Requisiti IAM per l'utilizzo di Gemini Cloud Assist

Questa pagina descrive i ruoli Identity and Access Management necessari agli utenti per utilizzare correttamente Gemini Cloud Assist. Per informazioni sulla configurazione di Gemini Cloud Assist, vedi Configurare Gemini Cloud Assist.

Panoramica

Per supportare domande e richieste relative alle tue risorse Google Cloud , Gemini Cloud Assist ha bisogno delle autorizzazioni IAM appropriate per queste risorse. Gemini Cloud Assist dispone delle stesse autorizzazioni dell'utente che esegue query su Gemini Cloud Assist, quindi in molti casi le autorizzazioni IAM necessarie sono già concesse.

Ruoli IAM per l'utilizzo di Gemini Cloud Assist

Per l'utilizzo generale di Gemini Cloud Assist, sono consigliati i seguenti ruoli IAM:

Ruolo IAM Note
Utente Gemini Cloud Assist Questo ruolo concede agli utenti l'autorizzazione a utilizzare Gemini Cloud Assist, che include l'invocazione di agenti, la chat, la creazione di artefatti dell'agente e la condivisione di artefatti di proprietà dell'utente.
Visualizzatore di asset cloud Questo ruolo consente all'agente dell'utente di scoprire la topologia degli asset pertinenti alla domanda dell'utente, perché Cloud Asset Inventory gestisce Google Cloud gli asset e i metadati associati. Gli asset includono le tue risorse, le tue policy e le tue configurazioni. Google Cloud

Ruoli IAM disponibili per Gemini Cloud Assist

Nella maggior parte dei casi, il ruolo IAM consigliato per l'utilizzo di Gemini Cloud Assist è Gemini Cloud Assist User. In alcuni casi, potresti voler cambiare questo ruolo con un altro ruolo Gemini Cloud Assist. La tabella seguente elenca i diversi ruoli Gemini Cloud Assist che puoi utilizzare:

Ruolo IAM Funzione
Gemini Cloud Assist Viewer Questo ruolo concede agli utenti l'autorizzazione per visualizzare gli artefatti dell'agente, ad esempio indagini o report, e le configurazioni dell'agente. Questo ruolo concede un accesso più limitato rispetto al ruolo Utente Gemini Cloud Assist; ad esempio, il ruolo Visualizzatore Gemini Cloud Assist non concede l'autorizzazione a richiamare l'agente o a chattare con lui.
Utente Gemini Cloud Assist Questo ruolo concede agli utenti l'autorizzazione a utilizzare Gemini Cloud Assist, che include l'invocazione di agenti, la chat, la creazione di artefatti dell'agente e la condivisione di artefatti di proprietà dell'utente.
Editor Gemini Cloud Assist Questo ruolo concede agli utenti le autorizzazioni di editor per Gemini Cloud Assist. Oltre alle autorizzazioni contenute nel ruolo Utente Gemini Cloud Assist, il ruolo Editor contiene le autorizzazioni per eliminare gli argomenti della chat, gli artefatti dell'agente e aggiornare configurazioni specifiche dell'agente.
Gemini Cloud Assist Admin Questo ruolo concede agli utenti le autorizzazioni amministrative per Gemini Cloud Assist. Oltre alle autorizzazioni contenute nel ruolo Editor Gemini Cloud Assist, il ruolo di amministratore contiene autorizzazioni che consentono di configurare diverse policy di Gemini Cloud Assist, ad esempio l'abilitazione di agenti proattivi e della condivisione dei dati, la concessione di autorizzazioni sugli agenti e la condivisione di artefatti a livello di progetto.

Autorizzazioni IAM specifiche

Di seguito sono riportate autorizzazioni IAM specifiche importanti per il funzionamento di Gemini Cloud Assist. Utilizza queste informazioni quando crei ruoli IAM personalizzati.

Autorizzazioni IAM Funzione
geminicloudassist.agents.invoke Invio e ricezione di messaggi agli agenti Gemini Cloud Assist.
cloudaicompanion.topics.create Avviare una chat con Gemini Cloud Assist.
cloudaicompanion.geminiGcpEnablementSettings.update Configurazione delle impostazioni di amministratore per Gemini Cloud Assist.
mcp.tools.call Invio e ricezione di messaggi agli agenti Gemini Cloud Assist tramite MCP.

