Crea un'istanza con credenziali di terze parti

Crea un'istanza con credenziali di terze parti

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Questa pagina descrive come creare un'istanza di Vertex AI Workbench con e credenziali di terze parti.

Panoramica

Puoi creare e gestire le istanze di Vertex AI Workbench con e credenziali di terze parti fornite dalla federazione delle identità per la forza lavoro. La federazione delle identità per la forza lavoro utilizza il tuo provider di identità esterno (IdP) per concedere a un gruppo di utenti l'accesso alle istanze di Vertex AI Workbench attraverso un proxy.

L'accesso a un'istanza di Vertex AI Workbench viene concesso assegnando un entità pool forza lavoro all'account di servizio dell'istanza di Vertex AI Workbench.

Prima di iniziare

1. Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

4. Attiva l'API Notebooks.

   Abilita l'API

5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

6. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

7. Attiva l'API Notebooks.

   Abilita l'API

8. Configura l'IdP con forza lavoro pool di identità.

Ruolo richiesto per creare un'istanza

Per assicurarti che l'entità del pool di forza lavoro abbia le autorizzazioni necessarie le autorizzazioni per creare un'istanza di Vertex AI Workbench, chiedi all'amministratore di concedere all'entità del pool di forza lavoro Ruolo IAM Amministratore Notebooks (roles/notebooks.admin) per il progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

L'amministratore potrebbe anche essere in grado di fornire l'entità del pool di forza lavoro le autorizzazioni richieste tramite la ruoli o altri ruoli predefiniti ruoli.

Ruoli richiesti per l'utilizzo di credenziali di terze parti

L'entità del pool di forza lavoro deve accedere Account di servizio dell'istanza di Vertex AI Workbench, con autorizzazioni specifiche.

per garantire che l'entità del pool di forza lavoro abbia le autorizzazioni necessarie per utilizzare un'istanza di Vertex AI Workbench con credenziali di terze parti, chiedi all'amministratore di concedere all'entità del pool di forza lavoro i seguenti ruoli IAM per l'account di servizio che definirai durante la creazione dell'istanza:

• Creatore token account di servizio (roles/iam.serviceAccountTokenCreator)
• Utente account di servizio (roles/iam.serviceAccountUser)

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

L'amministratore potrebbe anche essere in grado di fornire all'entità del pool di forza lavoro le autorizzazioni richieste tramite la ruoli o altri ruoli predefiniti ruoli.

Crea l'istanza utilizzando credenziali di terze parti

Puoi creare un Vertex AI Workbench utilizzando credenziali di terze parti utilizzando il metodo Console Google Cloud o gcloud CLI:

Console

1. Accedi alla console Google Cloud utilizzando un provider di pool di forza lavoro.

   Vai alla console

2. Nella console Google Cloud, vai alla pagina Istanze.

   Vai a Istanze

3. Fai clic su  Crea nuovo.

4. Nella finestra di dialogo Nuova istanza, fai clic su Opzioni avanzate.

5. Nella finestra di dialogo Crea istanza, nella sezione IAM e sicurezza, procedi nel seguente modo:

   1. Assicurati che l'opzione Account di servizio sia selezionata.

   2. Deseleziona Utilizza l'account di servizio Compute Engine predefinito, quindi Nel campo Email account di servizio, inserisci l'account di servizio. all'indirizzo email associato all'entità forza lavoro.

6. Fai clic su Crea.

   Vertex AI Workbench crea un'istanza e la avvia automaticamente. Quando l'istanza è pronta per l'uso, Vertex AI Workbench attiva un link Apri JupyterLab.

gcloud

Segui la guida IAM per l'autenticazione di gcloud CLI con un pool di identità della forza lavoro.

Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

• INSTANCE_NAME: il nome della tua istanza di Vertex AI Workbench; deve iniziare con una lettera seguita da un massimo di 62 lettere minuscole, numeri o trattini (-) e non può terminare con un trattino
• PROJECT_ID: il tuo ID progetto
• LOCATION: la zona in cui vuoi che si trovi l'istanza
• VM_IMAGE_PROJECT: l'ID del progetto Google Cloud che L'immagine VM appartiene a, nel formato: projects/IMAGE_PROJECT_ID
• VM_IMAGE_NAME: nome completo dell'immagine; per trovare il nome di un'immagine di una versione specifica, consulta l'articolo Trovare la versione specifica
• MACHINE_TYPE: il valore tipo di macchina della VM dell'istanza
• METADATA: metadati personalizzati da applicare a questa istanza; ad esempio per specificare uno script post-avvio, puoi utilizzare il tag dei metadati post-startup-script nel formato: "--metadata=post-startup-script=gs://BUCKET_NAME/hello.sh"
• SERVICE_ACCOUNT_EMAIL: l'indirizzo email dell'account di servizio che è associato all'entità forza lavoro

Esegui la persone che seguo :

Linux, macOS o Cloud Shell

Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

gcloud workbench instances create INSTANCE_NAME \
    --project=PROJECT_ID \
    --location=LOCATION \
    --vm-image-project=VM_IMAGE_PROJECT \
    --vm-image-name=VM_IMAGE_NAME \
    --machine-type=MACHINE_TYPE \
    --metadata=METADATA \
    --service-account-email=SERVICE_ACCOUNT_EMAIL

Windows (PowerShell)

Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

gcloud workbench instances create INSTANCE_NAME `
    --project=PROJECT_ID `
    --location=LOCATION `
    --vm-image-project=VM_IMAGE_PROJECT `
    --vm-image-name=VM_IMAGE_NAME `
    --machine-type=MACHINE_TYPE `
    --metadata=METADATA `
    --service-account-email=SERVICE_ACCOUNT_EMAIL

Windows (cmd.exe)

Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

gcloud workbench instances create INSTANCE_NAME ^
    --project=PROJECT_ID ^
    --location=LOCATION ^
    --vm-image-project=VM_IMAGE_PROJECT ^
    --vm-image-name=VM_IMAGE_NAME ^
    --machine-type=MACHINE_TYPE ^
    --metadata=METADATA ^
    --service-account-email=SERVICE_ACCOUNT_EMAIL

Per ulteriori informazioni sul comando per creare dalla riga di comando, consulta gcloud CLI documentazione.

Vertex AI Workbench crea un'istanza e la avvia automaticamente. Quando l'istanza è pronta per l'uso, Vertex AI Workbench attiva un link Apri JupyterLab nella console Google Cloud.

Accedi a Jupyterlab con credenziali di terze parti

La nuova istanza di Vertex AI Workbench crea due URL proxy separati con seguenti domini:

• byoid.googleusercontent.com: questo dominio può essere utilizzato solo dagli utenti con un pool di identità della forza lavoro. Il suo valore viene memorizzato campo di metadati dell'istanza proxy-byoid-url. Questo valore dei metadati attiva Un link Apri JupyterLab in Google Cloud Console della federazione delle identità per la forza lavoro (console.cloud.google/).

• googleusercontent.com: questo dominio può essere utilizzato solo dagli utenti utilizzando l'autenticazione proprietaria predefinita di Google. Il suo valore è archiviato nel campo di metadati dell'istanza proxy-url. Questo il valore dei metadati attiva un link Apri JupyterLab nella Console Google Cloud (console.cloud.google.com).

Passaggi successivi

• Per scoprire di più sulle entità di terze parti da utilizzare per il provisioning dei blocchi note, consulta Federazione delle identità per la forza lavoro.