Controle de acesso com o IAM

É comum que vários membros da equipe colaborem na criação de um agente e que os serviços acessem o agente. Com os papéis, é possível controlar o acesso e as permissões concedidas aos principais.

É possível configurar o acesso usando o Google Cloud console com gerenciamento de identidade e acesso (IAM). O Google Cloud console é usado para conceder papéis do IAM aos principais. Consulte o guia de início rápido do IAM para instruções detalhadas sobre como adicionar, editar e remover permissões.

Para acessar as configurações, abra a página do IAM no Google Cloud console.

Adicionar um usuário ou uma conta de serviço ao projeto

É possível conceder permissões a usuários ou contas de serviço concedendo a eles papéis no seu Google Cloud projeto. Os usuários são adicionados fornecendo os respectivos endereços de e-mail. As contas de serviço também são adicionadas fornecendo o endereço de e-mail associado a elas. É necessário adicionar contas de serviço quando você quiser usar uma conta de serviço para vários projetos. Para encontrar o endereço de e-mail associado à sua conta de serviço, consulte a página Contas de serviço do IAM no Google Cloud console.

Adicionar um principal

Para adicionar um principal, faça o seguinte:

  1. Clique em na parte de cima da página.
  2. Digite o endereço de e-mail do principal.
  3. Selecione um papel.
  4. Clique em Salvar.

Alterar permissões

Para mudar as permissões, faça o seguinte:

  1. Clique em no principal.
  2. Selecione um papel diferente.
  3. Clique em Save.

Remover uma conta principal

Para remover um principal, clique em no principal.

Papéis IAM

Os seguintes papéis estão disponíveis para acessar o CX Agent Studio.

Administrador do Gemini Enterprise for Customer Experience (ces.googleapis.com/admin)

Isso fornece acesso total aos recursos.

Papéis básicos:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client
  • contactcenterinsights.googleapis.com/admin

Outras permissões:

  • ces.googleapis.com/operations.delete
  • ces.googleapis.com/operations.cancel
  • ces.googleapis.com/apps.create
  • ces.googleapis.com/apps.update
  • ces.googleapis.com/apps.delete
  • ces.googleapis.com/apps.import
  • ces.googleapis.com/apps.export
  • ces.googleapis.com/apps.runEvaluation
  • ces.googleapis.com/agents.create
  • ces.googleapis.com/agents.update
  • ces.googleapis.com/agents.updateCallbacks
  • ces.googleapis.com/agents.updateInstructions
  • ces.googleapis.com/agents.updateTools
  • ces.googleapis.com/agents.updateGeneral
  • ces.googleapis.com/agents.delete
  • ces.googleapis.com/examples.create
  • ces.googleapis.com/examples.update
  • ces.googleapis.com/examples.delete
  • ces.googleapis.com/tools.create
  • ces.googleapis.com/tools.update
  • ces.googleapis.com/tools.delete
  • ces.googleapis.com/guardrails.create
  • ces.googleapis.com/guardrails.update
  • ces.googleapis.com/guardrails.delete
  • ces.googleapis.com/toolsets.create
  • ces.googleapis.com/toolsets.update
  • ces.googleapis.com/toolsets.delete
  • ces.googleapis.com/deployments.create
  • ces.googleapis.com/deployments.update
  • ces.googleapis.com/deployments.delete
  • ces.googleapis.com/conversations.delete
  • ces.googleapis.com/evaluations.create
  • ces.googleapis.com/evaluations.update
  • ces.googleapis.com/evaluations.delete
  • ces.googleapis.com/evaluationResults.delete
  • ces.googleapis.com/evaluationDatasets.create
  • ces.googleapis.com/evaluationDatasets.update
  • ces.googleapis.com/evaluationDatasets.delete
  • ces.googleapis.com/evaluationRuns.delete
  • ces.googleapis.com/scheduledEvaluationRuns.create
  • ces.googleapis.com/scheduledEvaluationRuns.update
  • ces.googleapis.com/scheduledEvaluationRuns.delete
  • ces.googleapis.com/appVersions.create
  • ces.googleapis.com/appVersions.delete
  • ces.googleapis.com/appVersions.restore
  • ces.googleapis.com/omnichannels.create
  • ces.googleapis.com/omnichannels.update
  • ces.googleapis.com/omnichannels.delete
  • ces.googleapis.com/apps.createTagBinding
  • ces.googleapis.com/apps.deleteTagBinding
  • ces.googleapis.com/apps.listTagBindings
  • ces.googleapis.com/apps.listEffectiveTags
  • ces.googleapis.com/assistantSessions.create
  • ces.googleapis.com/routes.create
  • ces.googleapis.com/routes.update
  • ces.googleapis.com/routes.delete
  • ces.googleapis.com/endpointConfigs.create
  • ces.googleapis.com/endpointConfigs.update
  • ces.googleapis.com/endpointConfigs.delete
  • ces.googleapis.com/sipDomains.create
  • ces.googleapis.com/sipDomains.update
  • ces.googleapis.com/sipDomains.delete
  • ces.googleapis.com/securitySettings.update

Leitor do Gemini Enterprise for Customer Experience (ces.googleapis.com/viewer)

Isso fornece acesso somente leitura aos recursos.

