Google usa tecnología de IA para traducir contenido al idioma que prefieras. Las traducciones generadas por IA pueden contener errores.

Controlar el acceso a Vertex AI Workbench

Puedes conceder y restringir el acceso a Vertex AI Workbench en una organización o un proyecto. Para ello, define una política de organización con el tipo de política GDCHRestrictedService, que te permite restringir el servicio que puedes usar en Google Distributed Cloud (GDC) air-gapped. Cuando se aplica, la política impide el uso de las APIs a las que hace referencia.

Por ejemplo, puedes usar este tipo de política para restringir el uso de Vertex AI Workbench a proyectos específicos. Solo las organizaciones o los proyectos no restringidos pueden crear o actualizar notebooks de JupyterLab. También puedes usar la política para restringir por completo el acceso al servicio Vertex AI Workbench si quieres ejecutar pruebas antes de permitir que tus equipos lo usen.

En esta página se describe cómo conceder y restringir el acceso a Vertex AI Workbench con el tipo de política GDCHRestrictedService. Para obtener más información sobre las políticas de organización y cómo editar la GDCHRestrictedService política de organización, consulta el artículo Configurar políticas de organización.

Antes de empezar

Para obtener los permisos que necesitas para conceder o restringir el acceso a Vertex AI Workbench en una organización o un proyecto, pide al administrador de gestión de identidades y accesos de tu organización que te asigne el rol de clúster Administrador de políticas de servicios restringidos de GDC (gdchrestrictedservice-policy-admin). Este rol no está vinculado a un espacio de nombres. Para obtener más información sobre este rol, consulta el artículo Preparar permisos de gestión de identidades y accesos.
Define la ruta al kubeconfig del servidor de la API de gestión:
```
export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG
```

Crear restricciones

En las siguientes secciones se describe cómo crear, actualizar, eliminar y ver restricciones para servicios específicos en los espacios de nombres de tu proyecto.

Crear o actualizar restricciones

Para crear o actualizar restricciones en tu organización, ejecuta lo siguiente:

kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

Eliminar una restricción

Para eliminar restricciones, ejecuta lo siguiente:
```
kubectl delete GDCHRestrictedService NAME 
```

Describir una restricción

Para describir restricciones, ejecuta lo siguiente:
```
kubectl describe GDCHRestrictedService NAME 
```

Restringir el acceso a Vertex AI Workbench en una organización

Para restringir el acceso a Vertex AI Workbench en tu organización, edita el tipo de política GDCHRestrictedService. Para ello, añade el grupo de APIs aiplatform.gdc.goog y el tipo Notebook al campo kinds de la política.

En el siguiente ejemplo se muestra cómo aparece el campo kinds en el tipo de política GDCHRestrictedService cuando restringes el acceso a Vertex AI Workbench en toda tu organización:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Para restaurar el acceso de una organización a Vertex AI Workbench, consulta el artículo Conceder acceso a Vertex AI Workbench en una organización.

Restringir el acceso a Vertex AI Workbench en un proyecto

Para restringir el acceso a Vertex AI Workbench en un proyecto, edita el tipo de política GDCHRestrictedService. Para ello, añade el grupo de APIs aiplatform.gdc.goog y el tipo Notebook al campo kinds de la política del espacio de nombres del proyecto.

La diferencia con la restricción del acceso en una organización es que debes especificar el espacio de nombres al que debe afectar la política. Añade el campo namespaces a la política con el espacio de nombres de tu proyecto.

En el siguiente ejemplo se muestra cómo aparece el campo kinds en el tipo de política GDCHRestrictedService cuando restringes el acceso a Vertex AI Workbench en un proyecto:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Sustituye PROJECT_NAMESPACE por el espacio de nombres del proyecto en el que quieras restringir el acceso a Vertex AI Workbench.

Conceder acceso a Vertex AI Workbench en una organización

De forma predeterminada, las organizaciones de Distributed Cloud tienen acceso a Vertex AI Workbench. Sin embargo, si has restringido el acceso a Vertex AI Workbench en tu organización, puedes volver a concederlo.

Sigue estos pasos para conceder acceso a Vertex AI Workbench en todos los proyectos de tu organización:

Identifica el tipo de política GDCHRestrictedService en tu organización.
Busca el grupo de APIs aiplatform.gdc.goog y el tipo Notebook en la política.
Si el grupo de APIs aiplatform.gdc.goog y el tipo Notebook son el único contenido del campo kinds de la política, elimina el recurso GDCHRestrictedService.
Si la política GDCHRestrictedService contiene otros servicios restringidos, quita el grupo de APIs aiplatform.gdc.goog y el tipo Notebook del campo kinds y guarda los cambios en la política.