Vertex AI 使用 PSC，以私密方式存取線上預測端點

1. 簡介

地端部署主機可透過公開網際網路 (選項 1) 或 Cloud VPN 或 Cloud Interconnect 搭配 Private Service Connect (PSC) (選項 2)，兩者均提供 SSL/TLS 加密服務，可讓您以原生方式連至線上預測。透過互連網路進行混合式連線，效能比網際網路上的混合式連線效能更高，因此對重要應用程式而言，建議用於重要應用程式，如圖 1 所示。

本教學課程說明如何在兩個虛擬私有雲網路之間，使用高可用性 VPN (HA VPN) 以私密方式存取線上預測，而這些網路可做為多雲端和地端部署私人連線的基礎。

請注意，Vertex Online Prediction 是公開端點，因此您想限制存取的 VPC Service Controls (VPC-SC) 來建立安全範圍，以允許或拒絕存取 Vertex 和其他 Google API。這個教學課程並未涵蓋 VPC-SC，詳情請參閱搭配使用 VPC Service Controls 與 Vertex AI

24a07ba49a7bcb16.png

建構項目

您會設定名為 on-prem-vpc 的虛擬私有雲網路，代表地端部署環境。您的部署項目不存在 on-prem-vpc，而是使用連至地端部署資料中心或雲端供應商的混合式網路。

您會建構一個全方位的 Private Service Connect 架構，說明如何透過 Cloud NAT 公開存取線上預測，以及透過 PSC 私人使用高可用性 VPN (詳見下方說明)。

b545c808b366341a.png

將線上預測部署至 Google Cloud 專案後，我們將探索下列用途：

公開對線上預測的開放權限包括：

  • 建立利用網路位址轉譯 (NAT) 輸出網際網路的 GCE 執行個體 (nat-client)
  • 使用 CURL 推論模型
  • 使用 TCPDUMP 來驗證是否能透過公開 VIP 存取線上預測

具備線上預測的私人存取權包含下列元素：

  • 將模型部署至專案中的 aVertex 線上預測端點
  • 在 preparel-vpc 中建立 Private Service Connect (Googleapis) 端點
  • 將 Cloud Router 的 PSC IP 位址匯出為自訂通告至地端部署虛擬私有雲
  • 建立 GCE 執行個體 (私人用戶端)，並透過 PSC 端點 IP 更新 etc/hosts 檔案
  • 使用 CURL 推論模型
  • 使用 TCPDUMP 來驗證是否透過 PSC 端點 IP 位址存取線上預測

課程內容

  • 如何建立 Private Service Connect 端點
  • 如何透過 Cloud Router 通告 PSC 端點 IP
  • 如何使用 TCPDUMP 驗證公開與私人的線上預測存取權

軟硬體需求

  • Google Cloud 專案

身分與存取權管理權限

Compute 網路管理員

Service Directory 編輯者

DNS 管理員

網路管理員

配額管理員

筆記本管理員

服務帳戶使用者

儲存空間管理員

Vertex AI 使用者

服務帳戶管理員

2. 事前準備

更新專案以支援教學課程

本教學課程將使用 $variables，協助在 Cloud Shell 中實作 gcloud 設定。

在 Cloud Shell 中執行以下操作：

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. 啟用服務

在 Cloud Shell 中執行以下操作：

gcloud services enable dns.googleapis.com
gcloud services enable aiplatform.googleapis.com
gcloud services enable iam.googleapis.com 
gcloud services enable compute.googleapis.com 
gcloud services enable notebooks.googleapis.com

4. Targetl-vpc 設定

建立 preparel-vpc

在 Cloud Shell 中執行以下操作：

gcloud compute networks create aiml-vpc --project=$projectid --subnet-mode=custom

建立使用者自行管理的筆記本子網路

在 Cloud Shell 中執行以下操作：

gcloud compute networks subnets create workbench-subnet --project=$projectid --range=172.16.10.0/28 --network=aiml-vpc --region=us-central1 --enable-private-ip-google-access

Cloud Router 和 NAT 設定

使用者管理的筆記本執行個體沒有外部 IP 位址，因此教學課程會使用 Cloud NAT 下載筆記本軟體套件。Cloud NAT 也提供輸出 NAT 功能，因此網際網路主機無法與使用者自行管理的筆記本展開通訊，因此更加安全。

在 Cloud Shell 建立區域性 Cloud Router。

gcloud compute routers create cloud-router-us-central1-aiml-nat --network aiml-vpc --region us-central1

在 Cloud Shell 中建立區域 Cloud NAT 閘道。

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-us-central1-aiml-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

5. on-prem-vpc 設定

建立 on-prem-vpc

在 Cloud Shell 中執行以下操作：

gcloud compute networks create on-prem-vpc --project=$projectid --subnet-mode=custom

建立 nat-subnet

在 Cloud Shell 中執行以下操作：

gcloud compute networks subnets create nat-subnet --project=$projectid --range=192.168.10.0/28 --network=on-prem-vpc --region=us-central1

建立 private-ip-subnet

在 Cloud Shell 中執行以下操作：

gcloud compute networks subnets create private-ip-subnet --project=$projectid --range=192.168.20.0/28 --network=on-prem-vpc --region=us-central1

Cloud Router 和 NAT 設定

Cloud NAT 用於軟體套件下載教學課程。Cloud NAT 也提供輸出 NAT 功能，這表示網際網路主機無法與運算作業展開通訊，因此更加安全。

在 Cloud Shell 建立區域性 Cloud Router。

gcloud compute routers create cloud-router-us-central1-on-prem-nat --network on-prem-vpc --region us-central1

在 Cloud Shell 中建立區域 Cloud NAT 閘道。

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-us-central1-on-prem-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

