מקובל שכמה חברי צוות משתפים פעולה בבניית סוכן, וששירותים ניגשים לסוכן. באמצעות תפקידים, אתם יכולים לשלוט בגישה ובהרשאות שניתנות לגורמים ראשיים.
אם אתם משתמשים ב-API, יכול להיות שיש לכם גם אפליקציה אחת או יותר ששולחות בקשות לסוכן. במקרה כזה, אפשר לשלוט בגישה באמצעות חשבונות שירות.
אפשר לשלוט בגישה באמצעות ניהול זהויות והרשאות גישה (IAM) או מסוף Dialogflow.
מסוף Dialogflow מספק את תפקיד האדמין של הסוכן למשתמש שיצר את הסוכן. המשתמש הזה מקבל באופן אוטומטי את התפקיד 'Project Owner' ב-IAM בפרויקט שמשויך לסוכן.
אדמינים של סוכנים יכולים להוסיף מפתחים ובודקים לסוכן ב-Dialogflow Console. כשמעניקים את התפקיד 'מפתח' או 'בודק' במסוף Dialogflow, המשתמש מקבל את התפקיד 'עורך פרויקט' ב-IAM או את התפקיד 'צופה בפרויקט' ב-IAM, בהתאמה. דרך נוספת להוסיף מפתחים ובודקים לסוכן היא להעניק למשתמשים את התפקידים המתאימים ב-IAM: עריכת פרויקט ב-IAM או צפייה בפרויקט ב-IAM ב Google Cloud מסוף.
יש מצבים שבהם צריך להשתמש במסוף Google Cloud :
- אם רוצים לשנות את האדמין, להוסיף כמה אדמינים לסוכן אחד או להסיר אדמינים מסוכן, צריך להשתמש במסוף Google Cloud .
- אם יש לכם שילובים עם משאבים אחרים ב- Google Cloud , כמו Cloud Functions, ואתם לא רוצים להעניק לאפליקציה גישה מלאה לפרויקט, אתם צריכים להקצות את התפקידים של Dialogflow API (אדמין, לקוח או קורא) במסוף Google Cloud ל-IAM.
- לחלק מתפקידי IAM יש תפקידים מקבילים במסוף Dialogflow. אם רוצים להעניק תפקיד שלא קיים ב-Dialogflow Console, צריך להשתמש ב- Google Cloud Console.
תפקידים
בטבלה הבאה מפורטים תפקידים נפוצים שרלוונטיים ל-Dialogflow, הקשר בין התפקידים במסוף Dialogflow לבין התפקידים ב-IAM ופרטים על ההרשאות.
בטבלה, סיכומי ההרשאות כוללים את המונחים הבאים:
- גישה מלאה: הרשאה לשנות את הגישה, ליצור, למחוק, לערוך ולקרוא כל משאב.
- גישת עריכה: הרשאה ליצור, למחוק, לערוך ולקרוא כל משאב.
- גישה לסשן: הרשאה להפעלת שיטות עבור משאבים שזמינים רק בזמן ריצה במהלך שיחה, כמו זיהוי כוונות, עדכון ההקשר, עדכון ישויות של הסשן או אינטראקציות בשיחה של Agent Assist. הגישה הזו מספקת קבוצת משנה של ההרשאות שמוקצות בגישה מלאה ובגישת עריכה.
- גישת קריאה: הרשאה לקרוא כל משאב.
