ノートブックへのアクセスを管理する

ノートブックへのアクセスを管理する

このページでは、Colab Enterprise ノートブック（IPYNB ファイル）へのアクセス権を付与および取り消す方法について説明します。

始める前に

Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、 アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Vertex AI, Dataform, and Compute Engine APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Vertex AI, Dataform, and Compute Engine APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

必要なロール

Colab Enterprise ノートブックへのアクセスを管理するために必要な権限を取得するには、プロジェクトに対する Colab Enterprise 管理者（roles/aiplatform.colabEnterpriseAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

1 つ以上の必須ロールに dataform.repositories.list 権限が含まれています。プロジェクトで dataform.repositories.list 権限またはコード作成者（roles/dataform.codeCreator）ロールが付与されているユーザーは、Dataform API または Dataform コマンドライン インターフェース（CLI）を使用して、そのプロジェクトのコードアセットの名前を一覧取得できます。BigQuery Studio を使用する管理者以外のユーザーは、自身が作成したコードアセットまたは自分と共有されているコードアセットのみを表示できます。

ノートブックへのアクセス権を付与する

このセクションでは、プリンシパルに Colab Enterprise ノートブックへのアクセス権を付与する方法について説明します。

重要: ノートブックにアクセスできるユーザーは、ノートブック内のコードによって生成されたすべての出力を表示できます。出力にアクセス権のないリソースのデータが含まれている場合でも、ユーザーはこの出力を表示できます。保存した出力が共有されないようにするには、ノートブックの出力保存をオフにします。

プリンシパルに Colab Enterprise ノートブックへのアクセス権を付与するには、次の操作を行います。

1. Google Cloud コンソールで、Colab Enterprise の [マイ ノートブック] ページに移動します。

   [マイ ノートブック] に移動

2. [リージョン] メニューで、ノートブックを含むリージョンを選択します。

3. 共有するノートブックの横にある （ノートブック アクション）メニューをクリックし、[共有] を選択します。

4. [共有権限] ウィンドウで、 [ユーザー/グループを追加] をクリックします。

5. [ユーザー/グループの追加] ダイアログの [新しいプリンシパル] フィールドに、1 つ以上のプリンシパルをカンマ区切りで入力します。

6. [ロール] リストで、次のいずれかのロールを選択します。

   • コードオーナー: ノートブックの削除や共有など、ノートブックに対するあらゆるアクションを実行できます。
   • コードエディタ: ノートブックを編集できます。
   • コード閲覧者: ノートブックを表示できます。
   また、ノートブックを実行するには、プリンシパルにノートブック ランタイム ユーザー（roles/aiplatform.notebookRuntimeUser）のロールが必要です。

7. [保存] をクリックします。

Colab Enterprise のプリンシパルは、ユーザー、グループ、ドメインです。

ユーザー、グループ、ドメインにアクセス権を付与できます。次の表をご覧ください。

プリンシパル	ユーザー アカウントの例
シングル ユーザー	[e-mail]
Google グループ	[e-mail]
Google Workspace ドメイン	example.com

ノートブックの出力保存をオフにする

ノートブック ファイルにアクセスできる他のユーザーと保存済みのノートブック出力を共有できないようにするには、ノートブックの出力保存をオフにします。

選択したノートブックの出力保存をオフにすると、Colab Enterprise はノートブック ファイルに保存されているすべての出力を削除し、その後の実行の出力は保存されません。

ただし、ノートブックにアクセスできるユーザーは、次の方法で出力を表示できます。

• ノートブックを実行して、現在の出力を確認します。この出力は保存されません。

• ノートブックのアーカイブ バージョンとその出力をリビジョン履歴で確認します。

選択したノートブックの出力保存を無効にするには、次の操作を行います。

1. Google Cloud コンソールで、Colab Enterprise の [マイ ノートブック] ページに移動します。

   [マイ ノートブック] に移動

2. [リージョン] メニューで、ノートブックを含むリージョンを選択します。

3. ノートブックを開くには、ノートブックの名前をクリックします。

4. （ヘッダーの表示 / 非表示を切り替え）> [編集] > [ノートブックの設定] をクリックします。

5. [ノートブックの設定] ウィンドウで、[このノートブックを保存する際にコードセルの出力を除外する] を選択します。

6. [保存] をクリックします。

7. [再読み込み] をクリックします。

ノートブックへのアクセス権を取り消す

注意: ユーザーが Colab Enterprise ノートブックを作成すると、そのノートブックに対するコード所有者（roles/dataform.codeOwner）ロールが自動的に付与されます。これは、プロジェクト レベルのロールとは別のリソースレベルのロールです。ユーザーのプロジェクト レベルの IAM ロールを削除しても、作成したノートブックのリソースレベルのロールは自動的に削除されません。ユーザーのアクセス権を完全に取り消すには、このセクションで説明するように、プロジェクト レベルとリソースレベルの両方のロールを削除する必要があります。詳細については、セキュリティに関する考慮事項をご覧ください。

プロジェクト レベルのアクセス権を削除する

プリンシパルのプロジェクト レベルのアクセス権を削除するには:

1. Google Cloud コンソールで、[IAM] ページに移動します。

   [IAM] に移動

2. プロジェクト、フォルダ、または組織を選択します。

3. アクセス権を取り消すプリンシパルを含む行を探します。その行の [プリンシパルを編集します] をクリックします。

   注: リソースへのアクセスを管理するときに、継承されたロールの編集を行うことはできません。継承されたロールを編集するには、ロールが付与されたリソースに移動します。

4. 取り消すロールの [削除] ボタンをクリックし、[保存] をクリックします。

ノートブックからリソースレベルのアクセス権を削除する

特定のノートブックからプリンシパルのリソースレベルのアクセス権を削除するには:

1. Google Cloud コンソールで、Colab Enterprise の [マイ ノートブック] ページに移動します。

   [マイ ノートブック] に移動

2. [リージョン] メニューで、ノートブックを含むリージョンを選択します。

3. ノートブックの横にある （ノートブック アクション）メニューをクリックし、[共有] を選択します。

4. [権限を共有] ウィンドウで、アクセス権を取り消すプリンシパルを見つけます。

5. プリンシパルの横にある [削除] ボタンをクリックし、[保存] をクリックします。

IAM 拒否ポリシーを使用してすべてのアクセス権を取り消す

個々のリソースレベルのロールを削除する代わりに、IAM 拒否ポリシーを使用して、プロジェクト内のすべてのリソースに対するプリンシパルのすべての権限を取り消すことができます。このアプローチは、各ノートブックを個別に反復処理せずに、すべてのリソースからアクセス権をすばやく取り消す必要がある場合に便利です。

次のステップ

• ランタイム テンプレートへのアクセス権を付与する方法については、ランタイム テンプレートへのアクセスを管理するをご覧ください。