Configurer le contrôle des accès pour les applications

Cette page explique comment un administrateur Gemini Enterprise peut utiliser l'API pour gérer le contrôle ultraprécis des accès pour des applications Gemini Enterprise individuelles.

Si vous devez configurer des contrôles des accès précis au niveau des ressources pour les applications et les datastores, consultez Configurer des contrôles des accès précis pour les applications et les datastores.

Par défaut, les autorisations IAM sont souvent gérées au niveau du projet. IAM au niveau de l'application permet un contrôle plus précis, ce qui permet aux administrateurs d'effectuer les opérations suivantes :

• Restreindre l'accès des utilisateurs à des applications spécifiques au sein du même projet Google Cloud .
• Alignez les autorisations sur les besoins de l'organisation et les silos de données pour vos déploiements Gemini Enterprise.

Important : Les autorisations IAM au niveau du projet prévalent sur les règles au niveau de l'application. Si un utilisateur se voit attribuer le rôle d'utilisateur de la version Enterprise de Gemini (roles/discoveryengine.agentspaceUser) au niveau du projet, il peut accéder à toutes les applications de ce projet, quelles que soient les autorisations au niveau de l'application. Pour limiter l'accès d'un utilisateur à des applications spécifiques, remplacez son rôle d'utilisateur Gemini Enterprise au niveau du projet par le rôle d'utilisateur Gemini Enterprise restreint (roles/discoveryengine.agentspaceRestrictedUser), puis attribuez-lui le rôle d'utilisateur Gemini Enterprise sur chaque application à laquelle il doit accéder.

Remarque : Les utilisateurs disposant d'autorisations IAM au niveau de l'application pour une application Gemini Enterprise ne peuvent accéder qu'à cette application spécifique et l'utiliser. Il s'agit d'autorisations au niveau de l'utilisateur qui n'incluent pas de fonctionnalités d'administration.

Prenons l'exemple d'une organisation disposant d'une application RH et d'une application à l'échelle de l'entreprise. Un membre de l'équipe RH disposant d'autorisations au niveau du projet peut accéder aux deux applications. En revanche, en utilisant une stratégie IAM au niveau de l'application, vous pouvez accorder à un membre de l'équipe commerciale l'accès à l'application à l'échelle de l'entreprise uniquement, l'empêchant ainsi d'accéder à l'application RH.

Avant de commencer

• Vérifiez que vous disposez du rôle Administrateur Gemini Enterprise (roles/discoveryengine.agentspaceAdmin).

• Vérifiez que tous les utilisateurs de Gemini Enterprise disposent d'une licence valide et du rôle Utilisateur restreint Gemini Enterprise (roles/discoveryengine.agentspaceRestrictedUser) au niveau du projet. Pour obtenir des instructions, consultez Accorder des autorisations à vos utilisateurs.

  Ce rôle ne permet pas d'accéder à une application par lui-même. Il fournit l'accès au niveau du projet dont les utilisateurs ont besoin, puis vous accordez l'accès à des applications individuelles. Si vous utilisez un rôle personnalisé au niveau du projet au lieu du rôle prédéfini roles/discoveryengine.agentspaceRestrictedUser, assurez-vous que votre rôle personnalisé inclut les autorisations discoveryengine.locations.buildAuthorizationUrl, discoveryengine.dataStores.get, discoveryengine.collections.get et discoveryengine.devToolsConfigs.get. L'omission de discoveryengine.devToolsConfigs.get entraîne une erreur 403 PERMISSION_DENIED dans Cloud Audit Logs lorsque l'application Web vérifie devToolsConfig.

Passer de l'accès au niveau du projet à l'accès au niveau de l'application

Pour limiter l'accès des utilisateurs à des applications spécifiques, vous devez remplacer leur rôle d'utilisateur Gemini Enterprise au niveau du projet par le rôle d'utilisateur restreint Gemini Enterprise, puis leur attribuer le rôle d'utilisateur Gemini Enterprise au niveau de chaque application.

Pour faire passer un utilisateur d'un accès au niveau du projet à un accès au niveau de l'application, procédez comme suit. Vous utilisez la console Google Cloud pour les modifications au niveau du projet et l'API pour l'attribution au niveau de l'application, ce que la console Google Cloud ne permet pas.

1. Dans la console Google Cloud , accédez à la page IAM.
2. Recherchez l'utilisateur et supprimez le rôle d'utilisateur Gemini Enterprise (roles/discoveryengine.agentspaceUser) de ses autorisations au niveau du projet.
3. Si ce n'est pas déjà fait, attribuez à l'utilisateur le rôle d'utilisateur restreint Gemini Enterprise (roles/discoveryengine.agentspaceRestrictedUser) au niveau du projet.
4. Utilisez la méthode setIamPolicy pour attribuer à l'utilisateur le rôle d'utilisateur de la version Enterprise de Gemini (roles/discoveryengine.agentspaceUser) pour chaque application spécifique à laquelle il doit accéder. Pour en savoir plus, consultez Gérer les stratégies IAM pour les applications.

Gérer les stratégies IAM pour les applications

Pour gérer l'accès à votre application Gemini Enterprise, vous pouvez utiliser les méthodes d'API getIamPolicy et setIamPolicy.

