Contrôle des accès avec IAM

Il est courant que plusieurs membres d'une équipe collaborent à la création d'un agent et que des services accèdent à l'agent. L'utilisation de rôles vous permet de contrôler les accès et les autorisations accordées aux comptes principaux.

Vous pouvez configurer l'accès à l'aide de la consoleGoogle Cloud avec Identity and Access Management (IAM). La console Google Cloud permet d'attribuer des rôles IAM aux comptes principaux. Consultez le guide de démarrage rapide IAM pour obtenir des instructions détaillées sur l'ajout, la modification et la suppression des autorisations.

Pour accéder aux paramètres, ouvrez la page IAM dans la console Google Cloud .

Ajouter un utilisateur ou un compte de service au projet

Vous pouvez accorder des autorisations à des utilisateurs ou à des comptes de service en leur attribuant des rôles sur votre projet Google Cloud . Vous pouvez ajouter des utilisateurs en fournissant leur adresse e-mail. Vous pouvez également ajouter des comptes de service en fournissant leur adresse e-mail associée. Vous devez ajouter des comptes de service lorsque vous souhaitez utiliser un compte de service pour plusieurs projets. Pour trouver l'adresse e-mail associée à votre compte de service, consultez la page Comptes de service IAM dans la console Google Cloud .

Ajouter un compte principal

Pour ajouter un compte principal :

  1. Cliquez sur  en haut de la page.
  2. Saisissez l'adresse e-mail du compte principal.
  3. Choisissez un rôle.
  4. Cliquez sur Enregistrer.

Modifier les autorisations

Pour modifier les autorisations, procédez comme suit :

  1. Cliquez sur  pour le compte principal.
  2. Sélectionnez un autre rôle.
  3. Cliquez sur Enregistrer.

Supprimer un compte principal

Pour supprimer un compte principal, cliquez sur .

Rôles IAM

Les rôles suivants sont disponibles pour accéder à CX Agent Studio.

Administrateur Gemini Enterprise for Customer Experience (ces.googleapis.com/admin)

Cela permet d'accéder à toutes les ressources.

Rôles de base :

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client
  • contactcenterinsights.googleapis.com/admin

Autorisations supplémentaires :

  • ces.googleapis.com/operations.delete
  • ces.googleapis.com/operations.cancel
  • ces.googleapis.com/apps.create
  • ces.googleapis.com/apps.update
  • ces.googleapis.com/apps.delete
  • ces.googleapis.com/apps.import
  • ces.googleapis.com/apps.export
  • ces.googleapis.com/apps.runEvaluation
  • ces.googleapis.com/agents.create
  • ces.googleapis.com/agents.update
  • ces.googleapis.com/agents.updateCallbacks
  • ces.googleapis.com/agents.updateInstructions
  • ces.googleapis.com/agents.updateTools
  • ces.googleapis.com/agents.updateGeneral
  • ces.googleapis.com/agents.delete
  • ces.googleapis.com/examples.create
  • ces.googleapis.com/examples.update
  • ces.googleapis.com/examples.delete
  • ces.googleapis.com/tools.create
  • ces.googleapis.com/tools.update
  • ces.googleapis.com/tools.delete
  • ces.googleapis.com/guardrails.create
  • ces.googleapis.com/guardrails.update
  • ces.googleapis.com/guardrails.delete
  • ces.googleapis.com/toolsets.create
  • ces.googleapis.com/toolsets.update
  • ces.googleapis.com/toolsets.delete
  • ces.googleapis.com/deployments.create
  • ces.googleapis.com/deployments.update
  • ces.googleapis.com/deployments.delete
  • ces.googleapis.com/conversations.delete
  • ces.googleapis.com/evaluations.create
  • ces.googleapis.com/evaluations.update
  • ces.googleapis.com/evaluations.delete
  • ces.googleapis.com/evaluationResults.delete
  • ces.googleapis.com/evaluationDatasets.create
  • ces.googleapis.com/evaluationDatasets.update
  • ces.googleapis.com/evaluationDatasets.delete
  • ces.googleapis.com/evaluationRuns.delete
  • ces.googleapis.com/scheduledEvaluationRuns.create
  • ces.googleapis.com/scheduledEvaluationRuns.update
  • ces.googleapis.com/scheduledEvaluationRuns.delete
  • ces.googleapis.com/appVersions.create
  • ces.googleapis.com/appVersions.delete
  • ces.googleapis.com/appVersions.restore
  • ces.googleapis.com/omnichannels.create
  • ces.googleapis.com/omnichannels.update
  • ces.googleapis.com/omnichannels.delete
  • ces.googleapis.com/apps.createTagBinding
  • ces.googleapis.com/apps.deleteTagBinding
  • ces.googleapis.com/apps.listTagBindings
  • ces.googleapis.com/apps.listEffectiveTags
  • ces.googleapis.com/assistantSessions.create
  • ces.googleapis.com/routes.create
  • ces.googleapis.com/routes.update
  • ces.googleapis.com/routes.delete
  • ces.googleapis.com/endpointConfigs.create
  • ces.googleapis.com/endpointConfigs.update
  • ces.googleapis.com/endpointConfigs.delete
  • ces.googleapis.com/sipDomains.create
  • ces.googleapis.com/sipDomains.update
  • ces.googleapis.com/sipDomains.delete
  • ces.googleapis.com/securitySettings.update

Lecteur Gemini Enterprise for Customer Experience (ces.googleapis.com/viewer)

Il fournit un accès en lecture seule aux ressources.

