הגדרת פרויקט ל-Vertex AI

בדף הזה מוסבר איך להגדיר פרויקט להפעלת שירותי Vertex AI ב-Google Distributed Cloud ‏ (GDC) במצב air-gapped. המדריך כולל שלבים להגדרת סביבת הפיתוח באמצעות gdcloud CLI, רשות אישורי בסיס (CA) של חבילת מהימנות וחשבונות השירות שלכם, כדי שתוכלו להתחיל לשלב למידת מכונה באפליקציות ובסביבות העבודה שלכם.

הדף הזה מיועד למפתחי אפליקציות בקבוצות של מפעילי אפליקציות, שאחראים על אופטימיזציה של אפליקציות ותהליכי עבודה עם air gap באמצעות תכונות מבוססות-AI. מידע נוסף זמין במאמר בנושא קהלים ב-GDC עם air gap.

לבקש מאדמין להגדיר פרויקט בשבילכם

כדי לבצע את רוב המשימות להגדרת פרויקט, נדרשת גישת אדמין לפלטפורמה. האדמין צריך לקבוע שם ומזהה פרויקט משמעותיים כדי לזהות את הפרויקט. אם אתם חלק מארגון או מתכננים ליצור כמה פרויקטים, כדאי שתבדקו אילו מוסכמות שמות וישויות מוכרות ב-Distributed Cloud. מידע נוסף זמין במאמר היררכיית המשאבים.

אם אין לכם את ההרשאות הנדרשות, אתם יכולים לבקש מהאדמין להגדיר את הפרויקט בשמכם.

כדי להגדיר פרויקט, פועלים לפי ההוראות במאמר הזה.

לפני שמתחילים

כדי לקבל את ההרשאות שנדרשות ליצירת פרויקט ולהגדרת חשבונות שירות, בקשו מהאדמין של הארגון או של הפרויקט ב-IAM להקצות לכם את התפקידים הבאים במרחב השמות של הפרויקט:

  • כדי ליצור פרויקט, צריך לקבל את התפקיד Project Creator (project-creator).
  • כדי ליצור חשבונות שירות, צריך לקבל את התפקיד 'אדמין IAM בפרויקט' (project-iam-admin).

מידע על התפקידים האלה מופיע במאמר הכנת הרשאות IAM. במאמר מתן גישה וביטול גישה מוסבר איך נותנים הרשאות לנושא.

אחר כך יוצרים פרויקט כדי לקבץ את שירותי Vertex AI. מוודאים שהחיוב מופעל בפרויקט Distributed Cloud.

התקנת ה-gdcloud CLI

כדי להפעיל שירותי Distributed Cloud ולקבל גישה לכלים ולרכיבים, צריך להתקין את gdcloud CLI.

כדי להתקין את gdcloud CLI:

  1. מורידים את gdcloud CLI.

  2. מאתחלים את ה-gdcloud CLI:

    gdcloud init

    למידע נוסף, ראו התקנת gdcloud CLI.

  3. אימות באמצעות gdcloud CLI:

    gdcloud auth login

    למידע נוסף על אימות באמצעות ספק הזהויות שהגדרתם וקבלת קובץ kubeconfig לזהות המשתמש ולאשכול Kubernetes, ראו אימות gdcloud CLI.

הגדרת חשבונות שירות

חשבונות שירות, שנקראים גם זהויות שירות, ממלאים תפקיד חיוני בניהול שירותי Vertex AI. אלה החשבונות שבהם עומסי העבודה שלכם משתמשים כדי לגשת לשירותי Vertex AI ולמודלים של AI, ולבצע קריאות מורשות ל-API באופן פרוגרמטי. לדוגמה, חשבונות שירות יכולים לנהל את ה-notebook של Vertex AI Workbench כדי לתמלל קובצי אודיו באמצעות Speech-to-Text API. בדומה לחשבון משתמש, אפשר להעניק לחשבונות שירות הרשאות ותפקידים, וכך לספק סביבה מאובטחת ומבוקרת. עם זאת, אי אפשר להיכנס לחשבונות שירות כמו משתמש אנושי.

אתם יכולים להגדיר חשבונות שירות לשירותי Vertex AI על ידי ציון השם של חשבון השירות, מזהה הפרויקט והשם של קובץ JSON עבור זוגות מפתחות.

במאמר ניהול חשבונות שירות מוסבר איך ליצור חשבון שירות, להקצות לו קישורי תפקידים וליצור ולהוסיף זוגות מפתחות.

כדי להגדיר חשבונות שירות באמצעות gdcloud CLI:

  1. יוצרים חשבון שירות:

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SERVICE_ACCOUNT: השם של חשבון השירות. השם חייב להיות ייחודי במרחב השמות של הפרויקט.
    • ‫PROJECT_ID: מזהה הפרויקט שבו רוצים ליצור את חשבון השירות. אם gdcloud init כבר מוגדר, אפשר להשמיט את הדגל --project.

  2. יוצרים את קובץ ה-JSON של פרטי הכניסה שמוגדרים כברירת מחדל באפליקציה ואת זוגות המפתחות הציבוריים והפרטיים:

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫APPLICATION_DEFAULT_CREDENTIALS_FILENAME: השם של קובץ ה-JSON, למשל my-service-key.json.
    • ‫PROJECT_ID: הפרויקט שעבורו רוצים ליצור את המפתח.
    • ‫SERVICE_ACCOUNT: השם של חשבון השירות שעבורו רוצים להוסיף את המפתח.
    • ‫CA_CERTIFICATE_PATH: דגל אופציונלי לנתיב לאישור של רשות האישורים (CA) שמאמת את נקודת הקצה של האימות. אם לא מציינים את הנתיב הזה, המערכת משתמשת באישור CA של המערכת. חובה להתקין את ה-CA באישור CA של המערכת.

    המפתח הציבורי מתווסף ב-Distributed Cloud למפתחות של חשבון השירות שמשמשים לאימות אסימוני ה-JWT‏ (JSON Web Tokens) שהמפתח הפרטי חותם עליהם. המפתח הפרטי נכתב בקובץ ה-JSON של פרטי הכניסה שמוגדרים כברירת מחדל באפליקציה.

  3. מעניקים לחשבון השירות גישה למשאבי הפרויקט על ידי הקצאת תפקיד. שם התפקיד תלוי בשירות של Vertex AI שבו רוצים להשתמש בחשבון השירות.

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: הפרויקט שבו רוצים ליצור את קישור התפקידים.
    • ‫SERVICE_ACCOUNT: השם של חשבון השירות שרוצים להשתמש בו.

    • ‫ROLE: התפקיד המוגדר מראש שיוקצה לחשבון השירות. מציינים תפקידים בפורמט Role/name, כאשר Role הוא הסוג ב-Kubernetes, כמו Role או ProjectRole, ו-name הוא שם המשאב ב-Kubernetes של התפקיד המוגדר מראש. לדוגמה, אלה התפקידים שאפשר להקצות לחשבונות שירות כדי להשתמש בחלק מממשקי ה-API המאומנים מראש של Vertex AI:

      • כדי להקצות את התפקיד AI OCR Developer (ai-ocr-developer), מגדירים את התפקיד ל-Role/ai-ocr-developer.
      • כדי להקצות את התפקיד "מפתח AI Speech"‏ (ai-speech-developer), מגדירים את התפקיד ל-Role/ai-speech-developer.
      • כדי להקצות את התפקיד 'מפתח תרגום באמצעות AI' (ai-translation-developer), מגדירים את התפקיד ל-Role/ai-translation-developer.