6. 建立 Private Service Connect 端點

在下一節中，您將建立 Private Service Connect (PSC) 端點，以便透過 on-prem-vpc 存取 Vertex API。在接下來的步驟中，PSC IP 位址 100.100.10.10 會做為自訂路由器通告，透過目標路由器通告地端部署網路。

透過 Cloud Shell

gcloud compute addresses create psc-ip \
    --global \
    --purpose=PRIVATE_SERVICE_CONNECT \
    --addresses=100.100.10.10 \
    --network=aiml-vpc

建立 PSC 端點

透過 Cloud Shell

gcloud compute forwarding-rules create pscvertex \
    --global \
    --network=aiml-vpc \
    --address=psc-ip \
    --target-google-apis-bundle=all-apis

列出已設定的 Private Service Connect 端點

透過 Cloud Shell

gcloud compute forwarding-rules list  \
--filter target="(all-apis OR vpc-sc)" --global

說明已設定的 Private Service Connect 端點

透過 Cloud Shell

gcloud compute forwarding-rules describe \
    pscvertex --global

7. 混合式連線

在下一節中，您將建立 Cloud Router，以便使用邊界閘道通訊協定 (BGP)，在虛擬私有雲 (VPC) 和對等互連網路之間動態交換路徑。

Cloud Router 可以透過 Cloud VPN 通道設定 BGP 工作階段，以連線至您的網路。它會自動取得新的子網路 IP 位址範圍，並宣告至您的對等網路。

在本教學課程中，您將在 aiml-vpc 和 on-prem-vpc 之間部署高可用性 VPN。

為 aiml-vpc 建立高可用性 VPN 閘道

建立每個閘道時，系統會自動分配兩個外部 IPv4 位址 (每個閘道介面各一個)。

在 Cloud Shell 中建立高可用性 VPN 閘道

gcloud compute vpn-gateways create aiml-vpn-gw \
   --network=aiml-vpc\
   --region=us-central1

為 on-prem-vpc 建立高可用性 VPN 閘道

建立每個閘道時，系統會自動分配兩個外部 IPv4 位址 (每個閘道介面各一個)。請記下這些 IP 位址，稍後在設定步驟中會用到。

在 Cloud Shell 中建立高可用性 VPN 閘道。

gcloud compute vpn-gateways create on-prem-vpn-gw \
   --network=on-prem-vpc\
   --region=us-central1

驗證高可用性 VPN 閘道的建立作業

使用控制台前往「HYBRID CONNECTIVITY」→「VPN」→「Cloud VPN GATEWAYS」，確認已產生閘道 IP。

66312b1b53c233d7.png

建立 Targetl-vpc 的 Cloud Router

在 Cloud Shell 中，建立位於 us-central1 的 Cloud Router 路由器

gcloud compute routers create aiml-cr-us-central1 \
   --region=us-central1 \
   --network=aiml-vpc\
   --asn=65001

建立 on-prem-vpc 的 Cloud Router

在 Cloud Shell 中，建立位於 us-central1 的 Cloud Router 路由器

gcloud compute routers create on-prem-cr-us-central1 \
   --region=us-central1 \
   --network=on-prem-vpc \
   --asn=65002

建立 Targetl-vpc 的 VPN 通道

您會在各個高可用性 VPN 閘道中建立兩個 VPN 通道。

建立 VPN 通道

在 Cloud Shell 中建立 tunnel0：

gcloud compute vpn-tunnels create aiml-vpc-tunnel0 \
    --peer-gcp-gateway on-prem-vpn-gw \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret [ZzTLxKL8fmRykwNDfCvEFIjmlYLhMucH] \
    --router aiml-cr-us-central1 \
    --vpn-gateway aiml-vpn-gw \
    --interface 0

建立 VPN 通道 1

在 Cloud Shell 中建立 tunnel1：

gcloud compute vpn-tunnels create aiml-vpc-tunnel1 \
    --peer-gcp-gateway on-prem-vpn-gw \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret [bcyPaboPl8fSkXRmvONGJzWTrc6tRqY5] \
    --router aiml-cr-us-central1 \
    --vpn-gateway aiml-vpn-gw \
    --interface 1

建立 on-prem-vpc 的 VPN 通道

您會在各個高可用性 VPN 閘道中建立兩個 VPN 通道。

建立 VPN 通道

在 Cloud Shell 中建立 tunnel0：

gcloud compute vpn-tunnels create on-prem-tunnel0 \
    --peer-gcp-gateway aiml-vpn-gw \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret [ZzTLxKL8fmRykwNDfCvEFIjmlYLhMucH] \
    --router on-prem-cr-us-central1 \
    --vpn-gateway on-prem-vpn-gw \
    --interface 0

建立 VPN 通道 1

在 Cloud Shell 中建立 tunnel1：

gcloud compute vpn-tunnels create on-prem-tunnel1 \
    --peer-gcp-gateway aiml-vpn-gw \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret [bcyPaboPl8fSkXRmvONGJzWTrc6tRqY5] \
    --router on-prem-cr-us-central1 \
    --vpn-gateway on-prem-vpn-gw \
    --interface 1

驗證 VPN 通道的建立作業

使用控制台前往「HYBRID CONNECTIVITY」→「VPN」→「Cloud VPN TUNNELS」。

e8e13ebaed09f1.png

8. 建立相鄰 BGP

建立 BGP 工作階段

在本節中，您將設定 Cloud Router 介面和 BGP 對等點。

為 Targetl-vpc 建立 BGP 介面和對等互連

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface aiml-cr-us-central1 \
    --interface-name if-tunnel0-to-onprem \
    --ip-address 169.254.1.1 \
    --mask-length 30 \
    --vpn-tunnel aiml-vpc-tunnel0 \
    --region us-central1

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer aiml-cr-us-central1 \
    --peer-name bgp-on-premises-tunnel0 \
    --interface if-tunnel1-to-onprem \
    --peer-ip-address 169.254.1.2 \
    --peer-asn 65002 \
    --region us-central1

