カスタムサービスアカウントを使用する

このガイドでは、以下のシナリオでカスタムサービスアカウントを使用するように Vertex AI を構成する方法について説明します。

カスタムトレーニングを行う場合、事前にビルドされたコンテナかカスタムコンテナかにかかわらず、トレーニングコンテナ内でカスタムサービスアカウントを使用するように Vertex AI を構成できます。
カスタムトレーニングの Model リソースを Endpoint リソースにデプロイし、オンライン予測を行う場合は、事前にビルドされたコンテナかカスタムコンテナかにかかわらず、予測を提供するコンテナでカスタムサービスアカウントを使用するように Vertex AI を構成できます。
Ray on Vertex AI クラスタを作成するときに、クラスタ内のすべてのノードにカスタムサービスアカウントを設定できます。

カスタムサービスアカウントを使用する場合

Vertex AI は通常、Google Cloud プロジェクトに作成され、管理されるサービスアカウントの権限で実行されます。特定のコンテキストで Vertex AI に別の Google Cloud サービスへのアクセスを許可する場合、Vertex AI のサービスエージェントに特別なロールを追加できます。

ただし、サービスエージェントの権限をカスタマイズすると、きめ細かいアクセス制御が実施されなくなる可能性があります。一般的なユースケースは次のとおりです。

Vertex AI のジョブとモデルに対する権限を減らす。デフォルトの Vertex AI サービスエージェントは BigQuery と Cloud Storage にアクセスできます。
異なるジョブに異なるリソースへのアクセスを許可する。1 つのプロジェクトで複数のユーザーがジョブを起動できるようにしながら、各ユーザーのジョブアクセスを特定の BigQuery テーブルまたは Cloud Storage バケットに制限できます。

たとえば、プロジェクト外の別の Google Cloud リソースにアクセスできるようにするには、実行するカスタムトレーニングジョブを個別にカスタマイズできます。

さらに、サービスエージェントの権限をカスタマイズしても、カスタムトレーニング済みの Model から予測を提供するコンテナで使用可能な権限は変更されません。

カスタムトレーニングを行うたびにアクセスをカスタマイズする場合や、カスタムトレーニング済みの Model 予測コンテナの権限をカスタマイズする場合は、カスタムサービスアカウントを使用する必要があります。

デフォルトのアクセス権

このセクションでは、カスタムトレーニングコンテナで使用可能なデフォルトのアクセス権と、カスタムトレーニング済みの Model リソースの予測コンテナについて説明します。カスタムサービスアカウントを使用すると、特定の CustomJob、HyperparameterTuningJob、TrainingPipeline、DeployedModel リソースに対するアクセス権をオーバーライドします。

コンテナのトレーニング

CustomJob、HyperparameterTuningJob、またはカスタム TrainingPipeline を作成すると、Google Cloud プロジェクトの Vertex AI カスタムコードサービスエージェントを使用してトレーニングコンテナがデフォルトで実行されます。

別の Google Cloud リソースへのアクセス権を付与する方法など、詳細については、AI Platform カスタムコードサービスエージェントをご覧ください。

予測コンテナ

カスタムトレーニング済みの Model を Endpoint にデプロイすると、Vertex AI で管理されているサービスアカウントを使用して予測コンテナが実行されます。このサービスアカウントは、Vertex AI サービスエージェントとは異なります。

予測コンテナがデフォルトで使用するサービスアカウントには、AIP_STORAGE_URI 環境変数に保存された URI で Vertex AI が使用できるモデルアーティファクトの読み取り権限が必要です。サービスアカウントに他の権限を付与しないでください。サービスアカウントの権限はカスタマイズできません。

カスタムサービスアカウントを構成する

以降のセクションでは、Vertex AI で使用するカスタムサービスアカウントの設定方法を説明します。また、サービスアカウントを使用するように CustomJob、HyperparameterTuningJob、TrainingPipeline、DeployedModel を構成する方法についても説明します。Artifact Registry からイメージを pull するようにカスタムサービスアカウントを構成することはできません。Vertex AI は、デフォルトのサービスアカウントを使用してイメージを pull します。

