IAM によるアクセス制御

一般的に、複数のチームメンバーが共同でエージェントの作成を行い、サービスがエージェントにアクセスします。ロールを使用すると、プリンシパルに付与されるアクセスと権限を制御できます。

Identity and Access Management（IAM）を使用して、Google Cloud コンソールでアクセスを構成できます。 Google Cloud コンソールは、プリンシパルに IAM ロールを付与するために使用します。権限の追加、編集、削除の詳細な手順については、IAM クイックスタートをご覧ください。

設定にアクセスするには、 Google Cloud コンソールで [IAM] ページを開きます。

プロジェクトにユーザーやサービス アカウントを追加する

ユーザーやサービス アカウントに権限を付与するには、 Google Cloud プロジェクトでロールを付与します。ユーザーを追加するには、そのユーザーのメールアドレスを入力します。サービス アカウントを追加する場合も、そのアカウントに関連付けられているメールアドレスを入力します。1 つのサービス アカウントを複数のプロジェクトに使用する場合は、サービス アカウントを追加する必要があります。サービス アカウントに関連付けられたメールアドレスを確認するには、 Google Cloud コンソールの IAM サービス アカウント ページをご覧ください。

プリンシパルを追加する

プリンシパルを追加する手順は次のとおりです。

  1. ページの上部にある をクリックします。
  2. プリンシパルのメールアドレスを入力します。
  3. 役割を選択します。
  4. [保存] をクリックします。

権限を変更する

権限を変更する手順は次のとおりです。

  1. プリンシパルの をクリックします。
  2. 別の役割を選択します。
  3. [保存] をクリックします。

プリンシパルを削除する

プリンシパルを削除するには、プリンシパルの をクリックします。

IAM ロール

CX Agent Studio にアクセスするには、次のロールを使用できます。

Gemini Enterprise for Customer Experience 管理者（ces.googleapis.com/admin）

これにより、リソースへのフルアクセス権が付与されます。

基本ロール:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client
  • contactcenterinsights.googleapis.com/admin

その他の権限:

  • ces.googleapis.com/operations.delete
  • ces.googleapis.com/operations.cancel
  • ces.googleapis.com/apps.create
  • ces.googleapis.com/apps.update
  • ces.googleapis.com/apps.delete
  • ces.googleapis.com/apps.import
  • ces.googleapis.com/apps.export
  • ces.googleapis.com/apps.runEvaluation
  • ces.googleapis.com/agents.create
  • ces.googleapis.com/agents.update
  • ces.googleapis.com/agents.updateCallbacks
  • ces.googleapis.com/agents.updateInstructions
  • ces.googleapis.com/agents.updateTools
  • ces.googleapis.com/agents.updateGeneral
  • ces.googleapis.com/agents.delete
  • ces.googleapis.com/examples.create
  • ces.googleapis.com/examples.update
  • ces.googleapis.com/examples.delete
  • ces.googleapis.com/tools.create
  • ces.googleapis.com/tools.update
  • ces.googleapis.com/tools.delete
  • ces.googleapis.com/guardrails.create
  • ces.googleapis.com/guardrails.update
  • ces.googleapis.com/guardrails.delete
  • ces.googleapis.com/toolsets.create
  • ces.googleapis.com/toolsets.update
  • ces.googleapis.com/toolsets.delete
  • ces.googleapis.com/deployments.create
  • ces.googleapis.com/deployments.update
  • ces.googleapis.com/deployments.delete
  • ces.googleapis.com/conversations.delete
  • ces.googleapis.com/evaluations.create
  • ces.googleapis.com/evaluations.update
  • ces.googleapis.com/evaluations.delete
  • ces.googleapis.com/evaluationResults.delete
  • ces.googleapis.com/evaluationDatasets.create
  • ces.googleapis.com/evaluationDatasets.update
  • ces.googleapis.com/evaluationDatasets.delete
  • ces.googleapis.com/evaluationRuns.delete
  • ces.googleapis.com/scheduledEvaluationRuns.create
  • ces.googleapis.com/scheduledEvaluationRuns.update
  • ces.googleapis.com/scheduledEvaluationRuns.delete
  • ces.googleapis.com/appVersions.create
  • ces.googleapis.com/appVersions.delete
  • ces.googleapis.com/appVersions.restore
  • ces.googleapis.com/omnichannels.create
  • ces.googleapis.com/omnichannels.update
  • ces.googleapis.com/omnichannels.delete
  • ces.googleapis.com/apps.createTagBinding
  • ces.googleapis.com/apps.deleteTagBinding
  • ces.googleapis.com/apps.listTagBindings
  • ces.googleapis.com/apps.listEffectiveTags
  • ces.googleapis.com/assistantSessions.create
  • ces.googleapis.com/routes.create
  • ces.googleapis.com/routes.update
  • ces.googleapis.com/routes.delete
  • ces.googleapis.com/endpointConfigs.create
  • ces.googleapis.com/endpointConfigs.update
  • ces.googleapis.com/endpointConfigs.delete
  • ces.googleapis.com/sipDomains.create
  • ces.googleapis.com/sipDomains.update
  • ces.googleapis.com/sipDomains.delete
  • ces.googleapis.com/securitySettings.update