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface aiml-cr-us-central1 \
    --interface-name if-tunnel1-to-onprem \
    --ip-address 169.254.2.1 \
    --mask-length 30 \
    --vpn-tunnel aiml-vpc-tunnel1 \
    --region us-central1

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer aiml-cr-us-central1 \
    --peer-name bgp-on-premises-tunnel1 \
    --interface if-tunnel2-to-onprem \
    --peer-ip-address 169.254.2.2 \
    --peer-asn 65002 \
    --region us-central1

為 on-prem-vpc 建立 BGP 介面和對等互連

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface on-prem-cr-us-central1 \
    --interface-name if-tunnel0-to-aiml-vpc\
    --ip-address 169.254.1.2 \
    --mask-length 30 \
    --vpn-tunnel on-prem-tunnel0 \
    --region us-central1

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer on-prem-cr-us-central1 \
    --peer-name bgp-aiml-vpc-tunnel0 \
    --interface if-tunnel1-to-aiml-vpc\
    --peer-ip-address 169.254.1.1 \
    --peer-asn 65001 \
    --region us-central1

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface on-prem-cr-us-central1 \
    --interface-name if-tunnel1-to-aiml-vpc\
    --ip-address 169.254.2.2 \
    --mask-length 30 \
    --vpn-tunnel on-prem-tunnel1 \
    --region us-central1

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer on-prem-cr-us-central1 \
    --peer-name bgp-aiml-vpc-tunnel1\
    --interface if-tunnel2-to-aiml-vpc\
    --peer-ip-address 169.254.2.1 \
    --peer-asn 65001 \
    --region us-central1

如要查看 VPN 通道的詳細資料，請前往「混合式連線」→「VPN」。

cb91b4476a88acd3.png

驗證 Ptl-vpc 透過高可用性 VPN 取得的路徑

使用控制台，依序前往「虛擬私有雲網路」→「虛擬私有雲網路」→「mitl-vpc→ ROUTES」→「REGION」→ US-CENTRAL1 →「查看」

觀察 preparel-vpc 從 on-prem-vpc nat-subnet 和 private-ip-subnet 得知的路徑

f407ed6e1a6233db.png

驗證 on-prem-vpc 已透過 HA-VPN 取得 Workbench-subnet

使用控制台，前往「虛擬私有雲網路」→「虛擬私有雲網路」→ on-prem-vpc → ROUTES → 地區 → US-CENTRAL1 → 查看

7957e5d898a9e7e0.png

9. 建立自訂路徑通告 Targetl-vpc

因為 VPC 中未設定子網路，所以 Private Service Connect 端點 IP 不會自動通告 Private Service Connect 端點 IP。

相反地，您必須從 Targetl-cr-us-central Cloud Router 的端點 IP 位址 100.100.10.10 建立自訂路徑通告，其會透過 BGP 通告至內部部署環境，再透過 BGP 通通到 On-prem-vpc。

在控制台中前往「HYBRID CONNECTIVITY」→「CLOUD ROUTERS → findl-cr-us-central1」，然後選取「編輯」。

c8fb02ed59a5b068.png

在「公告路徑」部分中，選取「建立自訂路徑」選項，並根據下方範例更新欄位，選取「完成」，然後按一下「儲存」。

5996464e3aae0665.png

f799082ab2cd7e31.png

驗證

驗證 on-prem-vpc 已透過 HA-VPN 取得 PSC 端點 IP 位址

使用控制台，前往「虛擬私有雲網路」→「虛擬私有雲網路」→ on-prem-vpc → ROUTES → 地區 → US-CENTRAL1 → 查看

1b42673e6f940bf2.png

10. 建立自訂路徑通告 on-prem-vpc

根據預設，on-prem-vpc Cloud Router 會通告所有子網路，但只需要 private-ip-subnet。

在下一節中，從 on-prem-cr-us-central1 Cloud Router 路由器更新路徑通告。

在控制台中前往「HYBRID CONNECTIVITY」→「CLOUD ROUTERS → on-prem-cr-us-central1」，然後選取「編輯」。

bd96bde9550d516a.png

在「公告路徑」部分中，選取「建立自訂路徑」選項，並根據下方範例更新欄位，選取「完成」，然後按一下「儲存」。

f8b61f669a9cfeef.png

驗證

驗證 Pitl-vpc 已從 on-prem-vpc 取得 private-ip-subnet 路徑。

使用控制台，前往「虛擬私有雲網路」→「虛擬私有雲網路」→「 putl-vpc → ROUTES」→「REGION」→ US-CENTRAL1 →「查看」

2b1a7a5f918e9f50.png

11. 建立使用者自行管理的服務帳戶 (GCE 執行個體)

如要進一步控管 Vertex API，使用者需要的代管服務帳戶會套用至 nat 和私人用戶端執行個體。產生服務帳戶後，您就能根據業務需求修改服務帳戶權限。在本教學課程中，使用者自行管理的服務帳戶 vertex-sa 將套用下列角色：

必須 Service Account API 才能繼續操作。

在 Cloud Shell 中建立服務帳戶。

gcloud iam service-accounts create gce-vertex-sa \
    --description="service account for vertex" \
    --display-name="gce-vertex-sa"

在 Cloud Shell 中，將服務帳戶更新為「運算執行個體管理員」角色

gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:gce-vertex-sa@$projectid.iam.gserviceaccount.com" --role="roles/compute.instanceAdmin.v1"

在 Cloud Shell 中，將服務帳戶更新為「Vertex AI 使用者」角色

gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:gce-vertex-sa@$projectid.iam.gserviceaccount.com" --role="roles/aiplatform.user"

12. 建立使用者自行管理的服務帳戶 (筆記本)