カスタムサービスアカウントを設定する

カスタムサービスアカウントを設定する方法は、次のとおりです。

ユーザーが管理するサービスアカウントを作成します。ユーザー管理のサービスアカウントは、Vertex AI リソースと同じプロジェクトまたは別のプロジェクトに作成できます。
新しいサービスアカウントに IAM ロールを付与します。これにより、カスタムトレーニングと予測中に Vertex AI が使用する Google Cloud サービスとリソースにアクセスできるようになります。
省略可: ユーザー管理のサービスアカウントがトレーニングジョブとは異なるプロジェクトにある場合、トレーニングジョブに接続できるように、ユーザー管理サービスアカウントを構成します。
省略可: 予測のユーザー管理のサービスアカウントも使用する場合は、サービスアカウント管理者のロール（roles/iam.serviceAccountAdmin）を以下のとおり、Vertex AI を使用しているプロジェクトの Vertex AI サービスエージェントに付与する必要があります。
```
gcloud iam service-accounts add-iam-policy-binding \
  --role=roles/iam.serviceAccountAdmin \
  --member=serviceAccount:AI_PLATFORM_SERVICE_AGENT \
  CUSTOM_SERVICE_ACCOUNT
```
次のように置き換えます。
- AI_PLATFORM_SERVICE_AGENT: プロジェクトの Vertex AI サービスエージェントのメールアドレス。次の形式になります。
  
  service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com
  
  Vertex AI サービスエージェントを確認するには、Google Cloud コンソールの [IAM] ページに移動します。
  
  [IAM] に移動
- CUSTOM_SERVICE_ACCOUNT: このセクションの最初の手順で作成した新しいユーザー管理のサービスアカウントのメールアドレス。
注: このコマンドは、プロジェクト全体ではなく、カスタムサービスアカウントリソースに対してのみ、プロジェクトの Vertex AI サービスエージェントにサービスアカウント管理者のロールを付与します。詳しくは、リソースレベルとプロジェクトレベルでの権限の付与をご覧ください。

Vertex AI リソースのカスタムサービスアカウントを指定する

リソースに特定のサービスアカウントを使用するように Vertex AI を構成することをサービスアカウントをリソースに「関連付ける」といいます。以降のセクションでは、前のセクションで作成したサービスアカウントを複数の Vertex AI リソースに関連付ける方法について説明します。

カスタムトレーニングリソースとサービスアカウントを関連付ける

カスタムトレーニング中に新しいサービスアカウントを使用するように Vertex AI を構成するには、カスタムトレーニングの開始時に表示される CustomJobSpec メッセージの serviceAccount フィールドに、サービスアカウントのメールアドレスを指定します作成するカスタムトレーニングリソースの種類に応じて、API リクエスト内のこのフィールドの配置が異なります。

CustomJob を作成する場合、CustomJob.jobSpec.serviceAccount にサービスアカウントのメールアドレスを指定します。

詳細については、CustomJob の作成をご覧ください。
HyperparameterTuningJob を作成する場合、HyperparameterTuningJob.trialJobSpec.serviceAccount にサービスアカウントのメールアドレスを指定します。

詳細については、HyperparameterTuningJob の作成をご覧ください。
ハイパーパラメータ調整なしのカスタム TrainingPipeline を作成する場合は、TrainingPipeline.trainingTaskInputs.serviceAccount にサービスアカウントのメールアドレスを指定します。
ハイパーパラメータ調整を行うカスタム TrainingPipeline を作成する場合は、TrainingPipeline.trainingTaskInputs.trialJobSpec.serviceAccount にサービスアカウントのメールアドレスを指定します。

オンライン予測を行うコンテナにサービスアカウントを関連付ける

新しいサービスアカウントを使用するようにカスタムトレーニング済みの Model 予測コンテナを構成するには、Model を Endpoint にデプロイするときに、サービスアカウントのメールアドレスを指定します。

