Granulare Zugriffssteuerungen für Apps und Datenspeicher konfigurieren

Auf dieser Seite wird beschrieben, wie ein Gemini Enterprise-Administrator detaillierte IAM-Berechtigungen auf Ressourcenebene konfigurieren kann, um den Zugriff auf bestimmte Gemini Enterprise-Apps und Datenspeicher über dieGoogle Cloud Console, die Google Cloud CLI oder die REST API einzuschränken.

Wenn Sie den Endnutzerzugriff nur auf App-Ebene einschränken möchten, ohne Datenspeicherberechtigungen oder benutzerdefinierte Rollen auf Projektebene zu konfigurieren, lesen Sie den Abschnitt Zugriffssteuerungen für Apps konfigurieren.

Wichtiger Begriff:In Gemini Enterprise kann der Begriff Datenspeicher synonym mit dem Begriff Connector oder Daten-Connector verwendet werden.

Übersicht

Standardmäßig gelten IAM-Berechtigungen, die auf Google CloudProjektebene erteilt werden, für alle Gemini Enterprise-Apps und Datenspeicher im Projekt. Wenn Ihre Organisation Nutzer auf bestimmte Apps oder Datenspeicher innerhalb eines einzelnen Projekts beschränken muss, können Sie Zugriffssteuerungen auf Ressourcenebene verwenden.

Mit der Zugriffssteuerung auf Ressourcenebene können Administratoren:

• Sie können Nutzern Zugriff auf bestimmte Apps und verknüpfte Datenspeicher gewähren, ohne andere Apps im selben Projekt verfügbar zu machen.
• Sie können die Anwendungsverwaltung oder die schreibgeschützte Überwachung für bestimmte Apps delegieren, ohne umfassende projektweite Administratorrechte zu gewähren.
• Grenzen für Organisationsdaten und Compliancerichtlinien durchsetzen

Achtung: Vordefinierte Rollen auf Projektebene überschreiben Richtlinien auf Ressourcenebene. Wenn einem Nutzer eine dieser Rollen auf Projektebene zugewiesen wird, kann er auf alle Apps und Datenspeicher im Projekt zugreifen, unabhängig von Bindungen auf Ressourcenebene. Um den Zugriff einzuschränken, dürfen Nutzer keine

umfassenden Rollen auf Projektebene haben.

So funktionieren Zugriffssteuerungen

Um Zugriff auf Ressourcenebene zu gewähren, müssen Administratoren zwei Rollenbindungen für jeden Zielnutzer oder jede Zielgruppe konfigurieren. Berechtigungen werden unabhängig voneinander ausgewertet: Damit ein Nutzer Antworten aus einem Datenspeicher in einer App erhalten kann, müssen ihm Berechtigungen für die Ziel-App und den Zieldatenspeicher erteilt werden.

Ebene der Rollenbindung	Rollentyp	Zweck, Umfang und Beispielrollen
Projektebene	Benutzerdefinierte Rolle	Die benutzerdefinierten Rollen, die Sie in dieser Anleitung erstellen, gewähren Berechtigungen, die erforderlich sind, damit sich der Nutzer im gesamten Projekt authentifizieren oder Konsolen-Eintragsseiten laden kann, ohne dass bestimmte App- oder Datenspeicherinhalte offengelegt werden. Beispielrollen: customRestrictedEndUser customRestrictedAdmin
Ressourcenebene	Vordefinierte Rolle	Die vordefinierten Rollen, die Sie für die App- oder Datenspeicherressource zuweisen, gewähren operative Berechtigungen wie Chatten, Konfigurieren von Einstellungen oder Aufrufen von Analysen ausschließlich für diese Ressource. Beispielrollen: Gemini Enterprise-Nutzer (roles/discoveryengine.agentspaceUser) Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin) Gemini Enterprise Viewer (roles/discoveryengine.agentspaceViewer)

Beispielszenario

Angenommen, Cymbal hat ein Google Cloud Projekt namens cymbal-ai-project mit zwei Apps und mehreren Datenspeichern:

Beispielszenario: Zugriff auf Apps und Datenspeicher einschränken
Kontext	Ein Google Cloud Projekt bei Cymbal mit dem Namen cymbal-ai-project enthält zwei Apps: Die Cymbal Finance App, die mit zwei Datenspeichern verbunden ist: dem General Finance-Datenspeicher und dem Confidential Payroll-Datenspeicher. Cymbal HR-App, die mit dem Cymbal HR-Datenspeicher verbunden ist.
Ziel	Gewähren Sie Alex ([e-mail]) Zugriff auf die Cymbal Finance App und erlauben Sie nur Abfragen des General Finance-Datenspeichers. Verweigern Sie den Zugriff auf den Confidential Payroll-Datenspeicher und die Cymbal HR App.
Erforderliche Konfigurationen	So konfigurieren Sie die Zugriffssteuerung: Projektebene: Aktivieren Sie die Zugriffssteuerung für Apps und Datenspeicher in cymbal-ai-project und weisen Sie Alex die Rolle customRestrictedEndUser für das Projekt zu, damit sein Browser sich beim Dienst authentifizieren kann. Ressourcenebene: Weisen Sie Alex die Rolle Gemini Enterprise-Nutzer (roles/discoveryengine.agentspaceUser) nur für die Cymbal Finance-App und den General Finance-Datenspeicher zu.
Ergebnis	Wenn sich Alex anmeldet, kann er die Cymbal Finance-App öffnen und den General Finance-Datenspeicher abfragen. Obwohl der vertrauliche Gehaltsdatenspeicher mit derselben App verbunden ist, kann Alex ihn nicht aufrufen oder abfragen. Versuche, auf die Cymbal HR App zuzugreifen oder den Cymbal HR-Datenspeicher abzufragen, werden ebenfalls abgelehnt.

Das folgende Diagramm zeigt, wie Einstellungen auf Projektebene und unabhängige IAM-Berechtigungen auf Ressourcenebene in diesem Szenario zusammenwirken:

Hinweis

• Prüfen Sie, ob Sie die Rolle Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin) haben.
• Achten Sie darauf, dass Nutzern, die eingeschränkten Zugriff benötigen, keine Discovery Engine-Rollen auf Projektebene zugewiesen sind.
• Erstellen Sie die erforderlichen benutzerdefinierten Rollen auf Projektebene für Ihre Ziel-Personas unter Benutzerdefinierte Rollen auf Projektebene erstellen.

