Informazioni sull'accesso all'API Vertex AI

Le tue applicazioni possono connettersi alle API nell'ambiente di produzione di Google da Google Cloud o da reti ibride (on-premise e multi-cloud). Google Cloud offre le seguenti opzioni di accesso pubblico e privato, che offrono connettività globale e sicurezza SSL/TLS:

  1. Accesso a internet pubblico: invia il traffico a REGION-aiplatform.googleapis.com.
  2. Accesso privato Google per gli host on-premise: utilizza l'intervallo di subnet di indirizzi IP 199.36.153.8/30 (private.googleapis.com) o 199.36.153.4/30 (restricted.googleapis.com) per accedere REGION-aiplatform.googleapis.com.
  3. Endpoint Private Service Connect per API di Google: utilizza un indirizzo IP interno definito dall'utente come 10.0.0.100 per accedere a REGION-aiplatform.googleapis.com o un nome DNS assegnato come aiplatform-genai1.p.googleapis.com.

Il seguente diagramma illustra queste opzioni di accesso.

Diagramma dell'architettura dell'accesso all'API Vertex AI con metodi pubblici e privati

Alcuni producer di servizi Vertex AI richiedono la connessione ai propri servizi tramite accesso privato ai servizi o endpoint Private Service Connect. Questi servizi sono elencati nella tabella Opzioni di accesso privato per Vertex AI.

Accesso a internet pubblico all'API Vertex AI

Se l'applicazione utilizza un servizio Google elencato nella tabella dei metodi di accesso supportati per Vertex AI, l'applicazione può accedere all'API eseguendo una ricerca DNS sull'endpoint di servizio (REGION-aiplatform.googleapis.com), che restituisce gli indirizzi IP virtuali instradabili pubblicamente. Puoi utilizzare l'API da qualsiasi luogo del mondo, purché tu disponga di una connessione a internet. Tuttavia, il traffico inviato dalle risorse Google Cloud a questi indirizzi IP rimane all'interno della rete Google.

Accesso privato all'API Vertex AI

L'accesso privato è un'alternativa alla connessione alle API e ai servizi Google su internet. Offre larghezza di banda, affidabilità e prestazioni coerenti. Google Cloud supporta le seguenti opzioni per accedere privatamente alle API di Google tramite servizi di networking ibridi come Cloud Interconnect, Cross-Cloud Interconnect, VPN ad alta disponibilità su Cloud Interconnect e SD-WAN.

Accesso privato Google per gli host on-premise

L'accesso privato Google per gli host on-premise consente ai sistemi on-premise di connettersi alle API e ai servizi Google instradando il traffico attraverso servizi di networking ibridi.

L'accesso privato Google richiede di pubblicizzare uno dei seguenti intervalli di indirizzi IP di subnet come annuncio di route personalizzata utilizzando il router Cloud:

  • private.googleapis.com: 199.36.153.8/30, 2600:2d00:0002:2000::/64
  • restricted.googleapis.com: 199.36.153.4/30, 2600:2d00:0002:1000::/64

Per ulteriori informazioni, consulta Configurare l'accesso privato Google per gli host on-premise.

Endpoint Private Service Connect per l'API Vertex AI

Con Private Service Connect puoi creare endpoint privati utilizzando indirizzi IP interni globali all'interno della tua rete VPC. Puoi assegnare nomi DNS a questi indirizzi IP interni con nomi significativi come aiplatform-genai1.p.googleapis.com e bigtable-adsteam.p.googleapis.com. Questi nomi e indirizzi IP sono interni alla rete VPC e a qualsiasi rete on-premise connessa tramite servizi di networking ibridi. Puoi controllare quale traffico va a quale endpoint e puoi dimostrare che il traffico rimane all'interno di Google Cloud.

  • Puoi creare un indirizzo IP dell'endpoint Private Service Connect globale (/32) definito dall'utente. Per ulteriori informazioni, consulta i requisiti degli indirizzi IP.
  • L'endpoint Private Service Connect viene creato nella stessa rete VPC del router Cloud.
  • Puoi assegnare nomi DNS a questi indirizzi IP interni con nomi significativi come aiplatform-prodpsc.p.googleapis.com. Per maggiori informazioni, consulta Informazioni sull'accesso alle API di Google tramite endpoint.

Considerazioni sul deployment

Di seguito sono riportate alcune considerazioni importanti che influiscono sulla modalità di utilizzo dell'accesso privato Google e di Private Service Connect per accedere all'API Vertex AI.

Annuncio IP

Devi pubblicizzare l'intervallo di subnet di accesso privato Google o l'indirizzo IP dell'endpoint di Private Service Connect ad ambienti on-premise e multi-cloud dal router Cloud come pubblicità di route personalizzata. Per maggiori informazioni, consulta Pubblicizzare intervalli IP personalizzati.

Regole firewall

Devi assicurarti che la configurazione del firewall degli ambienti on-premise e multi-cloud consenta il traffico in uscita dagli indirizzi IP delle subnet di accesso privato Google o Private Service Connect.

Configurazione DNS

  • La tua rete on-premise deve avere zone e record DNS configurati in modo che una richiesta a REGION-aiplatform.googleapis.com venga risolta nella subnet di accesso privato Google o nell'indirizzo IP dell'endpoint Private Service Connect.
  • Puoi creare zone private gestite di Cloud DNS e utilizzare un criterio del server in entrata di Cloud DNS oppure configurare i server dei nomi on-premise. Ad esempio, puoi utilizzare BIND o DNS Microsoft Active Directory.
  • Se la tua rete on-premise è connessa a una rete VPC, puoi utilizzare Private Service Connect per accedere alle API e ai servizi Google da host on-premise utilizzando l'indirizzo IP interno dell'endpoint. Per maggiori informazioni, consulta Accedere all'endpoint da host on-premise.