在服务边界内使用笔记本实例

本页面介绍如何使用 VPC Service Controls 在服务边界内设置 AI Platform Notebooks 实例。

准备工作

  1. 阅读 VPC Service Controls 概览

  2. 创建一个新的 AI Platform Notebooks 实例。请注意,此 AI Platform Notebooks 实例尚未在服务边界内。

  3. 使用 VPC Service Controls 创建服务边界。此服务边界可保护 Google 管理的指定服务资源。创建服务边界时,请执行以下操作:

    1. 当可以向服务边界添加项目时,请添加包含 AI Platform Notebooks 实例的项目。

    2. 当可以向服务边界添加服务时,请添加 AI Platform Notebooks API

    如果您创建服务边界时未添加所需的项目和服务,请参阅管理服务边界,了解如何更新服务边界。

使用 Cloud DNS 配置 DNS 条目

AI Platform Notebooks 使用 Virtual Private Cloud 网络在默认情况下未处理的多个网域。使用 Cloud DNS 添加 DNS 记录,以确保您的 VPC 网络正确处理发送到这些网域的请求。如需详细了解 VPC 路由,请参阅路由概览

按照以下步骤即可为网域创建托管地区,添加将路由请求的 DNS 条目并执行事务。分别对需要处理请求的多个网域重复上述步骤(从 *.notebooks.googleapis.com 开始)。

如需执行以下操作,您可以在首选终端上使用 gcloud 命令行工具,或使用预装了 gcloud 工具的 Cloud Shell

  1. 收集以下信息。您必须在以下命令中使用这些值来配置 DNS 条目。

    • PROJECT_ID 是托管您的 VPC 网络的项目的 ID。

    • NETWORK_NAME 是您之前创建的 VPC 网络的名称。

    • ZONE_NAME 是您要创建的区域的名称。 您必须对每个网域使用单独的区域。以下每个步骤都会用到该区域名称。

    • DNS_NAME*. 之后的域名部分。例如,*.notebooks.googleapis.com 的 DNS_NAME 为 notebooks.googleapis.com

  2. 为 VPC 网络需要处理的某个网域创建专用托管地区。

    gcloud dns managed-zones create ZONE_NAME \
     --visibility=private \
     --networks=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME \
     --dns-name=DNS_NAME \
     --description="Description of your managed zone"
    
  3. 启动一项事务。

    gcloud dns record-sets transaction start --zone=ZONE_NAME
    
  4. 添加以下 DNS A 记录。此操作会将流量重新路由到 Google 的受限 IP 地址。

    gcloud dns record-sets transaction add \
     --name=DNS_NAME. \
     --type=A 199.36.153.4 199.36.153.5 199.36.153.6 199.36.153.7 \
     --zone=ZONE_NAME \
     --ttl=300
    
  5. 添加以下 DNS CNAME 记录,以指向刚刚添加的 A 记录。此操作会将与相应网域匹配的所有流量重定向至上一步中列出的 IP 地址。

    gcloud dns record-sets transaction add \
     --name=*.DNS_NAME. \
     --type=CNAME DNS_NAME. \
     --zone=ZONE_NAME \
     --ttl=300
    
  6. 执行该事务。

    gcloud dns record-sets transaction execute --zone=ZONE_NAME
    
  7. 对以下每个网域重复执行上述步骤。每次重复上述步骤时,请将 ZONE_NAMEDNS_NAME 更改为相关网域的对应值。每次都应使 PROJECT_IDNETWORK_NAME 保持一致。您现在已对 *.notebooks.googleapis.com 完成上述步骤。

    • *.notebooks.googleapis.com

    • *.notebooks.cloud.google.com

    • *.notebooks.googleusercontent.com

在服务边界内使用 Container Registry

如果您想在服务边界内使用 Container Registry,请按照相应步骤配置 DNS 条目和服务边界

使用共享 VPC

如果您使用的是共享 VPC,您必须向服务边界添加主机和服务项目。请参阅管理服务边界

访问 AI Platform Notebooks 实例

按照打开笔记本的步骤操作。

在 AI Platform Notebooks 中安装 Jupyter 扩展程序

如果您尝试安装 JupyterLab 扩展程序,但 Google Cloud Storage API 受到限制,则可能会看到 NETWORK_NOT_IN_SAME_SERVICE_PERIMETER 错误。AI Platform Notebooks 扩展程序目前存储在 deeplearning-platform-ui-public 公开存储分区中。

后续步骤