オンライン予測での VPC Service Controls の使用

VPC Service Controls を使用すると、AI Platform Prediction からデータが漏洩するリスクを軽減できます。次の場合、VPC Service Controls はサービス境界外へのデータの流出を防ぎます。

  • 境界内のプロジェクトにモデルとモデル バージョンを作成する。
  • これらのリソースに予測リクエストを送信する。

VPC Service Controls では、バッチ予測と AI Explanations はサポートされていません。このガイドに従ってサービス境界を構成した場合、その境界内の Google Cloud プロジェクトでバッチ予測や AI Explanations を使用することはできません。

サービス境界の作成

VPC Service Controls ガイドに沿ってサービス境界を作成します。制限するサービスを指定する場合は、次のサービスをすべて制限するようにしてください。

  • AI Platform Training and Prediction API（ml.googleapis.com）
  • Pub/Sub API（pubsub.googleapis.com）
  • Cloud Storage API（storage.googleapis.com）
  • Google Kubernetes Engine API（container.googleapis.com）
  • Container Registry API（containerregistry.googleapis.com）
  • Cloud Logging API（logging.googleapis.com）

AI Platform Training と AI Platform Prediction が VPC Service Controls と適切に連携させるには、サービス境界でこれらのサービスをすべて制限する必要があります。

制限事項

サービス境界を作成して Google Cloud プロジェクトに追加したら、追加の構成なしで AI Platform Prediction を使用できます。ただし、次の制限が適用されます。

  • バッチ予測は使用できません。

  • AI Explanations は使用できません。

  • VPC Service Controls との連携を設定する場合、新しい Google Cloud プロジェクトを作成することをおすすめします。AI Platform Prediction のリソースがすでに含まれているプロジェクトにサービス境界を構成する場合は、次の制約を考慮する必要があります。

    プロジェクトをサービス境界に追加する前にプロジェクトで作成したモデルは使用できなくなります。

    たとえば、境界外で作成されたモデルにモデル バージョンを作成することはできません。この場合、境界内で新しいモデルを作成してから、その新しいモデルにモデル バージョンを作成する必要があります。

  • サービス境界からプロジェクトを削除した場合、プロジェクトが境界内にあった間に作成されたモデルを更新または削除することはできません。

  • レガシー（MLS1）マシンタイプは使用できません。また、AI Platform Training と Prediction API のグローバル エンドポイントを使用することもできません。レガシー（MLS1）マシンタイプを使用するモデル バージョンを作成しようとすると、バージョンの作成に失敗します。オンライン予測には、Compute Engine（N1）マシンタイプとリージョン エンドポイントを使用する必要があります。

  • サービス境界を作成してから最初の数分でモデルまたはモデル バージョンを作成すると、オペレーションが失敗する可能性があります。関連するすべての Google Cloud サービスに VPC Service Controls の制限が反映されるまで待ってから（約 15 分後）、もう一度お試しください。

  • ml.googleapis.com が保護されている場合、モデル バージョンは境界外のリソースにアクセスできません。境界内のプロジェクトに含まれる Cloud Storage やその他の VPC Service Controls でサポートされている Google Cloud サービスのデータにはアクセスできますが、境界外のサービスに対してリクエストを送信すると、それらのリクエストは失敗します。

  • 追加の構成を行わないと、Google Cloud コンソールを使用して、サービス境界内のプロジェクトの AI Platform Prediction リソースを管理できません。また、アクセスログやストリームログを表示することもできません。詳しくは、サービス境界で保護されているリソースに Google Cloud コンソールからアクセスするをご覧ください。

AI Platform Training と AI Platform Vizier

AI Platform Training と Prediction API を保護するサービス境界を作成すると、VPC Service Controls は AI Platform Training と AI Platform Prediction を保護します。詳しくは、AI Platform Training で VPC Service Controls を使用する方法をご覧ください。

AI Platform Vizier は AI Platform Training と Prediction API も使用しているため、現時点では VPC Service Controls を完全にはサポートしていません。ただし、AI Platform Training と Prediction API を保護するサービス境界を構成すると、AI Platform Vizier は引き続き有効になります。

次のステップ