| תפקיד ב-Dialogflow Console | תפקיד IAM | סיכום הרשאות | פרטי הרשאה |
|---|---|---|---|
| אדמין | פרויקט > בעלים |
הענקת הרשאה לבעלי הפרויקט שזקוקים לגישה מלאה לכל המשאבים של Google Cloud ו-Dialogflow:
|
מידע נוסף זמין במאמר הגדרות של תפקידים בסיסיים ב-IAM. |
| מפתח | פרויקט > עורך |
נותנים לאנשים עם הרשאת עריכה בפרויקט Google Cloud גישת עריכה לכל המשאבים של Dialogflow:
|
מידע נוסף זמין במאמר הגדרות של תפקידים בסיסיים ב-IAM. |
| משתמש בעל הרשאת בדיקה | פרויקט > בעל הרשאת צפייה |
נותנים לצופים בפרויקט
שזקוקים לגישת קריאה לכל המשאבים של Google Cloud ו-Dialogflow:
|
מידע נוסף זמין במאמר הגדרות של תפקידים בסיסיים ב-IAM. |
| לא רלוונטי | פרויקט > דפדפן |
הקצאת הרשאות לדפדפני פרויקטים שזקוקים לגישת קריאה כדי לעיין בהיררכיה של פרויקט, כולל התיקייה, הארגון ומדיניות IAM:
|
מידע נוסף זמין במאמר הגדרות של תפקידים ב-IAM ברמת הפרויקט. |
| לא רלוונטי | Dialogflow > Dialogflow API Admin |
הקצאת הרשאות לאדמינים של Dialogflow API
שזקוקים לגישה מלאה למשאבים ספציפיים ל-Dialogflow:
|
הגדרות של תפקידי IAM ב-Dialogflow |
| לא רלוונטי | Dialogflow > Dialogflow API Client |
נותנים ללקוחות Dialogflow API שמבצעים קריאות לזיהוי כוונות באמצעות ה-API את ההרשאות הבאות:
|
הגדרות של תפקידי IAM ב-Dialogflow |
| לא רלוונטי | Dialogflow > הכלי לעריכת סוכנים ב-Dialogflow Console |
נותנים לעורכים ב-Dialogflow Console
שעורכים סוכנים קיימים:
|
הגדרות של תפקידי IAM ב-Dialogflow |
| לא רלוונטי | Dialogflow > Dialogflow API Reader |
הענקת הרשאות ללקוחות Dialogflow API שמבצעים קריאות לקריאה בלבד שספציפיות ל-Dialogflow באמצעות ה-API:
|
הגדרות של תפקידי IAM ב-Dialogflow |
שליטה בגישה באמצעות Google Cloud המסוף
אפשר לשלוט בגישה באמצעות הגדרות IAM. במדריך לתחילת העבודה עם IAM מוסבר איך מוסיפים, עורכים ומסירים הרשאות.
כדי לגשת להגדרות שבהמשך, פותחים את הדף IAM במסוף Google Cloud .
הוספת משתמש או חשבון שירות לפרויקט
כדי לתת הרשאות למשתמשים או לחשבונות שירות, צריך להקצות להם תפקידים בפרויקט Google Cloud . כדי להוסיף משתמשים, צריך לציין את כתובות האימייל שלהם. אפשר גם להוסיף חשבונות שירות באמצעות כתובת האימייל המשויכת שלהם. צריך להוסיף חברים לחשבון שירות כשרוצים להשתמש בחשבון שירות אחד לכמה פרויקטים וסוכנים. כדי למצוא את כתובת האימייל שמשויכת לחשבון השירות, אפשר לעיין בדף Service Accounts ב-IAM במסוף Google Cloud .
כדי להוסיף חברים:
- לוחצים על לחצן ההוספה בחלק העליון של הדף.
- מזינים את כתובת האימייל של חבר הקבוצה.
- בוחרים תפקיד.
- לוחצים על Save.
שינוי הרשאות
- לוחצים על לחצן העריכה לצד שם המשתמש.
- בוחרים תפקיד אחר.
- לוחצים על Save.
הסרת חברים
- לוחצים על לחצן המחיקה לצד שם החבר.
שליטה בגישה באמצעות Dialogflow Console
אפשרויות השיתוף נמצאות בהגדרות של הסוכן. כדי לפתוח את הגדרות השיתוף של הסוכן:
- עוברים אל מסוף Dialogflow ES.
- בוחרים את הסוכן בחלק העליון של תפריט הסרגל הצדדי הימני.
- לוחצים על לחצן ההגדרות לצד שם הסוכן.
- לוחצים על הכרטיסייה שיתוף. אם הכרטיסייה שיתוף לא מופיעה, סימן שאין לכם את תפקיד האדמין של הסוכן שנדרש.
הוספת משתמש
- מזינים את כתובת האימייל של המשתמש בקטע הזמנת אנשים חדשים.
- בוחרים תפקיד.
- לוחצים על הוספה.
- לוחצים על Save.
שינוי הרשאות
- מאתרים את המשתמש ברשימה.
- בוחרים תפקיד אחר.
- לוחצים על Save.
הסרת משתמש
מאתרים את המשתמש ברשימה.