Warnung :Wenn Sie bereits Zugriffssteuerungen auf App-Ebene (Zugriffssteuerungen für Apps konfigurieren) mit einer benutzerdefinierten Rolle auf Projektebene anstelle der vordefinierten Rolle Gemini Enterprise Restricted User (roles/discoveryengine.agentspaceRestrictedUser) verwenden, muss Ihre benutzerdefinierte Rolle auf Projektebene die Berechtigungen discoveryengine.dataStores.get, discoveryengine.collections.get und discoveryengine.devToolsConfigs.get enthalten, bevor Sie die Zugriffssteuerung für Apps und Datenspeicher aktivieren. Mit der detaillierten Zugriffssteuerung für Datenspeicher werden Datenspeicher basierend auf discoveryengine.dataStores.get und discoveryengine.collections.get gefiltert. Wenn discoveryengine.devToolsConfigs.get ausgelassen wird, wird ein 403 PERMISSION_DENIED-Fehler generiert, wenn die Web-App devToolsConfig prüft. Bestehende Nutzer, die die vordefinierte Rolle roles/discoveryengine.agentspaceRestrictedUser verwenden, müssen nichts weiter tun.

Zugriffssteuerung für Apps und Datenspeicher aktivieren

Bevor Sie detaillierte Berechtigungen für Apps und Datenspeicher konfigurieren oder den Tab Nutzerberechtigungen in der Google Cloud Console aufrufen können, müssen Sie die Zugriffssteuerung für Apps und Datenspeicher in Ihrem Projekt über die Google Cloud Console oder die REST API aktivieren:

Console

So aktivieren Sie die Zugriffssteuerung für Apps und Datenspeicher in der Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise > Einstellungen auf.

   Einstellungen aufrufen

2. Wählen Sie den Tab Ressourcenzugriffssteuerung aus.

3. Aktivieren Sie den Schalter Steuerung des Ressourcenzugriffs.

4. Klicken Sie auf Speichern.

5. Klicken Sie im Dialogfeld Zugriffssteuerung für Ressourcen aktivieren? auf Aktivieren.

REST

Rufen Sie die Methode projects.patch auf, um die Zugriffssteuerung für Apps und Datenspeicher über die REST API zu aktivieren:

curl -X PATCH \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  -H "x-goog-user-project: PROJECT_ID" \
  "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_ID?updateMask=customer_provided_config.resource_access_control_config.data_store_access_control_enabled" \
  -d '{
    "customer_provided_config": {
      "resource_access_control_config": {
        "data_store_access_control_enabled": true
      }
    }
  }'

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID Ihres Projekts in Google Cloud .
• ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
• us für die Multiregion „USA“
• eu für die Multiregion „EU“
• global für den Standort „Global“

Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.

Hinweis :Nachdem Sie diese Einstellung aktiviert haben, warten Sie etwa 5 Minuten, bis die Konfigurationsänderung in allen Diensten und derGoogle Cloud -Konsole wirksam wird.

Benutzerdefinierte Rollen auf Projektebene erstellen

Mit benutzerdefinierten Rollen auf Projektebene werden Berechtigungen gewährt, ohne alle Projektressourcen offenzulegen. Sie müssen jede benutzerdefinierte Rolle nur einmal proGoogle Cloud -Projekt erstellen.

Hinweis :In dieser Anleitung werden vordefinierte Rollen für Bindungen auf Ressourcenebene verwendet. Wenn Sie stattdessen benutzerdefinierte Rollen auf Ressourcenebene erstellen, müssen diese alle betrieblichen Berechtigungen enthalten, die in der entsprechenden vordefinierten Rolle enthalten sind.

Benutzerdefinierte eingeschränkte Endnutzerrolle erstellen

Mit der Rolle customRestrictedEndUser werden Berechtigungen auf Projektebene gewährt, die Endnutzer benötigen, um den Gemini Enterprise-Autorisierungsendpunkt und die Konfiguration der Entwicklertools (discoveryengine.locations.buildAuthorizationUrl und discoveryengine.devToolsConfigs.get) zu laden. Sie gewährt keinen Zugriff zum Prüfen oder Abfragen bestimmter Apps oder Datenspeicher.

Console

So erstellen Sie die benutzerdefinierte Rolle in der Google Cloud -Console:

1. Rufen Sie in der Google Cloud Console die Seite Rollen auf.

   Zu Rollen

2. Wählen Sie Ihr Google Cloud Projekt aus.

3. Klicken Sie auf + Benutzerdefinierte Rolle erstellen.

4. Geben Sie die Rollendetails ein:

   • Titel: Custom Gemini Enterprise Restricted End User
   • Beschreibung: Base project-level permissions to access Gemini Enterprise apps.
   • Rollen-ID: customRestrictedEndUser
   • Rollenstartphase: Wählen Sie Allgemeine Verfügbarkeit aus.

5. Klicken Sie auf + Berechtigungen hinzufügen.

6. Filtern Sie nach den folgenden Berechtigungen und wählen Sie sie aus:

   • discoveryengine.devToolsConfigs.get
   • discoveryengine.locations.buildAuthorizationUrl

7. Klicken Sie auf Hinzufügen.

8. Klicken Sie auf Erstellen.

gcloud

So erstellen Sie die benutzerdefinierte Rolle mit der Google Cloud CLI:

1. Führen Sie gcloud iam roles describe aus, um zu prüfen, ob die Rolle in Ihrem Projekt vorhanden ist:

   gcloud iam roles describe customRestrictedEndUser --project=PROJECT_ID
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

   Hinweis: Wenn die Rolle vorhanden ist, lesen Sie den Abschnitt Vorhandene benutzerdefinierte Rolle aktualisieren, um die Berechtigungen zu prüfen oder zu aktualisieren. Alternativ können Sie mit dem Abschnitt Benutzerdefinierte Rolle auf Projektebene zuweisen fortfahren.

