​

Google Vertex AI — Inferência na sua conta

​

O que é executado na Vertex e o que não é

​

Quantos provedores de nuvem você pode usar

​

Pré-requisitos

• Um projeto do Google Cloud com o faturamento ativado.
• A Agent Platform API (Vertex AI API) ativada nesse projeto (o serviço aiplatform.googleapis.com).
• Uma conta de serviço no seu projeto com o papel Agent Platform User (roles/aiplatform.user), e uma destas duas formas de a SecureAI atuar como ela:
  • Opção A — uma chave JSON dessa conta de serviço.
  • Opção B — sem chave (personificação): você concede à conta de serviço da SecureAI mostrada no painel o papel Service Account Token Creator (roles/iam.serviceAccountTokenCreator) na sua conta de serviço, e nenhuma chave é armazenada. Esta opção só está disponível se sua implantação da SecureAI a oferece; caso contrário, o painel a mostra desativada com o aviso Keyless access is not enabled on this deployment.
• Permissão de administrador na seção Integrations da SecureAI. Com permissão de leitura, você pode ver a configuração, mas não alterá-la.

​

Passo 1. Prepare o projeto no Google Cloud

gcloud config set project MY_PROJECT

# 1. Ative a Agent Platform API (Vertex AI API)
gcloud services enable aiplatform.googleapis.com

# 2. Crie uma conta de serviço dedicada para a SecureAI
gcloud iam service-accounts create secureai-vertex --display-name="SecureAI Vertex"

# 3. Conceda a ela o papel mínimo para invocar modelos
gcloud projects add-iam-policy-binding MY_PROJECT \
  --member="serviceAccount:secureai-vertex@MY_PROJECT.iam.gserviceaccount.com" \
  --role="roles/aiplatform.user"

# 4. Somente opção A: gere a chave JSON
gcloud iam service-accounts keys create key.json \
  --iam-account=secureai-vertex@MY_PROJECT.iam.gserviceaccount.com

​

Opção B: autorize a SecureAI sem chave

1. Na SecureAI, abra o painel da Vertex AI (veja o passo 2), escolha Keyless (impersonation) e insira o e-mail da sua conta de serviço em Your service account to impersonate.
2. O painel mostra o comando a executar, já preenchido com a conta de serviço da SecureAI da sua implantação. Copie-o com Copy e execute-o no Cloud Shell. Ele tem esta forma:
   gcloud iam service-accounts add-iam-policy-binding secureai-vertex@MY_PROJECT.iam.gserviceaccount.com \
     --member="serviceAccount:SECUREAI_ACCOUNT" \
     --role="roles/iam.serviceAccountTokenCreator"
   
   O papel é concedido na sua conta de serviço, não no projeto: a SecureAI só pode atuar como essa conta, que por sua vez só tem roles/aiplatform.user.

​

Modelos abertos (Llama, DeepSeek, Qwen, gpt-oss)

​

Passo 2. Conecte o projeto na SecureAI

1. Acesse Admin → Integrations, abra a categoria AI providers e clique no cartão Google Vertex AI — Inference on your account.
2. Em Connection, preencha:

   Campo	O que inserir
   Google Cloud project ID	O ID do projeto (por exemplo, my-project-123), não o nome de exibição.
   Vertex AI location	Para começar, deixe global: é onde estão os modelos padrão Gemini 3 preview. Se você precisa de residência de dados, insira uma região (us-central1, europe-west4…): a SecureAI envia cada solicitação ao endpoint regional que você escolheu, e onde o Google a processa depende dos compromissos de residência de dados do Google. Com global, o Google escolhe a região. Os modelos abertos precisam de uma região.
   Authentication	Opção A: mantenha Service-account key (JSON) selecionado e cole o conteúdo completo de key.json em Service-account key JSON. Opção B: escolha Keyless (impersonation), insira o e-mail da sua conta de serviço em Your service account to impersonate e execute o comando que o painel mostra (consulte Opção B: autorize a SecureAI sem chave, acima).

   
3. Clique em Save. Nenhum tráfego é roteado ainda: a integração é salva desativada para que você possa testá-la primeiro.

​

Passo 3. Escolha o que é executado na Vertex

• Only these model families — as famílias que você marcar (Gemini, gpt-oss, DeepSeek, Llama, Qwen) são executadas na sua Vertex; todos os outros modelos continuam sendo executados nos provedores da SecureAI. Esta é a forma mais conservadora de começar (padrão: apenas Gemini).
• Remap everything to Vertex — todas as chamadas de LLM são executadas na sua Vertex. Os modelos sem equivalente na Vertex são atendidos por um modelo padrão.

​

Passo 4. Teste a conexão

1. Com a integração salva, em Connection test, clique em Test connection.
2. A SecureAI envia uma solicitação mínima a cada modelo padrão, pelo mesmo caminho que o tráfego real usará (gateway, políticas e recibos incluídos), e mostra cada resultado com sua latência.
   
