在 VPC 网络中创建安全的用户管理的笔记本实例

创建和配置独立 VPC

1. 创建名为 securevertex-vpc 的 VPC 网络：

   gcloud compute networks create securevertex-vpc --subnet-mode=custom
   

2. 创建一个名为 securevertex-subnet-a 的子网，其主要 IPv4 范围为 10.10.10.0/29：

   gcloud compute networks subnets create securevertex-subnet-a --range=10.10.10.0/29 --network=securevertex-vpc --region=us-central1 --enable-private-ip-google-access
   

   如果需要，您可以为 --range 参数提供不同值。但是，单个笔记本的最小前缀长度为 29。如需了解详情，请参阅 IPv4 子网范围。

3. 创建名为 cloud-router-us-central1 的区域级 Cloud Router 路由器：

   gcloud compute routers create cloud-router-us-central1 --network securevertex-vpc --region us-central1
   

4. 创建名为 cloud-nat-us-central1 的区域级 Cloud NAT 网关：

   gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-us-central1 --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
   

创建 Cloud Storage 存储桶

1. 创建 Cloud Storage 存储桶：

   gcloud storage buckets create --location=us-central1 --uniform-bucket-level-access gs://BUCKET_NAME
   

   将 BUCKET_NAME 替换为唯一的存储桶名称。

2. 设置 BUCKET_NAME Shell 变量并验证其输入是否正确：

   BUCKET_NAME=BUCKET_NAME
   echo $BUCKET_NAME
   

   将 BUCKET_NAME 替换为存储桶名称。

创建并上传启动后脚本

1. 如需创建脚本，请使用文本编辑器（如 vi 或 nano）创建名为 poststartup.sh 的文件。

2. 将以下 Shell 脚本粘贴到此文件中：

   #! /bin/bash
   echo "Current user: id" >> /tmp/notebook_config.log 2>&1
   echo "Changing dir to /home/jupyter" >> /tmp/notebook_config.log 2>&1
   cd /home/jupyter
   echo "Cloning generative-ai from github" >> /tmp/notebook_config.log 2>&1
   su - jupyter -c "git clone http://github.com/GoogleCloudPlatform/generative-ai.git" >> /tmp/notebook_config.log 2>&1
   echo "Current user: id" >> /tmp/notebook_config.log 2>&1
   echo "Installing python packages" >> /tmp/notebook_config.log 2&1
   su - jupyter -c "pip install --upgrade --no-warn-conflicts --no-warn-script-location --user \
        google-cloud-bigquery \
        google-cloud-pipeline-components \
        google-cloud-aiplatform \
        seaborn \
        kfp" >> /tmp/notebook_config.log 2>&1
   

3. 保存文件。

4. 将该文件上传到 Cloud Storage 存储桶：

   gcloud storage cp poststartup.sh gs://$BUCKET_NAME
   

创建自定义服务账号

创建用户管理的笔记本实例时，我们强烈建议您清除使用 Compute Engine 默认服务账号复选框并指定自定义服务账号。Compute Engine 默认服务账号（以及您指定为实例用户的任何人）将被授予项目的 Editor 角色 (roles/editor)。您可以通过为默认服务账号停用自动角色授予来停用此行为。

1. 创建名为 user-managed-notebook-sa 的自定义服务账号：

   gcloud iam service-accounts create user-managed-notebook-sa \
   --display-name="user-managed-notebook-sa"
   

2. 将 Storage Object Viewer IAM 角色分配给服务账号：

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/storage.objectViewer"
   

3. 将 Vertex AI User IAM 角色分配给服务账号：

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/aiplatform.user"
   

创建用户管理的笔记本实例

1. 在 Google Cloud 控制台中，转到用户管理的笔记本页面。

   进入“用户管理的笔记本”

