控管 Vertex AI Workbench 的存取權

設定 GDCHRestrictedService 組織政策，即可控管 Google Distributed Cloud (GDC) 實體隔離方案中的 Vertex AI Workbench 存取權。套用後，這項政策會封鎖參照的 API，因此只有不受限制的組織或專案才能建立及更新 JupyterLab 筆記本。測試期間，您可以將 Vertex AI Workbench 限制在特定專案，或限制整個組織的存取權。

如要進一步瞭解組織政策，請參閱「設定組織政策」。

事前準備

  • 如要取得所需權限，授予或限制機構或專案的 Vertex AI Workbench 存取權，請要求 IAM 機構管理員授予您 GDC 受限服務政策管理員 (gdchrestrictedservice-policy-admin) 叢集角色。這個角色不會繫結至命名空間。如要進一步瞭解這個角色，請參閱「準備 IAM 權限」。

  • 定義 Management API 伺服器 kubeconfig 的路徑：

    export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG

建立限制

下列各節說明如何建立、更新、刪除及查看專案命名空間中特定服務的限制。

建立或更新限制

  • 如要為組織建立或更新限制，請執行下列指令：

    kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

刪除限制

  • 如要刪除限制，請執行：

    kubectl delete GDCHRestrictedService NAME

描述限制

  • 如要說明限制，請執行：

    kubectl describe GDCHRestrictedService NAME

限制組織對 Vertex AI Workbench 的存取權

如要限制組織對 Vertex AI Workbench 的存取權，請編輯 GDCHRestrictedService 政策類型，方法是在政策的 kinds 欄位中新增 aiplatform.gdc.goog API 群組和 Notebook 種類。

以下範例說明當您限制整個組織存取 Vertex AI Workbench 時，GDCHRestrictedService 政策類型中的 kinds 欄位會如何顯示：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

如要還原組織對 Vertex AI Workbench 的存取權，請參閱「為組織授予 Vertex AI Workbench 存取權」。

限制專案的 Vertex AI Workbench 存取權

如要限制專案的 Vertex AI Workbench 存取權，請編輯 GDCHRestrictedService 政策類型，方法是將 aiplatform.gdc.goog API 群組和 Notebook 種類新增至專案命名空間政策的 kinds 欄位。

與限制組織存取權的不同之處在於，您必須指定政策應影響的命名空間。將 namespaces 欄位新增至政策，並填入專案命名空間。

以下範例說明當您限制專案的 Vertex AI Workbench 存取權時，GDCHRestrictedService 政策類型中的 kinds 欄位會如何顯示：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

將 PROJECT_NAMESPACE 替換為要限制 Vertex AI Workbench 存取權的專案命名空間。

授予貴組織 Vertex AI Workbench 存取權

根據預設，Distributed Cloud 組織可以存取 Vertex AI Workbench。不過，如果您限制了組織對 Vertex AI Workbench 的存取權，可以再次授予存取權。

請按照下列步驟，為組織中的所有專案授予 Vertex AI Workbench 存取權：

  1. 找出貴組織的 GDCHRestrictedService 政策類型。

  2. 在政策中找出 aiplatform.gdc.goog API 群組和 Notebook 種類。

  3. 如果政策的 kinds 欄位中只有 aiplatform.gdc.goog API 群組和 Notebook 種類，請刪除 GDCHRestrictedService 資源。

  4. 如果 GDCHRestrictedService 政策包含其他受限服務，請從 kinds 欄位中移除 aiplatform.gdc.goog API 群組和 Notebook 種類，然後儲存政策變更。