Les étapes suivantes vous expliquent comment récupérer la stratégie actuelle, puis la mettre à jour pour accorder ou révoquer l'accès utilisateur.

Obtenir la stratégie IAM de l'application

Obtenez la stratégie IAM actuelle de votre application à l'aide de la méthode getIamPolicy. Il est recommandé de récupérer d'abord la stratégie existante pour éviter d'écraser les autorisations actuelles.

REST

Terme clé : Dans Gemini Enterprise, le terme app (application) peut être utilisé de manière interchangeable avec le terme engine (moteur) dans le contexte des API. Un moteur Gemini Enterprise est un moteur de recherche générique dont le champ app_type est défini sur APP_TYPE_INTRANET.

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

Remplacez les éléments suivants :

• PROJECT_ID : l'ID du projet.
• ENDPOINT_LOCATION : emplacement multirégional de votre requête API. Spécifiez l'une des valeurs suivantes :
  • us pour l'emplacement multirégional US
  • eu pour l'emplacement multirégional EU
  • global pour l'emplacement mondial
  Pour en savoir plus, consultez Spécifier un emplacement multirégional pour votre datastore.
• LOCATION : emplacement multirégional de votre data store : global, us ou eu

• APP_ID : ID de l'application que vous souhaitez configurer.

  Remarque : Copiez la valeur etag de la réponse. Cette valeur est requise pour mettre à jour la stratégie IAM. La valeur etag change à chaque mise à jour de la stratégie.

Exemple de commande et résultat

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

Mettre à jour la stratégie IAM de l'application

Pour accorder ou révoquer l'accès des utilisateurs à l'application, mettez à jour la stratégie IAM de l'application à l'aide de la méthode setIamPolicy.

Important : La méthode setIamPolicy remplace la stratégie existante. Pour éviter de supprimer des autorisations existantes, votre requête doit inclure toutes les liaisons de stratégie que vous souhaitez conserver, en plus des liaisons nouvelles ou modifiées.

La stratégie IAM utilise le rôle Utilisateur Gemini Enterprise (roles/discoveryengine.agentspaceUser) pour accorder aux utilisateurs un accès direct à l'application.

Remarque : Les modifications apportées aux stratégies IAM, telles que celles effectuées à l'aide de setIamPolicy, sont soumises à des délais de propagation. La propagation complète des autorisations peut prendre plusieurs minutes. Pour en savoir plus, consultez Délai de propagation IAM.

REST

Terme clé : Dans Gemini Enterprise, le terme app (application) peut être utilisé de manière interchangeable avec le terme engine (moteur) dans le contexte des API. Un moteur Gemini Enterprise est un moteur de recherche générique dont le champ app_type est défini sur APP_TYPE_INTRANET.

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL",
              "group:GROUP_EMAIL",
              "principal://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ID",
              "principalSet://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/attribute.NAME/VALUE"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

Remplacez les éléments suivants :

• ETAG : valeur etag que vous avez obtenue en réponse lorsque vous avez utilisé la méthode getIamPolicy.

• USER_EMAIL, GROUP_EMAIL : une ou plusieurs adresses e-mail d'utilisateurs ou de groupes. En plus de user et group, principal et principalSet sont des types de membres valides pour la fédération d'Workload Identity.

  • Pour accorder l'accès, ajoutez des comptes principaux au tableau members. Par exemple, "user:[e-mail]" ou "group:[e-mail]".

    Remarque : Évitez les espaces superflus avant ou après l'adresse e-mail.

  • Pour révoquer l'accès, supprimez les comptes principaux du tableau members.

• POOL_ID : ID de votre pool d'identités de charge de travail.

• SUBJECT_ID : identifiant de l'objet pour une identité spécifique.

• NAME : nom d'un attribut.

• VALUE : valeur d'un attribut.

• PROJECT_ID : par l'ID du projet.

• ENDPOINT_LOCATION : emplacement multirégional de votre requête API. Spécifiez une des valeurs suivantes :

  • us pour l'emplacement multirégional US
  • eu pour l'emplacement multirégional EU
  • global pour l'emplacement mondial
  Pour en savoir plus, consultez Spécifier un emplacement multirégional pour votre datastore.

• LOCATION : emplacement multirégional de votre data store : global, us ou eu.

• APP_ID : ID de l'application que vous souhaitez configurer.

  Remarque : La valeur etag change à chaque mise à jour de la stratégie. Pour mettre à jour la stratégie à nouveau, vous devez d'abord obtenir le nouveau etag en suivant la procédure Obtenir la stratégie IAM de l'application.

Exemple de commande et résultat

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.user",
            "members": [
              "user:[e-mail]",
              "group:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.user",
      "members": [
        "user:cloudysanfrancisco.com",
        "group:[e-mail]"
      ]
    }
  ]
}
  

Étape suivante

Si vous souhaitez supprimer une application associée à une stratégie IAM, vous pouvez supprimer les utilisateurs de la stratégie avant de supprimer l'application. Pour en savoir plus, consultez Bonnes pratiques pour supprimer une application associée à une stratégie IAM.