2. 点击 add_box 新建，然后选择高级选项。

   此时会打开创建实例页面。

3. 在创建实例页面的详细信息部分中，为新实例提供以下信息，然后点击继续：

   • 名称：为新实例提供名称，或接受默认值。
   • 区域：选择 us-central1。
   • 可用区：选择 us-central1-a。

4. 在环境部分中，提供以下内容，然后点击继续：

   • 启动脚本后：点击浏览，双击 poststartup.sh 文件，再次点击它，然后点击 选择。

5. 在机器类型部分中，提供以下内容，然后点击继续：

   • 安全强化型虚拟机：选中以下复选框：

     • 安全启动
     • 虚拟可信平台模块 (vTPM)
     • 完整性监控

6. 在磁盘部分中，确保选中 Google 管理的加密密钥，然后点击继续：

7. 在网络部分中，提供以下内容，然后点击继续：

   • 网络：选择此项目中的网络并完成以下步骤：

     1. 在网络字段中，选择 securevertex-vpc。

     2. 在子网字段中，选择 securevertex-subnet-a。

     3. 清除分配外部 IP 地址复选框。不分配外部 IP 地址可防止实例接收来自互联网或其他 VPC 网络的未经请求的通信。

     4. 选中允许代理访问复选框。

8. 在 IAM 和安全部分，提供以下内容，然后点击继续：

   • IAM 和安全：要向单个用户授予对实例的 JupyterLab 界面的访问权限，请完成以下步骤：

     1. 选择单个用户。
     2. 在用户电子邮件字段中，输入单个用户账号的电子邮件地址。如果您要为其他人创建实例，则适用以下条件：
        • 您（实例创建者）无权访问实例的 JupyterLab 界面。但您仍然可以控制实例，并且可以启动、停止或删除实例。
        • 创建实例后，您需要向用户授予实例服务账号上的 Service Account User 角色 (roles/iam.serviceAccountUser)。请参阅可选：向实例用户授予 Service Account User 角色。
     3. 清除使用 Compute Engine 默认服务账号复选框。此步骤非常重要，因为 Compute Engine 默认服务账号（以及您刚刚指定的单个用户）被授予项目的 Editor 角色 (roles/editor)。

     4. 在服务账号电子邮件地址字段中，输入 user-managed-notebook-sa@$projectid.iam.gserviceaccount.com。（这是您先前创建的自定义服务账号电子邮件地址。）此服务账号的权限有限。

        如需详细了解如何授予访问权限，请参阅管理对用户管理的笔记本实例的 JupyterLab 界面的访问权限。

   • 安全选项：清除以下复选框：

     • 对实例的根访问权限

     选中以下复选框：

     • nbconvert nbconvert 可让用户以其他文件类型（如 HTML、PDF 或 LaTeX）导出和下载笔记文文件。Google Cloud Generative AI GitHub 代码库中的某些笔记本需要此设置。

     清除以下复选框：

     • 文件下载

     除非您处于生产环境，否则请选择以下复选框：

     • 终端访问权限 这将从 JupyterLab 界面对终端进行终端访问。

9. 在系统健康状况部分中，选择环境自动升级并提供以下信息：

   • 在报告中，选中以下复选框：

     • 报告系统健康状况
     • 向 Cloud Monitoring 报告自定义指标
     • 安装 Cloud Monitoring
     • 报告所需 Google 网域的 DNS 状态

10. 点击创建。

可选：向实例用户授予 Service Account User 角色

如果您要为其他用户创建用户管理的笔记本实例，则必须向其授予 Service Account User 角色 (roles/iam.serviceAccountUser) user-managed-notebook-sa 自定义服务账号，如下所示：

gcloud iam service-accounts add-iam-policy-binding \
    user-managed-notebook-sa@PROJECT_ID.iam.gserviceaccount.com \
    --member="user:USER_EMAIL" \
    --role="roles/iam.serviceAccountUser"

替换以下值：

• PROJECT_ID：项目 ID
• USER_EMAIL：用户的电子邮件地址

验证用户管理的笔记本实例是否已创建

Vertex AI Workbench 会根据您指定的属性创建用户管理的笔记本实例，并自动启动该实例。

当实例可供使用时，Vertex AI Workbench 会激活一个打开 JupyterLab 链接。 只有您在创建实例时指定的单个用户才能访问此链接。

在 JupyterLab 中打开实例，并验证克隆的 Google Cloud Generative AI GitHub 代码库是否存在。

1. 在 Google Cloud 控制台中，转到用户管理的笔记本页面。

   进入“用户管理的笔记本”