Papéis básicos:

  • contactcenterinsights.googleapis.com/viewer

Outras permissões:

  • cloudresourcemanager.googleapis.com/projects.get
  • cloudresourcemanager.googleapis.com/projects.list
  • ces.googleapis.com/operations.list
  • ces.googleapis.com/operations.get
  • ces.googleapis.com/locations.list
  • ces.googleapis.com/locations.get
  • ces.googleapis.com/apps.list
  • ces.googleapis.com/apps.get
  • ces.googleapis.com/agents.list
  • ces.googleapis.com/agents.get
  • ces.googleapis.com/examples.list
  • ces.googleapis.com/examples.get
  • ces.googleapis.com/tools.list
  • ces.googleapis.com/tools.get
  • ces.googleapis.com/guardrails.list
  • ces.googleapis.com/guardrails.get
  • ces.googleapis.com/toolsets.list
  • ces.googleapis.com/toolsets.get
  • ces.googleapis.com/deployments.list
  • ces.googleapis.com/deployments.get
  • ces.googleapis.com/conversations.list
  • ces.googleapis.com/conversations.get
  • ces.googleapis.com/appVersions.list
  • ces.googleapis.com/appVersions.get
  • ces.googleapis.com/evaluations.list
  • ces.googleapis.com/evaluations.get
  • ces.googleapis.com/evaluationResults.list
  • ces.googleapis.com/evaluationResults.get
  • ces.googleapis.com/evaluationDatasets.list
  • ces.googleapis.com/evaluationDatasets.get
  • ces.googleapis.com/evaluationRuns.list
  • ces.googleapis.com/evaluationRuns.get
  • ces.googleapis.com/scheduledEvaluationRuns.list
  • ces.googleapis.com/scheduledEvaluationRuns.get
  • ces.googleapis.com/changelogs.list
  • ces.googleapis.com/changelogs.get
  • ces.googleapis.com/omnichannels.get
  • ces.googleapis.com/omnichannels.list
  • ces.googleapis.com/apps.listTagBindings
  • ces.googleapis.com/apps.listEffectiveTags
  • ces.googleapis.com/assistantSessions.list
  • ces.googleapis.com/assistantSessions.get
  • ces.googleapis.com/routes.list
  • ces.googleapis.com/routes.get
  • ces.googleapis.com/endpointConfigs.list
  • ces.googleapis.com/endpointConfigs.get
  • ces.googleapis.com/sipDomains.list
  • ces.googleapis.com/sipDomains.get
  • ces.googleapis.com/securitySettings.get

Cliente do Gemini Enterprise for Customer Experience (ces.googleapis.com/client)

Isso fornece acesso de consulta aos agentes.

Permissões:

  • ces.googleapis.com/sessions.runSession
  • ces.googleapis.com/sessions.bidiRunSession
  • ces.googleapis.com/tools.execute

Editor de apps do Gemini Enterprise for Customer Experience (ces.googleapis.com/appEditor)

Controle total sobre as configurações no nível do app. Gerencia registros globais, configurações de áudio/voz, buckets de armazenamento e versões de apps.

Papéis básicos:

  • ces.googleapis.com/viewer

Outras permissões:

  • ces.googleapis.com/apps.create
  • ces.googleapis.com/apps.update
  • ces.googleapis.com/apps.delete
  • ces.googleapis.com/apps.import
  • ces.googleapis.com/apps.export
  • ces.googleapis.com/apps.runEvaluation
  • ces.googleapis.com/apps.createTagBinding
  • ces.googleapis.com/apps.deleteTagBinding
  • ces.googleapis.com/appVersions.create
  • ces.googleapis.com/appVersions.delete
  • ces.googleapis.com/appVersions.restore

Editor de agentes do Gemini Enterprise for Customer Experience (ces.googleapis.com/agentEditor)

Controle total sobre estruturas de nós, fluxos, instruções e callbacks do agente. Pode adicionar/remover ferramentas de agentes (mas não criar novas ferramentas).

Papéis básicos:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

Outras permissões:

  • ces.googleapis.com/agents.create
  • ces.googleapis.com/agents.update
  • ces.googleapis.com/agents.updateCallbacks
  • ces.googleapis.com/agents.updateInstructions
  • ces.googleapis.com/agents.updateTools
  • ces.googleapis.com/agents.updateGeneral
  • ces.googleapis.com/agents.delete
  • ces.googleapis.com/examples.create
  • ces.googleapis.com/examples.update
  • ces.googleapis.com/examples.delete

Editor de ferramentas do Gemini Enterprise for Customer Experience (ces.googleapis.com/toolsEditor)

Controle total sobre ferramentas, conjuntos de ferramentas e integrações.