コンソール

Google Cloud コンソールを使用したモデルのデプロイの手順を行います。モデル設定を指定するときに、[サービスアカウント] プルダウンリストからサービスアカウントを選択します。

gcloud

Vertex AI API を使用したモデルのデプロイの手順を行います。gcloud ai endpoints deploy-model コマンドを実行するときに、--service-account フラグを使用してサービスアカウントのメールアドレスを指定します。

後述のコマンドデータを使用する前に、次のように置き換えます。

ENDPOINT_ID: エンドポイントの ID。
LOCATION_ID: Vertex AI を使用するリージョン。
MODEL_ID: デプロイするモデルの ID。
DEPLOYED_MODEL_NAME: DeployedModel の名前。DeployedModel の Model の表示名を使用することもできます。
MACHINE_TYPE: 省略可。このデプロイの各ノードで使用するマシンリソース。デフォルトの設定は n1-standard-2 です。マシンタイプの詳細。
MIN_REPLICA_COUNT: このデプロイの最小ノード数。ノード数は、予測負荷に応じてノードの最大数まで増減できますが、この数より少なくすることはできません。
MAX_REPLICA_COUNT: このデプロイの最大ノード数。ノード数は、予測負荷に応じてこのノード数まで増減に応じて増減できますが、最大値を超えることはできません。
CUSTOM_SERVICE_ACCOUNT: サービスアカウントのメールアドレス。たとえば SA_NAME@PROJECT_ID.iam.gserviceaccount.com。

gcloud ai endpoints deploy-model コマンドを実行します。

Linux、macOS、Cloud Shell

gcloud ai endpoints deploy-model ENDPOINT_ID \
  --region=LOCATION \
  --model=MODEL_ID \
  --display-name=DEPLOYED_MODEL_NAME \
  --machine-type=MACHINE_TYPE \
  --min-replica-count=MIN_REPLICA_COUNT \
  --max-replica-count=MAX_REPLICA_COUNT \
  --traffic-split=0=100 \
  --service-account=CUSTOM_SERVICE_ACCOUNT

Windows（PowerShell）

gcloud ai endpoints deploy-model ENDPOINT_ID `
  --region=LOCATION `
  --model=MODEL_ID `
  --display-name=DEPLOYED_MODEL_NAME `
  --machine-type=MACHINE_TYPE `
  --min-replica-count=MIN_REPLICA_COUNT `
  --max-replica-count=MAX_REPLICA_COUNT `
  --traffic-split=0=100 `
  --service-account=CUSTOM_SERVICE_ACCOUNT

Windows（cmd.exe）

gcloud ai endpoints deploy-model ENDPOINT_ID ^
  --region=LOCATION ^
  --model=MODEL_ID ^
  --display-name=DEPLOYED_MODEL_NAME ^
  --machine-type=MACHINE_TYPE ^
  --min-replica-count=MIN_REPLICA_COUNT ^
  --max-replica-count=MAX_REPLICA_COUNT ^
  --traffic-split=0=100 ^
  --service-account=CUSTOM_SERVICE_ACCOUNT

API

Vertex AI API を使用したモデルのデプロイの手順を行います。projects.locations.endpoints.deployModel リクエストを送信する場合は、deployedModel.serviceAccount フィールドをサービスアカウントのメールアドレスに設定します。

コードから Google Cloud サービスにアクセスする

前のセクションの手順でカスタムサービスアカウントを使用するように Vertex AI を構成すると、トレーニングコンテナまたは予測コンテナは、そのサービスアカウントがアクセス権を持つ Google Cloud サービスとリソースにアクセスできます。

Google Cloud サービスにアクセスするには、トレーニングコードまたは予測提供コードを作成し、アプリケーションのデフォルト認証情報（ADC）を使用して、アクセスするリソースのプロジェクト ID またはプロジェクト番号を明示的に指定します。他の Google Cloud サービスにアクセスするコードを作成する方法も確認してください。

次のステップ

Vertex AI のアクセス制御について学習する。
特定の IAM 権限とサポートされるオペレーションについて学習する。

カスタム サービス アカウントを使用する