3. Se um modelo falhar, o painel mostra o motivo. Consulte a seção Solução de problemas no final desta página.

​

O que mais a identidade pode fazer

​

Passo 5. Revise o roteamento e ative-o

1. Abra Routing preview → Show which lane serves each model. Para cada modelo do catálogo, ele mostra se sua Vertex vai atendê-lo (e com qual modelo da Vertex) ou se a SecureAI vai, e quais ficarão ocultos para os usuários. A prévia simula a integração ativada, para que você possa revisar o efeito antes de ativá-la.
2. Quando o teste passar, ative Route traffic to Vertex AI e clique em Save novamente. Se você não salvar, o interruptor não permanece ativado. Para ativá-lo, é preciso ter um projeto e uma credencial configurados. Se seu plano não permitir outro provedor de nuvem ou o roteamento se sobrepuser a outro, a SecureAI recusa e explica o motivo (consulte Quantos provedores de nuvem você pode usar, acima).
   
3. O cartão fica verde: Routing to Vertex. Se estiver salvo, mas desativado, ele mostra em âmbar Configured · not routing to Vertex.

​

Passo 6. Verifique no seletor de modelos

​

O que é cobrado e de quem

• O uso de LLM é cobrado pelo Google na sua conta, não pela SecureAI. Você verá a cobrança no faturamento do Google Cloud, com seus descontos e CUDs aplicados.
• A SecureAI mostra o custo dos turnos atendidos na Vertex como uma estimativa pelo preço de tabela, apenas para análise. É uma referência: não inclui seus descontos, então o valor real do Google pode ser menor.
• Os turnos atendidos na sua Vertex não contam para o limite de gasto do assento de cada usuário, a menos que você ative Apply each seat’s spend cap to turns served in your account. O nível do assento continua se aplicando: um usuário só pode usar modelos do seu nível ou inferiores, mesmo quando sua Vertex os atende.
• Um assento Govern BYO só pode usar modelos servidos na infraestrutura da própria organização: os que sua Vertex (ou outro provedor de nuvem conectado) atende e os modelos auto-hospedados nos seus servidores. Qualquer outro modelo é recusado, e o seletor não oferece Auto a ele.

​

Segurança e conformidade

• Credenciais criptografadas, ou nenhuma. Com a opção A, a chave da conta de serviço é armazenada criptografada (AES-256-GCM) e nunca é devolvida ao navegador, nem mesmo a um administrador; a tela mostra apenas o e-mail da conta. Com a opção B, nenhuma chave é armazenada: a SecureAI pede ao Google tokens de curta duração que atuam como sua conta de serviço.
• O caminho continua protegido. Cada chamada passa pelo gateway SMLTP da SecureAI: DLP, um token de autorização assinado por solicitação e um recibo assinado verificável.
• Residência de dados. Com uma região fixada (por exemplo, europe-west4), a SecureAI envia cada solicitação ao endpoint dessa região e aplica as políticas de residência da sua organização. Onde o Google processa a solicitação depende dos compromissos de residência de dados do Google.
• Falha fechada. Se a configuração não puder ser lida ou o token do Google não puder ser obtido, a solicitação é recusada; ela não é enviada a outro provedor, a menos que você tenha permitido o fallback.
• Auditoria. Salvar, testar ou desconectar a integração fica registrado no log de atividades, com os nomes dos campos alterados e nunca a chave.
• Privilégio mínimo à vista. O teste de conexão verifica o que mais a identidade da conexão pode fazer no projeto e avisa se ela tem permissões fora de IA (consulte O que mais a identidade pode fazer, no passo 4).
• Permissões mínimas. roles/aiplatform.user é suficiente para a inferência; a integração não precisa ler seu IAM nem seu faturamento.

​

Desconectar

• Opção A: se você deixar de usar a chave, revogue-a (Contas de serviço → Chaves).
• Opção B: remova o papel roles/iam.serviceAccountTokenCreator que você concedeu à conta de serviço da SecureAI na sua conta de serviço (Contas de serviço → sua conta → Permissões).

​

Solução de problemas

​

Limitações atuais

• Claude e Mistral na Vertex não são compatíveis (usam uma API diferente).
• Embeddings, reclassificação, OCR, o assistente de administração, a geração de imagens e a voz em tempo real permanecem nos provedores gerenciados pela SecureAI.
• Um projeto e um local da Vertex por organização.
• O número de provedores de inferência que você pode ativar ao mesmo tempo depende do seu plano (Scale: 1, Enterprise: até 3). Consulte Azure AI Foundry — Inference on your account e Amazon Bedrock — Inference on your account.
• O proxy do Claude Code usa a Anthropic diretamente e não passa pela Vertex.

​

Relacionado

• Google Cloud — Discovery — inventário dos agentes, modelos, identidades e custos do projeto.
• Azure AI Foundry — Inference on your account
• Amazon Bedrock — Inference on your account
• Visão geral dos provedores de IA em nuvem
• Recibos assinados