Membuat instance notebook yang dikelola pengguna yang aman dalam jaringan VPC

Membuat dan mengonfigurasi VPC mandiri

1. Buat jaringan VPC bernama securevertex-vpc:

   gcloud compute networks create securevertex-vpc --subnet-mode=custom
   

2. Buat subnet bernama securevertex-subnet-a, dengan rentang IPv4 utama 10.10.10.0/29:

   gcloud compute networks subnets create securevertex-subnet-a --range=10.10.10.0/29 --network=securevertex-vpc --region=us-central1 --enable-private-ip-google-access
   

   Jika diinginkan, Anda dapat memberikan nilai yang berbeda untuk parameter --range. Namun, panjang imbuhan minimum untuk satu notebook adalah 29. Untuk mengetahui informasi selengkapnya, lihat Rentang subnet IPv4.

3. Buat Cloud Router regional bernama cloud-router-us-central1:

   gcloud compute routers create cloud-router-us-central1 --network securevertex-vpc --region us-central1
   

4. Buat gateway Cloud NAT regional bernama cloud-nat-us-central1:

   gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-us-central1 --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
   

Membuat bucket Cloud Storage

1. Buat bucket Cloud Storage:

   gcloud storage buckets create --location=us-central1 --uniform-bucket-level-access gs://BUCKET_NAME
   

   Ganti BUCKET_NAME dengan nama unik bucket.

2. Tetapkan variabel shell BUCKET_NAME dan pastikan variabel shell telah dimasukkan dengan benar:

   BUCKET_NAME=BUCKET_NAME
   echo $BUCKET_NAME
   

   Ganti BUCKET_NAME dengan nama bucket.

Membuat dan mengupload skrip pasca-startup

1. Untuk membuat skrip, gunakan editor teks seperti vi atau nano untuk membuat file bernama poststartup.sh.

2. Tempel skrip shell berikut ke dalam file:

   #! /bin/bash
   echo "Current user: id" >> /tmp/notebook_config.log 2>&1
   echo "Changing dir to /home/jupyter" >> /tmp/notebook_config.log 2>&1
   cd /home/jupyter
   echo "Cloning generative-ai from github" >> /tmp/notebook_config.log 2>&1
   su - jupyter -c "git clone http://github.com/GoogleCloudPlatform/generative-ai.git" >> /tmp/notebook_config.log 2>&1
   echo "Current user: id" >> /tmp/notebook_config.log 2>&1
   echo "Installing python packages" >> /tmp/notebook_config.log 2&1
   su - jupyter -c "pip install --upgrade --no-warn-conflicts --no-warn-script-location --user \
        google-cloud-bigquery \
        google-cloud-pipeline-components \
        google-cloud-aiplatform \
        seaborn \
        kfp" >> /tmp/notebook_config.log 2>&1
   

3. Simpan file.

4. Upload file ke bucket Cloud Storage Anda:

   gcloud storage cp poststartup.sh gs://$BUCKET_NAME
   

Membuat akun layanan kustom

Saat membuat instance notebook yang dikelola pengguna, sebaiknya Anda menghapus centang pada kotak Gunakan akun layanan default Compute Engine dan tentukan akun layanan kustom. Akun layanan default Compute Engine (dan dengan demikian siapa pun yang Anda tetapkan sebagai pengguna instance) diberi peran Editor (roles/editor) pada project Anda. Anda dapat menonaktifkan perilaku ini dengan menonaktifkan pemberian peran otomatis untuk akun layanan default.

1. Buat akun layanan kustom bernama user-managed-notebook-sa:

   gcloud iam service-accounts create user-managed-notebook-sa \
   --display-name="user-managed-notebook-sa"
   

2. Tetapkan peran IAM Storage Object Viewer ke akun layanan:

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/storage.objectViewer"
   

3. Tetapkan peran Vertex AI User IAM ke akun layanan:

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/aiplatform.user"
   

Membuat instance notebook yang dikelola pengguna

1. Di konsol Google Cloud, buka halaman Notebook yang dikelola pengguna.

   Buka Notebook yang dikelola pengguna

2. Klik add_box Buat baru, lalu pilih Opsi Lanjutan.

   Halaman Buat instance akan terbuka.

3. Di halaman Buat instance, di bagian Detail, berikan informasi berikut untuk instance baru Anda, lalu klik Lanjutkan .

   • Nama: Berikan nama untuk instance baru Anda, atau setujui nama default.
   • Region: Pilih us-central1.
   • Zona: Pilih us-central1-a.

4. Di bagian Lingkungan, berikan hal berikut, lalu klik Lanjutkan:

   • Skrip pasca-startup: Klik Jelajahi, klik dua kali file poststartup.sh, klik sekali lagi, lalu klik Pilih.