Rôles de base :

  • contactcenterinsights.googleapis.com/viewer

Autorisations supplémentaires :

  • cloudresourcemanager.googleapis.com/projects.get
  • cloudresourcemanager.googleapis.com/projects.list
  • ces.googleapis.com/operations.list
  • ces.googleapis.com/operations.get
  • ces.googleapis.com/locations.list
  • ces.googleapis.com/locations.get
  • ces.googleapis.com/apps.list
  • ces.googleapis.com/apps.get
  • ces.googleapis.com/agents.list
  • ces.googleapis.com/agents.get
  • ces.googleapis.com/examples.list
  • ces.googleapis.com/examples.get
  • ces.googleapis.com/tools.list
  • ces.googleapis.com/tools.get
  • ces.googleapis.com/guardrails.list
  • ces.googleapis.com/guardrails.get
  • ces.googleapis.com/toolsets.list
  • ces.googleapis.com/toolsets.get
  • ces.googleapis.com/deployments.list
  • ces.googleapis.com/deployments.get
  • ces.googleapis.com/conversations.list
  • ces.googleapis.com/conversations.get
  • ces.googleapis.com/appVersions.list
  • ces.googleapis.com/appVersions.get
  • ces.googleapis.com/evaluations.list
  • ces.googleapis.com/evaluations.get
  • ces.googleapis.com/evaluationResults.list
  • ces.googleapis.com/evaluationResults.get
  • ces.googleapis.com/evaluationDatasets.list
  • ces.googleapis.com/evaluationDatasets.get
  • ces.googleapis.com/evaluationRuns.list
  • ces.googleapis.com/evaluationRuns.get
  • ces.googleapis.com/scheduledEvaluationRuns.list
  • ces.googleapis.com/scheduledEvaluationRuns.get
  • ces.googleapis.com/changelogs.list
  • ces.googleapis.com/changelogs.get
  • ces.googleapis.com/omnichannels.get
  • ces.googleapis.com/omnichannels.list
  • ces.googleapis.com/apps.listTagBindings
  • ces.googleapis.com/apps.listEffectiveTags
  • ces.googleapis.com/assistantSessions.list
  • ces.googleapis.com/assistantSessions.get
  • ces.googleapis.com/routes.list
  • ces.googleapis.com/routes.get
  • ces.googleapis.com/endpointConfigs.list
  • ces.googleapis.com/endpointConfigs.get
  • ces.googleapis.com/sipDomains.list
  • ces.googleapis.com/sipDomains.get
  • ces.googleapis.com/securitySettings.get

Client Gemini Enterprise for Customer Experience (ces.googleapis.com/client)

Cela permet d'interroger les agents.

Autorisations :

  • ces.googleapis.com/sessions.runSession
  • ces.googleapis.com/sessions.bidiRunSession
  • ces.googleapis.com/tools.execute

Éditeur d'application Gemini Enterprise for Customer Experience (ces.googleapis.com/appEditor)

Contrôle total sur les paramètres au niveau de l'application. Gère la journalisation globale, les configurations audio/vocales, les buckets de stockage et les versions d'application.

Rôles de base :

  • ces.googleapis.com/viewer

Autorisations supplémentaires :

  • ces.googleapis.com/apps.create
  • ces.googleapis.com/apps.update
  • ces.googleapis.com/apps.delete
  • ces.googleapis.com/apps.import
  • ces.googleapis.com/apps.export
  • ces.googleapis.com/apps.runEvaluation
  • ces.googleapis.com/apps.createTagBinding
  • ces.googleapis.com/apps.deleteTagBinding
  • ces.googleapis.com/appVersions.create
  • ces.googleapis.com/appVersions.delete
  • ces.googleapis.com/appVersions.restore

Éditeur d'agent Gemini Enterprise for Customer Experience (ces.googleapis.com/agentEditor)

Contrôle total sur les structures de nœuds d'agent, les flux, les instructions et les rappels. Peut ajouter/supprimer des outils des agents (mais pas en créer).

Rôles de base :

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

Autorisations supplémentaires :

  • ces.googleapis.com/agents.create
  • ces.googleapis.com/agents.update
  • ces.googleapis.com/agents.updateCallbacks
  • ces.googleapis.com/agents.updateInstructions
  • ces.googleapis.com/agents.updateTools
  • ces.googleapis.com/agents.updateGeneral
  • ces.googleapis.com/agents.delete
  • ces.googleapis.com/examples.create
  • ces.googleapis.com/examples.update
  • ces.googleapis.com/examples.delete

Éditeur d'outils Gemini Enterprise for Customer Experience (ces.googleapis.com/toolsEditor)

Contrôle total sur les outils, les ensembles d'outils et les intégrations.

