Zugriffssteuerung

Es ist üblich, dass mehrere Teammitglieder gemeinsam einen Agenten erstellen und Dienste auf den Agenten zugreifen. Mit Rollen können Sie den Zugriff und die Berechtigungen steuern, die Hauptkonten gewährt werden.

Sie können den Zugriff über die Conversational Agents-Konsole oder über die Google Cloud Console (Dokumentation aufrufen, Konsole öffnen) mit Identity and Access Management (IAM) konfigurieren. In der Google Cloud Console werden Hauptkonten IAM-Rollen zugewiesen, während in der Conversational Agents-Konsole Hauptkonten Dialogflow CX-Agentenrollen zugewiesen werden. Dialogflow CX-Agentenrollen sind praktische vordefinierte Rollen, die von Dialogflow CX definiert werden und den Zugriff auf einen Agenten oder die untergeordneten Ressourcen eines bestimmten Agenten einschränken.

In einigen Situationen müssen Sie die Google Cloud Console verwenden:

• Die IAM-Projektinhaberrolle wird standardmäßig dem Nutzer zugewiesen, der das Projekt erstellt hat, dem der Agent gehört. Dieser Inhaber hat uneingeschränkten Zugriff auf alle Agents im Projekt. Wenn Sie den Projektinhaber ändern möchten, müssen Sie die Google Cloud Console verwenden.
• Über die Dialogflow CX-Konsole kann nur der Zugriff auf Agentenebene konfiguriert werden. Wenn Sie den Zugriff auf Projektebene konfigurieren möchten, müssen Sie die Google Cloud Console verwenden.
• Eine Teilmenge der IAM-Rollen hat entsprechende Dialogflow CX-Agentenrollen. Wenn Sie eine Rolle auf Projekt- oder Agentenebene zuweisen möchten, die in der Dialogflow CX-Konsole nicht vorhanden ist, müssen Sie die Google Cloud Console verwenden.
• Wenn Sie einen Datenspeicher-KI-Agenten mit der Vertex AI Agents-Benutzeroberfläche erstellen, müssen Sie die Google Cloud Console verwenden.

Wenn Sie die API verwenden, werden an einen Agent möglicherweise auch Anfragen von einer oder mehreren Anwendungen gesendet. In diesem Fall können Sie den Zugriff mithilfe von Dienstkonten steuern.

Zugriff mit der Conversational Agents-Konsole steuern

In der Conversational Agents-Konsole können Sie praktische Agentenrollen anwenden, die für die Freigabe auf Agentenebene konfiguriert sind. Diese Rollen beziehen sich auf IAM-Rollen mit IAM-Bedingungen, die den Zugriff auf den jeweiligen Agent oder eine Teilmenge von untergeordneten Ressourcen des Agents einschränken.

Wenn Sie über die Conversational Agents-Konsole auf die Konfiguration von Agent-Rollen zugreifen möchten, muss Ihnen die IAM-Rolle „Project IAM Admin“ für das zugehörige Projekt zugewiesen sein. Diese Rolle wird über die Google Cloud Console zugewiesen.

Hinweis: In der Conversational Agents-Konsole werden nur Hauptkonten mit diesen spezifischen Rollen und agentenspezifischen Bedingungen angezeigt. Wenn Sie die Google Cloud Console verwendet haben, um Hauptkonten mit Rollen oder Bedingungen hinzuzufügen, werden diese nicht in der Conversational Agents-Konsole angezeigt.