לוחצים על לחצן המחיקה של המשתמש.
לוחצים על Save.
חשבונות שירות שנוצרו באופן אוטומטי
כשיוצרים סוכן ועובדים איתו, מערכת Dialogflow יוצרת באופן אוטומטי כמה סוכני שירות.
כדי לראות את התפקידים שניתנו לסוכני השירות האלה, צריך להפעיל את האפשרות Include Google-provided role grants בדף IAM.
אסור למחוק, לערוך או להוריד מפתחות של סוכני השירות האלה, וגם אסור להשתמש בסוכני השירות האלה כדי לבצע קריאות ישירות ל-API. הם משמשים רק את שירות Dialogflow כדי להתחבר למגוון שירותים שבהם משתמש הנציג שלכם. Google Cloud יכול להיות שתצטרכו לפנות לסוכני השירות האלה באימייל כשאתם מגדירים תכונות מסוימות של Dialogflow.
בטבלה הבאה מתוארים חלק מסוכני השירות האלה:
| טופס אימייל של IAM | מטרה |
|---|---|
| service-project-number @gcp-sa-dialogflow.iam.gserviceaccount.com |
הוא משמש לחיבור הנציג לשירותים שמטפלים בתנועה של שילובים. |
| firebase-adminsdk-alphanum @project-id.iam.gserviceaccount.com |
הוא משמש לחיבור הסוכן לשירותים שמטפלים בתנועה של שילוב עם Google Assistant. |
| project-id @appspot.gserviceaccount.com |
הוא משמש לחיבור הסוכן לשירותים שמטפלים בתנועה של שילוב עם Google Assistant. |
העברת תפקיד אדמין
כדי להעביר את תפקיד האדמין של סוכן, האדמין הקיים צריך לפעול לפי השלבים שלמעלה כדי להוסיף אדמין חדש. אחרי שהאדמין החדש יאשר את התפקיד שהוקצה לו, אפשר יהיה להסיר את האדמין הקודם.
אם האדמין הקיים כבר לא עובד בארגון, ואתם רוצים להעביר את תפקיד האדמין לעובד אחר, יש לכם שתי אפשרויות:
- לאדמין של הארגון שמשויך לפרויקט של הסוכן יש הרשאות לשנות את האדמין של הסוכן.
- אם יש לכם הרשאות קריאה לסוכן, אתם יכולים לייצא את הסוכן ולייבא אותו לסוכן שבו העובד הרצוי הוא אדמין. יכול להיות שיהיה זמן השבתה לסוכן ייצור פעיל בזמן שהסוכן מועבר וכל השילובים מתעדכנים.
OAuth
אם אתם משתמשים בספריות לקוח של Google כדי לגשת ל-Dialogflow, אתם לא צריכים להשתמש ב-OAuth באופן ישיר, כי הספריות האלה מטפלות בהטמעה בשבילכם. עם זאת, אם אתם מטמיעים לקוח משלכם, יכול להיות שתצטרכו להטמיע תהליך OAuth משלכם. כדי לגשת ל-Dialogflow API, צריך אחד מהיקפי ההרשאות הבאים של OAuth:
https://www.googleapis.com/auth/cloud-platform(גישה לכל משאבי הפרויקט)https://www.googleapis.com/auth/dialogflow(גישה למשאבי Dialogflow)
בקשות שכוללות גישה ל-Cloud Storage
חלק מהבקשות של Dialogflow ניגשות לאובייקטים ב-Cloud Storage כדי לקרוא או לכתוב נתונים. כשמתקשרים לאחת מהבקשות האלה, Dialogflow ניגש לנתונים ב-Cloud Storage בשם המתקשר. כלומר, לאימות הבקשה שלכם צריכות להיות הרשאות גישה ל-Dialogflow ולאובייקטים ב-Cloud Storage.
אם אתם משתמשים בספריית לקוחות של Google ובתפקידי IAM, תוכלו לקרוא מידע על תפקידים ב-Cloud Storage במדריך לבקרת גישה ב-Cloud Storage.
כשמטמיעים לקוח משלכם ומשתמשים ב-OAuth, צריך להשתמש בהיקף ההרשאות הבא של OAuth:
https://www.googleapis.com/auth/cloud-platform(גישה לכל משאבי הפרויקט)