在下一節中，您將建立使用者代管服務帳戶，並與教學課程中使用的 Vertex Workbench (筆記本) 建立關聯。

在這個教學課程中，服務帳戶會套用下列角色：

在 Cloud Shell 中建立服務帳戶。

gcloud iam service-accounts create user-managed-notebook-sa \
    --display-name="user-managed-notebook-sa"

在 Cloud Shell 中，將服務帳戶更新為「Storage 管理員」角色。

gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/storage.admin"

在 Cloud Shell 中，將服務帳戶更新為「Vertex AI 使用者」角色。

gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/aiplatform.user"

在 Cloud Shell 中，將服務帳戶更新為 Artifact Registry 管理員角色。

gcloud projects add-iam-policy-binding $projectid --member="serviceAccount:user-managed-notebook-sa@$projectid.iam.gserviceaccount.com" --role="roles/artifactregistry.admin"

在 Cloud Shell 中列出服務帳戶，並記下建立使用者自行管理筆記本時要使用的電子郵件地址。

gcloud iam service-accounts list

13. 已建立測試執行個體

在下一節中，您將建立測試執行個體，驗證不同存取 Vertex API 的方法。

  • 執行個體「nat-client,」會使用 Cloud NAT 來解析 Vertex AI，因此會透過網際網路存取線上預測端點。
  • 執行個體「private-client」將使用 Private Service Connect IP 100.100.10.10，透過高可用性 VPN 存取線上預測端點。

在 Cloud Shell 中，建立 nat-client 執行個體。

gcloud compute instances create nat-client \
    --zone=us-central1-a \
    --image-family=debian-11 \
    --image-project=debian-cloud \
    --subnet=nat-subnet \
    --service-account=vertex-sa@$projectid.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform \
    --no-address \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump dnsutils -y"

在 Cloud Shell 中，建立 private-client 執行個體。

gcloud compute instances create private-client \
    --zone=us-central1-a \
    --image-family=debian-11 \
    --image-project=debian-cloud \
    --subnet=private-ip-subnet \
    --service-account=vertex-sa@$projectid.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform \
    --no-address \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump dnsutils -y"

如要允許 Identity-Aware Proxy (IAP) 連線至 VM 執行個體，請建立以下防火牆規則：

  • 適用於您要透過 IAP 存取的所有 VM 執行個體。
  • 允許來自 IP 範圍 35.235.240.0/20 的輸入流量。這個範圍包含 IAP 用於 TCP 轉送的所有 IP 位址。

在 Cloud Shell 中建立 IAP 防火牆規則。

gcloud compute firewall-rules create ssh-iap-on-prem-vpc \
    --network on-prem-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

14. 建立由使用者自行管理的筆記本

筆記本 API

在下一節中，建立由使用者自行管理的筆記本，並在其中加入先前建立的服務帳戶，也就是使用者自行管理的 notebook-sa。

在 Cloud Shell 中建立一個私人用戶端執行個體。

gcloud notebooks instances create workbench-tutorial \
      --vm-image-project=deeplearning-platform-release \
      --vm-image-family=common-cpu-notebooks \
      --machine-type=n1-standard-4 \
      --location=us-central1-a \
      --subnet-region=us-central1 \
      --subnet=workbench-subnet \
      --no-public-ip    --service-account=user-managed-notebook-sa@$projectid.iam.gserviceaccount.com

15. 部署模型和線上預測

在下一節中，您將使用我們提供的程式碼研究室：Vertex AI：用 Sklearn 使用自訂預測處理常式，預先處理及後續處理資料，以便進行預測 (自上一個步驟中已建立筆記本以來)，第 7 節開始著手。模型部署完成後，請返回教學課程，開始下一節。

ee68b7ba0cfd2746.png

16. 驗證 Vertex API 能否透過網際網路存取

在下一節中，您將登入執行個體和 nat-client，並透過用於解析 Vertex API 的網域 us-central1-aiplatform.googleapis.com，使用 dig 和 tcpdump 驗證與 Vertex AI 的連線能力。

在 Cloud Shell 中使用 IAP 登入 nat-client，透過 Vertex 網域 us-central1-aiplatform.googleapis.com 執行摘要，驗證與 Vertex API 的連線能力

gcloud compute ssh nat-client --project=$projectid --zone=us-central1-a --tunnel-through-iap

執行摘要

dig us-central1-aiplatform.googleapis.com

例如，請記下 DNS 回應中的公開 IP。

user@nat-client:~$ dig us-central1-aiplatform.googleapis.com

; <<>> DiG 9.16.42-Debian <<>> us-central1-aiplatform.googleapis.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 56761
;; flags: qr rd ra; QUERY: 1, ANSWER: 16, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;us-central1-aiplatform.googleapis.com. IN A

;; ANSWER SECTION:
us-central1-aiplatform.googleapis.com. 300 IN A 108.177.111.95
us-central1-aiplatform.googleapis.com. 300 IN A 142.250.1.95
us-central1-aiplatform.googleapis.com. 300 IN A 108.177.121.95
us-central1-aiplatform.googleapis.com. 300 IN A 142.250.103.95
us-central1-aiplatform.googleapis.com. 300 IN A 108.177.120.95
us-central1-aiplatform.googleapis.com. 300 IN A 142.251.171.95
us-central1-aiplatform.googleapis.com. 300 IN A 142.250.159.95
us-central1-aiplatform.googleapis.com. 300 IN A 142.251.120.95
us-central1-aiplatform.googleapis.com. 300 IN A 142.251.161.95
us-central1-aiplatform.googleapis.com. 300 IN A 142.251.172.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.126.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.70.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.132.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.201.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.202.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.69.95

;; Query time: 4 msec
;; SERVER: 169.254.169.254#53(169.254.169.254)
;; WHEN: Thu Jun 29 01:35:57 UTC 2023
;; MSG SIZE  rcvd: 322

