Mit SSH auf JupyterLab zugreifen

Mit SSH auf JupyterLab zugreifen

Von Nutzern verwaltete Vertex AI Workbench-Notebooks wurden verworfen. Am 30. Januar 2025 wird die Unterstützung für nutzerverwaltete Notebooks eingestellt und die Möglichkeit zum Erstellen von nutzerverwalteten Notebookinstanzen wird entfernt. Vorhandene Instanzen funktionieren weiterhin, aber Patches, Updates und Upgrades sind nicht verfügbar. Um Vertex AI Workbench weiterhin zu verwenden, empfehlen wir Ihnen, Ihre nutzerverwalteten Notebooks-Instanzen zu Vertex AI Workbench-Instanzen zu migrieren.

Wenn Sie keinen HTTPS-Zugriff auf eine JupyterLab-Instanz haben, müssen Sie mit SSH eine Verbindung herstellen.

Zum Einrichten der SSH-Portweiterleitung führen Sie die folgenden Schritte aus und greifen dann über einen lokalen Browser auf die JupyterLab-Sitzung zu:

1. Führen Sie den folgenden Befehl mithilfe der Google Cloud CLI in Ihrem bevorzugten Terminal oder in Cloud Shell aus:

   gcloud compute ssh \
       --project PROJECT_ID \
       --zone ZONE \
       INSTANCE_NAME \
       -- -L 8080:localhost:8080
   

   Dabei gilt:

   • PROJECT_ID: Ihre Google Cloud-Projekt-ID
   • ZONE: Zone, in der sich Ihre Instanz befindet.
   • INSTANCE_NAME: der Name Ihrer Instanz

Hinweis: Wenn Sie den Befehl mit Cloud Shell ausführen, fügen Sie den SSH-Flags -4 hinzu, um mithilfe von IPv4 eine Verbindung herzustellen. Beispiel: -- -4 -L LOCAL_PORT:localhost:REMOTE_PORT

1. Greifen Sie über einen lokalen Browser auf Ihre JupyterLab-Sitzung zu:

   • Wenn Sie den Befehl auf Ihrem lokalen Rechner ausgeführt haben, rufen Sie https://localhost:8080 auf, um auf JupyterLab zuzugreifen.

   • Wenn Sie den Befehl mit Cloud Shell ausgeführt haben, greifen Sie über die  Webvorschau auf Port 8080 auf JupyterLab zu.

Mögliche Gründe für fehlenden HTTPS-Zugriff

Um HTTPS-Zugriff auf JupyterLab zu erhalten, muss Ihre nutzerverwaltete Notebookinstanz Zugriff auf einen Google Cloud-Proxydienst haben. Wenn die Instanz gestartet wird, versucht sie, sich beim Proxydienst zu registrieren. Wenn kein Proxyzugriff möglich ist, werden Sie von Ihrer nutzerverwalteten Notebookinstanz aufgefordert, über SSH auf JupyterLab zuzugreifen.

Im Folgenden sind einige häufige Gründe aufgeführt, warum Sie möglicherweise keinen HTTPS-Zugriff auf JupyterLab haben:

• Die Proxymodus-Metadateneinstellung der JupyterLab-Instanz ist falsch.

• Das Netzwerk ist so konfiguriert, dass der Internetzugriff für die virtuellen Maschinen (VMs) blockiert wird, auf denen JupyterLab-Notebooks ausgeführt werden.

• Ihre Instanz mit vom Nutzer verwalteten Notebooks hat keine externe IP-Adresse.

• Ihre Einstellungen für VPC Service Controls blockieren den Zugriff auf Container Registry.

In den folgenden Abschnitten wird beschrieben, wie Sie diese Probleme beheben können.

Damit Änderungen wirksam werden, müssen Sie möglicherweise die VM des Notebooks neu starten, wenn Sie versuchen, diese Probleme zu beheben.

Falsche Proxymodus-Metadateneinstellung der JupyterLab-Instanz

Wenn Sie vom Nutzer verwaltete Notebooks zum Erstellen einer JupyterLab-Instanz verwenden, fügt Vertex AI Workbench standardmäßig die Metadateneinstellung im Proxymodus hinzu. Wenn Sie die Metadateneinstellung im Proxymodus ändern oder entfernen, kann die vom Nutzer verwaltete Notebook-Instanz keine Verbindung zum Proxydienst herstellen.