5. Di bagian Jenis mesin, berikan informasi berikut, lalu klik Lanjutkan:

   • Shielded VM: Pilih kotak centang berikut:

     • Secure Boot
     • Virtual Trusted Platform Module (vTPM)
     • Integrity monitoring

6. Di bagian Disk, pastikan Kunci enkripsi yang dikelola Google dipilih, lalu klik Lanjutkan:

7. Di bagian Networking, berikan hal berikut, lalu klik Lanjutkan:

   • Networking: Pilih Network dalam project ini dan selesaikan langkah-langkah berikut:

     1. Pada kolom Network, pilih securevertex-vpc.

     2. Di kolom Subnetwork, pilih securevertex-subnet-a.

     3. Hapus centang pada kotak Tetapkan alamat IP eksternal. Dengan tidak menetapkan alamat IP eksternal, Anda dapat mencegah instance menerima komunikasi yang tidak diminta dari internet atau jaringan VPC lainnya.

     4. Centang kotak Izinkan akses proxy.

8. Di bagian IAM dan keamanan, berikan hal berikut, lalu klik Lanjutkan:

   • IAM dan keamanan: Untuk memberikan akses kepada satu pengguna ke antarmuka JupyterLab instance, selesaikan langkah-langkah berikut:

     1. Pilih Satu pengguna.
     2. Di kolom Email pengguna, masukkan alamat email untuk satu akun pengguna. Jika Anda membuat instance untuk orang lain, kondisi berikut akan berlaku:
        • Anda (pembuat instance) tidak memiliki akses ke antarmuka JupyterLab instance. Namun Anda tetap mengontrol instance tersebut, dan Anda dapat memulai, menghentikan, atau menghapusnya.
        • Setelah membuat instance, Anda perlu memberikan peran Service Account User (roles/iam.serviceAccountUser) kepada pengguna di akun layanan instance. Lihat Opsional: Memberikan peran Service Account User kepada pengguna instance.
     3. Hapus centang pada kotak Gunakan akun layanan default Compute Engine. Langkah ini penting, karena akun layanan default Compute Engine (dan dengan demikian satu pengguna yang baru saja Anda tentukan) diberi peran Editor (roles/editor) pada project Anda.

     4. Di kolom Email akun layanan, masukkan user-managed-notebook-sa@$projectid.iam.gserviceaccount.com. (Ini adalah alamat email akun layanan khusus yang Anda buat sebelumnya.) Akun layanan ini memiliki izin terbatas.

        Untuk mempelajari lebih lanjut cara memberikan akses, lihat Mengelola akses ke antarmuka JupyterLab instance notebook yang dikelola pengguna.

   • Opsi keamanan: Hapus centang pada kotak berikut:

     • Akses root ke instance

     Centang kotak berikut:

     • nbconvert nbconvert memungkinkan pengguna mengekspor dan mendownload file notebook sebagai jenis file berbeda, seperti HTML, PDF, atau LaTeX. Setelan ini diperlukan oleh beberapa notebook di repo GitHub Google Cloud Generative AI.

     Hapus centang pada kotak berikut:

     • Mendownload file

     Pilih kotak centang berikut, kecuali jika Anda berada di lingkungan produksi:

     • Akses terminal Ini memungkinkan akses terminal ke instance Anda dari dalam antarmuka pengguna JupyterLab.

9. Di bagian Kondisi Sistem, pilih Upgrade otomatis lingkungan dan berikan hal berikut:

   • Di Pelaporan, centang kotak berikut:

     • Melaporkan kondisi sistem
     • Melaporkan metrik kustom ke Cloud Monitoring
     • Menginstal Cloud Monitoring
     • Melaporkan status DNS untuk domain Google yang diperlukan

10. Klik Create.

Opsional: Memberikan peran Service Account User kepada pengguna instance

Jika Anda membuat instance notebook yang dikelola pengguna untuk pengguna lain, Anda harus memberi mereka peran Service Account User (roles/iam.serviceAccountUser) di akun layanan khusus user-managed-notebook-sa sebagai berikut:

gcloud iam service-accounts add-iam-policy-binding \
    user-managed-notebook-sa@PROJECT_ID.iam.gserviceaccount.com \
    --member="user:USER_EMAIL" \
    --role="roles/iam.serviceAccountUser"

Ganti nilai berikut:

• PROJECT_ID: project ID
• USER_EMAIL: alamat email untuk pengguna

Pastikan bahwa instance notebook yang dikelola pengguna telah dibuat

Vertex AI Workbench membuat instance notebook yang dikelola pengguna berdasarkan properti yang Anda tentukan dan otomatis memulai instance.

Saat instance siap digunakan, Vertex AI Workbench akan mengaktifkan link Buka JupyterLab. Link ini hanya dapat diakses oleh satu pengguna yang Anda tentukan pada saat pembuatan instance.

Buka instance di JupyterLab dan verifikasi bahwa ada repo GitHub Google Cloud Generative AI yang di-clone.

1. Di konsol Google Cloud, buka halaman Notebook yang dikelola pengguna.

   Buka Notebook yang dikelola pengguna

2. Pada daftar instance notebook yang dikelola pengguna, klik link Buka JupyterLab untuk instance yang Anda buat.

   Dalam daftar folder, Anda akan melihat folder generative-ai. Folder ini berisi repo GitHub yang telah di-clone.

