如何在顶点AI中访问AIP_STORAGE_URI？

Question

我上传了一个模型

gcloud beta ai models upload --artifact-uri

在码头我可以访问AIP_STORAGE_URI。我看到AIP_STORAGE_URI是Google的另一个位置，所以我尝试使用storage.Client()下载文件，但是它说我没有权限：

google.api_core.exceptions.Forbidden: 403 GET https://storage.googleapis.com/storage/v1/b/caip-tenant-***-***-*-*-***?projection=noAcl&prettyPrint=false: custom-online-prediction@**.iam.gserviceaccount.com does not have storage.buckets.get access to the Google Cloud Storage bucket

我使用默认服务帐户运行此端点。

https://cloud.google.com/vertex-ai/docs/predictions/custom-container-requirements#artifacts

根据上面的链接：The service account that your container uses by default has permission to read from this URI.

我做错了什么？

Answer 1

错误背后的原因是，顶点AI使用的默认服务帐户具有“存储对象查看器”角色，它排除了storage.buckets.get权限。同时，代码的storage.Client()部分向顶点AI托管桶发出storage.buckets.get请求，默认服务帐户对此没有权限。

为了解决这个问题，我建议你遵循以下步骤-

1. 修改自定义代码，使用项目中的模型工件访问存储桶，而不是使用环境变量AIP_STORAGE_URI，它指向顶点AI托管桶中的模型位置。
2. 创建您自己的服务帐户，并将自定义代码所需的所有权限授予服务帐户。对于这个特定的错误，一个具有storage.buckets.get权限的角色，例如。仓储管理 ("roles/storage.admin")必须授予服务帐户。
3. 在部署模型时，在"Service“字段中提供新创建的服务帐户。