2. Führen Sie gcloud iam roles create aus, um die Rolle zu erstellen:

   gcloud iam roles create customRestrictedEndUser \
     --project=PROJECT_ID \
     --title="Custom Gemini Enterprise Restricted End User" \
     --description="Base project-level permissions to access Gemini Enterprise apps." \
     --stage=GA \
     --permissions=discoveryengine.devToolsConfigs.get,discoveryengine.locations.buildAuthorizationUrl
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

REST

Rufen Sie die Methode roles.create auf, um die benutzerdefinierte Rolle mit der REST API zu erstellen:

curl -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  -d '{
    "roleId": "customRestrictedEndUser",
    "role": {
      "title": "Custom Gemini Enterprise Restricted End User",
      "description": "Base project-level permissions to access Gemini Enterprise apps.",
      "stage": "GA",
      "includedPermissions": [
        "discoveryengine.devToolsConfigs.get",
        "discoveryengine.locations.buildAuthorizationUrl"
      ]
    }
  }' \
  "https://iam.googleapis.com/v1/projects/PROJECT_ID/roles"

Ersetzen Sie PROJECT_ID durch die ID Ihres Projekts von Google Cloud.

Benutzerdefinierte eingeschränkte Administratorrolle erstellen

Die Rolle customRestrictedAdmin gewährt Berechtigungen auf Projektebene, die erforderlich sind, damit delegierte Administratoren und Betrachter Ressourcenlisten und Seitenleisten in der Google Cloud -Konsole aufrufen können, ohne Zugriff zum Aufrufen oder Ändern bestimmter App- oder Datenspeicherinhalte zu gewähren. Wenn Sie die administrative Kontrolle über eine bestimmte App oder einen bestimmten Datenspeicher delegieren möchten, weisen Sie diese benutzerdefinierte Rolle auf Projektebene und dann Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin) direkt für die Zielressource zu.

Console

So erstellen Sie die benutzerdefinierte Rolle in der Google Cloud -Console:

1. Rufen Sie in der Google Cloud Console die Seite Rollen auf.

   Zu Rollen

2. Wählen Sie Ihr Google Cloud Projekt aus.

3. Klicken Sie auf + Rolle erstellen.

4. Geben Sie die Rollendetails ein:

   • Titel: Custom Gemini Enterprise Restricted Admin
   • Beschreibung: Base project-level permissions to list and view Gemini Enterprise configuration pages.
   • Rollen-ID: customRestrictedAdmin
   • Rollenstartphase: Wählen Sie Allgemeine Verfügbarkeit aus.

5. Klicken Sie auf + Berechtigungen hinzufügen.

6. Filtern Sie nach den folgenden Berechtigungen und wählen Sie sie aus:

   • discoveryengine.aclConfigs.get
   • discoveryengine.collections.list
   • discoveryengine.dataStores.list
   • discoveryengine.devToolsConfigs.get
   • discoveryengine.engines.list
   • discoveryengine.licenseConfigs.list
   • discoveryengine.locations.buildAuthorizationUrl
   • discoveryengine.locations.getConnectorSource
   • discoveryengine.locations.listConnectorSources
   • discoveryengine.projects.get
   • discoveryengine.userStores.listUserLicenses
   • resourcemanager.projects.get

7. Klicken Sie auf Hinzufügen.

8. Klicken Sie auf Erstellen.

gcloud

So erstellen Sie die benutzerdefinierte Rolle mit der Google Cloud CLI:

1. Führen Sie gcloud iam roles describe aus, um zu prüfen, ob die Rolle in Ihrem Projekt vorhanden ist:

   gcloud iam roles describe customRestrictedAdmin --project=PROJECT_ID
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

   Hinweis: Wenn die Rolle vorhanden ist, lesen Sie den Abschnitt Vorhandene benutzerdefinierte Rolle aktualisieren, um die Berechtigungen zu prüfen oder zu aktualisieren. Alternativ können Sie mit dem Abschnitt Benutzerdefinierte Rolle auf Projektebene zuweisen fortfahren.

2. Führen Sie gcloud iam roles create aus, um die Rolle zu erstellen:

   gcloud iam roles create customRestrictedAdmin \
     --project=PROJECT_ID \
     --title="Custom Gemini Enterprise Restricted Admin" \
     --description="Base project-level permissions to list and view Gemini Enterprise configuration pages." \
     --stage=GA \
     --permissions=discoveryengine.aclConfigs.get,discoveryengine.collections.list,discoveryengine.dataStores.list,discoveryengine.devToolsConfigs.get,discoveryengine.engines.list,discoveryengine.licenseConfigs.list,discoveryengine.locations.buildAuthorizationUrl,discoveryengine.locations.getConnectorSource,discoveryengine.locations.listConnectorSources,discoveryengine.projects.get,discoveryengine.userStores.listUserLicenses,resourcemanager.projects.get
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

REST

Rufen Sie die Methode roles.create auf, um die benutzerdefinierte Rolle mit der REST API zu erstellen:

curl -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  -d '{
    "roleId": "customRestrictedAdmin",
    "role": {
      "title": "Custom Gemini Enterprise Restricted Admin",
      "description": "Base project-level permissions to list and view Gemini Enterprise configuration pages.",
      "stage": "GA",
      "includedPermissions": [
        "discoveryengine.aclConfigs.get",
        "discoveryengine.collections.list",
        "discoveryengine.dataStores.list",
        "discoveryengine.devToolsConfigs.get",
        "discoveryengine.engines.list",
        "discoveryengine.licenseConfigs.list",
        "discoveryengine.locations.buildAuthorizationUrl",
        "discoveryengine.locations.getConnectorSource",
        "discoveryengine.locations.listConnectorSources",
        "discoveryengine.projects.get",
        "discoveryengine.userStores.listUserLicenses",
        "resourcemanager.projects.get"
      ]
    }
  }' \
  "https://iam.googleapis.com/v1/projects/PROJECT_ID/roles"

Ersetzen Sie PROJECT_ID durch die ID Ihres Projekts von Google Cloud.

Vorhandene benutzerdefinierte Rolle aktualisieren

Wenn in Ihrem Projekt bereits eine benutzerdefinierte Rolle vorhanden ist und Sie fehlende Berechtigungen hinzufügen müssen, aktualisieren Sie die Rolle:

Console

So aktualisieren Sie eine benutzerdefinierte Rolle in der Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite Rollen auf.

   Zu Rollen

2. Wählen Sie das Google Cloud -Projekt aus, in dem Sie die benutzerdefinierte Rolle erstellt haben.

3. Wählen Sie den Tab Benutzerdefiniert aus oder filtern Sie die Liste, um Ihre benutzerdefinierte Rolle zu finden (customRestrictedEndUser oder customRestrictedAdmin).