Dialogflow CX-Agentenrolle	Zusammenfassung	IAM-Rolle
Konversationsleser	Lesezugriff auf die Abfrage (Intent nicht erkennen) über die Konsole oder die API	Dialogflow > Dialogflow API Reader
Conversational Admin	Ermöglicht vollständigen Zugriff zum Erstellen, Aktualisieren, Abfragen, Erkennen von Intents und Löschen des Agents über die Konsole oder die API	Dialogflow > Dialogflow API Admin
Konversations-Client	Zugriff zur Intent-Erkennung über die Konsole oder die API.	Dialogflow > Dialogflow API Client
Dienst-Agent	Siehe Dienst-Agents.	Siehe Dienst-Agents.
Ablaufeditor	Ermöglicht Zugriff auf das Aktualisieren, Abfragen eines bestimmten Ablaufs und Erstellen, Aktualisieren, Löschen oder Abfragen der Ablaufressourcen (Seiten, Routengruppen und -versionen) über die Konsole oder die API.	Dialogflow > Dialogflow-Ablaufeditor
Umgebungseditor	Berechtigung zum Aktualisieren, Abfragen einer bestimmten Umgebung und zum Erstellen, Aktualisieren, Löschen oder Abfragen der Umgebungsressourcen (Tests) über die Konsole oder die API.	Dialogflow > Bearbeiter der Dialogflow-Umgebung
Administrator für Entitätstypen	Bietet Zugriff zum Erstellen, Aktualisieren, Löschen oder Abfragen der Entitätstypen eines Agents über die Konsole oder die API.	Dialogflow > Administrator von Dialogflow-Entitätstypen
Intent-Administrator	Bietet Zugriff zum Erstellen, Aktualisieren, Löschen oder Abfragen der Intents eines Agents über die Konsole oder die API.	Dialogflow > Dialogflow Intent-Administrator
Test Case Admin	Berechtigung zum Erstellen, Aktualisieren, Löschen oder Abfragen der Testfälle eines Agents über die Konsole oder die API.	Dialogflow > Dialogflow-Testfall-Administrator
Webhook-Administrator	Bietet Zugriff zum Erstellen, Aktualisieren, Löschen oder Abfragen der Webhooks eines Agents über die Konsole oder die API.	Dialogflow > Dialogflow-Webhook-Administrator

Die Freigabeoptionen finden Sie in den Einstellungen des Agents. So öffnen Sie die Freigabeeinstellungen des Agents:

1. Öffnen Sie die Dialogflow CX-Konsole.
2. Wählen Sie Ihr Google Cloud-Projekt aus.
3. Wählen Sie den Agent aus.
4. Klicken Sie auf Agent-Einstellungen.
5. Klicken Sie auf den Tab Share (Freigeben).

Hauptkonto hinzufügen

1. Klicken Sie auf Add.
2. Geben Sie die E-Mail-Adresse des Nutzers, der Gruppe oder des Dienstkontos ein.
3. Wählen Sie als E-Mail-Typ Nutzer, Gruppe oder Dienstkonto aus.
4. Die Rolle Dialogflow Reader wird standardmäßig hinzugefügt. Sie ist erforderlich, damit Nutzer auf die Conversational Agents-Konsole zugreifen können.
5. Klicken Sie unter Rollen zuweisen auf Rolle hinzufügen.
6. Wählen Sie unter Typ einen Rollentyp aus.
7. Wählen Sie für die Rollen Ablaufeditor und Umgebungseditor bestimmte Abläufe oder Umgebungen aus oder behalten Sie die Standardoption Alle bei.
8. Legen Sie optional das Ablaufdatum für die Rolle fest.
9. Klicken Sie auf Speichern.

Hauptkontorollen ändern

1. Klicken Sie in der Liste auf das Hauptkonto.
2. Aktualisieren Sie die Rollen für dieses Hauptkonto im Pop-up-Fenster.
3. Klicken Sie auf Speichern.

Hauptkonto entfernen

1. Suchen Sie in der Liste nach dem Hauptkonto.
2. Klicken Sie auf den Button zum Löschen des jeweiligen Hauptkontos.
3. Klicken Sie auf OK.

Hinweis: Wenn Sie Änderungen an der Rolle des Hauptkontos vornehmen, kann es einige Zeit dauern, bis die Änderungen wirksam werden.

Zugriff mit der Google Cloud Console steuern

Sie können den Zugriff über die IAM-Einstellungen steuern. Ausführliche Informationen zum Hinzufügen, Bearbeiten und Entfernen von Berechtigungen finden Sie in der Kurzanleitung für IAM.

