Ressourcenzugriff steuern

Sie können IAM-Richtlinien (Identity and Access Management) festlegen, um den Zugriff auf die folgenden Vertex AI Feature Store-Ressourcen zu steuern:

  • Featuregruppen

  • Onlineshop-Instanzen

  • Featureansichten

Eine IAM-Richtlinie ist eine Sammlung von Bindungen, die ein oder mehrere Mitglieder oder Hauptkonten einer IAM-Rolle zuordnen. Sie können die folgenden Mitgliedstypen in eine IAM-Richtlinienbindung aufnehmen:

  • Einzelne Nutzerkonten

  • Google-Gruppen

  • Domains

  • Dienstkonten

Hinweis

Authentifizieren Sie sich bei der Gemini Enterprise Agent Platform, sofern nicht bereits geschehen.

Wenn Sie die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, verwenden Sie die Anmeldedaten, die Sie der gcloud CLI bereitstellen.

    Installieren Sie die Google Cloud CLI.

    Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Weitere Informationen finden Sie in der Google Cloud Authentifizierungsdokumentation unter Für die Verwendung von REST authentifizieren.

IAM-Richtlinie für eine Featuregruppe festlegen

Verwenden Sie das folgende Beispiel, um eine IAM-Richtlinie für eine vorhandene Featuregruppe festzulegen.

REST

Senden Sie eine POST Anfrage mit der featureGroups.setIamPolicy Methode, um einer FeatureGroup Ressource eine IAM-Richtlinie zuzuweisen.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

  • LOCATION_ID: Die Region, in der sich die Onlinespeicherinstanz befindet, z. B. us-central1.
  • PROJECT_ID: Ihre Projekt-ID.
  • FEATUREGROUP_NAME: Der Name der Onlineshop-Instanz, für die Sie die IAM-Richtlinie festlegen möchten.
  • IAM_ROLE_NAME: Der Name der IAM-Rolle, die den Mitgliedern zugewiesen werden soll. Eine vollständige Liste der IAM-Rollen für die Gemini Enterprise Agent Platform finden Sie unter Zugriffssteuerung mit IAM.
  • USER_EMAIL: Optional. Die E-Mail-Adresse des Nutzerkontos, dem die Rolle zugewiesen wird.
  • GROUP_EMAIL: Optional. Die E-Mail-Adresse der Google-Gruppe, der die Rolle zugewiesen wird.
  • DOMAIN_NAME: Optional. Der Domainname, dem die Rolle zugewiesen wird.
  • SERVICE_ACCOUNT_EMAIL: Optional. Die E-Mail-Adresse des Dienstkontos, dem die Rolle zugewiesen wird.

HTTP-Methode und URL: 

POST https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureGroups/FEATUREGROUP_NAME:setIamPolicy

JSON-Text der Anfrage: 

{
  "policy": {
    "bindings": [
      {
        "role": "IAM_ROLE_NAME",
        "members": [
          "user:USER_EMAIL",
          "group:GROUP_EMAIL",
          "domain:DOMAIN_NAME",
          "serviceAccount:SERVICE_ACCOUNT_EMAIL"
        ]
      }
    ]
  }
}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureGroups/FEATUREGROUP_NAME:setIamPolicy"

PowerShell

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureGroups/FEATUREGROUP_NAME:setIamPolicy" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{
  "bindings": [
  {
    "role": "IAM_ROLE_NAME",
    "members": [
      "user:USER_EMAIL",
      "group:GROUP_EMAIL",
      "domain:DOMAIN_NAME",
      "serviceAccount:SERVICE_ACCOUNT_EMAIL"
    ]
  }
  ],
  "etag": "etag"
}

IAM-Richtlinie für einen Onlinespeicher festlegen

Verwenden Sie das folgende Beispiel, um eine IAM-Richtlinie für eine vorhandene Onlineshop-Instanz festzulegen.

REST

Senden Sie eine POST Anfrage mit der featureOnlineStores.setIamPolicy Methode, um einer FeatureOnlineStore Ressource eine IAM-Richtlinie zuzuweisen.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

  • LOCATION_ID: Die Region, in der sich die Onlinespeicherinstanz befindet, z. B. us-central1.
  • PROJECT_ID: Ihre Projekt-ID.
  • FEATUREONLINESTORE_NAME: Der Name der Onlineshop-Instanz, für die Sie die IAM-Richtlinie festlegen möchten.
  • IAM_ROLE_NAME: Der Name der IAM-Rolle, die den Mitgliedern zugewiesen werden soll. Eine vollständige Liste der IAM-Rollen für die Gemini Enterprise Agent Platform finden Sie unter Zugriffssteuerung mit IAM.
  • USER_EMAIL: Optional. Die E-Mail-Adresse des Nutzerkontos, dem die Rolle zugewiesen wird.
  • GROUP_EMAIL: Optional. Die E-Mail-Adresse der Google-Gruppe, der die Rolle zugewiesen wird.
  • DOMAIN_NAME: Optional. Der Domainname, dem die Rolle zugewiesen wird.
  • SERVICE_ACCOUNT_EMAIL: Optional. Die E-Mail-Adresse des Dienstkontos, dem die Rolle zugewiesen wird.