在 nat-client OS 中執行 tcpdump，在針對線上預測執行 curl 時驗證 DNS 解析。

 sudo tcpdump -i any port 53 -n

範例：

user@nat-client:~$ sudo tcpdump -i any port 53 -n 
tcpdump: data link type LINUX_SLL2
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on any, link-type LINUX_SLL2 (Linux cooked v2), snapshot length 262144 bytes

選取「+」來開啟新的 Cloud Shell 終端機。開啟新分頁後，更新專案名稱變數。

在 Cloud Shell 中更新專案名稱變數。

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

在 Cloud Shell 第二中，透過 SSH 對 nat-client 執行個體執行 SSH 連線。

gcloud compute ssh --zone "us-central1-a" "nat-client" --project "$projectid"

在下一節中，您將使用 sudo VI 編輯器或 nano 編輯器建立 instances.json 檔案，然後插入用於從已部署模型取得預測結果的資料字串。

在 nat-client OS 中，使用以下資料字串建立 instances.json f 檔案：

{"instances": [
  [0.23, 'Ideal', 'E', 'VS2', 61.5, 55.0, 3.95, 3.98, 2.43],
  [0.29, 'Premium', 'J', 'Internally Flawless', 52.5, 49.0, 4.00, 2.13, 3.11]]}

範例：

user@nat-client:$ more instances.json 
{"instances": [
  [0.23, 'Ideal', 'E', 'VS2', 61.5, 55.0, 3.95, 3.98, 2.43],
  [0.29, 'Premium', 'J', 'Internally Flawless', 52.5, 49.0, 4.00, 2.13, 3.11]]}

user@nat-client:$

從 Cloud 控制台取得線上預測端點 ID，將在後續步驟中使用。

前往 VERTEX AI → 線上預測

237d413ccde1e95b.png

在 nat-client OS 中，建立下列變數：

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
ENDPOINT_ID="insert-your-endpoint-id-here"

範例：

ENDPOINT_ID="3328226095324463104"

從 nat 用戶端 OS 執行 curl，從模型中取得回應。

curl -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" https://us-central1-aiplatform.googleapis.com/v1/projects/${projectid}/locations/us-central1/endpoints/${ENDPOINT_ID}:predict -d @instances.json

例如，記下成功的預測結果。

user@nat-client$ curl -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" https://us-central1-aiplatform.googleapis.com/v1/projects/${projectid}/locations/us-central1/endpoints/${ENDPOINT_ID}:predict -d @instances.json
{
  "predictions": [
    "$479.0",
    "$586.0"
  ],
  "deployedModelId": "1949163636186415104",
  "model": "projects/234086459238/locations/us-central1/models/947543727654567936",
  "modelDisplayName": "diamonds-cpr",
  "modelVersionId": "1"
}

17. 驗證 - Vertex API 的網際網路存取權

您已完成預測，現在我們來看看 TCPDUMP 結果 (終端機 1)，該結果表示 nat 用戶端執行個體 (192.168.10.2) 對 Vertex AI 網域 us-central1-aiplatform.googleapis.com 對本機 DNS 查詢執行 DNS 查詢。DNS 查詢的結果是 Vertex API 的公開虛擬 IP 位址 (VIPS)，如下所述：

user@nat-client:~$ sudo tcpdump -i any port 53 -n
tcpdump: data link type LINUX_SLL2
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on any, link-type LINUX_SLL2 (Linux cooked v2), snapshot length 262144 bytes
20:05:09.260937 ens4  Out IP 192.168.10.2.40782 > 169.254.169.254.53: 47190+ A? oauth2.googleapis.com. (39)
20:05:09.260946 ens4  Out IP 192.168.10.2.40782 > 169.254.169.254.53: 28075+ AAAA? oauth2.googleapis.com. (39)
20:05:09.263556 ens4  In  IP 169.254.169.254.53 > 192.168.10.2.40782: 28075 4/0/0 AAAA 2607:f8b0:4001:c34::5f, AAAA 2607:f8b0:4001:c54::5f, AAAA 2607:f8b0:4001:c16::5f, AAAA 2607:f8b0:4001:c17::5f (151)
20:05:09.265018 ens4  In  IP 169.254.169.254.53 > 192.168.10.2.40782: 47190 16/0/0 A 74.125.201.95, A 74.125.202.95, A 74.125.69.95, A 64.233.183.95, A 173.194.193.95, A 173.194.194.95, A 173.194.195.95, A 173.194.196.95, A 173.194.197.95, A 64.233.191.95, A 173.194.74.95, A 173.194.192.95, A 209.85.145.95, A 209.85.146.95, A 209.85.147.95, A 142.250.125.95 (295)
20:05:09.474478 ens4  Out IP 192.168.10.2.57356 > 169.254.169.254.53: 36008+ A? us-central1-aiplatform.googleapis.com. (55)
20:05:09.474488 ens4  Out IP 192.168.10.2.57356 > 169.254.169.254.53: 47020+ AAAA? us-central1-aiplatform.googleapis.com. (55)
20:05:09.477190 ens4  In  IP 169.254.169.254.53 > 192.168.10.2.57356: 36008 16/0/0 A 173.194.194.95, A 173.194.195.95, A 173.194.196.95, A 173.194.197.95, A 173.194.74.95, A 173.194.192.95, A 209.85.145.95, A 209.85.146.95, A 209.85.147.95, A 142.250.125.95, A 142.250.136.95, A 142.250.148.95, A 209.85.200.95, A 209.85.234.95, A 142.250.152.95, A 142.250.128.95 (311)
20:05:09.478607 ens4  In  IP 169.254.169.254.53 > 192.168.10.2.57356: 47020 4/0/0 AAAA 2607:f8b0:4001:c1b::5f, AAAA 2607:f8b0:4001:c0c::5f, AAAA 2607:f8b0:4001:c0e::5f, AAAA 2607:f8b0:4001:c1e::5f (167)