Autorizzazioni richieste per la chat

Il pannello della chat di Gemini Cloud Assist utilizza una risorsa di backend chiamata argomento. Quando avvii una chat, Gemini Cloud Assist crea una risorsa argomento e ti concede il ruolo roles/cloudaicompanion.topicAdmin per quell'argomento, che include l'autorizzazione cloudaicompanion.topics.update. Questo comportamento significa che una chat è visibile e aggiornabile solo dall'utente che ha creato l'argomento.

Se la tua organizzazione ha un vincolo personalizzato che impedisce a Gemini Cloud Assist di concedere roles/cloudaicompanion.topicAdmin agli utenti, il tuo tentativo di avviare una sessione di chat non riesce. Per risolvere il problema, chiedi all'amministratore di aggiornare i vincoli personalizzati dell'organizzazione per consentire la concessione di ruoli specifici.

Suggerimenti sui ruoli IAM per diversi casi d'uso

Oltre all'accesso concesso dai ruoli IAM per l'utilizzo di Gemini Cloud Assist, le attività eseguite tramite Gemini Cloud Assist richiedono l'accesso alle risorseGoogle Cloud pertinenti per l'attività. Ad esempio:

  • Se utilizzi gli agenti per comprendere lo stato delle applicazioni GKE, le autorizzazioni IAM per GKE e le relative risorse sono le più importanti.

  • Se utilizzi agenti per il deployment dei job di elaborazione dei dati, le autorizzazioni IAM per Dataflow, Managed Service for Apache Spark o BigQuery potrebbero essere le più importanti.

Le autorizzazioni IAM necessarie dipendono dal dominio specifico in cui si trovano le tue attività. A loro volta, i ruoli IAM appropriati che contengono queste autorizzazioni variano in base al caso d'uso. I seguenti ruoli IAM per funzione lavorativa rappresentano un buon punto di partenza se non sai quali ruoli devono avere gli utenti o le identità degli agenti.

Attività Ruoli pertinenti
Risoluzione dei problemi e garanzia di affidabilità e scalabilità dell'infrastruttura Google Cloud in modo ampio in più domini, sia in modo proattivo che interattivo
  • roles/iam.siteReliabilityEngineer
  • roles/iam.supportUser
    		•
    Deployment, aggiornamento ed esplorazione dell'infrastruttura Google Cloud in modo ampio in più domini
  • roles/iam.infrastructureAdmin
  • roles/iam.devOps
  • roles/logging.viewer
  • roles/monitoring.viewer
  • roles/cloudtrace.user
  • roles/apptopology.viewer
    		•
    Esplorare, comprendere e risolvere i problemi dell'infrastruttura di rete
  • roles/iam.networkAdmin
  • roles/logging.viewer
  • roles/monitoring.viewer
  • roles/cloudtrace.user
  • roles/apptopology.viewer
    		•
    Interagire con i dati e analizzarli tramite pipeline di elaborazione, trasformazione e analisi dei dati
  • roles/iam.dataScientist
  • roles/logging.viewer
  • roles/monitoring.viewer
    		•
    Deployment, aggiornamento e risoluzione dei problemi dei database
  • roles/iam.databaseAdmin
  • roles/logging.viewer
  • roles/monitoring.viewer
    		•
    Comprendere e analizzare in dettaglio i costi dell'applicazione
  • roles/cloudhub.operator
  • roles/monitoring.viewer
  • roles/logging.viewer
    		•
    Sfogliare e visualizzare Google Cloud risorse, gerarchia delle cartelle, log, configurazione della sicurezza e metadati delle risorse chiave.
  • roles/iam.securityAuditor
    		•
    Utilizzo di Gemini Cloud Assist con i set di dati Storage Insights per comprendere l'utilizzo dello spazio di archiviazione di Cloud Storage.
  • roles/bigquery.jobUser
  • roles/bigquery.dataViewer
  • roles/storageinsights.viewer
    		•