Mainframe Assessment Tool 用に Google Cloud プロジェクトを構成する

このページでは、Mainframe Assessment Tool を使用するように Google Cloudプロジェクトを設定して構成するプロセスについて説明します。

始める前に

  1. Google Cloud コンソールのプロジェクト セレクタ ページで、 Google Cloud プロジェクトを選択または作成します。

    プロジェクト セレクタに移動

  2. Google Cloud プロジェクトに対して課金が有効になっていることを確認します。詳細については、プロジェクトの課金ステータスを確認するをご覧ください。

  3. Mainframe Assessment Tool にアクセスするための専用のサービス アカウントを作成します。詳細については、サービス アカウントの作成をご覧ください。

  4. 大規模な評価の場合は、Mainframe Assessment Tool インスタンスを作成する予定のリージョンに十分な割り当てがあることを確認してください。割り当て量を増やすには、プロビジョンド スループットを購入します。

API を有効にする

  1. Compute Engine API を有効にします。

    Compute Engine API を有効にする

  2. Agent Platform API を有効にします。

    Agent Platform API を有効にする

ファイアウォール ルールを構成する

IAP を介して Mainframe Assessment Tool インスタンスへの安全なアクセスを有効にするには、次のファイアウォール ルールを作成します。

  1. TCP 転送に IAP を使用することで、TCP ポート 4000 で上り（内向き）トラフィックを許可するファイアウォール ルールを作成します。

    gcloud compute firewall-rules create allow-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:4000\
  --source-ranges=35.235.240.0/20

  2. Mainframe Assessment Tool インスタンスへの他のすべての上り（内向き）トラフィックを拒否するファイアウォール ルールを作成します。

     gcloud compute firewall-rules create deny-all-other-ingress \
  --direction=ingress \
  --action=deny \
  --rules=all \
  --source-ranges=0.0.0.0/0 \
  --network=your-network-name \
  --priority=65535

省略可: データ所在地用にプライベート接続を構成する

このセクションは、Mainframe Assessment Tool インスタンスに外部 IP アドレスがなく、[データをリージョン内に保持する] オプションを有効にして評価を実行する予定の場合にのみ入力します。インスタンスに外部 IP アドレスがある場合、またはデータ所在地を使用しない場合は、このセクションをスキップできます。

外部 IP アドレスがない場合、Mainframe Assessment Tool インスタンスは プライベート Google アクセスを使用して Agent Platform にアクセスします。プライベート Google アクセスは、eu と us のマルチリージョンで使用されるマルチリージョン エンドポイント（rep.googleapis.com ドメインのホスト（aiplatform.eu.rep.googleapis.com など））をサポートしていません。

[データを自分のリージョンに保持する] オプションを有効にすると、モデル呼び出しは、グローバル フォールバックのない評価リージョンとそのマルチリージョンに制限されます。したがって、マルチリージョン エンドポイントでのみ提供されるモデルにはアクセスできません。データ所在地が無効になっている場合、Mainframe Assessment Tool はグローバル エンドポイントにフォールバックします。プライベート Google アクセスはグローバル エンドポイントをサポートしているため、追加の構成は必要ありません。

Mainframe Assessment Tool インスタンスがこれらのエンドポイントにアクセスできるようにする手順は次のとおりです。

  1. VPC ネットワーク内のマルチリージョン エンドポイントをターゲットとする Private Service Connect エンドポイントを作成します。

    gcloud network-connectivity regional-endpoints create ENDPOINT_NAME \
    --project=PROJECT_ID \
    --region=REGION \
    --address=INTERNAL_IP \
    --network=projects/PROJECT_ID/global/networks/VPC_NETWORK \
    --subnetwork=projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET \
    --target-google-api=aiplatform.eu.rep.googleapis.com

    次のように置き換えます。

    • ENDPOINT_NAME: Private Service Connect エンドポイントの名前。
    • PROJECT_ID: VPC ネットワークのプロジェクト ID。
    • REGION: エンドポイントを作成するリージョン。
    • INTERNAL_IP: サブネットの未使用の内部 IP アドレス。
    • VPC_NETWORK: VPC ネットワークの名前。
    • SUBNET: エンドポイントのリージョンにあるサブネットの名前。

    aiplatform.eu.rep.googleapis.com は、リージョンのマルチリージョン エンドポイントに置き換えます。たとえば、us マルチリージョンには aiplatform.us.rep.googleapis.com を使用します。

    Mainframe Assessment Tool インスタンスと Private Service Connect エンドポイントが異なるリージョンにある場合は、--enable-global-access フラグを追加します。それ以外の場合、エンドポイントは独自のリージョンのクライアントからの接続のみを受け入れます。

  2. マルチリージョン エンドポイントを Private Service Connect エンドポイントに解決します。

    エンドポイントを作成しても、ホスト名の解決方法は変わりません。VPC ネットワークがプライベート ゾーンを使用して Google API を限定公開の Google アクセス仮想 IP アドレスに転送する場合、通常、そのゾーンには *.googleapis.com レコードが含まれます。このレコードはマルチリージョン エンドポイントにも一致するため、リクエストは仮想 IP アドレスに転送されますが、仮想 IP アドレスはリクエストを処理できません。マルチリージョン エンドポイントを Private Service Connect エンドポイントに解決するには、より具体的なレコードを追加します。

    gcloud dns record-sets create aiplatform.eu.rep.googleapis.com. \
    --project=PROJECT_ID \
    --zone=DNS_ZONE \
    --type=A \
    --ttl=300 \
    --rrdatas=INTERNAL_IP

    次のように置き換えます。

    • DNS_ZONE: VPC ネットワーク内の googleapis.com のプライベート ゾーンの名前。VPC ネットワークに googleapis.com の限定公開ゾーンがない場合は、このレコードを保持する限定公開ゾーンを作成します。
    • INTERNAL_IP: エンドポイントに割り当てた内部 IP アドレス。

  3. Mainframe Assessment Tool インスタンスを再起動します。

    Mainframe Assessment Tool は、各エンドポイントによって提供されるモデルをキャッシュに保存し、再起動されるまで以前の結果を引き続き使用します。

構成を確認するには、Compute Engine VM または GKE ノードに接続して、次のコマンドを実行します。

openssl s_client -connect aiplatform.eu.rep.googleapis.com:443 \
    -servername aiplatform.eu.rep.googleapis.com < /dev/null 2>/dev/null \
    | openssl x509 -noout -subject

このコマンドは subject=CN=aiplatform.eu.rep.googleapis.com を返す必要があります。subject=CN=*.googleapis.com が返された場合、ホスト名はプライベート Google アクセスの仮想 IP アドレスに解決されています。この場合は、作成した DNS レコードを確認します。

このコマンドは subject=CN=aiplatform.eu.rep.googleapis.com を返します。subject=CN=*.googleapis.com が返された場合、ホスト名はプライベート Google アクセスの仮想 IP アドレスに解決されるため、作成したレコードを確認する必要があります。

IAM のロールと権限を割り当て

作成した専用サービス アカウントに、Agent Platform API やその他のサービスへのアクセス権を Mainframe Assessment Tool コンポーネントに付与するために必要な権限があることを確認するには、作成した専用サービス アカウントに次の IAM ロールを付与するよう管理者に依頼してください。

次のステップ