Crea un'istanza sicura di blocchi note gestiti dall'utente in una rete VPC

Crea e configura un VPC autonomo

1. Crea una rete VPC denominata securevertex-vpc:

   gcloud compute networks create securevertex-vpc --subnet-mode=custom
   

2. Crea una subnet denominata securevertex-subnet-a, con un intervallo IPv4 principale 10.10.10.0/29:

   gcloud compute networks subnets create securevertex-subnet-a --range=10.10.10.0/29 --network=securevertex-vpc --region=us-central1 --enable-private-ip-google-access
   

   Se vuoi, puoi fornire un valore diverso per il parametro --range. Tuttavia, la lunghezza minima del prefisso per un singolo blocco note è 29. Per ulteriori informazioni, consulta Intervalli di subnet IPv4.

3. Crea un router Cloud a livello di regione denominato cloud-router-us-central1:

   gcloud compute routers create cloud-router-us-central1 --network securevertex-vpc --region us-central1
   

4. Crea un gateway Cloud NAT a livello di regione denominato cloud-nat-us-central1:

   gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-us-central1 --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
   

Crea un bucket Cloud Storage

1. Crea il bucket Cloud Storage:

   gcloud storage buckets create --location=us-central1 --uniform-bucket-level-access gs://BUCKET_NAME
   

   Sostituisci BUCKET_NAME con un nome di bucket univoco.

2. Imposta la variabile shell BUCKET_NAME e verifica che sia stata inserita correttamente:

   BUCKET_NAME=BUCKET_NAME
   echo $BUCKET_NAME
   

   Sostituisci BUCKET_NAME con il nome del bucket.

Creare e caricare uno script post-avvio

1. Per creare lo script, utilizza un editor di testo come vi o nano per creare un file denominato poststartup.sh.

2. Incolla il seguente script shell nel file:

   #! /bin/bash
   echo "Current user: id" >> /tmp/notebook_config.log 2>&1
   echo "Changing dir to /home/jupyter" >> /tmp/notebook_config.log 2>&1
   cd /home/jupyter
   echo "Cloning generative-ai from github" >> /tmp/notebook_config.log 2>&1
   su - jupyter -c "git clone http://github.com/GoogleCloudPlatform/generative-ai.git" >> /tmp/notebook_config.log 2>&1
   echo "Current user: id" >> /tmp/notebook_config.log 2>&1
   echo "Installing python packages" >> /tmp/notebook_config.log 2&1
   su - jupyter -c "pip install --upgrade --no-warn-conflicts --no-warn-script-location --user \
        google-cloud-bigquery \
        google-cloud-pipeline-components \
        google-cloud-aiplatform \
        seaborn \
        kfp" >> /tmp/notebook_config.log 2>&1
   

3. Salva il file.

4. Carica il file nel bucket Cloud Storage:

   gcloud storage cp poststartup.sh gs://$BUCKET_NAME
   

Creare un account di servizio personalizzato

Quando crei un'istanza di blocchi note gestiti dall'utente, ti consigliamo vivamente di deselezionare la casella di controllo Utilizza l'account di servizio predefinito di Compute Engine e di specificare un account di servizio personalizzato. All'account di servizio predefinito di Compute Engine (e quindi a chiunque specifichi come utente dell'istanza) viene concesso il ruolo Editor (roles/editor) sul tuo progetto. Puoi disabilitare questo comportamento disattivando le concessioni automatiche dei ruoli per gli account di servizio predefiniti.

1. Crea un account di servizio personalizzato denominato user-managed-notebook-sa:

   gcloud iam service-accounts create user-managed-notebook-sa \
   --display-name="user-managed-notebook-sa" 
   

2. Assegna il ruolo IAM Visualizzatore oggetti Storage all'account di servizio:

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/storage.objectViewer"
   

3. Assegna il ruolo IAM Utente Vertex AI all'account di servizio:

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/aiplatform.user"
   

Crea un'istanza di blocchi note gestiti dall'utente

1. Nella console Google Cloud, vai alla pagina Blocchi note gestiti dall'utente.

   Vai ai blocchi note gestiti dall'utente

2. Fai clic su add_box Crea nuovo, quindi seleziona Opzioni avanzate.

   Viene visualizzata la pagina Crea istanza.

