Menggunakan antarmuka Private Service Connect dengan Vertex AI Agent Engine

Vertex AI Agent Engine mendukung antarmuka Private Service Connect (antarmuka PSC) dan peering DNS untuk traffic keluar pribadi dan aman.

Ringkasan

Agen Anda di-deploy di jaringan yang aman dan dikelola Google tanpa akses ke jaringan Virtual Private Cloud (VPC) Anda. Antarmuka PSC membuat jembatan pribadi dan aman ke jaringan Anda, sehingga menjadikannya solusi yang direkomendasikan untuk berinteraksi dengan layanan yang dihosting secara pribadi di seluruh VPC, lingkungan lokal, dan multi-cloud Anda.

Saat Anda mengonfigurasi antarmuka PSC, Agent Engine akan menyediakan antarmuka di project tenant milik Google tempat agen Anda berjalan. Antarmuka ini terhubung langsung ke lampiran jaringan di project Anda. Semua traffic antara agen dan VPC Anda berjalan dengan aman dalam jaringan Google, dan tidak pernah melintasi internet publik.

Selain menyediakan akses pribadi, antarmuka PSC diperlukan untuk mengaktifkan akses internet saat menggunakan Kontrol Layanan VPC.

Kemampuan agen untuk mengakses internet publik bergantung pada konfigurasi keamanan project Anda, khususnya apakah Anda menggunakan Kontrol Layanan VPC.

  • Tanpa Kontrol Layanan VPC: Saat Anda mengonfigurasi agen hanya dengan antarmuka PSC, agen akan mempertahankan akses internet defaultnya. Traffic keluar ini keluar langsung dari lingkungan yang aman dan dikelola Google tempat agen Anda berjalan.

  • Dengan Kontrol Layanan VPC: Jika project Anda adalah bagian dari perimeter Kontrol Layanan VPC, akses internet default agen akan diblokir oleh perimeter untuk mencegah pemindahan data yang tidak sah. Untuk mengizinkan agen mengakses internet publik dalam skenario ini, Anda harus mengonfigurasi jalur keluar yang aman secara eksplisit yang merutekan traffic melalui VPC Anda. Cara yang direkomendasikan untuk mencapai hal ini adalah dengan menyiapkan server proxy di dalam perimeter VPC Anda dan membuat gateway Cloud NAT untuk mengizinkan VM proxy mengakses internet.

Detail penyiapan untuk antarmuka Private Service Connect

Untuk mengaktifkan konektivitas pribadi bagi agen yang di-deploy menggunakan antarmuka Private Service Connect, Anda perlu menyiapkan jaringan VPC, subnetwork, dan lampiran jaringan di project pengguna Anda.

Persyaratan rentang IP subnetwork

Agent Engine merekomendasikan subnetwork /28.

Subnet lampiran jaringan mendukung alamat RFC 1918 dan non-RFC 1918, kecuali subnet 100.64.0.0/10 dan 240.0.0.0/4. Agent Engine hanya dapat terhubung ke rentang alamat IP RFC 1918 yang dapat dirutekan dari jaringan yang ditentukan. Agent Engine tidak dapat menjangkau alamat IP publik yang digunakan secara pribadi atau rentang non-RFC 1918 berikut:

  • 100.64.0.0/10
  • 192.0.0.0/24
  • 192.0.2.0/24
  • 198.18.0.0/15
  • 198.51.100.0/24
  • 203.0.113.0/24
  • 240.0.0.0/4

Lihat Menyiapkan antarmuka Private Service Connect untuk mengetahui informasi selengkapnya.

Menggunakan antarmuka Private Service Connect dengan VPC Bersama

Anda dapat menggunakan antarmuka Private Service Connect dengan arsitektur VPC Bersama, yang memungkinkan Anda membuat Agent Engine di project layanan sambil menggunakan jaringan dari project host pusat.

Saat menyiapkan antarmuka PSC di lingkungan VPC Bersama, buat subnet di project host, lalu buat lampiran jaringan di project layanan.

Agar project layanan dapat menggunakan jaringan project host, Anda harus memberikan izin IAM yang sesuai. Agen Layanan Vertex AI dari project layanan Anda memerlukan peran Compute Network User (roles/compute.networkUser) di project host.

Peering DNS

Meskipun antarmuka Private Service Connect menyediakan jalur jaringan yang aman, peering DNS menyediakan mekanisme penemuan layanan. Dengan antarmuka PSC, Anda perlu mengetahui alamat IP spesifik layanan di jaringan VPC. Meskipun Anda dapat terhubung ke layanan menggunakan alamat IP internalnya, hal ini tidak direkomendasikan untuk sistem produksi yang IP-nya dapat berubah. Dengan peering DNS, agen yang di-deploy dapat terhubung ke layanan di jaringan VPC Anda menggunakan nama DNS yang stabil dan mudah dibaca, bukan alamat IP. Peering DNS memungkinkan agen yang di-deploy untuk me-resolve nama DNS menggunakan data dari zona pribadi Cloud DNS di VPC Anda. Lihat Menyiapkan peering DNS pribadi untuk mengetahui informasi selengkapnya.

Langkah berikutnya