Vertex AI Agent Engine supporta l'interfaccia Private Service Connect (interfaccia PSC) e il peering DNS per il traffico in uscita privato e sicuro.
Panoramica
L'agente viene implementato in una rete sicura e gestita da Google senza accesso alla rete Virtual Private Cloud (VPC). Un'interfaccia PSC crea un bridge privato e sicuro alla tua rete, il che la rende la soluzione consigliata per interagire con i servizi ospitati privatamente nei tuoi ambienti VPC, on-premise e multi-cloud.
Quando configuri un'interfaccia PSC, Agent Engine esegue il provisioning di un'interfaccia in un progetto tenant di proprietà di Google in cui viene eseguito l'agente. Questa interfaccia si connette direttamente a un collegamento di rete nel tuo progetto. Tutto il traffico tra l'agente e il VPC viene trasferito in modo sicuro all'interno della rete di Google, senza mai attraversare la rete internet pubblica.
Oltre a fornire l'accesso privato, l'interfaccia PSC è necessaria per abilitare l'accesso a internet quando utilizzi i Controlli di servizio VPC.
La capacità dell'agente di accedere a internet pubblico dipende dalla configurazione di sicurezza del tuo progetto, in particolare se utilizzi Controlli di servizio VPC.
Senza Controlli di servizio VPC: quando configuri l'agente solo con un'interfaccia PSC, l'agente mantiene il suo accesso a internet predefinito. Questo traffico in uscita esce direttamente dall'ambiente sicuro e gestito da Google in cui viene eseguito l'agente.
Con Controlli di servizio VPC: quando il tuo progetto fa parte di un perimetro di Controlli di servizio VPC, l'accesso a internet predefinito dell'agente viene bloccato dal perimetro per impedire l'esfiltrazione di dati. Per consentire all'agente di accedere a internet pubblico in questo scenario, devi configurare esplicitamente un percorso di uscita sicuro che indirizzi il traffico tramite il tuo VPC. Il modo consigliato per farlo è configurare un server proxy all'interno del perimetro VPC e creare un gateway Cloud NAT per consentire alla VM proxy di accedere a internet.
Dettagli della configurazione per l'interfaccia Private Service Connect
Per abilitare la connettività privata per l'agente di cui è stato eseguito il deployment utilizzando l'interfaccia Private Service Connect, devi configurare una rete VPC, una subnet e un collegamento di rete nel tuo progetto utente.
Requisiti per l'intervallo IP della subnet
Agent Engine consiglia una subnet /28.
La subnet dell'allegato di rete supporta indirizzi RFC 1918 e non RFC 1918, ad eccezione delle subnet 100.64.0.0/10 e 240.0.0.0/4.
Agent Engine può connettersi solo a intervalli di indirizzi IP RFC 1918 instradabili
dalla rete specificata. Agent Engine non può raggiungere un indirizzo IP pubblico utilizzato privatamente
o i seguenti intervalli non RFC 1918:
100.64.0.0/10192.0.0.0/24192.0.2.0/24198.18.0.0/15198.51.100.0/24203.0.113.0/24240.0.0.0/4
Per ulteriori informazioni, consulta Configurare un'interfaccia Private Service Connect.
Utilizzo dell'interfaccia Private Service Connect con VPC condiviso
Puoi utilizzare l'interfaccia Private Service Connect con un'architettura VPC condiviso, che ti consente di creare Agent Engine in un progetto di servizio utilizzando una rete di un progetto host centrale.
Quando configuri l'interfaccia PSC in un ambiente VPC condiviso, crea la subnet nel progetto host, quindi crea il collegamento di rete nel progetto di servizio.
Affinché il progetto di servizio utilizzi la rete del progetto host, devi concedere l'autorizzazione IAM appropriata. L'agente di servizio Vertex AI del tuo
progetto di servizio necessita del ruolo Utente di rete Compute (roles/compute.networkUser)
nel progetto host.
Peering DNS
Mentre l'interfaccia Private Service Connect fornisce il percorso di rete sicuro, il peering DNS fornisce il meccanismo di Service Discovery. Con l'interfaccia PSC, devi conoscere l'indirizzo IP specifico del servizio nella rete VPC. Sebbene sia possibile connettersi ai servizi utilizzando i relativi indirizzi IP interni, questa operazione non è consigliata per i sistemi di produzione in cui gli IP possono cambiare. Con il peering DNS, l'agente di cui è stato eseguito il deployment può connettersi ai servizi nella tua rete VPC utilizzando nomi DNS stabili e leggibili anziché indirizzi IP. Il peering DNS consente agli agenti di cui è stato eseguito il deployment di risolvere i nomi DNS utilizzando i record di una zona privata Cloud DNS nel tuo VPC. Per saperne di più, consulta Configurare un peering DNS privato.
Passaggi successivi
- Esegui il deployment dell'agente con l'interfaccia Private Service Connect e il peering DNS.