Papéis básicos:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

Outras permissões:

  • ces.googleapis.com/tools.create
  • ces.googleapis.com/tools.update
  • ces.googleapis.com/tools.delete
  • ces.googleapis.com/toolsets.create
  • ces.googleapis.com/toolsets.update
  • ces.googleapis.com/toolsets.delete

Editor de proteções do Gemini Enterprise for Customer Experience (ces.googleapis.com/guardrailsEditor)

Controle total sobre as configurações de segurança e as proteções.

Papéis básicos:

- ces.googleapis.com/viewer
- ces.googleapis.com/client

Outras permissões:

- ces.googleapis.com/guardrails.create
- ces.googleapis.com/guardrails.update
- ces.googleapis.com/guardrails.delete

Editor de avaliações do Gemini Enterprise para experiência do cliente (ces.googleapis.com/evalsEditor)

Controle total sobre conjuntos de dados de avaliação, execuções e resultados.

Papéis básicos:

  • ces.googleapis.com/viewer
  • ces.googleapis.com/client

Outras permissões:

  • ces.googleapis.com/evaluations.create
  • ces.googleapis.com/evaluations.update
  • ces.googleapis.com/evaluations.delete
  • ces.googleapis.com/evaluationResults.delete
  • ces.googleapis.com/evaluationDatasets.create
  • ces.googleapis.com/evaluationDatasets.update
  • ces.googleapis.com/evaluationDatasets.delete
  • ces.googleapis.com/evaluationRuns.delete
  • ces.googleapis.com/scheduledEvaluationRuns.create
  • ces.googleapis.com/scheduledEvaluationRuns.update
  • ces.googleapis.com/scheduledEvaluationRuns.delete

Editor de configurações de segurança do Gemini Enterprise for Customer Experience (ces.googleapis.com/securitySettingsEditor)

Controle total sobre as configurações de segurança em todo o projeto.

Papéis básicos:

  • ces.googleapis.com/viewer

Outras permissões:

  • ces.googleapis.com/securitySettings.update

Editor de implantações do Gemini Enterprise for Customer Experience (ces.googleapis.com/deploymentEditor)

Capacidade de gerenciar ambientes e implantar versões específicas de apps neles.

Papéis básicos:

  • ces.googleapis.com/viewer

Outras permissões:

  • ces.googleapis.com/deployments.create
  • ces.googleapis.com/deployments.update
  • ces.googleapis.com/deployments.delete

Customer Experience Insights

O CX Agent Studio é integrado ao CX Insights, e você precisa fornecer as seguintes permissões do CX Insights aos principais que acessam o CX Agent Studio:

  • contactcenterinsights.googleapis.com/conversations.get
  • contactcenterinsights.googleapis.com/conversations.list

Essas permissões são incluídas automaticamente pelos papéis filhos de ces.googleapis.com/admin e ces.googleapis.com/viewer. No entanto, se você estiver definindo funções personalizadas, inclua essas permissões nas definições de funções personalizadas.

Como alternativa, você pode conceder um dos seguintes papéis do CX Insights aos principais relevantes:

  • contactcenterinsights.googleapis.com/viewer: fornece acesso somente leitura a conversas
  • contactcenterinsights.googleapis.com/admin: concede acesso total a conversas

Além dos papéis, talvez seja necessário seguir as etapas de configuração do mecanismo Discovery.

Solicitações que envolvem acesso ao Cloud Storage

Algumas solicitações do CX Agent Studio acessam objetos em Cloud Storage para ler ou gravar dados. Quando você chama uma dessas solicitações, o CX Agent Studio acessa os dados do Cloud Storage em nome do autor da chamada. Isso significa que a autenticação de solicitação precisa ter permissões para acessar o CX Agent Studio e os objetos do Cloud Storage.

Ao usar uma biblioteca de cliente do Google e papéis do IAM, consulte o guia de controle de acesso do Cloud Storage para informações sobre os papéis do Cloud Storage.

Ao implementar seu próprio cliente e usar o OAuth, você precisa usar o seguinte escopo do OAuth:

  • https://www.googleapis.com/auth/cloud-platform (acesso a todos os recursos do projeto)

Adicionar uma condição para restringir o acesso a um aplicativo de agente

Ao adicionar ou editar um principal, é possível criar vinculações de papéis condicionais que restringem o acesso a um aplicativo de agente.

A condição a seguir fornece acesso a um aplicativo de agente específico, bem como aos recursos de nível superior no projeto necessários para o aplicativo de agente:

resource.name == "projects/PROJECT_ID" ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/apps/APP_ID") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/operations") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/sipDomains") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/omnichannels") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/dataStores") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/routes") ||
resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION_ID/endpointConfigs")

Para ter acesso ao Customer Experience Insights, você deve conceder papéis do Customer Experience Insights além da concessão condicional.