Configura los controles de acceso para las apps

En esta página, se explica cómo un administrador de Gemini Enterprise puede usar la API para administrar el control de acceso detallado de las apps individuales de Gemini Enterprise.

De forma predeterminada, los permisos de IAM suelen administrarse a nivel del proyecto. El IAM a nivel de la app permite un control más detallado, lo que les permite a los administradores hacer lo siguiente:

• Restringe el acceso de los usuarios a apps específicas dentro del mismo proyecto de Google Cloud .
• Alinea los permisos con las necesidades de la organización y los silos de datos para tus implementaciones de Gemini Enterprise.

Nota: Los usuarios con permisos de IAM a nivel de la app para una app de Gemini Enterprise solo pueden acceder a esa app específica y usarla. Estos son permisos a nivel del usuario que no incluyen capacidades de administrador.

Por ejemplo, considera una organización con una app de RR.HH. y una app para toda la empresa. Un miembro del equipo de RR.HH. con permisos a nivel del proyecto puede acceder a ambas apps. En cambio, si usas una política de IAM a nivel de la app, puedes otorgar acceso a un miembro del equipo de ventas solo a la app de toda la empresa y, de este modo, impedir que acceda a la app de RR.HH.

Antes de comenzar

• Confirma que tienes el rol de administrador de Gemini Enterprise.

• Confirma que todos los usuarios de Gemini Enterprise con una licencia válida tengan el rol de Usuario restringido de Gemini Enterprise.

Administra políticas de IAM para apps

Para administrar el acceso a tu app de Gemini Enterprise, puedes usar los métodos de API getIamPolicy y setIamPolicy.

En los siguientes pasos, se muestra cómo recuperar la política actual y, luego, actualizarla para otorgar o revocar el acceso del usuario.

Obtén la política de IAM de la app

Obtén la política de IAM actual de tu app con el método getIamPolicy. Se recomienda recuperar la política existente primero para evitar reemplazar los permisos actuales.

REST

Término clave: En Gemini Enterprise, el término app se puede usar indistintamente con el término motor en el contexto de las APIs. Un motor de Gemini Enterprise es un motor de búsqueda genérico en el que el campo app_type se establece en APP_TYPE_INTRANET.

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

Reemplaza lo siguiente:

• PROJECT_ID: el ID de tu proyecto.
• ENDPOINT_LOCATION: Es la región múltiple para tu solicitud a la API. Especifica uno de los siguientes valores:
  • us para la multirregión de EE.UU.
  • eu para la multirregión de la UE
  • global para la ubicación global
  Para obtener más información, consulta Cómo especificar una región múltiple para tu almacén de datos.
• LOCATION: Es la multirregión de tu almacén de datos: global, us o eu.

• APP_ID: Es el ID de la app que deseas configurar.

  Nota: Copia el valor de etag de la respuesta. Este valor es obligatorio para actualizar la política de IAM. El valor de etag cambia con cada actualización de la política.

Ejemplo de comando y resultado

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

Actualiza la política de IAM de la app

Para otorgar o revocar el acceso de los usuarios a la app, actualiza la política de IAM de la app con el método setIamPolicy.

Importante: El método setIamPolicy reemplaza la política existente. Para evitar quitar permisos existentes, tu solicitud debe incluir todas las vinculaciones de políticas que desees conservar, además de las vinculaciones nuevas o modificadas.

La política de IAM usa el rol de Usuario de Gemini Enterprise (roles/discoveryengine.agentspaceUser) para otorgar a los usuarios acceso directo a la app.

Nota: Los cambios en las políticas de IAM, como los que se realizan con setIamPolicy, están sujetos a demoras en la propagación. Los permisos pueden tardar varios minutos en propagarse por completo. Para obtener más información, consulta Retraso en la propagación de IAM.

REST

Término clave: En Gemini Enterprise, el término app se puede usar indistintamente con el término motor en el contexto de las APIs. Un motor de Gemini Enterprise es un motor de búsqueda genérico en el que el campo app_type se establece en APP_TYPE_INTRANET.

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL_1",
              "user:USER_EMAIL_2"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

Reemplaza lo siguiente:

• ETAG: Es el valor de etag que obtuviste como respuesta cuando usaste el método getIamPolicy.

• USER_EMAIL_1, USER_EMAIL_2: Una o más direcciones de correo electrónico del usuario.

  • Para otorgar acceso, agrega los correos electrónicos de los usuarios al array members, cada uno con el prefijo user:

    Nota: Evita los espacios adicionales antes o después de la dirección de correo electrónico.

  • Para revocar el acceso, quita las direcciones de correo electrónico del usuario del array members.

• PROJECT_ID: el ID de tu proyecto.

• ENDPOINT_LOCATION: Es la región múltiple para tu solicitud a la API. Especifica uno de los siguientes valores:

  • us para la multirregión de EE.UU.
  • eu para la multirregión de la UE
  • global para la ubicación global
  Para obtener más información, consulta Cómo especificar una región múltiple para tu almacén de datos.

• LOCATION: Es la multirregión de tu almacén de datos: global, us o eu.

• APP_ID: Es el ID de la app que deseas configurar.

  Nota: El valor de etag cambia con cada actualización de la política. Para volver a actualizar la política, primero debes obtener el nuevo etag siguiendo los pasos que se indican en Cómo obtener la política de IAM de la app.

Ejemplo de comando y resultado

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:[e-mail]",
              "user:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.agentspaceUser",
      "members": [
        "user:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}
  

Próximos pasos

Si quieres borrar una app con una política de IAM, puedes quitar a los usuarios de la política antes de borrar la app. Para obtener más información, consulta Prácticas recomendadas para borrar una app con una política de IAM.