Private Service Connect 인터페이스가 생성되면 네트워크 인터페이스가 2개 이상 있는 VM 인스턴스도 생성됩니다. 첫 번째 인터페이스는 프로듀서 VPC 네트워크의 서브넷에 연결됩니다. 두 번째 인터페이스는 소비자 네트워크의 네트워크 연결 서브넷에 대한 연결을 요청합니다. 연결이 수락되면 이 인터페이스에 소비자 서브넷의 내부 IP 주소가 할당됩니다.
비공개 연결의 서비스 프로듀서 측에는 서비스 리소스가 프로비저닝되는 VPC 네트워크가 있습니다. 이 네트워크는 사용자 전용으로 구축되고 사용자의 리소스만 포함합니다.
프로듀서 네트워크와 소비자 네트워크 간의 연결은 Private Service Connect 인터페이스를 통해 설정됩니다.
다음 다이어그램은 소비자 네트워크에서 Vertex AI API가 사용 설정되고 관리되는 Vertex AI Pipelines 아키텍처를 보여줍니다. Vertex AI Pipelines 리소스는 서비스 프로듀서의 VPC 네트워크에 Google 관리 Infrastructure as a Service(IaaS)로 배포됩니다. Private Service Connect 인터페이스는 소비자 서브넷의 IP 주소로 배포되므로 프로듀서 네트워크는 VPC 네트워크, 멀티클라우드 환경, 온프레미스 네트워크에 걸쳐 있는 소비자의 학습된 경로에 액세스할 수 있습니다.
Private Service Connect 인터페이스 배포 옵션
Private Service Connect 인터페이스를 만들려면 먼저 프로듀서 서비스와 동일한 리전을 공유하는 소비자 VPC 내에 서브넷을 배포합니다.
특정 서비스 요구사항을 확인하여 피해야 할 서브넷 범위가 없는지 확인합니다.
그런 다음 서브넷을 참조하는 네트워크 연결을 만듭니다. 네트워크 연결에 할당된 서브넷을 Private Service Connect 인터페이스 배포 전용으로 사용하는 것이 좋습니다.
다음 페이지에서는 Vertex AI Private Service Connect 인터페이스의 특정 사용 사례를 설명합니다.
다음은 온프레미스, 멀티 클라우드, VPC 워크로드에서 Google 관리형 Vertex AI 서비스로의 통신에 관한 고려사항입니다.
Vertex AI 서브넷 권장사항
다음 표에는 Private Service Connect 인터페이스를 지원하는 Vertex AI 서비스에 권장되는 서브넷 범위가 나와 있습니다.
Vertex AI 기능
권장 서브넷 범위
Vertex AI Pipelines
/28
커스텀 학습 작업
/28
Vertex AI 기반 Ray
/28
IP 공지
Private Service Connect 인터페이스를 사용하여 소비자 VPC 네트워크의 서비스에 연결하는 경우 VPC 네트워크의 일반 서브넷에서 IP 주소를 선택합니다.
기본적으로 Cloud Router는 커스텀 공지 모드가 구성되지 않은 한 일반 VPC를 서브넷을 공지합니다. 자세한 내용은 커스텀 광고를 참고하세요.
네트워크 연결과 Private Service Connect 인터페이스 간의 연결은 전이적입니다.
프로듀서 VPC 네트워크의 워크로드가 소비자 VPC 네트워크에 연결된 워크로드와 통신할 수 있습니다.
방화벽 규칙
Private Service Connect 인터페이스는 프로듀서 조직에서 만들고 관리하지만 소비자 VPC 네트워크에 있습니다. 소비자 측 보안을 위해서는 소비자 VPC 네트워크의 IP 주소 범위를 기반으로 하는 방화벽 규칙을 사용하는 것이 좋습니다. 네트워크 연결 서브넷이 소비자 네트워크에 액세스할 수 있도록 방화벽 규칙을 업데이트해야 합니다. 자세한 내용은 프로듀서-소비자 인그레스 제한을 참조하세요.
