生成式 AI 用途的 Vertex AI 控制項

Vertex AI 可讓您在單一平台上建構及使用生成式 AI，包括 AI 解決方案、搜尋和對話。本文提供 Vertex AI 最佳做法和指南，適用於在 Google Cloud上執行生成式 AI 工作負載的情況。

必要的 Vertex AI 控制項

強烈建議您為 Vertex AI 環境導入下列控制項。

定義 Vertex AI Workbench 筆記本和執行個體的存取模式

Google 控制項 ID VAI-CO-4.1
類別 必要
說明

這項清單限制定義了 Vertex AI Workbench 筆記本和執行個體允許的存取模式。在 service-account 模式下，允許/拒絕清單可指定多位使用者；在 single-user 模式下，則可指定單一使用者存取。
適用產品
  • Vertex AI Workbench
  • 組織政策服務
路徑 constraints/ainotebooks.accessMode
運算子 Is
值
  • service-account
  • single-user
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

停用 Vertex AI Workbench 執行個體的檔案下載功能

Google 控制項 ID VAI-CO-4.2
類別 必要
說明

ainotebooks.disableFileDownloads 布林值限制可禁止您在檔案下載選項啟用時，建立 Vertex AI Workbench 執行個體。根據預設，您可以在任何 Vertex AI Workbench 執行個體上啟用檔案下載選項。
適用產品
  • 組織政策服務
  • Vertex AI Workbench
路徑 constraints/ainotebooks.disableFileDownloads
運算子 Is
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

針對由使用者管理的 Vertex AI Workbench 筆記本和執行個體停用根層級存取權

Google 控制項 ID VAI-CO-4.3
類別 必要
說明

ainotebooks.disableRootAccess 布林值限制可禁止您在根層級存取權啟用時，建立 Vertex AI Workbench 使用者自行管理的筆記本和執行個體。根據預設，Vertex AI Workbench 使用者自行管理的筆記本和執行個體皆可啟用根層級存取權。
適用產品
  • 組織政策服務
  • Vertex AI Workbench
路徑 constraints/ainotebooks.disableRootAccess
運算子 Is
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

停用 Vertex AI Workbench 執行個體的終端機

Google 控制項 ID VAI-CO-4.4
類別 必要
說明

ainotebooks.disableTerminal 布林值限制可禁止您在終端機啟用時，建立 Vertex AI Workbench 執行個體。根據預設，您可以在 Vertex AI Workbench 執行個體上啟用終端機。
適用產品
  • 組織政策服務
  • Vertex AI Workbench
路徑 constraints/ainotebooks.disableTerminal
運算子 Is
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

限制 Vertex AI Workbench 筆記本和執行個體的環境選項

Google 控制項 ID VAI-CO-4.5
類別 必要
說明

ainotebooks.environmentOptions 清單限制定義了您在建立 Vertex AI Workbench 筆記本和執行個體時，可以選取的 VM 和容器映像檔選項。您必須明確指定要允許或拒絕的選項。

VM 執行個體的預期格式為：ainotebooks-vm/PROJECT_ID/IMAGE_TYPE/CONSTRAINED_VALUE。請將 IMAGE_TYPE 替換為 image-family 或 image-name。

例如：

ainotebooks-vm/deeplearning-platform-release/image-family/pytorch-1-4-cpu ainotebooks-vm/deeplearning-platform-release/image-name/pytorch-latest-cpu-20200615

容器映像檔的預期格式為：ainotebooks-container/CONTAINER_REPOSITORY:TAG

例如：

ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:latest ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:m48
適用產品
  • 組織政策服務
  • Vertex AI Workbench
路徑 constraints/ainotebooks.environmentOptions
運算子 Is
類型 清單
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

強制 Vertex AI Workbench 使用者管理的筆記本和執行個體自動執行排定的更新作業

Google 控制項 ID VAI-CO-4.6
類別 必要
說明

ainotebooks.requireAutoUpgradeSchedule 布林值限制會禁止您在未定義自動升級作業排程的情況下，建立 Vertex AI Workbench 使用者自行管理的筆記本和執行個體。

如要定義自動升級作業的 Cron 排程，請使用 notebook-upgrade-schedule 中繼資料旗標。例如：

--metadata=notebook-upgrade-schedule="00 19 * * MON"
適用產品
  • 組織政策服務
  • Vertex AI Workbench
路徑 constraints/ainotebooks.requireAutoUpgradeSchedule
運算子 Is
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • MA-2
  • MA-3
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

限制新 Vertex AI Workbench 筆記本和執行個體的公開存取權

Google 控制項 ID VAI-CO-4.7
類別 必要
說明

這項布林值限制會禁止公開 IP 位址存取 Vertex AI Workbench 筆記本和執行個體。公開 IP 位址預設可存取 Vertex AI Workbench 筆記本和執行個體。
適用產品
  • 組織政策服務
  • Vertex AI Workbench
路徑 constraints/ainotebooks.restrictPublicIp
運算子 is
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-3.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4

限制 Vertex AI Workbench 執行個體的虛擬私有雲網路

Google 控制項 ID VAI-CO-4.8
類別 必要
說明

ainotebooks.restrictVpcNetworks 清單限制定義了使用者在建立 Vertex AI Workbench 執行個體時，可以選取的虛擬私有雲網路。根據預設，您可以在任何虛擬私有雲網路中建立 Vertex AI Workbench 執行個體。

請使用下列其中一種格式，定義允許或拒絕的網路清單：

  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/global/networks/NETWORK_NAME
適用產品
  • 組織政策服務
  • Vertex AI Workbench
路徑 constraints/ainotebooks.restrictVpcNetworks
運算子 is
類型 清單
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-3.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4

後續步驟