3. Nella pagina Crea istanza della sezione Dettagli della pagina, fornisci le seguenti informazioni per la nuova istanza e fai clic su Continua:

   • Nome: fornisci un nome per la nuova istanza o accetta quello predefinito.
   • Regione: seleziona us-central1.
   • Zona: seleziona us-central1-a.

4. Nella sezione Ambiente, fornisci quanto segue e poi fai clic su Continua:

   • Script post-avvio: fai clic su Sfoglia, fai doppio clic sul file poststartup.sh, selezionalo ancora una volta e fai clic su Seleziona.

5. Nella sezione Tipo di macchina, inserisci quanto segue e fai clic su Continua:

   • VM schermata: seleziona le seguenti caselle di controllo:

     • Avvio protetto
     • Virtual Trusted Platform Module (vTPM)
     • Monitoraggio dell'integrità

6. Nella sezione Dischi, assicurati che sia selezionata l'opzione Chiave di crittografia gestita da Google, quindi fai clic su Continua:

7. Nella sezione Networking, fornisci i seguenti dati e fai clic su Continua:

   • Networking: seleziona Rete in questo progetto e completa i seguenti passaggi:

     1. Nel campo Rete, seleziona securevertex-vpc.

     2. Nel campo Subnet, seleziona securevertex-subnet-a.

     3. Deseleziona la casella di controllo Assegna indirizzo IP esterno. La mancata assegnazione di un indirizzo IP esterno impedisce all'istanza di ricevere comunicazioni non richieste da internet o da altre reti VPC.

     4. Seleziona la casella di controllo Consenti accesso proxy.

8. Nella sezione IAM e sicurezza, fornisci quanto segue e fai clic su Continua:

   • IAM e sicurezza: per concedere a un singolo utente l'accesso all'interfaccia JupyterLab dell'istanza, completa i seguenti passaggi:

     1. Seleziona Singolo utente.
     2. Nel campo Email dell'utente, inserisci l'indirizzo email di un singolo account utente. Se stai creando l'istanza per qualcun altro, si applicano le seguenti condizioni:
        • In qualità di creatore dell'istanza, non hai accesso all'interfaccia JupyterLab dell'istanza. Ma sei comunque tu a controllare l'istanza, puoi avviarla, arrestarla o eliminarla.
        • Dopo aver creato l'istanza, devi concedere all'utente il ruolo Utente account di servizio (roles/iam.serviceAccountUser) nell'account di servizio dell'istanza. Vedi (Facoltativo) Concedi il ruolo Utente account di servizio all'utente dell'istanza.
     3. Deseleziona la casella di controllo Utilizza l'account di servizio predefinito di Compute Engine. Questo passaggio è importante, perché all'account di servizio predefinito di Compute Engine (e quindi al singolo utente appena specificato) viene concesso il ruolo Editor (roles/editor) sul tuo progetto.

     4. Nel campo Email account di servizio, inserisci user-managed-notebook-sa@$projectid.iam.gserviceaccount.com. Si tratta dell'indirizzo email dell'account di servizio personalizzato che hai creato in precedenza. Questo account di servizio ha autorizzazioni limitate.

        Per scoprire di più sulla concessione dell'accesso, consulta Gestire l'accesso all'interfaccia JupyterLab di un'istanza di blocchi note gestiti dall'utente.

   • Opzioni di sicurezza. Deseleziona la casella di controllo seguente:

     • Accesso root all'istanza

     Seleziona la casella di controllo seguente:

     • nbconvert nbconvert consente agli utenti di esportare e scaricare un file di blocco note come tipo di file diverso, ad esempio HTML, PDF o LaTeX. Questa impostazione è obbligatoria per alcuni dei blocchi note nel repository GitHub Generative AI di Google Cloud.

