Zugriff auf Vertex AI Workbench steuern

Sie können den Zugriff auf Vertex AI Workbench für eine Organisation oder ein Projekt gewähren und einschränken. Dazu definieren Sie eine Organisationsrichtlinie mit dem Richtlinientyp GDCHRestrictedService. Mit diesem Richtlinientyp können Sie einschränken, welchen Dienst Sie in Google Distributed Cloud (GDC) air-gapped verwenden können. Wenn die Richtlinie angewendet wird, wird die Verwendung der APIs verhindert, auf die sie verweist.

Sie können diesen Richtlinientyp beispielsweise verwenden, um die Verwendung von Vertex AI Workbench auf bestimmte Projekte zu beschränken. Nur nicht eingeschränkte Organisationen oder Projekte können JupyterLab-Notebooks erstellen oder aktualisieren. Sie können die Richtlinie auch verwenden, um den Zugriff auf den Vertex AI Workbench-Dienst vollständig einzuschränken, da Sie Tests ausführen möchten, bevor Sie Ihren Teams die Verwendung erlauben.

Auf dieser Seite wird beschrieben, wie Sie den Zugriff auf Vertex AI Workbench mit dem Richtlinientyp GDCHRestrictedService gewähren und einschränken. Weitere Informationen zu Organisationsrichtlinien und zum Bearbeiten der GDCHRestrictedService Organisationsrichtlinie finden Sie unter Organisationsrichtlinien konfigurieren.

Hinweis

  • Bitten Sie Ihren IAM-Administrator der Organisation, Ihnen die Clusterrolle „GDC Restricted Service Policy Admin“ (gdchrestrictedservice-policy-admin) zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Gewähren oder Einschränken des Zugriffs auf Vertex AI Workbench für eine Organisation oder ein Projekt benötigen. Diese Rolle ist nicht an einen Namespace gebunden. Weitere Informationen zu dieser Rolle finden Sie unter IAM-Berechtigungen vorbereiten.

  • Definieren Sie den Pfad zur kubeconfig-Datei Ihres Management API-Servers:

    export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG

Einschränkungen erstellen

In den folgenden Abschnitten wird beschrieben, wie Sie Einschränkungen für bestimmte Dienste in Ihren Projekt-Namespaces erstellen, aktualisieren, löschen und ansehen.

Einschränkungen erstellen oder aktualisieren

  • Führen Sie Folgendes aus, um Einschränkungen für Ihre Organisation zu erstellen oder zu aktualisieren:

    kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

Einschränkung löschen

  • Führen Sie Folgendes aus, um Einschränkungen zu löschen:

    kubectl delete GDCHRestrictedService NAME

Einschränkung beschreiben

  • Führen Sie Folgendes aus, um Einschränkungen zu beschreiben:

    kubectl describe GDCHRestrictedService NAME

Zugriff auf Vertex AI Workbench für Ihre Organisation einschränken

Wenn Sie den Zugriff auf Vertex AI Workbench für Ihre Organisation einschränken möchten, bearbeiten Sie den Richtlinientyp GDCHRestrictedService. Fügen Sie dazu die API-Gruppe aiplatform.gdc.goog und die Art Notebook dem Feld kinds der Richtlinie hinzu.

Im folgenden Beispiel sehen Sie, wie das Feld kinds im Richtlinientyp GDCHRestrictedService aussieht, wenn Sie den Zugriff auf Vertex AI Workbench für Ihre gesamte Organisation einschränken:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Informationen zum Wiederherstellen des Zugriffs einer Organisation auf Vertex AI Workbench finden Sie unter Zugriff auf Vertex AI Workbench für Ihre Organisation gewähren.

Zugriff auf Vertex AI Workbench für ein Projekt einschränken

Wenn Sie den Zugriff auf Vertex AI Workbench für ein Projekt einschränken möchten, bearbeiten Sie den Richtlinientyp GDCHRestrictedService. Fügen Sie dazu die API-Gruppe aiplatform.gdc.goog und die Art Notebook dem Feld kinds der Richtlinie für den Projekt-Namespace hinzu.

Im Unterschied zum Einschränken des Zugriffs für eine Organisation müssen Sie den Namespace angeben, auf den sich die Richtlinie auswirken soll. Fügen Sie der Richtlinie das Feld namespaces mit Ihrem Projekt-Namespace hinzu.

Im folgenden Beispiel sehen Sie, wie das Feld kinds im Richtlinientyp GDCHRestrictedService aussieht, wenn Sie den Zugriff auf Vertex AI Workbench für ein Projekt einschränken:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Ersetzen Sie PROJECT_NAMESPACE durch den Namespace des Projekts, in dem Sie den Zugriff auf Vertex AI Workbench einschränken möchten.

Zugriff auf Vertex AI Workbench für Ihre Organisation gewähren

Standardmäßig haben Distributed Cloud-Organisationen Zugriff auf Vertex AI Workbench. Wenn Sie den Zugriff auf Vertex AI Workbench für Ihre Organisation jedoch eingeschränkt haben, können Sie den Zugriff wieder gewähren.

So gewähren Sie Zugriff auf Vertex AI Workbench für alle Projekte in Ihrer Organisation:

  1. Suchen Sie in Ihrer Organisation nach dem Richtlinientyp GDCHRestrictedService.

  2. Suchen Sie in der Richtlinie nach der API-Gruppe aiplatform.gdc.goog und der Art Notebook.

  3. Wenn die API-Gruppe aiplatform.gdc.goog und die Art Notebook die einzigen Inhalte im Feld kinds der Richtlinie sind, löschen Sie die Ressource GDCHRestrictedService.

  4. Wenn die Richtlinie GDCHRestrictedService andere eingeschränkte Dienste enthält, entfernen Sie die API-Gruppe aiplatform.gdc.goog und die Art Notebook aus dem Feld kinds und speichern Sie die Änderungen an der Richtlinie.