So sorgen Sie für eine gültige Proxymodus-Metadateneinstellung:

1. Rufen Sie in der Google Cloud Console die Seite Nutzerverwaltete Notebooks auf.

   Zu "Nutzerverwaltete Notebooks"

2. Wählen Sie die Instanz aus, die Sie ändern möchten.

3. Klicken Sie neben VM-Details aufrufen auf In Compute Engine ansehen.

4. Klicken Sie auf der Seite "VM-Details" auf Bearbeiten.

5. Fügen Sie im Abschnitt Metadaten die Metadaten hinzu oder ändern Sie sie, um sicherzustellen, dass es einen proxy-mode entryset to the correct value, for example:project_editors` gibt.

   Weitere Informationen zu den möglichen Werten des proxy-mode-Metadateneintrags

6. Klicken Sie auf Speichern.

Netzwerk blockiert den Internetzugriff

Die JupyterLab-Instanz greift über eine öffentliche URL auf den Proxydienst zu. Wenn Ihre Virtual Private Cloud-Netzwerkeinstellungen den Zugriff auf das öffentliche Internet blockieren oder Ihre Firewallregeln den ausgehenden Traffic blockieren, müssen Sie SSH für den Zugriff auf Ihre nutzerverwaltete Notebookinstanz verwenden. Wenn möglich, sollten Sie mit Ihren Netzwerk- und Firewall-Administratoren zusammenarbeiten, um den Zugriff auf die nutzerverwaltete Notebookinstanz über das öffentliche Internet zu ermöglichen.

Ihre Instanz mit vom Nutzer verwalteten Notebooks hat keine externe IP-Adresse

Möglicherweise haben Sie die nutzerverwaltete Notebookinstanz ohne externe IP-Adresse erstellt. Wenn Sie dies ändern möchten, führen Sie die folgenden Schritte aus:

1. Rufen Sie in der Google Cloud Console die Seite Nutzerverwaltete Notebooks auf.

   Zu "Nutzerverwaltete Notebooks"

2. Klicken Sie auf den Namen der Instanz, die Sie ändern müssen.

3. Klicken Sie auf VM-Details ansehen.

4. Klicken Sie auf Bearbeiten.

5. Maximieren Sie im Abschnitt Netzwerkschnittstellen das Netzwerk, in dem Sie eine externe IP-Adresse verwenden möchten.

6. Klicken Sie auf das Drop-down-Menü Externe IP-Adresse und wählen Sie die gewünschte Option aus. Zur Behebung dieses Problems dürfen Sie nicht Keine auswählen.

7. Klicken Sie im Bereich Netzwerkschnittstellen auf Fertig.

8. Klicken Sie auf Speichern.

VPC Service Controls-Einstellungen blockieren den Zugriff auf Container Registry

Die nutzerverwaltete Notebookinstanz führt einen Agent aus, der von Container Registry heruntergeladen wird, um eine Verbindung zum Proxydienst herzustellen. Ohne diesen Agent kann sich die Instanz nicht mit dem Proxydienst verbinden.

Wenn die Einstellungen für VPC Service Controls den Zugriff auf Container Registry blockieren, müssen Sie den Container Registry-Dienst dem Dienstperimeter von VPC Service Controls hinzufügen. Hier finden Sie weitere Informationen zur Funktionsweise von Dienstperimetern und dazu, welche Dienste mit VPC Service Controls gesichert werden können.

Weitere Fehlerbehebung

Wenn Sie weiterhin keine Verbindung herstellen können, prüfen Sie die Konsolenlogs Ihrer virtuellen Maschine. Mit diesen Logs können Sie unter Umständen herausfinden, warum sich die nutzerverwaltete Notebookinstanz nicht beim Proxydienst registrieren kann.

Führen Sie die folgenden Schritte aus, um auf diese Logs zuzugreifen:

1. Rufen Sie in der Google Cloud Console die Seite Nutzerverwaltete Notebooks auf.

   Zu "Nutzerverwaltete Notebooks"

2. Wählen Sie die Instanz aus, für die Sie eine Fehlerbehebung ausführen möchten.

3. Klicken Sie in Logs auf Serieller Port 1 (Konsole).

Nächste Schritte

Tipps zur Behebung anderer Probleme finden Sie im Abschnitt zur Fehlerbehebung bei nutzerverwalteten Notebooks.