     Deseleziona la seguente casella di controllo:

     • Download del file

     Seleziona la casella di controllo seguente, a meno che non ti trovi in un ambiente di produzione:

     • Accesso terminale Consente di accedere al terminale all'istanza dall'interfaccia utente JupyterLab.

9. Nella sezione Integrità del sistema, seleziona Upgrade automatico dell'ambiente e fornisci quanto segue:

   • In Report, seleziona le seguenti caselle di controllo:

     • Segnala integrità del sistema
     • Segnalare metriche personalizzate a Cloud Monitoring
     • Installa Cloud Monitoring
     • Segnala lo stato del DNS per i domini Google richiesti

10. Fai clic su Crea.

(Facoltativo) Concedi il ruolo Utente account di servizio all'utente dell'istanza

Se stai creando l'istanza di blocchi note gestiti dall'utente per un altro utente, devi concedere all'utente il ruolo Utente account di servizio (roles/iam.serviceAccountUser) nell'account di servizio personalizzato user-managed-notebook-sa nel seguente modo:

gcloud iam service-accounts add-iam-policy-binding \
    user-managed-notebook-sa@PROJECT_ID.iam.gserviceaccount.com \
    --member="user:USER_EMAIL" \
    --role="roles/iam.serviceAccountUser"

Sostituisci i seguenti valori:

• PROJECT_ID: l'ID progetto
• USER_EMAIL: l'indirizzo email dell'utente

Verifica che l'istanza di blocchi note gestiti dall'utente sia stata creata

Vertex AI Workbench crea un'istanza di blocchi note gestiti dall'utente sulla base delle proprietà specificate e avvia automaticamente l'istanza.

Quando l'istanza è pronta per l'uso, Vertex AI Workbench attiva un link Apri JupyterLab. Questo link è accessibile solo al singolo utente specificato al momento della creazione dell'istanza.

Apri l'istanza in JupyterLab e verifica che sia presente il repository GitHub clonato Generative AI di Google Cloud.

1. Nella console Google Cloud, vai alla pagina Blocchi note gestiti dall'utente.

   Vai ai blocchi note gestiti dall'utente

2. Nell'elenco delle istanze di blocchi note gestiti dall'utente, fai clic sul link Apri JupyterLab per l'istanza che hai creato.

   Nell'elenco delle cartelle, vedrai una cartella generative-ai. Questa cartella contiene il repository GitHub clonato.

Monitorare lo stato di integrità tramite Monitoring

Puoi monitorare le metriche di sistema e delle applicazioni per le istanze di blocchi note gestiti dall'utente utilizzando la console Google Cloud. Per scoprire di più sul monitoraggio delle istanze e sulla creazione di metriche personalizzate, consulta Monitorare lo stato di integrità.

1. Nella console Google Cloud, vai alla pagina Blocchi note gestiti dall'utente.

   Vai ai blocchi note gestiti dall'utente

2. Fai clic sul nome dell'istanza di blocchi note gestiti dall'utente di cui vuoi visualizzare le metriche.

3. Nella pagina Dettagli blocco note, fai clic sulla scheda Monitoring. Esamina l'utilizzo della CPU e i byte di rete per la tua istanza di blocco note. Per informazioni su come interpretare queste metriche, consulta Esaminare le metriche delle risorse.

   Se hai appena creato l'istanza, non vedrai subito alcun dato. Attendi qualche minuto e aggiorna la scheda della console.

Crea una pianificazione delle istanze VM per l'istanza di blocchi note gestiti dall'utente

Poiché un'istanza di blocchi note gestiti dall'utente è un'istanza VM di Compute Engine, puoi utilizzare le API di Compute Engine per creare la pianificazione di un'istanza VM.

Utilizza una pianificazione di istanza VM per avviare e arrestare l'istanza di blocchi note gestiti dall'utente. Nelle ore in cui l'istanza viene arrestata, paghi solo per i costi di Cloud Storage.