Nutzer oder Dienstkonto zum Projekt hinzufügen

Sie können Nutzern oder Dienstkonten Berechtigungen erteilen, indem Sie ihnen Rollen für Ihr Google Cloud -Projekt zuweisen. Nutzer werden durch Angabe ihrer E-Mail-Adresse hinzugefügt. Auch Dienstkonten können durch die Angabe der zugehörigen E-Mail-Adresse hinzugefügt werden. Das Hinzufügen von Dienstkonten ist erforderlich, wenn Sie ein Dienstkonto für mehrere Projekte verwenden möchten. Die mit Ihrem Dienstkonto verknüpfte E-Mail-Adresse finden Sie in der Google Cloud Console auf der IAM-Seite Dienstkonten.

So fügen Sie ein Hauptkonto hinzu:

1. Klicken Sie oben auf der Seite auf den Button zum Hinzufügen eines Mitglieds.
2. Geben Sie die E-Mail-Adresse Ihres Hauptkontos ein.
3. Wählen Sie eine Rolle aus.
4. Klicken Sie auf Speichern.

Berechtigungen ändern

1. Klicken Sie auf den Button zum Bearbeiten des jeweiligen Hauptkontos.
2. Wählen Sie eine andere Rolle aus.
3. Klicken Sie auf Speichern.

Hauptkonto entfernen

1. Klicken Sie auf den Button zum Löschen des jeweiligen Hauptkontos.

Bedingung hinzufügen, um den Zugriff auf einen Agent einzuschränken

Wenn Sie ein Hauptkonto hinzufügen oder bearbeiten, können Sie eine IAM-Bedingung erstellen, die den Zugriff auf einen Agent einschränkt.

Hinweis: Weisen Sie Nutzer-E-Mail-Adressen für den Zugriff auf die Dialogflow CX-Konsole direkt in der Conversational Agents-Konsole Agentenrollen zu.

Beispiel:

{
    "expression": "resource.name.startsWith(\"projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID\")",
    "title": "For Dialogflow CX Agent AGENT_ID"
}

Mit dieser Bedingung erhalten Sie grundlegenden Zugriff auf einen bestimmten Agent. Ein Dienstkonto mit dieser Bedingung kann beispielsweise nur die Dialogflow CX API aufrufen, um auf den in der Bedingung für das Projekt angegebenen Agent zuzugreifen, aber nicht auf andere Agents im Projekt.

So fügen Sie diese Bedingung einer Rolle hinzu, die einem Hauptkonto zugewiesen ist:

1. Wählen Sie ein Hauptkonto aus.
2. Klicken Sie auf den Button zum Bearbeiten des jeweiligen Hauptkontos.
3. Klicken Sie auf Bedingung hinzufügen.
4. Geben Sie im Feld Titel For Dialogflow CX Agent AGENT_ID ein und ersetzen Sie "AGENT_ID" durch Ihre Agent-ID.
5. Sie können auch eine beliebige Beschreibung hinzufügen.
6. Wählen Sie den Bedingungseditor aus, um die Bedingung zu erstellen.
7. Fügen Sie den Ausdruck resource.name.startsWith("projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID") hinzu und ersetzen Sie AGENT_ID durch Ihre Agent-ID und PROJECT_ID durch Ihre Projekt-ID.
8. Klicken Sie auf Speichern.

IAM-Rollen

In der folgenden Tabelle sind gängige IAM-Rollen aufgeführt, die für Dialogflow CX relevant sind. In der Zusammenfassung der Berechtigungen in der Tabelle werden die folgenden Begriffe verwendet:

• Vollständiger Zugriff: Berechtigung zum Ändern des Zugriffs, Erstellen, Löschen, Bearbeiten und Lesen aller Ressourcen.
• Bearbeitungszugriff: Berechtigung zum Erstellen, Löschen, Bearbeiten und Lesen von Ressourcen.
• Sitzungszugriff: Berechtigung zum Aufrufen von Methoden für reine Laufzeitressourcen während einer Unterhaltung, z. B. zum Erkennen von Absichten, Aktualisieren des Kontexts, Aktualisieren von Sitzungsentitäten oder Interaktionen mit Agent Assist-Unterhaltungen.
• Lesezugriff: Berechtigung zum Lesen aller Ressourcen.

