מגבלות שקשורות למדיניות הארגון

במאמר הזה מוסבר איך להשתמש ב-שירות מדיניות הארגון כדי לנהל משאבים של Conversational Analytics API.

שירות מדיניות הארגון מספק שליטה מרכזית על המשאבים ב- Google Cloud באמצעות אילוצים שמגבילים את האופן שבו אפשר להגדיר את המשאבים ולהשתמש בהם. אפשר להחיל את האילוצים האלה על סוכני נתונים ועל שיחות ברמת הארגון, התיקייה או הפרויקט. כברירת מחדל, משאבי צאצא יורשים את המדיניות של משאבי ההורה שלהם.

כדי לאכוף אילוץ, יוצרים מדיניות ארגונית ומצרפים אותה למשאב בהיררכיית המשאבים. אפשר להגדיר ולנהל את המדיניות הזו באמצעות מסוף Google Cloud או ה-CLI של gcloud. הוראות מפורטות זמינות במאמר יצירה וניהול של מדיניות הארגון.

לפני שמתחילים

לפני שמחילים מדיניות ארגונית כדי להגביל משאבים של Conversational Analytics API, צריך לוודא שיש לכם את תפקידי ה-IAM הנדרשים.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לניהול או לצפייה במדיניות הארגון, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

אילוצים מוגדרים מראש

אתם יכולים להחיל מדיניות ארגונית שמשתמשת באילוצים המוגדרים מראש הבאים כדי להגביל את המשאבים של Conversational Analytics API. אם לא מגדירים מדיניות ארגונית למגבלה, התנהגות ברירת המחדל היא לאפשר את כל הפעולות הרלוונטיות.

מגבלה תיאור התנהגות ברירת מחדל
gcp.restrictServiceUsage הגבלה של האפשרות להשתמש בשירות Conversational Analytics API בהיררכיית המשאבים. אין הגבלות על השימוש בשירות Conversational Analytics API.
gcp.resourceLocations מגבילה את המיקומים שבהם אפשר ליצור סוכני נתונים ושיחות. אפשר ליצור משאבים של Conversational Analytics API בכל מיקום נתמך.

הגבלת השימוש בשירות

האילוץ constraints/gcp.restrictServiceUsage מאפשר לכם לקבוע באילו שירותים של Google Cloud Google אפשר להשתמש בהיררכיית המשאבים.

כדי להגביל את Conversational Analytics API, אפשר להוסיף את שירות Gemini Data Analytics‏ (geminidataanalytics.googleapis.com) לרשימת חסימה של ההגבלה הזו, או להשמיט אותו מרשימת ההיתרים.

אם משתמשים ברשימת היתרים, צריך לכלול בה גם את כל שירותי מקורות הנתונים הבסיסיים שנעשה בהם שימוש ב-API, כמו שירות BigQuery ‏ (bigquery.googleapis.com) או שירות Looker (הליבה של Google Cloud) ‏ (looker.googleapis.com). אם אחד מהשירותים האלה מוגבל, המשתמשים לא יכולים ליצור סוכני נתונים או לנהל איתם שיחות.

הגבלת מיקומי משאבים

האילוץ constraints/gcp.resourceLocations מגביל את היצירה של סוכני נתונים ושיחות חדשים ב-Conversational Analytics API ל Google Cloud מיקומים ספציפיים. רשימה של אזורים נתמכים ואזורים מרובים שנתמכים על ידי ה-API מופיעה במאמר מיקומי Conversational Analytics API.

אם המדיניות הזו נאכפת, כל ניסיון ליצור משאב במיקום שנדחה ייכשל. השינויים במדיניות הזו לא משפיעים על משאבים קיימים של Conversational Analytics API.

במאמר הגבלת מיקומי משאבים מוסבר איך מציינים מיקומים במדיניות הארגון.

פתרון בעיות שקשורות להפרות מדיניות

אם בקשה מפרה מדיניות ארגונית, Conversational Analytics API מחזיר שגיאה עם קוד סטטוס של HTTP‏ 403 Forbidden. הודעת השגיאה כוללת את שם האילוץ שהופר.

בדוגמה הבאה מוצגת הודעת שגיאה לבקשה שמפרה את האילוץ gcp.restrictServiceUsage:

{
  "error": {
    "code": 403,
    "message": "Request is disallowed by organization's constraints/gcp.restrictServiceUsage constraint for projects/PROJECT_ID attempting to use service geminidataanalytics.googleapis.com.",
    "status": "PERMISSION_DENIED",
    "details": [
      {
        "@type": "type.googleapis.com/google.rpc.ErrorInfo",
        "reason": "SECURITY_POLICY_VIOLATED",
        "domain": "googleapis.com",
        "metadata": {
          "service": "geminidataanalytics.googleapis.com",
          "consumer": "projects/PROJECT_ID"
        }
      }
    ]
  }
}

הודעת השגיאה כוללת את השם הטכני של האילוץ, אבל לא כוללת את התיאור של האילוץ בשפה טבעית. כדי להבין את הדרישות של אילוץ ספציפי, אפשר לעיין בתיאורים שבקטע אילוצים מוגדרים מראש.

המאמרים הבאים