Rôles de base :

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

Autorisations supplémentaires :

  • ces.googleapis.com/tools.create
  • ces.googleapis.com/tools.update
  • ces.googleapis.com/tools.delete
  • ces.googleapis.com/toolsets.create
  • ces.googleapis.com/toolsets.update
  • ces.googleapis.com/toolsets.delete

Éditeur de garde-fous Gemini Enterprise for Customer Experience (ces.googleapis.com/guardrailsEditor)

Contrôle total sur les paramètres de sécurité et les garde-fous.

Rôles de base :

- ces.googleapis.com/viewer
- ces.googleapis.com/client

Autorisations supplémentaires :

- ces.googleapis.com/guardrails.create
- ces.googleapis.com/guardrails.update
- ces.googleapis.com/guardrails.delete

Éditeur d'évaluations Gemini Enterprise for Customer Experience (ces.googleapis.com/evalsEditor)

Contrôle total des ensembles de données d'évaluation, des exécutions et des résultats.

Rôles de base :

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

Autorisations supplémentaires :

  • ces.googleapis.com/evaluations.create
  • ces.googleapis.com/evaluations.update
  • ces.googleapis.com/evaluations.delete
  • ces.googleapis.com/evaluationResults.delete
  • ces.googleapis.com/evaluationDatasets.create
  • ces.googleapis.com/evaluationDatasets.update
  • ces.googleapis.com/evaluationDatasets.delete
  • ces.googleapis.com/evaluationRuns.delete
  • ces.googleapis.com/scheduledEvaluationRuns.create
  • ces.googleapis.com/scheduledEvaluationRuns.update
  • ces.googleapis.com/scheduledEvaluationRuns.delete

Éditeur des paramètres de sécurité Gemini Enterprise for Customer Experience (ces.googleapis.com/securitySettingsEditor)

Contrôle total des paramètres de sécurité à l'échelle du projet.

Rôles de base :

  • ces.googleapis.com/viewer

Autorisations supplémentaires :

  • ces.googleapis.com/securitySettings.update

Éditeur de déploiement Gemini Enterprise for Customer Experience (ces.googleapis.com/deploymentEditor)

Permet de gérer les environnements et d'y déployer des versions d'application spécifiques.

Rôles de base :

  • ces.googleapis.com/viewer

Autorisations supplémentaires :

  • ces.googleapis.com/deployments.create
  • ces.googleapis.com/deployments.update
  • ces.googleapis.com/deployments.delete

Insights sur l'expérience client

CX Agent Studio s'intègre à CX Insights. Vous devez accorder les autorisations CX Insights suivantes aux principaux qui accèdent à CX Agent Studio :

  • contactcenterinsights.googleapis.com/conversations.get
  • contactcenterinsights.googleapis.com/conversations.list

Ces autorisations sont automatiquement incluses dans les rôles enfants de ces.googleapis.com/admin et ces.googleapis.com/viewer. Toutefois, si vous définissez des rôles personnalisés, veillez à inclure ces autorisations dans les définitions de rôle personnalisé.

Vous pouvez également attribuer l'un des rôles CX Insights suivants aux comptes principaux concernés :

  • contactcenterinsights.googleapis.com/viewer : fournit un accès en lecture seule aux conversations.
  • contactcenterinsights.googleapis.com/admin : Accorde un accès complet aux conversations

En plus des rôles, vous devrez peut-être suivre les étapes de configuration du moteur de découverte.

Demandes impliquant l'accès à Cloud Storage

Certaines requêtes CX Agent Studio accèdent à des objets dans Cloud Storage pour lire ou écrire des données. Lorsque vous appelez l'une de ces requêtes, CX Agent Studio accède aux données Cloud Storage au nom de l'appelant. Cela signifie que l'authentification de votre requête doit disposer des autorisations nécessaires pour accéder à CX Agent Studio et aux objets Cloud Storage.

Lorsque vous utilisez une bibliothèque cliente Google et des rôles IAM, consultez le Guide du contrôle des accès Cloud Storage pour en savoir plus sur les rôles Cloud Storage.

Lorsque vous implémentez votre propre client et que vous utilisez OAuth, vous devez utiliser le champ d'application OAuth suivant :

  • https://www.googleapis.com/auth/cloud-platform (accès à toutes les ressources du projet)

Ajouter une condition pour limiter l'accès à une application d'agent

Lorsque vous ajoutez ou modifiez un compte principal, vous pouvez créer des liaisons de rôle conditionnelles qui limitent l'accès à une application d'agent.

La condition suivante permet d'accéder à une application d'agent spécifique ainsi qu'aux ressources de premier niveau du projet dont l'application d'agent a besoin :

resource.name == "projects/PROJECT_ID" ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/apps/APP_ID") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/operations") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/sipDomains") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/omnichannels") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/dataStores") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/routes") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/endpointConfigs")

Pour accéder aux insights sur l'expérience client, vous devez accorder des rôles Insights sur l'expérience client en plus de l'octroi conditionnel.