Configurer le magasin de métadonnées de votre projet

Vertex ML Metadata permet de suivre et d'analyser les métadonnées produites par vos workflows de machine learning (ML). La première fois que vous exécutez une tâche PipelineJob ou que vous créez un test dans le SDK Vertex, Vertex AI crée le MetadataStore de votre projet.

Si vous souhaitez que vos métadonnées soient chiffrées à l'aide d'une clé de chiffrement gérée par le client (CMEK, customer-managed encryption key), vous devez créer votre magasin de métadonnées à l'aide d'une clé CMEK avant d'utiliser Vertex ML Metadata pour le suivi ou l'analyse des métadonnées.

Une fois le magasin de métadonnées créé, la clé CMEK utilisée par le magasin de métadonnées est indépendante de la clé CMEK utilisée par les processus qui consignent les métadonnées, par exemple, une exécution de pipeline.

Créer un magasin de métadonnées utilisant une clé CMEK

Suivez les instructions ci-dessous pour créer une clé CMEK et configurer un magasin de métadonnées Vertex ML Metadata utilisant cette clé CMEK.

1. Utilisez Cloud Key Management Service pour configurer une clé de chiffrement gérée par le client.

2. Utilisez l'appel REST suivant pour créer le magasin de métadonnées par défaut de votre projet à l'aide de votre clé CMEK.

   Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

   • LOCATION_ID : votre région.
   • PROJECT_ID : l'ID de votre projet.
   • KEY_RING : nom du trousseau de clés Cloud Key Management Service sur lequel votre clé de chiffrement est activée.
   • KEY_NAME : nom de la clé de chiffrement que vous souhaitez utiliser pour ce magasin de métadonnées.

   Méthode HTTP et URL :

   POST https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/metadataStores?metadata_store_id=default

   Corps JSON de la requête :

   {
     "encryption_spec": {
       "kms_key_name": "projects/PROJECT_ID/locations/LOCATION_ID/keyRings/KEY_RING/cryptoKeys/KEY_NAME"
     },
   }
   

   Pour envoyer votre requête, développez l'une des options suivantes :

   curl (Linux, macOS ou Cloud Shell)

   Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter gcloud auth list pour vérifier le compte actuellement actif.

   Enregistrez le corps de la requête dans un fichier nommé request.json. Exécutez la commande suivante dans le terminal pour créer ou écraser ce fichier dans le répertoire actuel :

   cat > request.json << 'EOF'
   {
     "encryption_spec": {
       "kms_key_name": "projects/PROJECT_ID/locations/LOCATION_ID/keyRings/KEY_RING/cryptoKeys/KEY_NAME"
     },
   }
   EOF

   Exécutez ensuite la commande suivante pour envoyer votre requête REST :

   curl -X POST \
       -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       -H "Content-Type: application/json; charset=utf-8" \
       -d @request.json \
       "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/metadataStores?metadata_store_id=default"

   PowerShell (Windows)

   Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter gcloud auth list pour vérifier le compte actuellement actif.

   Enregistrez le corps de la requête dans un fichier nommé request.json. Exécutez la commande suivante dans le terminal pour créer ou écraser ce fichier dans le répertoire actuel :

   @'
   {
     "encryption_spec": {
       "kms_key_name": "projects/PROJECT_ID/locations/LOCATION_ID/keyRings/KEY_RING/cryptoKeys/KEY_NAME"
     },
   }
   '@  | Out-File -FilePath request.json -Encoding utf8

   Exécutez ensuite la commande suivante pour envoyer votre requête REST :

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/metadataStores?metadata_store_id=default" | Select-Object -Expand Content

   Vous devriez recevoir une réponse JSON de ce type :

   {
     "name": "projects/PROJECT_ID/locations/LOCATION_ID/operations/OPERATIONS_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.aiplatform.v1.CreateMetadataStoreOperationMetadata",
       "genericMetadata": {
         "createTime": "2021-05-18T18:47:14.494997Z",
         "updateTime": "2021-05-18T18:47:14.494997Z"
       }
     }
   }