Controllare l'accesso a Vertex AI Workbench

Puoi concedere e limitare l'accesso a Vertex AI Workbench per un'organizzazione o un progetto. Per farlo, definisci una policy dell'organizzazione utilizzando il tipo di policy GDCHRestrictedService, che ti consente di limitare il servizio che puoi utilizzare su Google Distributed Cloud (GDC) air-gapped. Quando viene applicata, la policy impedisce l'utilizzo delle API a cui fa riferimento.

Ad esempio, puoi utilizzare questo tipo di policy per limitare l'utilizzo di Vertex AI Workbench a progetti specifici. Solo le organizzazioni o i progetti non limitati possono creare o aggiornare i notebook JupyterLab. Puoi anche utilizzare la policy per limitare completamente l'accesso al servizio Vertex AI Workbench perché vuoi eseguire dei test prima di consentire ai tuoi team di utilizzarlo.

Questa pagina descrive come concedere e limitare l'accesso a Vertex AI Workbench utilizzando il tipo di policy GDCHRestrictedService. Per saperne di più sulle policy dell'organizzazione e su come modificare la GDCHRestrictedService policy dell'organizzazione, consulta Configurare le policy dell'organizzazione.

Prima di iniziare

  • Per ottenere le autorizzazioni necessarie per concedere o limitare l'accesso a Vertex AI Workbench per un'organizzazione o un progetto, chiedi all'amministratore IAM dell'organizzazione di concederti il ruolo del cluster Amministratore delle policy dei servizi limitati di GDC (gdchrestrictedservice-policy-admin). Questo ruolo non è associato a uno spazio dei nomi. Per saperne di più su questo ruolo, consulta Prepara le autorizzazioni IAM.

  • Definisci il percorso del file kubeconfig del server API di gestione:

    export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG

Creare limitazioni

Le sezioni seguenti descrivono come creare, aggiornare, eliminare e visualizzare le limitazioni per servizi specifici all'interno degli spazi dei nomi del progetto.

Creare o aggiornare le limitazioni

  • Per creare o aggiornare le limitazioni per la tua organizzazione, esegui:

    kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

Eliminare una limitazione

  • Per eliminare le limitazioni, esegui:

    kubectl delete GDCHRestrictedService NAME

Descrivere una limitazione

  • Per descrivere le limitazioni, esegui:

    kubectl describe GDCHRestrictedService NAME

Limitare l'accesso a Vertex AI Workbench per la tua organizzazione

Per limitare l'accesso a Vertex AI Workbench per la tua organizzazione, modifica il tipo di policy GDCHRestrictedService aggiungendo il gruppo di API aiplatform.gdc.goog e il tipo Notebook al campo kinds della policy.

L'esempio seguente mostra l'aspetto del campo kinds nel tipo di policy GDCHRestrictedService quando limiti l'accesso a Vertex AI Workbench per l'intera organizzazione:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Per ripristinare l'accesso di un'organizzazione a Vertex AI Workbench, consulta Concedere l'accesso a Vertex AI Workbench per la tua organizzazione.

Limitare l'accesso a Vertex AI Workbench per un progetto

Per limitare l'accesso a Vertex AI Workbench per un progetto, modifica il tipo di policy GDCHRestrictedService aggiungendo il gruppo di API aiplatform.gdc.goog e il tipo Notebook al campo kinds della policy per lo spazio dei nomi del progetto.

La differenza rispetto alla limitazione dell'accesso per un'organizzazione è che devi specificare lo spazio dei nomi su cui deve influire la policy. Aggiungi il campo namespaces alla policy con lo spazio dei nomi del progetto.

L'esempio seguente mostra l'aspetto del campo kinds nel tipo di policy GDCHRestrictedService quando limiti l'accesso a Vertex AI Workbench per un progetto:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Sostituisci PROJECT_NAMESPACE con lo spazio dei nomi del progetto in cui vuoi limitare l'accesso a Vertex AI Workbench.

Concedere l'accesso a Vertex AI Workbench per la tua organizzazione

Per impostazione predefinita, le organizzazioni Distributed Cloud hanno accesso a Vertex AI Workbench. Tuttavia, se hai limitato l'accesso a Vertex AI Workbench per la tua organizzazione, puoi concederlo di nuovo.

Per concedere l'accesso a Vertex AI Workbench per tutti i progetti della tua organizzazione, segui questi passaggi:

  1. Identifica il tipo di policy GDCHRestrictedService nella tua organizzazione.

  2. Trova il gruppo di API aiplatform.gdc.goog e il tipo Notebook nella policy.

  3. Se il gruppo di API aiplatform.gdc.goog e il tipo Notebook sono gli unici contenuti nel campo kinds della policy, elimina la risorsa GDCHRestrictedService.

  4. Se la policy GDCHRestrictedService contiene altri servizi limitati, rimuovi il gruppo di API aiplatform.gdc.goog e il tipo Notebook dal campo kinds e salva le modifiche alla policy.