Puoi configurare il servizio AI Platform Prediction in modo da utilizzare un account di servizio a tua scelta quando viene eseguito un codice personalizzato per fornire previsioni. In particolare, puoi specificare un account di servizio personalizzato quando esegui una delle seguenti operazioni:
- Crea una versione del modello che utilizzi un container personalizzato.
- Crea una versione del modello che utilizzi una routine di previsione personalizzata.
L'utilizzo di un account di servizio personalizzato ti consente di personalizzare le risorse Google Cloud a cui può accedere il tuo codice di pubblicazione personalizzato senza concedere autorizzazioni eccessivamente ampie all'account di servizio utilizzato per impostazione predefinita dal servizio AI Platform Prediction.
La guida si concentra sulle autorizzazioni delle risorse di AI Platform Prediction per accedere ad altre risorse Google Cloud. Per conoscere le autorizzazioni necessarie per accedere alle risorse di AI Platform Prediction, consulta Controllo dell'accesso.
Informazioni sull'agente di servizio
Per impostazione predefinita, AI Platform Prediction utilizza un agente di servizio per fornire previsioni online da versioni del modello che non utilizzano container personalizzati. Questo agente di servizio è identificato da un indirizzo email con il seguente formato:
service-PROJECT_NUMBER@cloud-ml.google.com.iam.gserviceaccount.com
PROJECT_NUMBER viene sostituito dal numero di progetto del tuo progetto Google Cloud.
Trova l'account di servizio corrispondente per il tuo progetto nella console Google Cloud o utilizzando Google Cloud CLI:
Console Google Cloud
Vai alla pagina IAM nella console Google Cloud, seleziona Includi concessioni di ruoli fornite da Google e trova l'entità che corrisponde al formato dell'indirizzo email descritto in precedenza in questa sezione. Anche l'account di servizio ha il nome Google Cloud ML Engine Service Agent
.
gcloud
Esegui questo comando in un ambiente Shell in cui hai inizializzato gcloud CLI:
gcloud projects get-iam-policy PROJECT_ID \
--flatten="bindings[].members" \
--format="table(bindings.members)" \
--filter="bindings.role:roles/ml.serviceAgent" \
| grep serviceAccount:
Sostituisci PROJECT_ID con l'ID del tuo progetto Google Cloud.
Questo comando restituisce quanto segue:
serviceAccount:GOOGLE_MANAGED_SERVICE_ACCOUNT
GOOGLE_MANAGED_SERVICE_ACCOUNT è l'indirizzo email dell'agente di servizio AI Platform del tuo progetto.
Questo agente di servizio dispone delle autorizzazioni appropriate per la maggior parte delle versioni dei modelli. Ad esempio, può leggere dai bucket Cloud Storage nello stesso progetto Google Cloud.
Se vuoi che le tue routine di previsione personalizzate vengano eseguite con autorizzazioni aggiuntive, puoi assegnare ulteriori ruoli IAM (Identity and Access Management) a questo account di servizio. Ad esempio, puoi concedere l'accesso ai bucket Cloud Storage in altri progetti Google Cloud.
Account di servizio utilizzato per impostazione predefinita nei container personalizzati
Se la versione del modello utilizza un container personalizzato, per impostazione predefinita il container non viene eseguito utilizzando l'agente di servizio AI Platform, ma viene eseguito utilizzando un account di servizio gestito da AI Platform Prediction. Questo account di servizio ha l'autorizzazione per
leggere gli artefatti del modello
che AI Platform Prediction rende disponibili in un URI archiviato nella
variabile di ambiente AIP_STORAGE_URI
.
Non puoi personalizzare le autorizzazioni di questo account di servizio utilizzate per impostazione predefinita nei container personalizzati. Se vuoi personalizzare le autorizzazioni disponibili per il container personalizzato, leggi le sezioni seguenti per utilizzare un account di servizio personalizzato con la versione del tuo modello.
Utilizzo di un account di servizio personalizzato
Se vuoi concedere o limitare le autorizzazioni Google Cloud per una versione specifica di un modello, utilizza un account di servizio personalizzato al posto dell'agente di servizio.
Per farlo, configura innanzitutto un account di servizio personalizzato. Quindi specifica l'account di servizio personalizzato quando crei una versione del modello.
Configurare un account di servizio personalizzato
Per configurare un account di servizio personalizzato:
Concedi i ruoli IAM al tuo nuovo account di servizio per fornire al tuo codice per la gestione delle previsioni le autorizzazioni necessarie durante l'esecuzione.
Se l'account di servizio gestito dall'utente si trova in un progetto diverso rispetto alle versioni del modello, configura l'account di servizio gestito dall'utente in modo da poterlo collegare alle versioni del modello.
Concedi all'agente di servizio AI Platform del tuo progetto il ruolo Amministratore account di servizio (
roles/iam.serviceAccountAdmin
) per il tuo nuovo account di servizio personalizzato. Per farlo, utilizza gcloud CLI per eseguire il seguente comando:gcloud iam service-accounts add-iam-policy-binding \ --role=roles/iam.serviceAccountAdmin \ --member=serviceAccount:GOOGLE_MANAGED_SERVICE_ACCOUNT \ CUSTOM_SERVICE_ACCOUNT
In questo comando, sostituisci i seguenti segnaposto:
GOOGLE_MANAGED_SERVICE_ACCOUNT: l'indirizzo email del
Google Cloud ML Engine Service Agent
del tuo progetto. Scopri come trovare questo indirizzo email in una sezione precedente di questa guida.CUSTOM_SERVICE_ACCOUNT: l'indirizzo email del nuovo account di servizio gestito dall'utente che hai appena creato in un passaggio precedente di questa sezione.
Specifica l'account di servizio personalizzato per la versione del modello
Per concedere all'account di servizio personalizzato l'accesso del codice per la gestione delle previsioni a un account di servizio personalizzato, specifica il campo serviceAccount
quando crei una versione del modello. Ricorda che la versione del modello deve utilizzare un container personalizzato o una routine di previsione personalizzata.
Se utilizzi gcloud CLI per creare una versione del modello, puoi utilizzare il flag --service-account
con il componente gcloud beta
. Ad esempio:
gcloud beta ai-platform versions create VERSION \
--service-account CUSTOM_SERVICE_ACCOUNT \
...
Sostituisci quanto segue:
- VERSION: il nome della versione del modello.
- CUSTOM_SERVICE_ACCOUNT: l'indirizzo email dell'account di servizio gestito dall'utente che hai configurato in una sezione precedente di questa guida.
- ...: opzioni aggiuntive per la versione del modello.
Passaggi successivi
Scopri come creare una versione del modello che utilizza un container personalizzato
Scopri come creare una versione del modello che utilizzi una routine di previsione personalizzata.
Scopri di più sugli account di servizio.