שליטה בגישה ל-Vertex AI Workbench

אתם יכולים לתת גישה ל-Vertex AI Workbench או להגביל אותה ברמת הארגון או הפרויקט. כדי לעשות את זה, אתם מגדירים מדיניות ארגונית באמצעות סוג המדיניות GDCHRestrictedService, שמאפשר להגביל את השירות שבו אתם יכולים להשתמש ב-Google Distributed Cloud (GDC)‎ עם air gap. כשהמדיניות מופעלת, היא מונעת את השימוש בממשקי ה-API שהיא מפנה אליהם.

לדוגמה, אתם יכולים להשתמש בסוג המדיניות הזה כדי להגביל את השימוש ב-Vertex AI Workbench לפרויקטים ספציפיים. רק ארגונים או פרויקטים לא מוגבלים יכולים ליצור או לעדכן מחברות JupyterLab. אתם יכולים גם להשתמש במדיניות כדי להגביל לחלוטין את הגישה לשירות Vertex AI Workbench, כדי להריץ בדיקות לפני שמאפשרים לצוותים להשתמש בו.

בדף הזה מוסבר איך להעניק ולהגביל את הגישה ל-Vertex AI Workbench באמצעות סוג המדיניות GDCHRestrictedService. במאמר הגדרת מדיניות הארגון מוסבר איך לערוך את מדיניות הארגון GDCHRestrictedService.

לפני שמתחילים

  • כדי לקבל את ההרשאות שנדרשות כדי לתת או להגביל את הגישה ל-Vertex AI Workbench לארגון או לפרויקט, צריך לבקש ממנהל חשבון ארגוני ב-IAM להקצות לכם את התפקיד "אדמין של מדיניות שירות מוגבלת ב-GDC"‏ (gdchrestrictedservice-policy-admin) באשכול. התפקיד הזה לא קשור למרחב שמות. מידע נוסף על התפקיד הזה זמין במאמר הכנת הרשאות IAM.

  • מגדירים את הנתיב ל-kubeconfig של שרת ה-API לניהול:

    export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG

יצירת הגבלות

בקטעים הבאים מוסבר איך ליצור, לעדכן, למחוק ולהציג הגבלות על שירותים ספציפיים במרחבי השמות של הפרויקט.

יצירה או עדכון של הגבלות

  • כדי ליצור או לעדכן הגבלות לארגון, מריצים את הפקודה:

    kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

מחיקת הגבלה

  • כדי למחוק הגבלות, מריצים את הפקודה:

    kubectl delete GDCHRestrictedService NAME

תיאור של הגבלה

  • כדי לראות תיאור של ההגבלות, מריצים את הפקודה:

    kubectl describe GDCHRestrictedService NAME

הגבלת הגישה ל-Vertex AI Workbench בארגון

כדי להגביל את הגישה ל-Vertex AI Workbench בארגון, עורכים את סוג המדיניות GDCHRestrictedService על ידי הוספת קבוצת ה-API‏ aiplatform.gdc.goog והסוג Notebook לשדה kinds של המדיניות.

בדוגמה הבאה מוצג איך השדה kinds נראה בסוג המדיניות GDCHRestrictedService כשמגבילים את הגישה ל-Vertex AI Workbench לכל הארגון:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

כדי לשחזר את הגישה של הארגון ל-Vertex AI Workbench, קראו את המאמר מתן גישה ל-Vertex AI Workbench לארגון.

הגבלת הגישה ל-Vertex AI Workbench בפרויקט

כדי להגביל את הגישה ל-Vertex AI Workbench בפרויקט, עורכים את סוג המדיניות GDCHRestrictedService על ידי הוספת קבוצת ה-API‏ aiplatform.gdc.goog והסוג Notebook לשדה kinds של המדיניות למרחב השמות של הפרויקט.

ההבדל בין הגבלת הגישה לארגון הוא שצריך לציין את מרחב השמות שהמדיניות צריכה להשפיע עליו. מוסיפים למדיניות את השדה namespaces עם מרחב השמות של הפרויקט.

בדוגמה הבאה מוצג איך השדה kinds נראה בסוג המדיניות GDCHRestrictedService כשמגבילים את הגישה ל-Vertex AI Workbench בפרויקט:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

מחליפים את PROJECT_NAMESPACE במרחב השמות של הפרויקט שבו רוצים להגביל את הגישה ל-Vertex AI Workbench.

איך נותנים גישה ל-Vertex AI Workbench בארגון

כברירת מחדל, לארגונים ב-Distributed Cloud יש גישה ל-Vertex AI Workbench. עם זאת, אם הגבלתם את הגישה ל-Vertex AI Workbench בארגון, אתם יכולים לתת שוב גישה.

כדי לתת גישה ל-Vertex AI Workbench לכל הפרויקטים בארגון:

  1. מזהים את סוג המדיניות של GDCHRestrictedService בארגון.

  2. מוצאים את קבוצת ה-API של aiplatform.gdc.goog ואת הסוג Notebook במדיניות.

  3. אם קבוצת ה-API‏ aiplatform.gdc.goog והסוג Notebook הם התוכן היחיד בשדה kinds של המדיניות, צריך למחוק את המשאב GDCHRestrictedService.

  4. אם המדיניות GDCHRestrictedService מכילה שירותים מוגבלים אחרים, מסירים את קבוצת ה-API‏ aiplatform.gdc.goog ואת הסוג Notebook מהשדה kinds ושומרים את השינויים במדיניות.