設定 Vertex AI 專案

如要在 Google Distributed Cloud (GDC) 實體隔離環境中執行 Vertex AI 服務，請準備專屬專案並設定開發環境。設定 gdcloud CLI 和服務帳戶，將機器學習技術整合至實體隔離應用程式和工作流程。

本文適用對象為應用程式開發人員，他們隸屬於應用程式操作員群組，負責使用 AI 功能最佳化實體隔離應用程式和工作流程。詳情請參閱「GDC 實體隔離方案說明文件的目標對象」。

請管理員為您設定專案

設定專案的大部分工作都需要平台管理員存取權。管理員必須決定有意義的專案名稱和專案 ID，以便識別專案。如果您隸屬於某個組織，或打算建立多項專案，請考量 Distributed Cloud 認可的命名慣例和實體。詳情請參閱「資源階層結構」。

如果您沒有必要權限，請要求管理員代為設定專案。

按照本文件中的指示設定專案。

事前準備

如要取得建立專案及設定服務帳戶所需的權限，請要求 IAM 機構組織管理員或 IAM 專案管理員，在專案命名空間中授予您下列角色：

  • 如要建立專案，請取得專案建立者 (project-creator) 角色。
  • 如要建立服務帳戶，請取得 IAM 專案管理員 (project-iam-admin) 角色。

如要瞭解這些角色，請參閱「準備 IAM 權限」。如要瞭解如何將權限授予主體，請參閱「授予及撤銷存取權」。

接著，建立專案，將 Vertex AI 服務分組。確認 Distributed Cloud 專案已啟用計費功能。

安裝 gdcloud CLI

如要啟用 Distributed Cloud 服務，並存取工具和元件，請安裝 gdcloud CLI。

請按照下列步驟安裝 gdcloud CLI：

  1. 下載 gdcloud CLI。

  2. 初始化 gdcloud CLI：

    gdcloud init

    詳情請參閱「安裝 gdcloud CLI」。

  3. 使用 gdcloud CLI 進行驗證：

    gdcloud auth login

    如要進一步瞭解如何使用設定的身分識別提供者進行驗證，以及取得使用者身分和 Kubernetes 叢集的 kubeconfig 檔案，請參閱「gdcloud CLI 驗證」。

設定服務帳戶

服務帳戶 (又稱服務身分) 在管理 Vertex AI 服務方面扮演重要角色。工作負載會使用這些帳戶存取 Vertex AI 服務和 AI 模型，並透過程式輔助方式發出授權 API 呼叫。舉例來說，服務帳戶可以管理 Vertex AI Workbench 筆記本，使用 Speech-to-Text API 轉錄音訊檔案。與使用者帳戶類似，服務帳戶可以獲得權限和角色，提供安全且受控管的環境，但無法像真人使用者一樣登入。

如要為 Vertex AI 服務設定服務帳戶，請指定服務帳戶名稱、專案 ID 和金鑰組的 JSON 檔案名稱。

如要進一步瞭解如何建立服務帳戶、指派角色繫結，以及建立和新增金鑰組，請參閱「管理服務帳戶」。

請按照下列步驟，使用 gdcloud CLI 設定服務帳戶：

  1. 建立服務帳戶：

    gdcloud iam service-accounts create SERVICE_ACCOUNT --project=PROJECT_ID

    更改下列內容：

    • SERVICE_ACCOUNT：服務帳戶的名稱。專案命名空間中的名稱不得重複。
    • PROJECT_ID：要建立服務帳戶的專案 ID。如果已設定 gdcloud init，則可省略 --project 旗標。

  2. 建立應用程式預設憑證 JSON 檔案，以及公開和私密金鑰組：

    gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --ca-cert-path=CA_CERTIFICATE_PATH

    更改下列內容：

    • APPLICATION_DEFAULT_CREDENTIALS_FILENAME：JSON 檔案的名稱，例如 my-service-key.json。
    • PROJECT_ID：要建立金鑰的專案。
    • SERVICE_ACCOUNT：要新增金鑰的服務帳戶名稱。
    • CA_CERTIFICATE_PATH：選用旗標，用於指定憑證授權單位 (CA) 憑證的路徑，該憑證會驗證驗證端點。如未指定這個路徑，系統會使用系統 CA 憑證。您必須在系統 CA 憑證中安裝 CA。

    Distributed Cloud 會將公開金鑰新增至服務帳戶金鑰，用於驗證私密金鑰簽署的 JSON Web Token (JWT)。私密金鑰會寫入應用程式預設憑證 JSON 檔案。

  3. 指派角色繫結，授予服務帳戶專案資源存取權。角色名稱取決於您要使用服務帳戶的 Vertex AI 服務。

    gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT_ID \
    --iam-account=SERVICE_ACCOUNT \
    --role=ROLE

    更改下列內容：

    • PROJECT_ID：要建立角色繫結的專案。
    • SERVICE_ACCOUNT：要使用的服務帳戶名稱。

    • ROLE：要指派給服務帳戶的預先定義角色。請以 Role/name 格式指定角色，其中 Role 是 Kubernetes 類型 (例如 Role 或 ProjectRole)，name 則是預先定義的角色之 Kubernetes 資源名稱。舉例來說，您可以將下列角色指派給服務帳戶，以便使用部分 Vertex AI 預先訓練 API：

      • 如要指派 AI OCR 開發人員 (ai-ocr-developer) 角色，請將角色設為 Role/ai-ocr-developer。
      • 如要指派 AI 語音開發人員 (ai-speech-developer) 角色，請將角色設為 Role/ai-speech-developer。
      • 如要指派 AI Translation 開發人員 (ai-translation-developer) 角色，請將角色設為 Role/ai-translation-developer。