Controlo de acesso com a IAM
Esta página descreve como usar a gestão de identidade e de acesso (IAM) para gerir o acesso aos recursos do Colab Enterprise. Para gerir o acesso a outros recursos do Vertex AI, consulte o artigo Controlo de acesso do Vertex AI com a IAM.
Controle o acesso aos notebooks com o IAM
Pode gerir o acesso aos blocos de notas do Colab Enterprise (ficheiros IPYNB) ao nível do projeto ou por bloco de notas.
- Para conceder acesso a blocos de notas ao nível do projeto, atribua uma ou mais funções a um principal (utilizador, grupo ou conta de serviço).
- Para conceder acesso a um bloco de notas específico, atribua uma ou mais funções a um principal no bloco de notas. Para saber mais, consulte o artigo Faça a gestão do acesso a um bloco de notas.
Executar código que interage com outros serviços Google Cloud
A concessão de acesso a um bloco de notas está limitada às autorizações específicas relacionadas com a interação com o bloco de notas. Por exemplo, pode conceder a capacidade de criar um bloco de notas, escrever código no mesmo ou eliminar o bloco de notas.
Para executar código que interage com outros Google Cloud serviços, tem de usar um dos seguintes métodos:
Executar código num tempo de execução com credenciais de utilizador final ativadas. Isto significa que o seu bloco de notas tem o mesmo acesso aos Google Cloud serviços que o utilizador do bloco de notas.
Executar código que autentica e autoriza o seu bloco de notas a interagir com os Google Cloud serviços.
Para saber mais, consulte o artigo Executar código que interage com Google Cloud.
Tipos de funções de IAM
Existem diferentes tipos de funções IAM que podem ser usadas no Colab Enterprise:
As funções predefinidas permitem-lhe conceder um conjunto de autorizações relacionadas aos seus recursos do Colab Enterprise ao nível do projeto.
As funções básicas (proprietário, editor e visitante) fornecem controlo de acesso aos seus recursos do Colab Enterprise ao nível do projeto e são comuns a todos os Google Cloud serviços.
As funções personalizadas permitem-lhe escolher um conjunto específico de autorizações, criar a sua própria função com essas autorizações e conceder a função aos utilizadores na sua organização.
Para adicionar, atualizar ou remover estas funções no seu projeto do Colab Enterprise, consulte a documentação sobre a gestão do acesso a projetos, pastas e organizações.
Funções predefinidas para o Colab Enterprise
O Colab Enterprise faz parte do Vertex AI e os recursos do Colab Enterprise são geridos através da API Vertex AI. Por conseguinte, pode conceder aos principais acesso aos recursos do Colab Enterprise através de funções do Vertex AI.
A tabela seguinte inclui todas as funções predefinidas do Vertex AI.
Para usar funções predefinidas para operações comuns do Colab Enterprise, consulte os artigos Administrador do Colab Enterprise (
roles/aiplatform.colabEnterpriseAdmin
) e Utilizador do Colab Enterprise (roles/aiplatform.colabEnterpriseUser
).Para funções relacionadas com a gestão de tempo de execução, consulte Notebook Runtime Admin (
roles/aiplatform.notebookRuntimeAdmin
) e Notebook Runtime User (roles/aiplatform.notebookRuntimeUser
).Administrador do Vertex AI (
roles/aiplatform.admin
), Utilizador do Vertex AI (roles/aiplatform.user
) e Visualizador do Vertex AI (roles/aiplatform.viewer
) também incluem autorizações do Colab Enterprise.
