En esta guía, se muestra cómo configurar una interfaz de Private Service Connect para los recursos de Vertex AI.
Puedes configurar conexiones de interfaz de Private Service Connect para ciertos recursos en Vertex AI, incluidos los siguientes:
A diferencia de las conexiones de interconexión de VPC, las conexiones de interfaz de Private Service Connect pueden ser transitivas, lo que requiere menos direcciones IP en la red de VPC del consumidor. Esto permite una mayor flexibilidad para conectarse a otras redes de VPC en tu proyecto Google Cloud y de forma local.
Se recomienda esta guía a los administradores de redes que estén familiarizados con los Google Cloud conceptos de redes.
Objetivos
En esta guía, se abarcan las siguientes tareas:
- Configura una red de VPC, una subred y una vinculación de red de productor.
- Agrega reglas de firewall a tu proyecto host de red Google Cloud .
- Crea un recurso de Vertex AI que especifique el adjunto de red para usar una interfaz de Private Service Connect.
Antes de comenzar
Usa las siguientes instrucciones para crear o seleccionar un proyecto de Google Cloud y configurarlo para usarlo con Vertex AI y Private Service Connect.
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Vertex AI, Compute Engine, and Cloud Storage APIs.
-
Install the Google Cloud CLI.
-
If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.
-
To initialize the gcloud CLI, run the following command:
gcloud init -
After initializing the gcloud CLI, update it and install the required components:
gcloud components update gcloud components install beta
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Vertex AI, Compute Engine, and Cloud Storage APIs.
-
Install the Google Cloud CLI.
-
If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.
-
To initialize the gcloud CLI, run the following command:
gcloud init -
After initializing the gcloud CLI, update it and install the required components:
gcloud components update gcloud components install beta
- Si no eres el propietario del proyecto y no tienes el rol de administrador de IAM del proyecto (
roles/resourcemanager.projectIamAdmin), pídele al propietario que te otorgue el rol de administrador de red de Compute (roles/compute.networkAdmin), que incluye los roles necesarios para administrar los recursos de redes. - Asigna el rol de administrador de red de Compute del proyecto host Google Cloud a la cuenta del agente de servicio de AI Platform del proyecto en el que usas los servicios de Vertex AI Training.
-
gcloud compute networks create NETWORK \ --subnet-mode=customReemplaza NETWORK por un nombre para la red de VPC.
-
gcloud compute networks subnets create SUBNET_NAME \ --network=NETWORK \ --range=PRIMARY_RANGE \ --region=REGIONReemplaza lo siguiente:
- SUBNET_NAME: Es un nombre de la subred.
PRIMARY_RANGE: Es el rango IPv4 principal para la subred nueva, en notación CIDR. Para obtener más información, consulta Rangos de subredes IPv4.
Vertex AI requiere una subred
/28.Vertex AI solo puede acceder a los rangos RFC 1918 a los que se puede acceder desde el NETWORK especificado. Consulta Rangos de IPv4 válidos para obtener la lista de rangos RFC 1918 válidos. Vertex AI no puede acceder a los siguientes rangos que no son RFC 1918:
100.64.0.0/10192.0.0.0/24192.0.2.0/24198.18.0.0/15198.51.100.0/24203.0.113.0/24240.0.0.0/4
REGION: La Google Cloud región en la que se crea la subred nueva.
Crea una regla de firewall que permita el acceso SSH en el puerto TCP 22:
gcloud compute firewall-rules create NETWORK-firewall1 \ --network NETWORK \ --allow tcp:22Crea una regla de firewall que permita el tráfico HTTPS en el puerto TCP 443:
gcloud compute firewall-rules create NETWORK-firewall2 \ --network NETWORK \ --allow tcp:443Crea una regla de firewall que permita el tráfico ICMP (como las solicitudes de ping):
gcloud compute firewall-rules create NETWORK-firewall3 \ --network NETWORK \ --allow icmpAsigna el rol de DNS
Peer(roles/dns.peer)a la cuenta del agente de servicio de AI Platform del proyecto en el que usas los servicios de Vertex AI Training. Si especificas una red de VPC compartida para que la use Vertex AI y creas una vinculación de red en un proyecto de servicio, asegúrate de otorgarle al agente de servicio de AI Platform en el proyecto de servicio en el que usas Vertex AI el rol de DNSPeer(roles/dns.peer)en tu proyecto host de VPC.Crea una regla de firewall que permita todo el tráfico de ICMP, TCP y UDP (opcional):
!gcloud compute firewall-rules create NETWORK-firewall4 \ --network NETWORK --allow tcp:0-65535,udp:0-65535,icmp --source-ranges IP_RANGESConfigura tu zona de DNS privada para la resolución de DNS y el enrutamiento del tráfico. Para agregar registros DNS a tu zona DNS privada, consulta Agrega un conjunto de registros de recursos.
- Obtén información para usar el tráfico de salida de la interfaz de Private Service Connect para Ray en Vertex AI.
- Obtén más información para usar la salida de la interfaz de Private Service Connect para el entrenamiento personalizado.
- Obtén información para usar la salida de la interfaz de Private Service Connect para Vertex AI Pipelines.
Configura una red y una subred de VPC
En esta sección, puedes usar una red de VPC existente o seguir los pasos de configuración para crear una red de VPC nueva si no tienes una.
Crea un adjunto de red
En una implementación de VPC compartida, crea la subred que se usa para el adjunto de red en el proyecto host y, luego, crea el adjunto de red de Private Service Connect en el proyecto de servicio.
En el siguiente ejemplo, se muestra cómo crear un adjunto de red que acepte conexiones de forma manual.
gcloud compute network-attachments create NETWORK_ATTACHMENT_NAME \
--region=REGION \
--connection-preference=ACCEPT_MANUAL \
--subnets=SUBNET_NAME
Reemplaza NETWORK_ATTACHMENT_NAME por un nombre para el adjunto de red.
Rol requerido del agente de servicio de Vertex AI
En el proyecto en el que creas la vinculación de red, verifica que el rol compute.networkAdmin se haya otorgado al agente de servicio de Vertex AI del mismo proyecto. Debes habilitar la API de Vertex AI en este proyecto con anticipación si es diferente del proyecto de servicio en el que usas Vertex AI.
Si especificas una red de VPC compartida para que use Vertex AI y creas una vinculación de red en un proyecto de servicio, asegúrate de otorgarle al agente de servicio de Vertex AI en el proyecto de servicio en el que usas Vertex AI el rol compute.networkUser a tu proyecto host de VPC.
Configura reglas de firewall
Las reglas de firewall de entrada se aplican en la VPC del consumidor para habilitar la comunicación con la subred de adjuntos de red de la interfaz de Private Service Connect desde los extremos de procesamiento y locales.
La configuración de reglas de firewall es opcional. Sin embargo, te recomendamos que establezcas reglas de firewall comunes, como se muestra en los siguientes ejemplos.
Configura un intercambio de tráfico de DNS privado
Para permitir que los trabajos de Vertex AI Training configurados con PSC-I resuelvan registros de DNS privados en zonas de Cloud DNS administradas por el cliente, la API de Vertex AI ofrece un mecanismo configurable por el usuario para especificar qué dominios de DNS se deben intercambiar. Deberás realizar las siguientes configuraciones adicionales.