Informazioni sull'accesso all'API Vertex AI

Le applicazioni possono connettersi alle API nell'ambiente di produzione di Google da Google Cloud o da reti ibride (on-premise e multi-cloud). Google Cloud offre le seguenti opzioni di accesso pubblico e privato, che offrono connettività globale e sicurezza SSL/TLS:

  1. Accesso a internet pubblico: invia il traffico a REGION-aiplatform.googleapis.com.
  2. Accesso privato Google per gli host on-premise: utilizza l'intervallo di subnet dell'indirizzo IP 199.36.153.8/30 (private.googleapis.com) o 199.36.153.4/30 (restricted.googleapis.com) per accedere a REGION-aiplatform.googleapis.com.
  3. Endpoint Private Service Connect per le API di Google: utilizza un indirizzo IP interno definito dall'utente, come 10.0.0.100, per accedere a REGION-aiplatform.googleapis.com, o un nome DNS assegnato, come aiplatform-genai1.p.googleapis.com.

Il diagramma seguente illustra queste opzioni di accesso.

Diagramma dell'architettura dell'accesso all'API Vertex AI con metodi pubblici e privati

Alcuni producer di servizi Vertex AI richiedono la connessione ai loro servizi mediante l'accesso privato ai servizi o tramite gli endpoint di Private Service Connect. Questi servizi sono elencati nella tabella Opzioni di accesso privato per Vertex AI.

Accesso pubblico a internet all'API Vertex AI

Se la tua applicazione utilizza un servizio Google elencato nella tabella dei metodi di accesso supportati per Vertex AI, l'applicazione può accedere all'API eseguendo una ricerca DNS nell'endpoint di servizio (REGION-aiplatform.googleapis.com), che restituisce gli indirizzi IP virtuali instradabili pubblicamente. Puoi utilizzare l'API da qualsiasi località nel mondo, purché sia disponibile una connessione a internet. Tuttavia, il traffico inviato dalle risorse Google Cloud a questi indirizzi IP rimane all'interno della rete Google.

Accesso privato all'API Vertex AI

L'accesso privato è un'alternativa alla connessione alle API e ai servizi Google su internet. Offre una larghezza di banda superiore, l'affidabilità e prestazioni coerenti. Google Cloud supporta le seguenti opzioni per l'accesso privato alle API di Google tramite servizi di rete ibridi come Cloud Interconnect, Cross-Cloud Interconnect, VPN ad alta disponibilità su Cloud Interconnect e SD-WAN.

Accesso privato Google per gli host on-premise

L'accesso privato Google per gli host on-premise consente ai sistemi on-premise di connettersi alle API e ai servizi Google instradando il traffico tramite servizi di rete ibridi.

L'accesso privato Google richiede di pubblicizzare uno dei seguenti intervalli di indirizzi IP di subnet come route annunciata personalizzata utilizzando il router Cloud:

  • private.googleapis.com: 199.36.153.8/30 e 2600:2d00:0002:2000::/64
  • restricted.googleapis.com: 199.36.153.4/30 e 2600:2d00:0002:1000::/64

Per ulteriori informazioni, consulta Configurare l'accesso privato Google per gli host on-premise.

Endpoint Private Service Connect per l'API Vertex AI

Con Private Service Connect, puoi creare endpoint privati utilizzando indirizzi IP interni globali nella tua rete VPC. Puoi assegnare nomi DNS a questi indirizzi IP interni con nomi significativi come aiplatform-genai1.p.googleapis.com e bigtable-adsteam.p.googleapis.com. Questi nomi e indirizzi IP sono interni alla tua rete VPC e a qualsiasi rete on-premise a cui è connessa tramite servizi di networking ibridi. Puoi controllare quale traffico viene indirizzato a un determinato endpoint e dimostrare che il traffico rimane all'interno di Google Cloud.

  • Puoi creare un indirizzo IP (/32) globale dell'endpoint di Private Service Connect definito dall'utente. Per maggiori informazioni, consulta i requisiti degli indirizzi IP.
  • Devi creare l'endpoint Private Service Connect nella stessa rete VPC del router Cloud.
  • Puoi assegnare nomi DNS a questi indirizzi IP interni con nomi significativi come aiplatform-prodpsc.p.googleapis.com. Per ulteriori informazioni, consulta Informazioni sull'accesso alle API di Google tramite endpoint.

Considerazioni sul deployment

Di seguito sono riportate alcune considerazioni importanti che influiscono sul modo in cui utilizzi l'accesso privato Google e Private Service Connect per accedere all'API Vertex AI.

Annuncio IP

Devi pubblicizzare l'intervallo di subnet di accesso privato Google o l'indirizzo IP dell'endpoint di Private Service Connect per gli ambienti on-premise e multi-cloud dal router Cloud come route annunciata personalizzata. Per maggiori informazioni, consulta Pubblicizzare intervalli IP personalizzati.

Regole firewall

Devi assicurarti che la configurazione del firewall degli ambienti on-premise e multi-cloud consenta il traffico in uscita dagli indirizzi IP delle subnet Accesso privato Google o Private Service Connect.

Configurazione DNS

  • La rete on-premise deve avere zone e record DNS configurati in modo che una richiesta a REGION-aiplatform.googleapis.com venga risolta nella subnet di accesso privato Google o nell'indirizzo IP dell'endpoint Private Service Connect.
  • Puoi creare zone private gestite di Cloud DNS e utilizzare un criterio del server in entrata di Cloud DNS oppure configurare i server dei nomi on-premise. Ad esempio, puoi utilizzare BIND o DNS di Microsoft Active Directory.
  • Se la tua rete on-premise è connessa a una rete VPC, puoi utilizzare Private Service Connect per accedere alle API e ai servizi Google da host on-premise utilizzando l'indirizzo IP interno dell'endpoint. Per maggiori informazioni, consulta Accedere all'endpoint da host on-premise.