Hinweis: Wenn Sie den Zugriff für einen KI-Agenten ändern möchten, benötigen Sie eine Rolle, die vollständigen Zugriff auf den KI-Agenten bietet. Zum Löschen eines KI-Agenten benötigen Sie eine Rolle, die vollständigen Zugriff oder Bearbeitungszugriff auf den KI-Agenten gewährt.

Hinweis: Der Konsolensimulator ruft während einer Unterhaltung die API-Methode „detectIntent“ auf. Diese Methode führt einen Schreibvorgang für den Sitzungsstatus aus. Wenn Sie die Console verwenden oder die API-Methoden „detectIntent“/„streamingDetectIntent“ aufrufen möchten, benötigen Sie eine Rolle, die vollständigen Zugriff, Bearbeitungszugriff oder Sitzungszugriff bietet.

IAM-Rolle	Zusammenfassung der Berechtigungen	Berechtigungsdetails
Projekt > Inhaber	Gewähren Sie Zugriff für Project Owner, die vollen Zugriff auf alle Google Cloud - und Dialogflow CX-Ressourcen benötigen: Vollständiger Zugriff auf alle Google Cloud -Projektressourcen über die Google Cloud Console oder APIs. Vollständiger Zugriff auf Agenten über die Conversational Agents-Konsole. Intent-Erkennung mithilfe der API	Siehe Definitionen von einfachen IAM-Rollen.
Projekt > Editor	Gewähren Sie Zugriff für Projektbearbeiter, die Bearbeitungszugriff auf alle Google Cloud - und Dialogflow CX-Ressourcen benötigen: Bearbeitungszugriff auf alle Google Cloud -Projektressourcen über die Google Cloud Console oder APIs. Bearbeitungszugriff auf KI-Agenten über die Conversational Agents-Konsole. Intent-Erkennung mithilfe der API	Siehe Definitionen von einfachen IAM-Rollen.
Projekt > Betrachter	Gewähren Sie Zugriff für Projektbetrachter, die Lesezugriff auf alle Google Cloud - und Dialogflow CX-Ressourcen benötigen: Lesezugriff auf alle Google Cloud -Projektressourcen über die Google Cloud Console oder APIs. Lesezugriff auf Agents über die Conversational Agents-Konsole oder API. Der Simulator kann nicht verwendet werden. Keine Intent-Erkennung mithilfe der API	Siehe Definitionen von einfachen IAM-Rollen.
Projekt > IAM-Administrator	Gewähren Sie diese Rolle Projekt-IAM-Administratoren, die Bearbeitungszugriff auf die Konfiguration von Dialogflow CX-Agentenrollen benötigen.	Siehe Definitionen von IAM-Ressourcenmanager-Rollen.
Projekt > Browser	Für Projektbrowser, die Lesezugriff zum Einsehen der Hierarchie eines Projekts benötigen, einschließlich Ordner, Organisation und IAM-Richtlinie: Lesezugriff auf die Projekthierarchie von Google Cloud . Kein Zugriff auf Agenten über die Conversational Agents-Konsole. Keine Intent-Erkennung mithilfe der API	Siehe Definitionen von IAM-Projektrollen.
Dialogflow > Dialogflow API-Administrator	Gewähren Sie Zugriff für Dialogflow CX API-Administratoren, die vollen Zugriff auf Dialogflow CX-spezifische Ressourcen benötigen: Vollständiger Zugriff auf alle Dialogflow CX-Ressourcen über die Google Cloud Console oder APIs. Vollständiger Zugriff auf Agenten über die Conversational Agents-Konsole. Intent-Erkennung mithilfe der API	Siehe IAM-Rollendefinitionen für Dialogflow
Dialogflow > Dialogflow API-Client	Gewähren Sie Zugriff für Dialogflow CX API-Clients, die Intent-Aufrufe mit der API erkennen: Sitzungszugriff auf Dialogflow CX-Laufzeitressourcen über den Dialogflow CX-Simulator oder die API. Eingeschränkter Zugriff auf Agenten über die Conversational Agents-Konsole. Intent-Erkennung mithilfe der API	Siehe IAM-Rollendefinitionen für Dialogflow
Dialogflow > Conversational Agents-Konsole – Agent-Bearbeiter	Gewähren Sie Zugriff für Bearbeiter der Conversational Agents-Konsole, die vorhandene Agenten bearbeiten: Vollständiger Zugriff auf alle Dialogflow CX-Ressourcen über die Google Cloud Console. Bearbeitungszugriff auf die meisten Agentendaten über die Conversational Agents-Konsole. Intent-Erkennung mithilfe der API	Siehe IAM-Rollendefinitionen für Dialogflow
Dialogflow > Dialogflow API-Leser	Gewähren Sie Zugriff für Dialogflow API-Clients, die Dialogflow CX-spezifische schreibgeschützte Aufrufe über die API ausführen: Lesezugriff auf alle Dialogflow CX-Ressourcen über die Google Cloud Console oder APIs. Lesezugriff auf Agenten über die Conversational Agents-Konsole, kann den Simulator nicht verwenden. Keine Intent-Erkennung mithilfe der API	Siehe IAM-Rollendefinitionen für Dialogflow
Discovery Engine-Administrator	Wird Nutzern gewährt, die Datenspeicher-KI-Agenten mit der Vertex AI Agents-Benutzeroberfläche erstellen.	Weitere Informationen finden Sie unter Discovery Engine-IAM-Rollendefinitionen.