Gemini Enterprise for Customer Experience 閲覧者（ces.googleapis.com/viewer）

これにより、リソースへの読み取り専用アクセス権が付与されます。

基本ロール:

  • contactcenterinsights.googleapis.com/viewer

その他の権限:

  • cloudresourcemanager.googleapis.com/projects.get
  • cloudresourcemanager.googleapis.com/projects.list
  • ces.googleapis.com/operations.list
  • ces.googleapis.com/operations.get
  • ces.googleapis.com/locations.list
  • ces.googleapis.com/locations.get
  • ces.googleapis.com/apps.list
  • ces.googleapis.com/apps.get
  • ces.googleapis.com/agents.list
  • ces.googleapis.com/agents.get
  • ces.googleapis.com/examples.list
  • ces.googleapis.com/examples.get
  • ces.googleapis.com/tools.list
  • ces.googleapis.com/tools.get
  • ces.googleapis.com/guardrails.list
  • ces.googleapis.com/guardrails.get
  • ces.googleapis.com/toolsets.list
  • ces.googleapis.com/toolsets.get
  • ces.googleapis.com/deployments.list
  • ces.googleapis.com/deployments.get
  • ces.googleapis.com/conversations.list
  • ces.googleapis.com/conversations.get
  • ces.googleapis.com/appVersions.list
  • ces.googleapis.com/appVersions.get
  • ces.googleapis.com/evaluations.list
  • ces.googleapis.com/evaluations.get
  • ces.googleapis.com/evaluationResults.list
  • ces.googleapis.com/evaluationResults.get
  • ces.googleapis.com/evaluationDatasets.list
  • ces.googleapis.com/evaluationDatasets.get
  • ces.googleapis.com/evaluationRuns.list
  • ces.googleapis.com/evaluationRuns.get
  • ces.googleapis.com/scheduledEvaluationRuns.list
  • ces.googleapis.com/scheduledEvaluationRuns.get
  • ces.googleapis.com/changelogs.list
  • ces.googleapis.com/changelogs.get
  • ces.googleapis.com/omnichannels.get
  • ces.googleapis.com/omnichannels.list
  • ces.googleapis.com/apps.listTagBindings
  • ces.googleapis.com/apps.listEffectiveTags
  • ces.googleapis.com/assistantSessions.list
  • ces.googleapis.com/assistantSessions.get
  • ces.googleapis.com/routes.list
  • ces.googleapis.com/routes.get
  • ces.googleapis.com/endpointConfigs.list
  • ces.googleapis.com/endpointConfigs.get
  • ces.googleapis.com/sipDomains.list
  • ces.googleapis.com/sipDomains.get
  • ces.googleapis.com/securitySettings.get

Gemini Enterprise for Customer Experience クライアント（ces.googleapis.com/client）

これにより、エージェントにクエリ アクセス権が付与されます。

権限:

  • ces.googleapis.com/sessions.runSession
  • ces.googleapis.com/sessions.bidiRunSession
  • ces.googleapis.com/tools.execute

Gemini Enterprise for Customer Experience アプリ編集者（ces.googleapis.com/appEditor）

アプリレベルの設定を完全に管理できます。グローバル ロギング、音声構成、ストレージ バケット、アプリのバージョンを管理します。

基本ロール:

  • ces.googleapis.com/viewer

その他の権限:

  • ces.googleapis.com/apps.create
  • ces.googleapis.com/apps.update
  • ces.googleapis.com/apps.delete
  • ces.googleapis.com/apps.import
  • ces.googleapis.com/apps.export
  • ces.googleapis.com/apps.runEvaluation
  • ces.googleapis.com/apps.createTagBinding
  • ces.googleapis.com/apps.deleteTagBinding
  • ces.googleapis.com/appVersions.create
  • ces.googleapis.com/appVersions.delete
  • ces.googleapis.com/appVersions.restore

Gemini Enterprise for Customer Experience エージェント編集者（ces.googleapis.com/agentEditor）

エージェント ノードの構造、フロー、指示、コールバックを完全に制御できます。エージェントにツールを追加/削除できます（新しいツールを作成することはできません）。

基本ロール:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

その他の権限:

  • ces.googleapis.com/agents.create
  • ces.googleapis.com/agents.update
  • ces.googleapis.com/agents.updateCallbacks
  • ces.googleapis.com/agents.updateInstructions
  • ces.googleapis.com/agents.updateTools
  • ces.googleapis.com/agents.updateGeneral
  • ces.googleapis.com/agents.delete
  • ces.googleapis.com/examples.create
  • ces.googleapis.com/examples.update
  • ces.googleapis.com/examples.delete