Role | Permissions |
---|---|
Vertex AI Administrator( Grants full access to all resources in Vertex AI |
|
Vertex AI Batch Prediction Service Agent( Vertex AI Batch Prediction Service Agent for serving batch prediction requests. |
|
Colab Enterprise Admin( Admin role of using colab enterprise. |
|
Colab Enterprise User( User role of using colab enterprise. |
|
Vertex AI Colab Service Agent( Gives Vertex AI Colab the proper permissions to function. |
|
Vertex AI Custom Code Service Agent( Gives Vertex AI Custom Code the proper permissions. |
|
Vertex AI Feature Store EntityType owner( Provides full access to all permissions for a particular entity type resource. Lowest-level resources where you can grant this role:
|
|
Vertex AI Platform Express Admin Beta( Grants admin access to Vertex AI Express |
|
Vertex AI Platform Express User Beta( Grants user access to Vertex AI Express |
|
Vertex AI Extension Custom Code Service Agent( Gives Vertex AI Extension that executes custom code the permissions it needs to function. |
|
Vertex AI Extension Service Agent( Gives Vertex AI Extension the permissions it needs to function. |
|
Vertex AI Feature Store Admin( Grants full access to all resources in Vertex AI Feature Store Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Viewer( This role provides permissions to read Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Writer( This role provides permissions to read and write Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Instance Creator( Administrator of Featurestore resources, but not the child resources under Featurestores. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Resource Viewer( Viewer of all resources in Vertex AI Feature Store but cannot make changes. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store User Beta( Deprecated. Use featurestoreAdmin instead. |
|
Vertex AI Migration Service User( Grants access to use migration service in Vertex AI |
|
Vertex AI Model Monitoring Service Agent( Gives Vertex AI Model Monitoring the permissions it needs to function. |
|
Notebook Executor User Beta( Grants users full access to schedules and notebook execution jobs. |
|
Notebook Runtime Admin( Grants full access to all runtime templates and runtimes in Notebook Service. |
|
Notebook Runtime User( Grants users permissions to create runtime resources using a runtime template and manage the runtime resources they created. |
|
Vertex AI Notebook Service Agent( Vertex AI Service Agent used to run Notebook managed resources in user project with restricted permissions. |
|
Vertex AI Online Prediction Service Agent( Gives Vertex AI Online Prediction the permissions it needs to function. |
|
Vertex AI Platform Provisioned Throughput Admin Beta( Grants access to use all resources related to Vertex AI Provisioned Throughput |
|
Vertex AI RAG Data Service Agent( Vertex AI Service Agent used by Vertex RAG to access user imported data, Vertex AI, Document AI processors in the project |
|
Vertex AI Rapid Eval Service Agent( Vertex AI Service Agent used by GenAI Rapid Evaluation Service to access publisher model endpoints in the user project |
|
Vertex AI Reasoning Engine Service Agent( Gives Vertex AI Reasoning Engine the proper permissions to function. The aiplatform.reasoningEngines.create IAM permission implies read access to the GCS objects of the consumer project through this service agent. |
|
Vertex AI Service Agent( Gives Vertex AI the permissions it needs to function. |
|
Vertex AI Telemetry Service Agent( Allows Vertex AI Telemetry Service Agent to access telemetry data. |
|
Vertex AI Tensorboard Web App User Beta( Grants access to the Vertex AI TensorBoard web app. |
|
Vertex AI Tuning Service Agent( Vertex AI Service Agent used for tuning in user project. |
|
Vertex AI User( Grants access to use all resource in Vertex AI |
|
Vertex AI Viewer( Grants access to view all resource in Vertex AI |
|
Funções básicas
As Google Cloud funções básicas mais antigas são comuns a todos os serviços Google Cloud . Estas funções são Proprietário, Editor e Visitante.
As funções básicas concedem autorizações em todos os produtos Google Cloud Google Cloud, e não apenas para o Colab Enterprise. Por este motivo, deve usar as funções do Colab Enterprise sempre que possível.
Funções personalizadas
Se as funções de IAM predefinidas para o Colab Enterprise não satisfizerem as suas necessidades, pode definir funções personalizadas. As funções personalizadas permitem-lhe escolher um conjunto específico de autorizações, criar a sua própria função com essas autorizações e conceder a função aos utilizadores na sua organização. Para mais informações, consulte o artigo Compreender as funções personalizadas do IAM.
Agentes de serviço para o Colab Enterprise
O Colab Enterprise cria e usa automaticamente agentes de serviço para aceder a recursos em seu nome. Quando é criado um agente do serviço, é atribuída ao agente do serviço uma função predefinida para o seu projeto.
A tabela seguinte apresenta os agentes de serviço do Colab Enterprise, os respetivos endereços de email e as respetivas funções:
Nome | Utilizado para | Endereço de email | Função |
---|---|---|---|
Agente de serviço da Vertex AI | Capacidades da Vertex AI | service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com |
roles/aiplatform.serviceAgent |
Agente do serviço Vertex AI Colab | Concede ao Colab Enterprise as autorizações adequadas para funcionar | service-PROJECT_NUMBER@gcp-sa-vertex-nb.iam.gserviceaccount.com |
roles/aiplatform.colabServiceAgent |
Agente do serviço Vertex AI Notebook | Execute recursos geridos por blocos de notas no projeto do utilizador com autorizações restritas | service-PROJECT_NUMBER@gcp-sa-aiplatform-vm.iam.gserviceaccount.com |
roles/aiplatform.notebookServiceAgent |
Se remover as funções predefinidas dos agentes do serviço Colab Enterprise, o Colab Enterprise pode reatribuir automaticamente essas funções para garantir a funcionalidade do serviço ininterrupta. Para desativar o serviço Colab Enterprise, tem de desativar as APIs relevantes em vez de remover funções.
O que se segue?
Conceda a um principal acesso a um bloco de notas do Colab Enterprise.
Saiba como criar e gerir funções de IAM personalizadas.
Saiba mais sobre os agentes de serviços