設定 Vertex AI 專案

您可以使用 Google Distributed Cloud (GDC) 實體隔離設備中的 Vertex AI，在應用程式中執行機器學習 (ML) 和人工智慧 (AI) 工作負載。實作 Vertex AI 服務前，請先準備專案，並在開發環境中設定 gdcloud CLI 和服務帳戶。如果您沒有必要權限，請要求管理員代為設定專案。

請管理員為您設定專案

設定專案的大部分工作都需要管理員存取權。管理員必須採取下列步驟設定專案，您才能在專案命名空間執行 Vertex AI 服務：

  1. 使用網域名稱系統 (DNS) 資訊設定設備。
  2. 決定有意義的專案名稱和專案 ID，以便識別專案。
  3. 按照本文件中的指示設定專案。

事前準備

如要取得建立專案及設定服務帳戶所需的權限，請要求組織 IAM 管理員或專案 IAM 管理員，在專案命名空間中授予您下列角色：

  • 如要建立專案，請取得專案建立者 (project-creator) 角色。
  • 如要建立服務帳戶，請取得專案 IAM 管理員 (project-iam-admin) 角色。

如要瞭解這些角色，請參閱「準備 IAM 權限」。如要瞭解如何將權限授予主體，請參閱「授予及撤銷存取權」。

接著，建立專案，將 Vertex AI 服務分組。

安裝 gdcloud CLI

如要啟用 GDC 實體隔離方案設備服務，並存取工具和元件，請安裝 gdcloud CLI。

請按照下列步驟安裝 gdcloud CLI 並管理必要元件：

  1. 下載 gdcloud CLI。

  2. 初始化 gdcloud CLI：

    gdcloud init

    詳情請參閱「安裝 gdcloud CLI」。

  3. 安裝必要元件：

    gdcloud components install COMPONENT_ID

    將 COMPONENT_ID 替換為要安裝的元件名稱。

    詳情請參閱「管理 gdcloud CLI 元件」。

  4. 使用 gdcloud CLI 進行驗證：

    gdcloud auth login

    如要進一步瞭解如何使用設定的身分識別提供者進行驗證，以及取得使用者身分和 Kubernetes 叢集的 kubeconfig 檔案，請參閱「gdcloud CLI 驗證」。

設定服務帳戶

服務帳戶 (又稱服務身分) 在管理 Vertex AI 服務方面扮演重要角色。工作負載會使用這些帳戶存取 Vertex AI 服務，並透過程式輔助方式執行已授權的 API 呼叫。與使用者帳戶類似，服務帳戶可以獲得權限和角色，提供安全且受控管的環境，但無法像真人使用者一樣登入。

如要為 Vertex AI 服務設定服務帳戶，請指定服務帳戶名稱、專案 ID 和金鑰組的 JSON 檔案名稱。

如要進一步瞭解如何建立服務帳戶、指派角色繫結，以及建立和新增金鑰組，請參閱「在專案中使用服務帳戶進行驗證」。

請按照下列步驟，使用 gdcloud CLI 設定服務帳戶：

  1. 建立服務帳戶：

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    更改下列內容：

    • SERVICE_ACCOUNT：服務帳戶的名稱。專案命名空間中的名稱不得重複。
    • PROJECT_ID：要建立服務帳戶的專案 ID。如果已設定 gdcloud init，則可省略 --project 旗標。

  2. 建立應用程式預設憑證 JSON 檔案，以及公開和私密金鑰組：

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    更改下列內容：

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME：JSON 檔案的名稱，例如 my-service-key.json。
    • PROJECT_ID：要建立金鑰的專案。
    • SERVICE_ACCOUNT：要新增金鑰的服務帳戶名稱。
    • CA_CERTIFICATE_PATH：選用旗標，用於指定憑證授權單位 (CA) 憑證的路徑，該憑證會驗證驗證端點。如未指定這個路徑，系統會使用系統 CA 憑證。您必須在系統 CA 憑證中安裝 CA。

    GDC 實體隔離方案設備會將公開金鑰新增至服務帳戶金鑰，用於驗證私密金鑰簽署的 JSON Web Token (JWT)。私密金鑰會寫入應用程式預設憑證 JSON 檔案。

  3. 指派角色繫結，授予服務帳戶專案資源存取權。角色名稱取決於您要使用服務帳戶的 Vertex AI 服務。

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    更改下列內容：

    • PROJECT_ID：要建立角色繫結的專案。
    • SERVICE_ACCOUNT：要使用的服務帳戶名稱。

    • ROLE：要指派給服務帳戶的預先定義角色。請以 Role/name 格式指定角色，其中 Role 是 Kubernetes 類型 (例如 Role 或 ProjectRole)，name 則是預先定義的角色名稱。舉例來說，您可以將下列角色指派給服務帳戶，以便使用 Vertex AI 預先訓練 API：

      • 如要指派 AI OCR 開發人員 (ai-ocr-developer) 角色，請將角色設為 Role/ai-ocr-developer。
      • 如要指派 AI 語音開發人員 (ai-speech-developer) 角色，請將角色設為 Role/ai-speech-developer。
      • 如要指派 AI Translation 開發人員 (ai-translation-developer) 角色，請將角色設為 Role/ai-translation-developer。