרשת

בפריסה של VPC משותף, יוצרים את רשת המשנה שמשמשת לחיבור הרשת בפרויקט המארח, ואז יוצרים את חיבור הרשת של Private Service Connect בפרויקט השירות.

בדוגמה הבאה אפשר לראות איך יוצרים קובץ מצורף לרשת שמקבל חיבורים באופן אוטומטי.

   gcloud compute network-attachments create NETWORK_ATTACHMENT_NAME \
       --region=REGION \
       --connection-preference=ACCEPT_AUTOMATIC \
       --subnets=SUBNET_NAME

מחליפים את NETWORK_ATTACHMENT_NAME בשם של חיבור הרשת.

אם מחבר הרשת נוצר בפרויקט שונה מפרויקט השירות, צריך להעביר את הנתיב המלא של מחבר הרשת כשקוראים ל-Gemini Enterprise.

התפקיד הנדרש בסוכן השירות של Gemini Enterprise Agent Platform

סוכן השירות של Gemini Enterprise Agent Platform (סוכן השירות של AI Platform) צריך תפקידי IAM ספציפיים כדי לנהל משאבי רשת ולסייע בחיבורי ממשק Private Service Connect ‏ (Private Service Connect).

בהתאם להגדרות הרשת, מקצים לסוכן השירות (service-PROJECT_NUMBER@gcp-sa-aiplatform.s3ns-system.iam.gserviceaccount.com) את התפקידים הבאים:

  1. אדמין ברשת מחשוב (roles/compute.networkAdmin)

    בפרויקט שבו יוצרים את מחבר הרשת, צריך להעניק את התפקיד roles/compute.networkAdmin לסוכן השירות. אם אתם לא רוצים להקצות את התפקיד roles/compute.networkAdmin, אתם יכולים ליצור תפקיד בהתאמה אישית עם ההרשאות הבאות ולהקצות אותו לסוכן השירות:

    • compute.networkAttachments.get
    • compute.networkAttachments.update
    • compute.regionOperations.get

  2. משתמש ברשת Compute ‏ (roles/compute.networkUser)

    אם אתם משתמשים ב-VPC משותף ויוצרים את מחבר הרשת בפרויקט שירות, אתם צריכים לתת לסוכן השירות (שנמצא בפרויקט השירות) את התפקיד roles/compute.networkUser בפרויקט המארח של ה-VPC.

  3. DNS Peer (roles/dns.peer)

    כדי לאפשר למשאבים כמו Agent Platform Managed Training או Agent Runtime לפתור רשומות DNS פרטיות, צריך להעניק את התפקיד roles/dns.peer לסוכן השירות. מקצים את התפקיד הזה בפרויקט שבו משתמשים בשירותים. אם משתמשים ב-VPC משותף, צריך גם להקצות את התפקיד roles/dns.peer לסוכן השירות בפרויקט המארח של ה-VPC.

הגדרת כללים לחומת האש

המערכת מחילה כללי חומת אש של Ingress ברשת ה-VPC של הצרכן כדי לאפשר תקשורת עם תת-הרשת של מחבר הרשת המצורף לממשק Private Service Connect מנקודות קצה של משאבי מחשוב ומנקודות קצה מקומיות.

הגדרת כללי חומת אש היא אופציונלית. עם זאת, מומלץ להגדיר כללי חומת אש נפוצים, כמו בדוגמאות הבאות.

  1. יוצרים כלל של חומת אש שמאפשר גישה ל-SSH ביציאה 22 ב-TCP:

    gcloud compute firewall-rules create NETWORK-firewall1 \
    --network NETWORK \
    --allow tcp:22

  2. יוצרים כלל חומת אש שמאפשר תעבורת נתונים מסוג HTTPS ביציאת TCP ‏443:

    gcloud compute firewall-rules create NETWORK-firewall2 \
    --network NETWORK \
    --allow tcp:443

  3. יוצרים כלל של חומת אש שמאפשר תעבורת נתוני ICMP (כמו בקשות פינג):

    gcloud compute firewall-rules create NETWORK-firewall3 \
    --network NETWORK \
    --allow icmp

הגדרת שירות DNS פרטי

כדי לאפשר למשימות אימון מנוהלות ב-Agent Platform או לסוכנים ב-Agent Runtime שמוגדרים עם ממשקי Private Service Connect לזהות רשומות DNS פרטיות בתחומי Cloud DNS שמנוהלים על ידי הלקוח, אתם יכולים לציין את חיבור הרשת וליצור קישור בין רשתות שכנות (peering) ב-DNS פרטי בזמן ההגדרה או הפריסה של המשאב.

כדי להגדיר קישור בין רשתות שכנות (peering) ב-DNS, צריך לציין רשתות יעד וסיומות אתרים בשדה dns_peering_configs בקטע psc_interface_config:

  • ‫dns_peering_configs: רשימה של הגדרות אישיות של קישור בין רשתות שכנות (peering) ב-DNS:
    • ‫domain: שם ה-DNS של תחום ה-DNS הפרטי ב-Cloud.
    • ‫target_project: הפרויקט שמארח את רשת ה-VPC. יכול להיות שהיא תהיה שונה מהפרויקט שבו יצרתם את מחבר הרשת.
    • ‫target_network: השם של רשת ה-VPC בפרויקט היעד שאליו נוצר הקישור בין שרתי DNS.

לדוגמה, כשיוצרים משאב ב-Python, אפשר להגדיר את הקישור הפרטי בין רשתות שכנות (peering) ב-DNS באופן הבא:

psc_interface_config = {
    "network_attachment": "NETWORK_ATTACHMENT",
    "dns_peering_configs": [
        {
            "domain": "DOMAIN_SUFFIX",
            "target_project": "TARGET_PROJECT",
            "target_network": "TARGET_NETWORK",
        },
    ],
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NETWORK_ATTACHMENT: השם או הנתיב המלא של חיבור הרשת. לדוגמה, projects/SERVICE_PROJECT/regions/REGION/networkAttachments/NETWORK_ATTACHMENT_NAME. אם אתם יוצרים את מחבר הרשת בפרויקט שונה מהפרויקט שבו אתם משתמשים ב-Agent Platform, אתם צריכים להעביר את הנתיב המלא של מחבר הרשת.
  • ‫DOMAIN_SUFFIX: שם ה-DNS של תחום ה-DNS הפרטי ב-Cloud (לדוגמה, example.com.).
  • ‫TARGET_PROJECT: הפרויקט שמארח את רשת ה-VPC. הוא יכול להיות שונה מהפרויקט שבו יצרתם את חיבור הרשת.
  • ‫TARGET_NETWORK: השם של רשת ה-VPC בפרויקט היעד שאליו נוצר הקישור בין שרתי ה-DNS.

פתרון בעיות

בקטע הזה מפורטות כמה בעיות נפוצות בהגדרת Private Service Connect עם Gemini Enterprise Agent Platform.

כשמגדירים את פלטפורמת הסוכנים עם VPC משותף, צריך ליצור את חיבור הרשת בפרויקט השירות שבו משתמשים בפלטפורמת הסוכנים. הגישה הזו עוזרת למנוע הודעות שגיאה מסוימות, כמו:

_Please make sure that the Agent Platform API is enabled for the
project_, by ensuring the
necessary permissions and APIs are enabled in the correct project.

המאמרים הבאים