4. Klicken Sie auf den Namen der benutzerdefinierten Rolle.

5. Klicken Sie auf Rolle bearbeiten.

6. Klicken Sie auf + Berechtigungen hinzufügen.

7. Suchen Sie nach den Berechtigungen, die Sie hinzufügen möchten, wählen Sie sie aus und klicken Sie dann auf Hinzufügen.

8. Klicken Sie auf Speichern.

gcloud

Wenn Sie eine vorhandene benutzerdefinierte Rolle mit der Google Cloud CLI aktualisieren möchten, führen Sie gcloud iam roles update aus:

• Führen Sie für die eingeschränkte Endnutzerrolle den folgenden Befehl aus:

  gcloud iam roles update customRestrictedEndUser \
    --project=PROJECT_ID \
    --add-permissions=discoveryengine.devToolsConfigs.get,discoveryengine.locations.buildAuthorizationUrl
  

  Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

• Führen Sie für die eingeschränkte Administratorrolle den folgenden Befehl aus:

  gcloud iam roles update customRestrictedAdmin \
    --project=PROJECT_ID \
    --add-permissions=discoveryengine.locations.buildAuthorizationUrl,discoveryengine.locations.listConnectorSources
  

  Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

REST

Rufen Sie die Methode roles.patch auf, um eine benutzerdefinierte Rolle mit der REST API zu aktualisieren. roles.patch ersetzt die Liste includedPermissions. Geben Sie alle Berechtigungen an, die die Rolle enthalten soll:

• Führen Sie für die eingeschränkte Endnutzerrolle den folgenden Befehl aus:

  curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d '{
      "includedPermissions": [
        "discoveryengine.devToolsConfigs.get",
        "discoveryengine.locations.buildAuthorizationUrl"
      ]
    }' \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/roles/customRestrictedEndUser?updateMask=includedPermissions"
  

  Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

• Führen Sie für die eingeschränkte Administratorrolle den folgenden Befehl aus:

  curl -X PATCH \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d '{
      "includedPermissions": [
        "discoveryengine.aclConfigs.get",
        "discoveryengine.collections.list",
        "discoveryengine.dataStores.list",
        "discoveryengine.devToolsConfigs.get",
        "discoveryengine.engines.list",
        "discoveryengine.licenseConfigs.list",
        "discoveryengine.locations.buildAuthorizationUrl",
        "discoveryengine.locations.getConnectorSource",
        "discoveryengine.locations.listConnectorSources",
        "discoveryengine.projects.get",
        "discoveryengine.userStores.listUserLicenses",
        "resourcemanager.projects.get"
      ]
    }' \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/roles/customRestrictedAdmin?updateMask=includedPermissions"
  

  Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

Benutzerdefinierte Rolle auf Projektebene zuweisen

Weisen Sie die benutzerdefinierten Projektrollen einem Zielnutzer oder einer Zielgruppe zu.

Console

So weisen Sie die benutzerdefinierte Rolle über die Google Cloud Console zu:

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

2. Wählen Sie das Google Cloud -Projekt aus, in dem Sie die benutzerdefinierte Rolle erstellt haben.

3. Klicken Sie auf Zugriff gewähren, um ein neues Hauptkonto hinzuzufügen oder ein vorhandenes zu bearbeiten.

4. Geben Sie unter Neue Hauptkonten die E-Mail-Adresse des Nutzers oder der Gruppe ein.

5. Wählen Sie die benutzerdefinierte Rolle aus, die für Ihre Persona erstellt wurde, z. B. eine der folgenden:

   • Benutzerdefinierter eingeschränkter Gemini Enterprise-Endnutzer
   • Benutzerdefinierter eingeschränkter Gemini Enterprise-Administrator

6. Klicken Sie auf Speichern.

gcloud

Führen Sie den folgenden Befehl aus, um die benutzerdefinierte Rolle mit der Google Cloud CLI zuzuweisen:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:USER_EMAIL" \
  --role="projects/PROJECT_ID/roles/CUSTOM_ROLE_ID"

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID Ihres Projekts in Google Cloud .
• CUSTOM_ROLE_ID: die ID der benutzerdefinierten Rolle, die Sie zuweisen möchten: customRestrictedEndUser oder customRestrictedAdmin.
• USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.

REST

So weisen Sie die benutzerdefinierte Rolle mit der Cloud Resource Manager API zu:

Achtung :Beim Aufrufen von setIamPolicy wird die gesamte vorhandene Richtlinie überschrieben. Rufen Sie immer zuerst die aktuelle Richtlinie mit getIamPolicy ab, behalten Sie die vorhandene bindings bei und hängen Sie Ihre neue Rollenbindung an.

1. Rufen Sie die aktuelle IAM-Richtlinie mit der Methode getIamPolicy ab, um die aktuelle Richtlinie und ihre etag abzurufen:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{}' \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy"
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

2. Legen Sie die aktualisierte IAM-Richtlinie mit der Methode setIamPolicy und der aktualisierten Richtliniennutzlast fest:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "policy": {
         "etag": "ETAG",
         "bindings": [
           {
             "role": "EXISTING_ROLE",
             "members": [
               "user:EXISTING_USER_EMAIL"
             ]
           },
           {
             "role": "projects/PROJECT_ID/roles/CUSTOM_ROLE_ID",
             "members": [
               "user:USER_EMAIL"
             ]
           }
         ]
       }
     }' \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy"
   

   Ersetzen Sie Folgendes:

   • ETAG: Der etag-Wert, den Sie als Antwort erhalten haben, als Sie die getIamPolicy-Methode verwendet haben.
   • EXISTING_ROLE und EXISTING_USER_EMAIL: die vorhandenen Rollen- und Prinzipalbindungen, die von der Methode getIamPolicy zurückgegeben werden und die Sie beibehalten möchten.
   • PROJECT_ID: die ID Ihres Google Cloud-Projekts.
   • CUSTOM_ROLE_ID: die ID der benutzerdefinierten Rolle auf Projektebene, die Sie zuweisen möchten. Wählen Sie eine der folgenden Optionen aus:
     • customRestrictedEndUser: Gewährt dem Projekt Berechtigungen für Endnutzer, um sich zu authentifizieren und auf Apps zuzugreifen.
     • customRestrictedAdmin: Gewährt Projektberechtigungen für Administratoren, um Ressourcenlisten in der Google Cloud -Konsole aufzurufen.
   • USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.