Puoi collegare una pianificazione delle istanze a qualsiasi istanza VM che si trova nella stessa regione, in modo da poter utilizzare la stessa pianificazione delle istanze per controllare tutte le istanze di blocchi note gestiti dall'utente nella regione.

Per saperne di più sulle pianificazioni delle istanze VM, consulta Pianificazione dell'avvio e dell'arresto di un'istanza VM.

Creare un ruolo IAM personalizzato

Come best practice per la sicurezza, ti consigliamo di creare un ruolo IAM personalizzato che abbia solo le seguenti autorizzazioni e di assegnarlo all'account di servizio predefinito di Compute Engine:

• compute.instances.start
• compute.instances.stop

1. In Cloud Shell, crea un ruolo personalizzato denominato Vm_Scheduler e includi le autorizzazioni necessarie:

   Vai a Cloud Shell

   gcloud iam roles create Vm_Scheduler --project=$projectid \
   --title=vm-scheduler-notebooks \
   --permissions="compute.instances.start,compute.instances.stop" --stage=ga 
   

2. Descrivi il ruolo personalizzato:

   gcloud iam roles describe Vm_Scheduler --project=$projectid
   

Assegna il ruolo all'account di servizio predefinito di Compute Engine

Per concedere all'account di servizio predefinito di Compute Engine l'autorizzazione ad avviare e arrestare le istanze di blocchi note gestiti dall'utente, devi assegnare il ruolo personalizzato Vm_Scheduler all'account.

L'account di servizio predefinito di Compute Engine per il tuo progetto ha il seguente indirizzo email: [email protected], dove PROJECT_NUMBER è il numero di progetto.

1. Identifica il numero del progetto e memorizzalo nella variabile shell project_number:

   project_number=$(gcloud projects describe $projectid --format 'get(projectNumber)')
   echo $project_number
   

2. Assegna il ruolo personalizzato all'account di servizio predefinito:

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:[email protected]" --role="projects/$projectid/roles/Vm_Scheduler"
   

Crea e allega il programma

Per creare una pianificazione delle istanze che avvii l'istanza di blocchi note gestiti dall'utente alle 07:00 e li arresti alle 18:00:

1. Crea una programmazione di avvio e interruzione denominata optimize-notebooks:

   gcloud compute resource-policies create instance-schedule optimize-notebooks \
   --region=us-central1 \
   --vm-start-schedule='0 7 * * *' \
   --vm-stop-schedule='0 18 * * *' \
   --timezone=TIME_ZONE
   

   Sostituisci TIME_ZONE con il fuso orario IANA basato sulla località per questa pianificazione dell'istanza, ad esempio America/Chicago. Se omesso, viene utilizzato il valore predefinito UTC. Per ulteriori informazioni, consulta la pagina relativa al fuso orario.

2. Identifica il nome dell'istanza di blocchi note gestiti dall'utente eseguendo il comando seguente e annotando il valore NAME che restituisce:

   gcloud compute instances list
   

3. Memorizza il nome nella variabile shell notebook_vm:

   notebook_vm=NOTEBOOK_VM_NAME
   echo $notebook_vm
   

   Sostituisci NOTEBOOK_VM_NAME con il nome dell'istanza di blocchi note gestiti dall'utente.

4. Collega la pianificazione dell'istanza alla tua istanza di blocchi note gestiti dall'utente:

   gcloud compute instances add-resource-policies $notebook_vm \
     --resource-policies=optimize-notebooks \
     --zone=us-central1-a
   

5. Descrivi la pianificazione dell'istanza:

   gcloud compute resource-policies describe optimize-notebooks \
     --region=us-central1
   

Puoi verificare se la pianificazione delle istanze viene eseguita correttamente controllando gli audit log di Compute Engine per il criterio delle risorse di pianificazione delle istanze e l'istanza VM collegata. Potresti dover attendere fino a 15 minuti dopo l'orario pianificato per ogni operazione.