Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Contrôler l'accès à Vertex AI Workbench

La configuration d'une règle d'administration GDCHRestrictedService vous permet de contrôler l'accès à Vertex AI Workbench dans Google Distributed Cloud (GDC) avec isolation physique. Lorsqu'elle est appliquée, cette règle bloque les API auxquelles elle fait référence, de sorte que seules les organisations ou les projets non restreints peuvent créer et mettre à jour des notebooks JupyterLab. Vous pouvez limiter Vertex AI Workbench à des projets spécifiques ou restreindre l'accès à l'ensemble de votre organisation pendant les tests.

Pour en savoir plus sur les règles d'administration d'administration, consultez Configurer des règles d'administration.

Avant de commencer

Pour obtenir les autorisations nécessaires pour accorder ou restreindre l'accès à Vertex AI Workbench pour une organisation ou un projet, demandez à l'administrateur IAM de votre organisation de vous accorder le rôle de cluster Administrateur de règles de service restreint GDC (gdchrestrictedservice-policy-admin). Ce rôle n'est pas lié à un espace de noms. Pour en savoir plus sur ce rôle, consultez Préparer les autorisations IAM.
Définissez le chemin d'accès au fichier kubeconfig de votre serveur d'API de gestion :
```
export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG
```

Créer des restrictions

Les sections suivantes expliquent comment créer, mettre à jour, supprimer et afficher des restrictions pour des services spécifiques dans les espaces de noms de votre projet.

Créer ou modifier des restrictions

Pour créer ou mettre à jour des restrictions pour votre organisation, exécutez la commande suivante :

kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

Supprimer une restriction

Pour supprimer des restrictions, exécutez la commande suivante :
```
kubectl delete GDCHRestrictedService NAME 
```

Décrire une restriction

Pour décrire les restrictions, exécutez la commande suivante :
```
kubectl describe GDCHRestrictedService NAME 
```

Limiter l'accès à Vertex AI Workbench pour votre organisation

Pour limiter l'accès à Vertex AI Workbench pour votre organisation, modifiez le type de règle GDCHRestrictedService en ajoutant le groupe d'API aiplatform.gdc.goog et le genre Notebook au champ kinds de la règle.

L'exemple suivant montre à quoi ressemble le champ kinds dans le type de règle GDCHRestrictedService lorsque vous limitez l'accès à Vertex AI Workbench pour l'ensemble de votre organisation :

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

Pour restaurer l'accès d'une organisation à Vertex AI Workbench, consultez Accorder l'accès à Vertex AI Workbench pour votre organisation.

Restreindre l'accès à Vertex AI Workbench pour un projet

Pour limiter l'accès à Vertex AI Workbench pour un projet, modifiez le type de règle GDCHRestrictedService en ajoutant le groupe d'API aiplatform.gdc.goog et le genre Notebook au champ kinds de la règle pour l'espace de noms du projet.

La différence avec la restriction de l'accès pour une organisation est que vous devez spécifier l'espace de noms que la règle doit affecter. Ajoutez le champ namespaces à la stratégie avec l'espace de noms de votre projet.

L'exemple suivant montre à quoi ressemble le champ kinds dans le type de règle GDCHRestrictedService lorsque vous limitez l'accès à Vertex AI Workbench pour un projet :

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

Remplacez PROJECT_NAMESPACE par l'espace de noms du projet dans lequel vous souhaitez restreindre l'accès à Vertex AI Workbench.

Accorder l'accès à Vertex AI Workbench pour votre organisation

Par défaut, les organisations Distributed Cloud ont accès à Vertex AI Workbench. Toutefois, si vous avez restreint l'accès à Vertex AI Workbench pour votre organisation, vous pouvez l'accorder à nouveau.

Pour accorder l'accès à Vertex AI Workbench pour tous les projets de votre organisation, procédez comme suit :

Identifiez le type de stratégie GDCHRestrictedService dans votre organisation.
Recherchez le groupe d'API aiplatform.gdc.goog et le genre Notebook dans la règle.
Si le groupe d'API aiplatform.gdc.goog et le genre Notebook sont les seuls contenus du champ kinds de la règle, supprimez la ressource GDCHRestrictedService.
Si la règle GDCHRestrictedService contient d'autres services restreints, supprimez le groupe d'API aiplatform.gdc.goog et le genre Notebook du champ kinds, puis enregistrez les modifications apportées à la règle.