App-Berechtigungen konfigurieren

Gewähren Sie Berechtigungen auf Ressourcenebene für die Ziel-App-Ressource über dieGoogle Cloud Console oder die REST API.

Wenn Sie in der IAM-Richtlinie auf App-Ebene eine benutzerdefinierte Rolle anstelle einer vordefinierten Rolle zuweisen möchten, muss die benutzerdefinierte Rolle alle Berechtigungen der entsprechenden vordefinierten Rolle enthalten, z. B. Gemini Enterprise-Nutzer (roles/discoveryengine.agentspaceUser) oder Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin).

Console

So konfigurieren Sie App-Berechtigungen in der Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise > Apps auf.

   Gehen Sie zu Apps

2. Wählen Sie die Ziel-App aus.

3. Klicken Sie auf Nutzerberechtigungen und dann auf Nutzer hinzufügen.

4. Wählen Sie die Rolle für den Nutzer oder die Gruppe aus:

   • Nutzer: Weist Gemini Enterprise User (roles/discoveryengine.agentspaceUser) zu.
   • Administrator: Weist die Rolle Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin) zu.
   • Betrachter: Weist die Rolle Gemini Enterprise Viewer (roles/discoveryengine.agentspaceViewer) zu.

5. Klicken Sie auf Speichern.

REST

So konfigurieren Sie App-Berechtigungen mit der REST API mithilfe eines Lese-Änderungs-Schreibmusters:

Achtung :Beim Aufrufen von setIamPolicy wird die gesamte vorhandene Richtlinie überschrieben. Rufen Sie immer zuerst die aktuelle Richtlinie mit getIamPolicy ab, behalten Sie die vorhandene bindings bei und hängen Sie Ihre neue Rollenbindung an.

Wichtiger Begriff:In Gemini Enterprise kann der Begriff App im Zusammenhang mit APIs synonym mit dem Begriff Engine verwendet werden. Eine Gemini Enterprise-Engine ist eine Allgemeine Suche-Suchmaschine, bei der das Feld app_type auf APP_TYPE_INTRANET festgelegt ist.

1. Rufen Sie die aktuelle IAM-Richtlinie mit der Methode getIamPolicy ab, um die aktuelle Richtlinie und ihre etag abzurufen:

   curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"
   

   Ersetzen Sie Folgendes:

   • PROJECT_ID: Die Projekt-ID.
   • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
   • us für die Multiregion „USA“
   • eu für die Multiregion „EU“
   • global für den Standort „Global“
   Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
2. LOCATION: Der multiregionale Standort Ihres Datenspeichers: global, us oder eu.
3. APP_ID: die ID der App, die Sie erstellen möchten.

4. Legen Sie die aktualisierte IAM-Richtlinie mit der Methode setIamPolicy und der aktualisierten Richtliniennutzlast fest:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "policy": {
         "etag": "ETAG",
         "bindings": [
           {
             "role": "EXISTING_ROLE",
             "members": [
               "user:EXISTING_USER_EMAIL"
             ]
           },
           {
             "role": "PREDEFINED_ROLE",
             "members": [
               "user:USER_EMAIL"
             ]
           }
         ]
       }
     }' \
     "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"
   

   Ersetzen Sie Folgendes:

   • ETAG: Der etag-Wert, den Sie als Antwort erhalten haben, als Sie die getIamPolicy-Methode verwendet haben.
   • EXISTING_ROLE und EXISTING_USER_EMAIL: die vorhandenen Rollen- und Prinzipalbindungen, die von der Methode getIamPolicy zurückgegeben werden und die Sie beibehalten möchten.
   • USER_EMAIL: Die E-Mail-Adresse des Nutzers oder der Gruppe (z. B. [e-mail]).
     • Um Zugriff zu gewähren, fügen Sie dem members-Array Nutzer-E-Mail-Adressen hinzu, wobei jeder Adresse das Präfix user: vorangestellt wird. Vermeiden Sie zusätzliche Leerzeichen vor oder nach der E‑Mail-Adresse.
     • Wenn Sie den Zugriff widerrufen möchten, entfernen Sie die E‑Mail-Adresse des Nutzers aus dem members-Array.
   • PREDEFINED_ROLE: Die vordefinierte Rolle, die Sie der App zuweisen möchten, z. B. Gemini Enterprise-Nutzer (roles/discoveryengine.agentspaceUser) für Endnutzer, Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin) für Administratoren oder Gemini Enterprise-Betrachter (roles/discoveryengine.agentspaceViewer) für Betrachter. Weitere Informationen finden Sie unter Vordefinierte Rollen.
   • PROJECT_ID: die ID IhresGoogle Cloud -Projekts.
   • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
   • us für die Multiregion „USA“
   • eu für die Multiregion „EU“
   • global für den Standort „Global“
   Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
5. LOCATION: Der multiregionale Standort Ihres Datenspeichers: global, us oder eu.
6. APP_ID: die ID der App, die Sie erstellen möchten.

Berechtigungen für Datenspeicher konfigurieren

Wenn Sie Datenberechtigungen konfigurieren möchten, gewähren Sie Berechtigungen auf Ressourcenebene für den Zieldatenspeicher über die Google Cloud Console oder die REST API. Endnutzer können nur eine Verbindung zu Datenspeichern herstellen und Daten daraus abfragen, für die sie explizit Berechtigungen erhalten haben.

Wenn Sie eine benutzerdefinierte Rolle anstelle einer vordefinierten Rolle in der IAM-Richtlinie des Datenspeichers zuweisen möchten, muss die benutzerdefinierte Rolle alle Berechtigungen der entsprechenden vordefinierten Rolle enthalten, z. B. Gemini Enterprise-Nutzer (roles/discoveryengine.agentspaceUser) oder Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin).

Bei Drittanbieter-Connectors, die Dokumentberechtigungen für Endnutzer erzwingen, wird der Zugriff von Endnutzern auf einzelne Dokumente weiterhin durch die aus dem Quellsystem synchronisierten Zugriffssteuerungslisten (Access Control Lists, ACLs) geregelt. Durch die Erteilung des IAM-Zugriffs werden die Quell-ACLs nicht umgangen.