도메인 이름 변환
Private Service Connect 인터페이스를 지원하는 Vertex AI API를 사용하는 경우 도메인 이름 변환 조회가 지원되지 않습니다. 공개 도메인을 사용하는 경우 DNS 조회는 제작자 네트워크 내에서 지원됩니다. 비공개 DNS 조회의 경우 소비자 레이어 3 IP 주소에 매핑된 호스트 이름 변수를 정의해야 합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[],[],null,["# About accessing Vertex AI services through Private Service Connect interfaces\n\nSome Vertex AI service producers require you to connect to their\nservices through\n[Private Service Connect interfaces](/vpc/docs/about-private-service-connect-interfaces).\nThese services are listed in the\n[Vertex AI access methods](/vertex-ai/docs/general/netsec-overview#access-methods)\ntable.\n\nWhen a Private Service Connect interface is created, a VM instance with\nat least two network interfaces is also created. The first interface connects to\na subnet in a producer VPC network. The second interface requests a connection\nto the [network attachment](/vpc/docs/about-network-attachments) subnet in a\nconsumer network. If accepted, this interface is assigned an internal IP address\nfrom the consumer subnet.\n\nOn the service producer's side of the private connection, there is a\nVPC network where your service resources are provisioned. This\nnetwork is created exclusively for you and contains only your resources.\nConnectivity between the producer and consumer network is established through the\nPrivate Service Connect interface.\n\nThe following diagram shows a Vertex AI Pipelines architecture in which\nthe Vertex AI API is enabled and managed in the consumer's network. The\nVertex AI Pipelines resources are deployed as a Google-managed\ninfrastructure as a service (IaaS) in the service producer's VPC\nnetwork. Since the Private Service Connect interface is deployed with\nan IP address from the consumer's subnet, the producer's network has access to\nthe consumer's learned routes that can span VPC networks,\nmulticloud environments, and on-premises networks.\n\nPrivate Service Connect interface deployment options\n----------------------------------------------------\n\nTo create a Private Service Connect interface, first deploy a subnet\nwithin the consumer VPC that shares the same region as your producer service.\nCheck the specific service requirements to make sure there are no subnet ranges\nthat you should avoid.\nThen create a network attachment that references the subnet. We recommend\nthat you dedicate the subnet allocated for the network attachment exclusively to\nPrivate Service Connect interface deployments.\n\nThe following pages discuss specific use cases for Vertex AI\nPrivate Service Connect interfaces:\n\n- [Configure Private Service Connect interface for a pipeline](/vertex-ai/docs/pipelines/configure-private-service-connect)\n- [Use Private Service Connect interface for Vertex AI Training](/vertex-ai/docs/training/psc-i-egress)\n- [Create a Ray cluster on Vertex AI](/vertex-ai/docs/open-source/ray-on-vertex-ai/create-cluster#enable_interface)\n\nDeployment considerations\n-------------------------\n\nThe following are considerations for communication from your on-premises,\nmulticloud, and VPC workloads to Google-managed\nVertex AI services.\n\n### Vertex AI subnet recommendations\n\nThe following table lists the recommended subnet ranges for Vertex AI\nservices that support Private Service Connect interfaces.\n\n### IP advertisement\n\n- When you use the Private Service Connect interface to connect to services in the consumer VPC network, you choose an IP address from a [regular subnet](/vpc/docs/subnets#purpose) in your VPC network.\n- By default, the Cloud Router will advertise regular VPC subnets unless custom advertisement mode is configured. For more information, see [Custom advertisement](/network-connectivity/docs/router/concepts/advertised-routes#am-custom).\n- A connection between a network attachment and a Private Service Connect interface is [transitive](/vpc/docs/about-private-service-connect-interfaces#other-networks). Workloads in the producer VPC network can communicate with workloads that are connected to the consumer VPC network.\n\n### Firewall rules\n\nPrivate Service Connect interfaces are created and managed by a\nproducer organization, but they are located in a consumer VPC\nnetwork. For consumer-side security, we recommend firewall rules that are based\non IP address ranges from the consumer VPC network. You must\nupdate firewall rules to allow the network attachment subnet access to the\nconsumer's network. For more information, see\n[Limit producer-to-consumer ingress](/vpc/docs/configure-security-network-attachments#producer-to-consumer-ingress).\n\n### Domain name resolution\n\nWhen using Vertex AI APIs that support Private Service Connect\ninterfaces, domain name resolution lookup isn't supported. If you're using a\npublic domain, DNS lookup is supported within the producer's network. For\nprivate DNS lookup, you must define hostname variables that are mapped to\nconsumer Layer 3 IP addresses.\n\nWhat's next\n-----------\n\n- Learn about [network attachment specifications](/vpc/docs/about-network-attachments#specifications).\n- Try a [codelab on using Private Service Connect interfaces with Vertex AI Pipelines](https://codelabs.developers.google.com/psc-interface-pipelines)."]]