HTTP-Methode und URL: 

POST https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureOnlineStores/FEATUREONLINESTORE_NAME:setIamPolicy

JSON-Text der Anfrage: 

{
  "policy": {
    "bindings": [
      {
        "role": "IAM_ROLE_NAME",
        "members": [
          "user:USER_EMAIL",
          "group:GROUP_EMAIL",
          "domain:DOMAIN_NAME",
          "serviceAccount:SERVICE_ACCOUNT_EMAIL"
        ]
      }
    ]
  }
}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureOnlineStores/FEATUREONLINESTORE_NAME:setIamPolicy"

PowerShell

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureOnlineStores/FEATUREONLINESTORE_NAME:setIamPolicy" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{
  "bindings": [
  {
    "role": "IAM_ROLE_NAME",
    "members": [
      "user:USER_EMAIL",
      "group:GROUP_EMAIL",
      "domain:DOMAIN_NAME",
      "serviceAccount:SERVICE_ACCOUNT_EMAIL"
    ]
  }
  ],
  "etag": "etag"
}

IAM-Richtlinie für eine Featureansicht festlegen

Verwenden Sie das folgende Beispiel, um eine IAM-Richtlinie für eine vorhandene Featureansicht festzulegen.

REST

Senden Sie eine POST Anfrage mit der featureViews.setIamPolicy Methode, um einer FeatureView Ressource eine IAM-Richtlinie zuzuweisen.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

  • LOCATION_ID: Die Region, in der sich die Featureansicht befindet, z. B. us-central1.
  • PROJECT_ID: Ihre Projekt-ID.
  • FEATUREONLINESTORE_NAME: Der Name der Onlineshop-Instanz, die die Featureansicht enthält.
  • FEATUREVIEW_NAME: Der Name der Featureansicht, für die Sie die IAM-Richtlinie festlegen möchten.
  • IAM_ROLE_NAME: Der Name der IAM-Rolle, die den Mitgliedern zugewiesen werden soll. Eine vollständige Liste der IAM-Rollen für die Gemini Enterprise Agent Platform finden Sie unter Zugriffssteuerung mit IAM.
  • USER_EMAIL: Optional. Die E-Mail-Adresse des Nutzerkontos, dem die Rolle zugewiesen wird.
  • GROUP_EMAIL: Optional. Die E-Mail-Adresse der Google-Gruppe, der die Rolle zugewiesen wird.
  • DOMAIN_NAME: Optional. Der Domainname, dem die Rolle zugewiesen wird.
  • SERVICE_ACCOUNT_EMAIL: Optional. Die E-Mail-Adresse des Dienstkontos, dem die Rolle zugewiesen wird.

HTTP-Methode und URL: 

POST https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureOnlineStores/FEATUREONLINESTORE_NAME/featureViews/FEATUREVIEW_NAME:setIamPolicy

JSON-Text der Anfrage: 

{
  "policy": {
    "bindings": [
      {
        "role": "IAM_ROLE_NAME",
        "members": [
          "user:USER_EMAIL",
          "group:GROUP_EMAIL",
          "domain:DOMAIN_NAME",
          "serviceAccount:SERVICE_ACCOUNT_EMAIL"
        ]
      }
    ]
  }
}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureOnlineStores/FEATUREONLINESTORE_NAME/featureViews/FEATUREVIEW_NAME:setIamPolicy"

PowerShell

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featureOnlineStores/FEATUREONLINESTORE_NAME/featureViews/FEATUREVIEW_NAME:setIamPolicy" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{
  "bindings": [
  {
    "role": "IAM_ROLE_NAME",
    "members": [
      "user:USER_EMAIL",
      "group:GROUP_EMAIL",
      "domain:DOMAIN_NAME",
      "serviceAccount:SERVICE_ACCOUNT_EMAIL"
    ]
  }
  ],
  "etag": "etag"
}

Nächste Schritte