Informationen zum Suchen von Datenspeichern, Sammlungen und Entitäts-IDs finden Sie unter Datenspeicher- und Entitätsdetails abrufen.

Console

So konfigurieren Sie Datenspeicherberechtigungen in der Google Cloud Console: Berechtigungen, die einem Datenspeicher in der Google Cloud Konsole zugewiesen sind, werden automatisch an alle zugrunde liegenden untergeordneten Entitäten weitergegeben:

1. Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise > Datenspeicher auf.

   Rufen Sie die Seite Datenspeicher auf.

2. Klicken Sie auf den Namen des Datenspeichers.

3. Klicken Sie auf Nutzerberechtigungen > Nutzer hinzufügen.

4. Wählen Sie die Rolle für den Nutzer oder die Gruppe aus:

   • Nutzer: Weist Gemini Enterprise User (roles/discoveryengine.agentspaceUser) zu.
   • Administrator: Weist die Rolle Gemini Enterprise-Administrator (roles/discoveryengine.agentspaceAdmin) zu.
   • Betrachter: Weist die Rolle Gemini Enterprise Viewer (roles/discoveryengine.agentspaceViewer) zu.

5. Klicken Sie auf Speichern.

REST

Wenn Sie Datenspeicherberechtigungen mit der REST API konfigurieren möchten, maximieren Sie den Abschnitt, der Ihrer Datenspeicherkonfiguration entspricht:

Achtung :Beim Aufrufen von setIamPolicy wird die gesamte vorhandene Richtlinie überschrieben. Rufen Sie immer zuerst die aktuelle Richtlinie mit getIamPolicy ab, behalten Sie die vorhandene bindings bei und hängen Sie Ihre neue Rollenbindung an.

Datenspeicher mit Entitäten

Verwenden Sie diese Option für Drittanbieter-Connectors, die mehrere Entitätstypen enthalten, z. B. Jira, Salesforce, Confluence oder SharePoint Online. Bei Verwendung der REST API werden Berechtigungen nicht automatisch von der übergeordneten Connector-Sammlung auf untergeordnete Einheiten übertragen. Sie müssen sowohl für die übergeordnete Sammlung als auch für alle zugrunde liegenden Datenspeicher für Entitäten dieselben Berechtigungen erteilen. Konfigurieren Sie die Berechtigungen nicht nur für eine Teilmenge von Entitäten.

So konfigurieren Sie Berechtigungen für Datenspeicher mit Entitäten:

1. Rufen Sie die aktuelle IAM-Richtlinie für die Data Connector-Sammlung ab:

   Rufen Sie getIamPolicy auf, um die aktuelle Richtlinie und ihre etag abzurufen:

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/COLLECTION_ID:getIamPolicy"

   Ersetzen Sie Folgendes:

   • PROJECT_ID: Die ID Ihres Google Cloud -Projekts.
   • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
   • us für die Multiregion „USA“
   • eu für die Multiregion „EU“
   • global für den Standort „Global“
   Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
2. LOCATION: die Multiregion Ihres Datenspeichers: global, us oder eu.
3. COLLECTION_ID: die Sammlung-ID des Datenconnectors. Weitere Informationen finden Sie unter Datenspeicher- und Entitätsdetails abrufen.

4. Legen Sie die aktualisierte IAM-Richtlinie für die Dataconnector-Sammlung fest:

   Rufen Sie setIamPolicy auf, einschließlich etag und der Rollenbindung:

   curl -X POST \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{
     "policy": {
       "etag": "ETAG",
       "bindings": [
         {
           "role": "EXISTING_ROLE",
           "members": [
             "user:EXISTING_USER_EMAIL"
           ]
         },
         {
           "role": "PREDEFINED_ROLE",
           "members": [
             "user:USER_EMAIL"
           ]
         }
       ]
     }
   }' \
   "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/COLLECTION_ID:setIamPolicy"

   Ersetzen Sie Folgendes:

   • ETAG: Der etag-Wert, den Sie als Antwort erhalten haben, als Sie die Methode getIamPolicy in Schritt 1 verwendet haben.
   • EXISTING_ROLE und EXISTING_USER_EMAIL: die vorhandenen Rollen- und Hauptkontobindungen, die von der Methode getIamPolicy zurückgegeben werden und die Sie beibehalten möchten.
   • USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.
   • PREDEFINED_ROLE: Die vordefinierte Rolle, die Sie der Sammlung zuweisen möchten. Beispiele: Gemini Enterprise User (roles/discoveryengine.agentspaceUser) für Endnutzer, Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin) für Administratoren oder Gemini Enterprise Viewer (roles/discoveryengine.agentspaceViewer) für Betrachter. Weitere Informationen finden Sie unter Vordefinierte Rollen.
   • PROJECT_ID: Die ID Ihres Google Cloud -Projekts.
   • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
   • us für die Multiregion „USA“
   • eu für die Multiregion „EU“
   • global für den Standort „Global“
   Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
5. LOCATION: die Multiregion Ihres Datenspeichers: global, us oder eu.
6. COLLECTION_ID: die Sammlung-ID des Datenconnectors.

7. Aktuelle IAM-Richtlinie für einen Entitätsdatenspeicher abrufen:

   In Gemini Enterprise befinden sich untergeordnete Entitätsdatenspeicher unter default_collection und haben die Connector-Sammlungs-ID als Präfix. Rufen Sie getIamPolicy für den Entitätsdatenspeicher unter default_collection auf:

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ENTITY_ID:getIamPolicy"

   Ersetzen Sie Folgendes:

   • PROJECT_ID: Die ID Ihres Google Cloud -Projekts.
   • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
   • us für die Multiregion „USA“
   • eu für die Multiregion „EU“
   • global für den Standort „Global“
   Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
8. LOCATION: die Multiregion Ihres Datenspeichers: global, us oder eu.
9. DATA_STORE_ENTITY_ID: Die ID des Entitätsdatenspeichers (z. B. DataConnector3_entityA). Weitere Informationen finden Sie unter Datenspeicher- und Entitätsdetails abrufen.