18. 啟用 Vertex API 的私人存取權

在下一節中，您將會透過 Private Service Connect，透過混合型網路 (HA VPN) 使用 Vertex API，以私密方式觸及線上預測。在教學課程中使用的範例中，您將更新 private-client 執行個體中的 /etc/hosts 檔案。

在地端部署環境中，更新單一或幾部機器 /etc/hosts 檔案進行測試，是最理想的做法，但對於大規模的實際工作環境和實際工作環境，使用 PSC 端點 FQDN 建立新的轉送區域會更理想。

例如，教學課程中建立的 psc 端點稱為 pscvertex，會轉譯為 pscvertex.p.googleapis.com，而使用端點做為端點附加 FQDN 時，將 FQDN 附加至服務，例如 us-central1-aiplatform-pscvertex.p.googleapis.com。

使用 PSC 端點更新地端部署 DNS 時，也必須重構本機應用程式以呼叫 FDQN (例如 us-central1-aiplatform-pscvertex.p.googleapis.com)，而不是原生公開端點 us-central1-aiplatform.googleapis.com。

用戶端可設為使用自訂端點，透過 p.googleapis.com DNS 名稱將要求傳送至端點。

如需將用戶端或用戶端程式庫設為使用自訂端點的相關資訊，請參閱用戶端或用戶端程式庫的說明文件。例如：

  • Python：您可以在 google-api-core 套件的用戶端選項類別中設定 api_endpoint。
  • Go：您可以在 API 套件的用戶端選項套件中設定 WithEndpoint。
  • gcloud：您可以設定 api_endpoint_overrides

選取「+」來開啟新的 Cloud Shell 終端機。開啟新分頁後，更新專案名稱變數。

透過 Cloud Shell 執行

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

在新的 Cloud Shell 中，使用 IAP 登入私人用戶端，透過 us-central1-aiplatform.googleapis.com 端點執行摘要，驗證與 Vertex API 的連線能力

在 Cloud Shell 中，登入私密用戶端 OS 執行個體。

gcloud compute ssh private-client --project=$projectid --zone=us-central1-a --tunnel-through-iap

執行摘要

dig us-central1-aiplatform.googleapis.com

舉例來說，請根據 DNS 回應記下公開 IP。

user@private-client:~$ dig us-central1-aiplatform.googleapis.com

; <<>> DiG 9.16.42-Debian <<>> us-central1-aiplatform.googleapis.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 33311
;; flags: qr rd ra; QUERY: 1, ANSWER: 16, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;us-central1-aiplatform.googleapis.com. IN A

;; ANSWER SECTION:
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.132.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.201.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.202.95
us-central1-aiplatform.googleapis.com. 300 IN A 74.125.69.95
us-central1-aiplatform.googleapis.com. 300 IN A 64.233.182.95
us-central1-aiplatform.googleapis.com. 300 IN A 64.233.183.95
us-central1-aiplatform.googleapis.com. 300 IN A 173.194.193.95
us-central1-aiplatform.googleapis.com. 300 IN A 173.194.194.95
us-central1-aiplatform.googleapis.com. 300 IN A 173.194.195.95
us-central1-aiplatform.googleapis.com. 300 IN A 173.194.196.95
us-central1-aiplatform.googleapis.com. 300 IN A 173.194.197.95
us-central1-aiplatform.googleapis.com. 300 IN A 64.233.191.95
us-central1-aiplatform.googleapis.com. 300 IN A 173.194.74.95
us-central1-aiplatform.googleapis.com. 300 IN A 173.194.192.95
us-central1-aiplatform.googleapis.com. 300 IN A 209.85.145.95
us-central1-aiplatform.googleapis.com. 300 IN A 209.85.146.95

;; Query time: 4 msec
;; SERVER: 169.254.169.254#53(169.254.169.254)
;; WHEN: Sun Jul 02 20:5

使用 sudo VI 編輯器或 nano 編輯器更新 private-client 執行個體 /etc/hosts，藉此建立指向 PSC 端點 100.100.10.10 的 Vertex AI FQDN us-central1-aiplatform.googleapis.com 記錄，而您不需要進一步變更。

範例：

user@private-client:~$ more /etc/hosts
127.0.0.1       localhost
::1             localhost ip6-localhost ip6-loopback
ff02::1         ip6-allnodes
ff02::2         ip6-allrouters

100.100.10.10 us-central1-aiplatform.googleapis.com
192.168.20.2 private-client.c.$projectid.internal private-client  # Added by Google
169.254.169.254 metadata.google.internal  # Added by Google

從私人用戶端 OS 對 Vertex API 端點執行 PING。

ping us-central1-aiplatform.googleapis.com

例如，PING 會傳回 PSC 端點 IP，但預期不會回覆。

user@private-client:~$ ping us-central1-aiplatform.googleapis.com
PING us-central1-aiplatform.googleapis.com (100.100.10.10) 56(84) bytes of data.

從私人用戶端 OS 對線上預測執行 curl 時，執行 tcpdump 來驗證指向 PSC 端點的 DNS 解析和 IP 資料路徑。

 sudo tcpdump -i any port 53 -n or host 100.100.10.10

選取「+」開啟第四個 Cloud Shell 終端機。開啟新分頁後，更新專案名稱變數。

在 Cloud Shell 中更新專案名稱變數。

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

在 Cloud Shell 四中，執行 SSH 至私人用戶端執行個體。

gcloud compute ssh --zone "us-central1-a" "private-client" --project "$projectid"

在下一節中，您將使用 sudo VI 編輯器或 nano 編輯器建立 instances.json 檔案，然後插入用於從已部署模型取得預測結果的資料字串。

在 private-client OS 中，使用以下資料字串建立 instances.json 檔案：

{"instances": [
  [0.23, 'Ideal', 'E', 'VS2', 61.5, 55.0, 3.95, 3.98, 2.43],
  [0.29, 'Premium', 'J', 'Internally Flawless', 52.5, 49.0, 4.00, 2.13, 3.11]]}