2. 在用户管理的笔记本实例列表中，点击您创建的实例的打开 JupyterLab 链接。

   在文件夹列表中，您会看到一个 generative-ai 文件夹。此文件夹包含克隆的 GitHub 代码库。

通过 Monitoring 监控健康状况

您可以使用 Google Cloud 控制台监控用户管理的笔记本实例的系统和应用指标。如需详细了解实例监控以及如何创建自定义指标，请参阅监控运行状况。

1. 在 Google Cloud 控制台中，转到用户管理的笔记本页面。

   进入“用户管理的笔记本”

2. 点击要查看其指标的用户管理的笔记本实例的名称。

3. 在笔记本详情页面上，点击 Monitoring 标签页。查看笔记本实例的 CPU 利用率和网络字节。如需了解如何解读这些指标，请参阅查看资源指标。

   如果您刚刚创建了实例，则不会看到任何数据。等待几分钟，然后刷新控制台标签页。

为用户管理的笔记本实例创建虚拟机实例时间表

由于用户管理的笔记本实例是 Compute Engine 虚拟机实例，因此您可以使用 Compute Engine API 为其创建虚拟机实例时间表。

使用虚拟机实例时间表启动和停止用户管理的笔记本实例。在实例停止期间，您只需支付 Cloud Storage 费用。

您可以将实例时间表挂接到同一区域中的任何虚拟机实例，以便使用同一实例时间表来控制区域中所有用户管理的笔记本实例。

如需详细了解虚拟机实例时间表，请参阅安排虚拟机实例启动和停止。

创建自定义 IAM 角色

为保证安全性，我们建议创建仅具有以下权限的自定义 IAM 角色，并将其分配给 Compute Engine 默认服务账号：

• compute.instances.start
• compute.instances.stop

1. 在 Cloud Shell 中，创建一个名为 Vm_Scheduler 的自定义角色并包含必要的权限：

   打开 Cloud Shell

   gcloud iam roles create Vm_Scheduler --project=$projectid \
   --title=vm-scheduler-notebooks \
   --permissions="compute.instances.start,compute.instances.stop" --stage=ga
   

2. 描述自定义角色：

   gcloud iam roles describe Vm_Scheduler --project=$projectid
   

将角色分配给 Compute Engine 默认服务账号

如需授予 Compute Engine 默认服务账号启动和停止用户管理的笔记本实例的权限，您需要为其分配 Vm_Scheduler 自定义角色。

项目的 Compute Engine 默认服务账号具有以下电子邮件地址：[email protected]，其中 PROJECT_NUMBER 是您的项目编号。

1. 识别您的项目编号并将其存储在 project_number Shell 变量中：

   project_number=$(gcloud projects describe $projectid --format 'get(projectNumber)')
   echo $project_number
   

2. 将自定义角色分配给默认服务账号：

   gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:[email protected]" --role="projects/$projectid/roles/Vm_Scheduler"
   

创建并附加时间表

如需创建实例时间表以在上午 7 点启动用户管理的笔记本实例，并在下午 6 点停止这些实例，请执行以下操作：

1. 创建名为 optimize-notebooks 的开始和停止时间表：

   gcloud compute resource-policies create instance-schedule optimize-notebooks \
   --region=us-central1 \
   --vm-start-schedule='0 7 * * *' \
   --vm-stop-schedule='0 18 * * *' \
   --timezone=TIME_ZONE
   

   将 TIME_ZONE 替换为此实例时间表基于位置的 IANA 时区，例如 America/Chicago。如果省略，则使用默认值 UTC。如需了解详情，请参阅时区。

2. 通过运行以下命令并记下其返回的 NAME 值，确定用户管理的笔记本实例的名称：

   gcloud compute instances list
   

3. 将名称存储在 notebook_vm shell 变量中：

   notebook_vm=NOTEBOOK_VM_NAME
   echo $notebook_vm
   

   将 NOTEBOOK_VM_NAME 替换为用户管理的笔记本实例名称。

4. 将实例时间表与用户管理的笔记本实例相关联：

   gcloud compute instances add-resource-policies $notebook_vm \
     --resource-policies=optimize-notebooks \
     --zone=us-central1-a
   

5. 描述实例时间表：

   gcloud compute resource-policies describe optimize-notebooks \
     --region=us-central1
   

如需验证实例时间表是否成功运行，您可以查看实例时间表资源政策和附加的虚拟机实例的 Compute Engine 审核日志。每项操作的预定时间最长可达 15 分钟。