10. Legen Sie die aktualisierte IAM-Richtlinie für den Datenspeicher der Entität fest:

    Rufen Sie setIamPolicy für den Entitätsdatenspeicher auf, einschließlich etag:

    curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d '{
      "policy": {
        "etag": "ETAG",
        "bindings": [
          {
            "role": "EXISTING_ROLE",
            "members": [
              "user:EXISTING_USER_EMAIL"
            ]
          },
          {
            "role": "PREDEFINED_ROLE",
            "members": [
              "user:USER_EMAIL"
            ]
          }
        ]
      }
    }' \
    "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ENTITY_ID:setIamPolicy"

    Ersetzen Sie Folgendes:

    • ETAG: Der etag-Wert, den Sie als Antwort erhalten haben, als Sie die Methode getIamPolicy in Schritt 3 verwendet haben.
    • EXISTING_ROLE und EXISTING_USER_EMAIL: die vorhandenen Rollen- und Hauptkontobindungen, die von der Methode getIamPolicy zurückgegeben werden und die Sie beibehalten möchten.
    • USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.
    • PREDEFINED_ROLE: Die vordefinierte Rolle, die Sie dem Entitätsdatenspeicher zuweisen möchten. Beispiele: Gemini Enterprise User (roles/discoveryengine.agentspaceUser) für Endnutzer, Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin) für Administratoren oder Gemini Enterprise Viewer (roles/discoveryengine.agentspaceViewer) für Betrachter. Weitere Informationen finden Sie unter Vordefinierte Rollen.
    • PROJECT_ID: Die ID Ihres Google Cloud -Projekts.
    • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
    • us für die Multiregion „USA“
    • eu für die Multiregion „EU“
    • global für den Standort „Global“
    Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
11. LOCATION: die Multiregion Ihres Datenspeichers: global, us oder eu.
12. DATA_STORE_ENTITY_ID: die ID des Entitätsdatenspeichers.

Wiederholen Sie die Schritte 3 und 4 für jeden Entitätsdatenspeicher unter dem Datenconnector. Wenn Sie den Connector später so konfigurieren, dass zusätzliche Entitätstypen synchronisiert werden, müssen Sie IAM-Richtlinien für jeden neu erstellten Entitätsdatenspeicher konfigurieren.

Datenspeicher ohne Entitäten

Verwenden Sie diese Option für eigenständige Datenspeicher wie Cloud Storage, BigQuery oder Datenquellen, die keine Entitäten enthalten. Legen Sie Berechtigungen direkt für die einzelne Datenspeicherressource unter default_collection fest.

So konfigurieren Sie Berechtigungen für Datenspeicher ohne Entitäten:

1. Rufen Sie die aktuelle IAM-Richtlinie für den Datenspeicher ab:

   Rufen Sie getIamPolicy auf, um die aktuelle Richtlinie und ihre etag abzurufen:

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID:getIamPolicy"

   Ersetzen Sie Folgendes:

   • PROJECT_ID: Die ID Ihres Google Cloud -Projekts.
   • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
   • us für die Multiregion „USA“
   • eu für die Multiregion „EU“
   • global für den Standort „Global“
   Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
2. LOCATION: die Multiregion Ihres Datenspeichers: global, us oder eu.
3. DATA_STORE_ID: die ID des Datenspeichers. Weitere Informationen finden Sie unter Datenspeicher- und Entitätsdetails abrufen.

4. Legen Sie die aktualisierte IAM-Richtlinie für den Datenspeicher fest:

   Rufen Sie setIamPolicy auf, einschließlich etag und der Rollenbindung:

   curl -X POST \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{
     "policy": {
       "etag": "ETAG",
       "bindings": [
         {
           "role": "EXISTING_ROLE",
           "members": [
             "user:EXISTING_USER_EMAIL"
           ]
         },
         {
           "role": "PREDEFINED_ROLE",
           "members": [
             "user:USER_EMAIL"
           ]
         }
       ]
     }
   }' \
   "https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID:setIamPolicy"

   Ersetzen Sie Folgendes:

   • ETAG: Der etag-Wert, den Sie als Antwort erhalten haben, als Sie die Methode getIamPolicy in Schritt 1 verwendet haben.
   • EXISTING_ROLE und EXISTING_USER_EMAIL: die vorhandenen Rollen- und Hauptkontobindungen, die von der Methode getIamPolicy zurückgegeben werden und die Sie beibehalten möchten.
   • USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.
   • PREDEFINED_ROLE: Die vordefinierte Rolle, die Sie dem Datenspeicher zuweisen möchten. Beispiele: Gemini Enterprise User (roles/discoveryengine.agentspaceUser) für Endnutzer, Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin) für Administratoren oder Gemini Enterprise Viewer (roles/discoveryengine.agentspaceViewer) für Betrachter. Weitere Informationen finden Sie unter Vordefinierte Rollen.
   • PROJECT_ID: Die ID Ihres Google Cloud -Projekts.
   • ENDPOINT_LOCATION: die Multiregion für Ihre API-Anfrage. Geben Sie einen der folgenden Werte an:
   • us für die Multiregion „USA“
   • eu für die Multiregion „EU“
   • global für den Standort „Global“
   Weitere Informationen zum Festlegen multiregionaler Standorte für Ihren Datenspeicher.
5. LOCATION: die Multiregion Ihres Datenspeichers: global, us oder eu.
6. DATA_STORE_ID: die ID des Datenspeichers.

Hinweis :Es kann einige Minuten dauern, bis Änderungen an IAM-Richtlinien in allen Diensten wirksam werden. Wenn Sie Änderungen testen, melden Sie sich ab und wieder an oder verwenden Sie ein privates (Inkognito-)Fenster, um das Zwischenspeichern aktiver Sitzungen zu vermeiden.

Zugriff auf Gemini Notebook Enterprise und KI-Entwicklertools gewähren

Eingeschränkte Nutzer, denen customRestrictedEndUser auf Projektebene zugewiesen ist, verlieren den Zugriff auf Funktionen wie KI-Entwicklertools und Gemini Notebook Enterprise, da ihre Projektrolle nur grundlegende Autorisierungsberechtigungen enthält.

Wenn Sie die vollständige Rolle Gemini Enterprise User (roles/discoveryengine.agentspaceUser) auf Projektebene zuweisen, wird die Isolation überschrieben und alle Apps und Datenspeicher im Projekt werden verfügbar gemacht. Stattdessen können Administratoren auf Projektebene eingeschränkte, funktionsspezifische Rollen zuweisen.

