Zugriff auf Vertex AI Workbench steuern

Durch die Konfiguration einer Organisationsrichtlinie vom Typ GDCHRestrictedService können Sie den Zugriff auf Vertex AI Workbench in Google Distributed Cloud (GDC) mit Air Gap steuern. Wenn diese Richtlinie angewendet wird, werden die APIs blockiert, auf die sie verweist. So können nur nicht eingeschränkte Organisationen oder Projekte JupyterLab-Notebooks erstellen und aktualisieren. Sie können Vertex AI Workbench während des Tests auf bestimmte Projekte beschränken oder den Zugriff in Ihrer gesamten Organisation einschränken.

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Organisationsrichtlinien konfigurieren.

Hinweis

  • Bitten Sie Ihren IAM-Admin der Organisation, Ihnen die Clusterrolle „GDC Restricted Service Policy Admin“ (gdchrestrictedservice-policy-admin) zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Gewähren oder Einschränken des Zugriffs auf Vertex AI Workbench für eine Organisation oder ein Projekt benötigen. Diese Rolle ist nicht an einen Namespace gebunden. Weitere Informationen zu dieser Rolle finden Sie unter IAM-Berechtigungen vorbereiten.

  • Definieren Sie den Pfad zur kubeconfig-Datei Ihres Management API-Servers:

    export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG

Einschränkungen erstellen

In den folgenden Abschnitten wird beschrieben, wie Sie Einschränkungen für bestimmte Dienste in Ihren Projekt-Namespaces erstellen, aktualisieren, löschen und aufrufen.

Einschränkungen erstellen oder aktualisieren

  • Führen Sie folgenden Befehl aus, um Einschränkungen für Ihre Organisation zu erstellen oder zu aktualisieren:

    kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

Einschränkung löschen

  • Führen Sie folgenden Befehl aus, um Einschränkungen zu löschen:

    kubectl delete GDCHRestrictedService NAME

Einschränkung beschreiben

  • Führen Sie folgenden Befehl aus, um Einschränkungen zu beschreiben:

    kubectl describe GDCHRestrictedService NAME

Zugriff auf Vertex AI Workbench für Ihre Organisation einschränken

Wenn Sie den Zugriff auf Vertex AI Workbench für Ihre Organisation einschränken möchten, bearbeiten Sie den Richtlinientyp GDCHRestrictedService. Fügen Sie dazu die API-Gruppe aiplatform.gdc.goog und die Art Notebook dem Feld kinds der Richtlinie hinzu.

Das folgende Beispiel zeigt, wie das Feld kinds im Richtlinientyp GDCHRestrictedService aussieht, wenn Sie den Zugriff auf Vertex AI Workbench für Ihre gesamte Organisation einschränken:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

Informationen zum Wiederherstellen des Zugriffs einer Organisation auf Vertex AI Workbench finden Sie unter Zugriff auf Vertex AI Workbench für Ihre Organisation gewähren.

Zugriff auf Vertex AI Workbench für ein Projekt einschränken

Wenn Sie den Zugriff auf Vertex AI Workbench für ein Projekt einschränken möchten, bearbeiten Sie den Richtlinientyp GDCHRestrictedService, indem Sie die API-Gruppe aiplatform.gdc.goog und die Art Notebook dem Feld kinds der Richtlinie für den Projekt-Namespace hinzufügen.

Der Unterschied zur Einschränkung des Zugriffs für eine Organisation besteht darin, dass Sie den Namespace angeben müssen, auf den sich die Richtlinie auswirken soll. Fügen Sie der Richtlinie das Feld namespaces mit Ihrem Projekt-Namespace hinzu.

Im folgenden Beispiel wird gezeigt, wie das Feld kinds im Richtlinientyp GDCHRestrictedService aussieht, wenn Sie den Zugriff auf Vertex AI Workbench für ein Projekt einschränken:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

Ersetzen Sie PROJECT_NAMESPACE durch den Namespace des Projekts, in dem Sie den Zugriff auf Vertex AI Workbench einschränken möchten.

Zugriff auf Vertex AI Workbench für Ihre Organisation gewähren

Standardmäßig haben Distributed Cloud-Organisationen Zugriff auf Vertex AI Workbench. Wenn Sie jedoch den Zugriff auf Vertex AI Workbench für Ihre Organisation eingeschränkt haben, können Sie den Zugriff wieder gewähren.

So gewähren Sie Zugriff auf Vertex AI Workbench für alle Projekte in Ihrer Organisation:

  1. Ermitteln Sie den Richtlinientyp GDCHRestrictedService in Ihrer Organisation.

  2. Suchen Sie in der Richtlinie nach der API-Gruppe aiplatform.gdc.goog und der Art Notebook.

  3. Wenn die API-Gruppe aiplatform.gdc.goog und die Art Notebook der einzige Inhalt im Feld kinds der Richtlinie sind, löschen Sie die Ressource GDCHRestrictedService.

  4. Wenn die GDCHRestrictedService-Richtlinie andere eingeschränkte Dienste enthält, entfernen Sie die API-Gruppe aiplatform.gdc.goog und die Art Notebook aus dem Feld kinds und speichern Sie die Änderungen an der Richtlinie.