範例：

user@private-client:$ more instances.json 
{"instances": [
  [0.23, 'Ideal', 'E', 'VS2', 61.5, 55.0, 3.95, 3.98, 2.43],
  [0.29, 'Premium', 'J', 'Internally Flawless', 52.5, 49.0, 4.00, 2.13, 3.11]]}

user@private-client:$

在 private-client OS 建立下列變數：

gcloud config list project
projectid=YOUR-PROJECT-NAME
echo $projectid
ENDPOINT_ID="insert-your-endpoint-id-here"

範例：

ENDPOINT_ID="3328226095324463104"

從 Cloud Shell 四中的私人用戶端 OS，執行 curl 來取得模型的回應。

curl -v -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" https://us-central1-aiplatform.googleapis.com/v1/projects/${projectid}/locations/us-central1/endpoints/${ENDPOINT_ID}:predict -d @instances.json

19. 驗證 - Vertex API 的私人存取權

在 Cloud Shell 4 中的私人用戶端 OS 中，記下用來存取 Vertex API 的 PSC 端點 IP (100.100.10.10)。

user@private-client$ curl -v -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" https://us-central1-aiplatform.googleapis.com/v1/projects/${projectid}/locations/us-central1/endpoints/${ENDPOINT_ID}:predict -d @instances.json
Note: Unnecessary use of -X or --request, POST is already inferred.
*   Trying 100.100.10.10:443...
* Connected to us-central1-aiplatform.googleapis.com (100.100.10.10) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* successfully set certificate verify locations:
*  CAfile: /etc/ssl/certs/ca-certificates.crt
*  CApath: /etc/ssl/certs
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
* TLSv1.3 (IN), TLS handshake, Certificate (11):
* TLSv1.3 (IN), TLS handshake, CERT verify (15):
* TLSv1.3 (IN), TLS handshake, Finished (20):
* TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384
* ALPN, server accepted to use h2
* Server certificate:
*  subject: CN=upload.video.google.com
*  start date: May 29 08:21:36 2023 GMT
*  expire date: Aug 21 08:21:35 2023 GMT
*  subjectAltName: host "us-central1-aiplatform.googleapis.com" matched cert's "*.googleapis.com"
*  issuer: C=US; O=Google Trust Services LLC; CN=GTS CA 1C3
*  SSL certificate verify ok.
* Using HTTP2, server supports multi-use
* Connection state changed (HTTP/2 confirmed)
* Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0
* Using Stream ID: 1 (easy handle 0x55f2ab65c2c0)
> POST /v1/projects/$projectid/locations/us-central1/endpoints/3328226095324463104:predict HTTP/2
> Host: us-central1-aiplatform.googleapis.com
> user-agent: curl/7.74.0
> accept: */*
> authorization: Bearer ya29.a0AbVbY6NdCbIJYj0mQROeq-xYgQCw534TTtjRc1kBAEOimKCFxb3gqgD5AvhfefJatSNr33eW1YJirfQVMptFoqfjRoB-i8zEJJ_GGCVqhsVnpSOjK0hzJQSuo2YGjIiSe1o1zdo7lWmh1Px-vLe8FImieGkrQ1hqVaa6aCgYKAXgSARESFQFWKvPlUQ_FuKB2hrDJRyFDjupL1g0171
> content-type: application/json
> content-length: 154
> 
* Connection state changed (MAX_CONCURRENT_STREAMS == 100)!
* We are completely uploaded and fine
< HTTP/2 200 
< content-type: application/json; charset=UTF-8
< x-vertex-ai-internal-prediction-backend: harpoon
< date: Mon, 03 Jul 2023 22:13:35 GMT
< vary: X-Origin
< vary: Referer
< vary: Origin,Accept-Encoding
< server: scaffolding on HTTPServer2
< cache-control: private
< x-xss-protection: 0
< x-frame-options: SAMEORIGIN
< x-content-type-options: nosniff
< accept-ranges: none
< 
{
  "predictions": [
    "$479.0",
    "$586.0"
  ],
  "deployedModelId": "1949163636186415104",
  "model": "projects/234086459238/locations/us-central1/models/947543727654567936",
  "modelDisplayName": "diamonds-cpr",
  "modelVersionId": "1"
}
* Connection #0 to host us-central1-aiplatform.googleapis.com left intact

透過 Cloud Shell 3 的 TCPDUMP 終端機，我們可以驗證對 us-central1-aiplatform.googleapis.com 提出的 DNS 查詢是否被觀察到未觀察到，因為 /etc/host 檔案的優先順序高於 PSC IP 位址 100.100.10.10。