OAuth

Wenn Sie Google-Clientbibliotheken für den Zugriff auf Dialogflow CX verwenden, müssen Sie OAuth nicht direkt verwenden, da diese Bibliotheken die Implementierung für Sie übernehmen. Wenn Sie jedoch einen eigenen Client implementieren, müssen Sie möglicherweise einen eigenen OAuth-Vorgang implementieren. Für den Zugriff auf die Dialogflow CX API ist einer der folgenden OAuth-Bereiche erforderlich:

• https://www.googleapis.com/auth/cloud-platform (Zugriff auf alle Projektressourcen)
• https://www.googleapis.com/auth/dialogflow (Zugriff auf Dialogflow CX-Ressourcen)

Anfragen, die den Zugriff auf Cloud Storage betreffen

Einige Dialogflow CX-Anfragen greifen auf Objekte in Cloud Storage zu, um Daten zu lesen oder zu schreiben. Wenn Sie eine dieser Anfragen aufrufen, greift Dialogflow CX im Namen des Aufrufers auf die Cloud Storage-Daten zu. Das bedeutet, dass Ihre Anfrageauthentifizierung Berechtigungen für den Zugriff auf Dialogflow CX und die Cloud Storage-Objekte haben muss.

Wenn Sie eine Google-Clientbibliothek und IAM-Rollen verwenden, finden Sie im Leitfaden zur Zugriffssteuerung für Cloud Storage Informationen zu Cloud Storage-Rollen.

Wenn Sie einen eigenen Client implementieren und OAuth verwenden, müssen Sie den folgenden OAuth-Bereich verwenden:

• https://www.googleapis.com/auth/cloud-platform (Zugriff auf alle Projektressourcen)

Benutzerdefinierte Rollen für den Zugriff auf das Playbook-Tool

Sie können eine detaillierte Zugriffssteuerung für Playbook-Tools mithilfe von Berechtigungen und benutzerdefinierten Rollen bereitstellen.

Sie können die verfügbaren Berechtigungen auflisten, indem Sie das Tool für die Berechtigungssuche aufrufen und nach dialogflow.tools suchen.

Mit diesen Berechtigungen können Sie benutzerdefinierte Rollen erstellen.