Gemini Enterprise for Customer Experience Tools 編集者（ces.googleapis.com/toolsEditor）

ツール、ツールセット、統合を完全に管理できます。

基本ロール:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

その他の権限:

  • ces.googleapis.com/tools.create
  • ces.googleapis.com/tools.update
  • ces.googleapis.com/tools.delete
  • ces.googleapis.com/toolsets.create
  • ces.googleapis.com/toolsets.update
  • ces.googleapis.com/toolsets.delete

Gemini Enterprise for Customer Experience Guardrails 編集者（ces.googleapis.com/guardrailsEditor）

安全性設定とガードレールを完全に管理できます。

基本ロール:

- ces.googleapis.com/viewer
- ces.googleapis.com/client

その他の権限:

- ces.googleapis.com/guardrails.create
- ces.googleapis.com/guardrails.update
- ces.googleapis.com/guardrails.delete

Gemini Enterprise for Customer Experience Evals 編集者（ces.googleapis.com/evalsEditor）

評価データセット、実行、結果を完全に管理できます。

基本ロール:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

その他の権限:

  • ces.googleapis.com/evaluations.create
  • ces.googleapis.com/evaluations.update
  • ces.googleapis.com/evaluations.delete
  • ces.googleapis.com/evaluationResults.delete
  • ces.googleapis.com/evaluationDatasets.create
  • ces.googleapis.com/evaluationDatasets.update
  • ces.googleapis.com/evaluationDatasets.delete
  • ces.googleapis.com/evaluationRuns.delete
  • ces.googleapis.com/scheduledEvaluationRuns.create
  • ces.googleapis.com/scheduledEvaluationRuns.update
  • ces.googleapis.com/scheduledEvaluationRuns.delete

Gemini Enterprise for Customer Experience セキュリティ設定編集者（ces.googleapis.com/securitySettingsEditor）

プロジェクト全体のセキュリティ設定を完全に管理できます。

基本ロール:

  • ces.googleapis.com/viewer

その他の権限:

  • ces.googleapis.com/securitySettings.update

Gemini Enterprise for Customer Experience デプロイメント編集者（ces.googleapis.com/deploymentEditor）

環境を管理し、特定のアプリ バージョンを環境にデプロイできます。

基本ロール:

  • ces.googleapis.com/viewer

その他の権限:

  • ces.googleapis.com/deployments.create
  • ces.googleapis.com/deployments.update
  • ces.googleapis.com/deployments.delete

カスタマー エクスペリエンスのインサイト

CX Agent Studio は CX Insights と統合されています。CX Agent Studio にアクセスするプリンシパルには、次の CX Insights 権限を付与する必要があります。

  • contactcenterinsights.googleapis.com/conversations.get
  • contactcenterinsights.googleapis.com/conversations.list

これらの権限は、ces.googleapis.com/admin と ces.googleapis.com/viewer の子ロールによって自動的に含まれます。ただし、カスタムロールを定義する場合は、これらの権限をカスタムロールの定義に含めるようにしてください。

または、関連するプリンシパルに次のいずれかの CX Insights ロールを付与することもできます。

  • contactcenterinsights.googleapis.com/viewer: 会話に対する読み取り専用アクセス権を付与します
  • contactcenterinsights.googleapis.com/admin: 会話に対する完全アクセス権を付与します

ロールに加えて、Discovery Engine の設定の手順に沿って操作する必要がある場合があります。

Cloud Storage へのアクセスに関連するリクエスト

一部の CX Agent Studio リクエストは、データの読み取りと書き込みのために Cloud Storage 内のオブジェクトにアクセスします。これらのリクエストのいずれかを呼び出すと、CX Agent Studio は呼び出し元の代わりに Cloud Storage データにアクセスします。つまり、リクエスト認証には、CX Agent Studio と Cloud Storage オブジェクトにアクセスする権限が必要です。

Google クライアント ライブラリと IAM 役割を使用する場合、Cloud Storage の役割の情報にはCloud Storage アクセス制御ガイドをご覧ください。

独自のクライアントを実装し、OAuth を使用する場合は、次の OAuth スコープを使用する必要があります。

  • https://www.googleapis.com/auth/cloud-platform （すべてのプロジェクト リソースへのアクセス）

1 つのエージェント アプリケーションへのアクセスを制限する条件を追加する

プリンシパルを追加または編集するときに、アクセス権を 1 つのエージェント アプリケーションに制限する条件付きロール バインディングを作成できます。

次の条件では、特定のエージェント アプリケーションと、エージェント アプリケーションに必要なプロジェクト内の最上位リソースへのアクセスが許可されます。

resource.name == "projects/PROJECT_ID" ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/apps/APP_ID") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/operations") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/sipDomains") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/omnichannels") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/dataStores") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/routes") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/endpointConfigs")

カスタマー エクスペリエンス分析情報にアクセスするには、条件付き付与に加えて、カスタマー エクスペリエンス分析情報のロールを付与する必要があります。