user@private-client:~$ sudo tcpdump -i any port 53 -n or host 100.100.10.10
tcpdump: data link type LINUX_SLL2
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on any, link-type LINUX_SLL2 (Linux cooked v2), snapshot length 262144 bytes
22:13:35.507625 ens4  Out IP 192.168.20.2.37004 > 169.254.169.254.53: 58585+ A? oauth2.googleapis.com. (39)
22:13:35.507631 ens4  Out IP 192.168.20.2.37004 > 169.254.169.254.53: 15580+ AAAA? oauth2.googleapis.com. (39)
22:13:35.511796 ens4  In  IP 169.254.169.254.53 > 192.168.20.2.37004: 58585 16/0/0 A 142.251.6.95, A 108.177.112.95, A 74.125.124.95, A 172.217.212.95, A 172.217.214.95, A 172.253.114.95, A 172.253.119.95, A 108.177.111.95, A 142.250.1.95, A 108.177.121.95, A 142.250.103.95, A 108.177.120.95, A 142.251.171.95, A 142.250.159.95, A 142.251.120.95, A 142.251.161.95 (295)
22:13:35.512002 ens4  In  IP 169.254.169.254.53 > 192.168.20.2.37004: 15580 4/0/0 AAAA 2607:f8b0:4001:c2b::5f, AAAA 2607:f8b0:4001:c18::5f, AAAA 2607:f8b0:4001:c5f::5f, AAAA 2607:f8b0:4001:c58::5f (151)
22:13:35.722145 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [S], seq 1951267724, win 65320, options [mss 1420,sackOK,TS val 1371205990 ecr 0,nop,wscale 7], length 0
22:13:35.730727 ens4  In  IP 100.100.10.10.443 > 192.168.20.2.47304: Flags [S.], seq 3198878726, ack 1951267725, win 65535, options [mss 1366,sackOK,TS val 67847676 ecr 1371205990,nop,wscale 8], length 0
22:13:35.730760 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [.], ack 1, win 511, options [nop,nop,TS val 1371205999 ecr 67847676], length 0
22:13:35.738339 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [P.], seq 1:518, ack 1, win 511, options [nop,nop,TS val 1371206006 ecr 67847676], length 517
22:13:35.739922 ens4  In  IP 100.100.10.10.443 > 192.168.20.2.47304: Flags [.], ack 518, win 261, options [nop,nop,TS val 67847688 ecr 1371206006], length 0
22:13:35.740860 ens4  In  IP 100.100.10.10.443 > 192.168.20.2.47304: Flags [.], seq 1:2709, ack 518, win 261, options [nop,nop,TS val 67847689 ecr 1371206006], length 2708
22:13:35.740863 ens4  In  IP 100.100.10.10.443 > 192.168.20.2.47304: Flags [P.], seq 2709:4699, ack 518, win 261, options [nop,nop,TS val 67847689 ecr 1371206006], length 1990
22:13:35.740874 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [.], ack 2709, win 497, options [nop,nop,TS val 1371206009 ecr 67847689], length 0
22:13:35.740886 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [.], ack 4699, win 485, options [nop,nop,TS val 1371206009 ecr 67847689], length 0
22:13:35.742709 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [P.], seq 518:598, ack 4699, win 501, options [nop,nop,TS val 1371206011 ecr 67847689], length 80
22:13:35.743996 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [P.], seq 598:644, ack 4699, win 501, options [nop,nop,TS val 1371206012 ecr 67847689], length 46
22:13:35.744011 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [P.], seq 644:693, ack 4699, win 501, options [nop,nop,TS val 1371206012 ecr 67847689], length 49
22:13:35.744082 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [P.], seq 693:728, ack 4699, win 501, options [nop,nop,TS val 1371206012 ecr 67847689], length 35
22:13:35.744165 ens4  Out IP 192.168.20.2.47304 > 100.100.10.10.443: Flags [P.], seq 728:1069, ack 4699, win 501, options [nop,nop,TS val 1371206012 ecr 67847689], length 341

您已成功使用混合型網路和 Private Service Connect (googleapis) 等混合型網路和 Private Service Connect (googleapis)，透過網際網路透過公開端點連線至線上預測。退出 OS，返回 Cloud Shell 提示。

20. 清除所用資源

透過 Cloud Shell 刪除教學課程元件。

gcloud compute forwarding-rules delete pscvertex --global --quiet

gcloud compute instances delete workbench-tutorial --zone=us-central1-a --quiet 

gcloud compute addresses delete psc-ip --global --quiet

gcloud compute networks subnets delete workbench-subnet --region=us-central1 --quiet 

gcloud compute vpn-tunnels delete aiml-vpc-tunnel0 aiml-vpc-tunnel1 on-prem-tunnel0 on-prem-tunnel1 --region=us-central1 --quiet

gcloud compute vpn-gateways delete aiml-vpn-gw on-prem-vpn-gw --region=us-central1 --quiet 

gcloud compute routers delete aiml-cr-us-central1 cloud-router-us-central1-aiml-nat --region=us-central1 --quiet 

gcloud compute routers delete cloud-router-us-central1-on-prem-nat on-prem-cr-us-central1 --region=us-central1 --quiet

gcloud compute instances delete nat-client private-client --zone=us-central1-a --quiet

gcloud compute firewall-rules delete ssh-iap-on-prem-vpc --quiet

gcloud compute networks subnets delete nat-subnet  private-ip-subnet --region=us-central1 --quiet

gcloud compute networks delete on-prem-vpc --quiet

gcloud compute networks delete aiml-vpc --quiet

刪除 Vertex 元件

如要刪除容器映像檔，請前往 Artifact Registry，選取您建立的存放區，然後選取「Delete」(刪除)

616a3108bc2e48c8.png

如要刪除 Storage 值區，請使用 Cloud 控制台中的導覽選單前往「Storage」(儲存空間)、選取值區，然後點選「Delete」(刪除)：

eddd1f9fdfaede8.png

從端點取消部署模型。前往 Vertex AI → Online Prediction → 選取 diamonds-cpr_endpoint → 從端點取消部署模型 → 取消部署

bc95f092d21d4698.png

刪除模型。前往「Vertex AI」→「Model Registry」→「刪除模型」

ec4afff091e11606.png

刪除線上預測端點。前往「VertexAI」→「Online Prediction」→ 選取「diamonds-cpr_endpoint」→「刪除端點」

7453760299bdfb9a.png

21. 恭喜

恭喜！您已成功透過 Private Service Connect 和混合式網路，以私密方式透過網際網路和私人連線進行線上預測的設定。

您建立了 nat-client 和 Private-client，並使用 TCPDUMP 驗證用來連上 Vertex API 的 IP 位址。另外，您也瞭解了 Private Service Connect (googleapis)，以及如何利用客戶 PSC 端點，利用 Private Service Connect 隔離地端部署和多雲端應用程式。

Cosmopup 認為教學課程非常精彩！

e6d3675ca7c6911f.jpeg

後續步驟

快來看看一些教學課程...

其他資訊與影片

參考文件