Zugriff auf Gemini Notebook Enterprise gewähren

Weisen Sie die Rolle Cloud NotebookLM User (roles/discoveryengine.notebookLmUser) zu, damit eingeschränkte Nutzer Notebooks erstellen und verwenden können, ohne Apps oder Datenspeicher preiszugeben:

Console

So gewähren Sie Zugriff über die Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

2. Wählen Sie Ihr Google Cloud Projekt aus.

3. Suchen Sie in der Berechtigungsliste nach dem Nutzer oder der Gruppe und klicken Sie dann auf Hauptkonto bearbeiten. Alternativ können Sie auf Zugriff gewähren klicken, um einen neuen Nutzer hinzuzufügen.

4. Klicken Sie im Bereich Rollen zuweisen auf Weitere Rolle hinzufügen.

5. Suchen Sie im Feld Rolle auswählen nach Cloud NotebookLM User (roles/discoveryengine.notebookLmUser) und wählen Sie die Rolle aus.

6. Klicken Sie auf Speichern.

gcloud

Führen Sie den folgenden Befehl aus, um Zugriff über die Google Cloud CLI zu gewähren:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:USER_EMAIL" \
  --role="roles/discoveryengine.notebookLmUser"

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID Ihres Projekts in Google Cloud .
• USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.

REST

Wenn Sie Zugriff über die REST API gewähren möchten, aktualisieren Sie die IAM-Richtlinie des Projekts mit der Methode setIamPolicy:

Achtung :Beim Aufrufen von setIamPolicy wird die gesamte vorhandene Richtlinie überschrieben. Rufen Sie immer zuerst die aktuelle Richtlinie mit getIamPolicy ab, behalten Sie die vorhandene bindings bei und hängen Sie Ihre neue Rollenbindung an.

1. Rufen Sie die aktuelle IAM-Richtlinie mit der Methode getIamPolicy ab, um die aktuelle Richtlinie und ihre etag abzurufen:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{}' \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy"
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

2. Legen Sie die aktualisierte IAM-Richtlinie mit der Methode setIamPolicy und der Rolle roles/discoveryengine.notebookLmUser fest:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "policy": {
         "etag": "ETAG",
         "bindings": [
           {
             "role": "EXISTING_ROLE",
             "members": [
               "user:EXISTING_USER_EMAIL"
             ]
           },
           {
             "role": "roles/discoveryengine.notebookLmUser",
             "members": [
               "user:USER_EMAIL"
             ]
           }
         ]
       }
     }' \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy"
   

   Ersetzen Sie Folgendes:

   • ETAG: Der etag-Wert aus der getIamPolicy-Antwort.
   • EXISTING_ROLE und EXISTING_USER_EMAIL: die vorhandenen Rollen- und Prinzipalbindungen, die von der Methode getIamPolicy zurückgegeben werden und die Sie beibehalten möchten.
   • PROJECT_ID: die ID Ihres Google Cloud-Projekts.
   • USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.

Zugriff auf KI‑Entwicklertools gewähren

Weisen Sie die Rollen Gemini for Google Cloud-Nutzer (roles/cloudaicompanion.user) und User Role for Business AI Code API (roles/businessaicode.user) zu, um KI-Entwicklertools zu aktivieren, ohne Gemini Enterprise-Apps oder Datenspeicher freizugeben:

Console

So gewähren Sie Zugriff über die Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

2. Wählen Sie Ihr Google Cloud Projekt aus.

3. Suchen Sie in der Berechtigungsliste nach dem Nutzer oder der Gruppe und klicken Sie dann auf Hauptkonto bearbeiten. Alternativ können Sie auf Zugriff gewähren klicken, um einen neuen Nutzer hinzuzufügen.

4. Weisen Sie im Abschnitt Rollen zuweisen die folgenden Rollen zu:

   • Gemini for Google Cloud User (roles/cloudaicompanion.user)
   • Nutzerrolle für die Business AI Code API (roles/businessaicode.user)

5. Klicken Sie auf Speichern.

gcloud

Führen Sie die folgenden Befehle aus, um Zugriff über die Google Cloud CLI zu gewähren:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:USER_EMAIL" \
  --role="roles/cloudaicompanion.user"

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:USER_EMAIL" \
  --role="roles/businessaicode.user"

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID Ihres Projekts in Google Cloud .
• USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.

REST

Wenn Sie Zugriff über die REST API gewähren möchten, aktualisieren Sie die IAM-Richtlinie des Projekts mit der Methode setIamPolicy:

Achtung :Beim Aufrufen von setIamPolicy wird die gesamte vorhandene Richtlinie überschrieben. Rufen Sie die aktuelle Richtlinie immer zuerst mit getIamPolicy ab, behalten Sie die vorhandenen bindings bei und hängen Sie Ihre neuen Rollenbindungen an.

1. Rufen Sie die aktuelle IAM-Richtlinie mit der Methode getIamPolicy ab, um die aktuelle Richtlinie und ihre etag abzurufen:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{}' \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy"
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

2. Legen Sie die aktualisierte IAM-Richtlinie mit der Methode setIamPolicy und den Rollen roles/cloudaicompanion.user und roles/businessaicode.user fest:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "policy": {
         "etag": "ETAG",
         "bindings": [
           {
             "role": "EXISTING_ROLE",
             "members": [
               "user:EXISTING_USER_EMAIL"
             ]
           },
           {
             "role": "roles/cloudaicompanion.user",
             "members": [
               "user:USER_EMAIL"
             ]
           },
           {
             "role": "roles/businessaicode.user",
             "members": [
               "user:USER_EMAIL"
             ]
           }
         ]
       }
     }' \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy"
   

   Ersetzen Sie Folgendes:

   • ETAG: Der etag-Wert aus der getIamPolicy-Antwort.
   • EXISTING_ROLE und EXISTING_USER_EMAIL: die vorhandenen Rollen- und Prinzipalbindungen, die von der Methode getIamPolicy zurückgegeben werden und die Sie beibehalten möchten.
   • PROJECT_ID: die ID Ihres Google Cloud-Projekts.
   • USER_EMAIL: die E-Mail-Adresse des Nutzers oder der Gruppe.

Nächste Schritte

Wenn Sie eine App mit einer IAM-Richtlinie löschen möchten, können Sie die Nutzer aus der Richtlinie entfernen, bevor Sie die App löschen. Weitere Informationen finden Sie unter Best Practices zum Löschen einer App mit einer IAM-Richtlinie.