Memantau status respons melalui Monitoring

Anda dapat memantau metrik sistem dan aplikasi untuk instance notebook yang dikelola pengguna menggunakan konsol Google Cloud. Untuk mempelajari lebih lanjut pemantauan instance dan cara membuat metrik kustom, lihat Memantau status kondisi.

1. Di konsol Google Cloud, buka halaman Notebook yang dikelola pengguna.

   Buka Notebook yang dikelola pengguna

2. Klik nama instance notebook yang dikelola pengguna yang ingin Anda lihat metriknya.

3. Di halaman Detail notebook, klik tab Monitoring. Tinjau Penggunaan CPU dan Byte Jaringan untuk instance notebook Anda. Untuk mempelajari cara menafsirkan metrik ini, lihat Meninjau metrik resource.

   Jika Anda baru saja membuat instance, Anda tidak akan langsung melihat data apa pun. Tunggu beberapa menit, lalu muat ulang tab konsol.

Membuat jadwal instance VM untuk instance notebook yang dikelola pengguna

Karena instance notebook yang dikelola pengguna merupakan instance VM Compute Engine, Anda dapat menggunakan Compute Engine API untuk membuat jadwal instance VM untuk instance tersebut.

Gunakan jadwal instance VM untuk memulai dan menghentikan instance notebook yang dikelola pengguna. Selama jam-jam ketika instance dihentikan, Anda hanya perlu membayar biaya Cloud Storage.

Anda dapat menyertakan jadwal instance ke instance VM apa pun yang berada di region yang sama, sehingga Anda dapat menggunakan jadwal instance yang sama untuk mengontrol semua instance notebook yang dikelola pengguna di region tersebut.

Untuk mempelajari jadwal instance VM lebih lanjut, lihat Menjadwalkan instance VM untuk dimulai dan dihentikan.

Membuat peran IAM khusus

Sebagai praktik terbaik keamanan, sebaiknya buat peran IAM kustom yang hanya memiliki izin berikut dan tetapkan ke akun layanan default Compute Engine:

• compute.instances.start
• compute.instances.stop

1. Di dalam Cloud Shell, buat peran khusus bernama Vm_Scheduler dan sertakan izin yang diperlukan:

   Buka Cloud Shell

   gcloud iam roles create Vm_Scheduler --project=$projectid \
   --title=vm-scheduler-notebooks \
   --permissions="compute.instances.start,compute.instances.stop" --stage=ga
   

2. Jelaskan peran khusus:

   gcloud iam roles describe Vm_Scheduler --project=$projectid
   

Menetapkan peran ke akun layanan default Compute Engine

Untuk memberi akun layanan default Compute Engine izin agar dapat memulai dan menghentikan instance notebook yang dikelola pengguna, Anda perlu menetapkan peran khusus Vm_Scheduler ke dalamnya.

Akun layanan default Compute Engine untuk project Anda memiliki alamat email berikut: [email protected], dengan PROJECT_NUMBER sebagai nomor project Anda.

1. Identifikasi nomor project Anda dan simpan di variabel shell project_number:

   project_number=$(gcloud projects describe $projectid --format 'get(projectNumber)')
   echo $project_number
   

2. Tetapkan peran khusus ke akun layanan default:

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:[email protected]" --role="projects/$projectid/roles/Vm_Scheduler"
   

Buat dan lampirkan jadwal

Untuk membuat jadwal instance yang memulai instance notebook yang dikelola pengguna pada pukul 07.00 dan menghentikannya pada pukul 18.00:

1. Buat jadwal mulai dan berhenti yang bernama optimize-notebooks:

   gcloud compute resource-policies create instance-schedule optimize-notebooks \
   --region=us-central1 \
   --vm-start-schedule='0 7 * * *' \
   --vm-stop-schedule='0 18 * * *' \
   --timezone=TIME_ZONE
   

   Ganti TIME_ZONE dengan zona waktu IANA berbasis lokasi untuk jadwal instance ini, misalnya, America/Chicago. Jika dihilangkan, nilai default UTC akan digunakan. Untuk mengetahui informasi selengkapnya, lihat zona waktu.

2. Identifikasi nama instance notebook yang dikelola pengguna dengan menjalankan perintah berikut dan mencatat nilai NAME yang ditampilkan:

   gcloud compute instances list
   

3. Simpan nama dalam variabel shell notebook_vm:

   notebook_vm=NOTEBOOK_VM_NAME
   echo $notebook_vm
   

   Ganti NOTEBOOK_VM_NAME dengan nama instance notebook yang dikelola pengguna.

4. Lampirkan jadwal instance ke instance notebook yang dikelola pengguna:

   gcloud compute instances add-resource-policies $notebook_vm \
     --resource-policies=optimize-notebooks \
     --zone=us-central1-a
   

5. Jelaskan jadwal instance:

   gcloud compute resource-policies describe optimize-notebooks \
     --region=us-central1
   

Anda dapat memastikan bahwa jadwal instance berjalan dengan baik dengan memeriksa log audit untuk kebijakan resource jadwal instance dan instance VM yang terpasang. Untuk setiap operasi, Anda mungkin harus menunggu hingga 15 menit setelah waktu yang dijadwalkan.