הגדרת אמצעי בקרה לגישה לאפליקציות

בדף הזה מוסבר איך אדמינים של Gemini Enterprise יכולים להשתמש ב-API כדי לנהל בקרת גישה מפורטת לאפליקציות ספציפיות של Gemini Enterprise.

כברירת מחדל, הרשאות IAM מנוהלות לרוב ברמת הפרויקט. מערכת IAM ברמת האפליקציה מאפשרת שליטה פרטנית יותר, ומאפשרת לאדמינים:

• הגבלת הגישה של משתמשים לאפליקציות ספציפיות באותו פרויקט Google Cloud .
• התאמת ההרשאות לצורכי הארגון ולסילו נתונים בפריסות של Gemini Enterprise.

חשוב: הרשאות IAM ברמת הפרויקט קודמות לכללי מדיניות ברמת האפליקציה. אם למשתמש יש תפקיד (למשל, roles/discoveryengine.agentspaceUser) ברמת הפרויקט, הוא יכול לגשת לכל האפליקציות בפרויקט הזה, בלי קשר להרשאות ברמת האפליקציה. כדי להגביל משתמש לאפליקציות ספציפיות, צריך להסיר את התפקיד מההרשאות שלו ברמת הפרויקט ואז להעניק את התפקיד ברמת האפליקציה.

הערה: משתמשים עם הרשאות IAM ברמת האפליקציה לאפליקציית Gemini Enterprise יכולים לגשת רק לאפליקציה הספציפית הזו ולהשתמש בה. אלה הרשאות ברמת המשתמש שלא כוללות יכולות אדמין.

לדוגמה, נניח שיש ארגון עם אפליקציית משאבי אנוש ואפליקציה לכלל החברה. חבר בצוות משאבי האנוש עם הרשאות ברמת הפרויקט יכול לגשת לשתי האפליקציות. לעומת זאת, אם משתמשים במדיניות IAM ברמת האפליקציה, אפשר להעניק לחבר בצוות המכירות גישה רק לאפליקציה שזמינה לכל החברה, וכך למנוע ממנו גישה לאפליקציה של משאבי האנוש.

לפני שמתחילים

• מוודאים שיש לכם תפקיד אדמין של Gemini Enterprise.

• מוודאים שלכל המשתמשים ב-Gemini Enterprise עם רישיון תקף מוקצה התפקיד משתמש מוגבל ב-Gemini Enterprise.

מעבר מגישה ברמת הפרויקט לגישה ברמת האפליקציה

כדי להגביל את המשתמשים לאפליקציות ספציפיות, צריך להסיר את התפקיד המתאים מההרשאות ברמת הפרויקט ואז להעניק אותו ברמת האפליקציה.

לדוגמה, כדי להעביר משתמש עם התפקיד 'משתמש Gemini Enterprise' (roles/discoveryengine.agentspaceUser) מרמת הפרויקט לרמת האפליקציה, מבצעים את השלבים הבאים:

1. נכנסים לדף IAM במסוף Google Cloud .
2. מאתרים את המשתמש ומסירים את התפקיד roles/discoveryengine.agentspaceUser מההרשאות שלו ברמת הפרויקט.
3. משתמשים בשיטה setIamPolicy כדי להעניק למשתמש את התפקיד roles/discoveryengine.agentspaceUser באפליקציה הספציפית. מידע נוסף זמין במאמר ניהול כללי מדיניות של IAM לאפליקציות.

ניהול מדיניות IAM לאפליקציות

כדי לנהל את הגישה לאפליקציית Gemini Enterprise, אפשר להשתמש בשיטות ה-API‏ getIamPolicy ו-setIamPolicy.

השלבים הבאים מראים איך לאחזר את המדיניות הנוכחית ואז לעדכן אותה כדי להעניק או לבטל את הגישה של המשתמש.

קבלת מדיניות ה-IAM של האפליקציה

מקבלים את מדיניות ה-IAM הנוכחית של האפליקציה באמצעות השיטה getIamPolicy. מומלץ לאחזר קודם את המדיניות הקיימת כדי למנוע החלפה של הרשאות קיימות.

REST

מונח חשוב: ב-Gemini Enterprise, אפשר להשתמש במונח אפליקציה לסירוגין עם המונח מנוע בהקשר של ממשקי API. מנוע Gemini Enterprise הוא מנוע חיפוש כללי שבו השדה app_type מוגדר לערך APP_TYPE_INTRANET.

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט.
• ‫ENDPOINT_LOCATION: האזור הרב-אזורי של בקשת ה-API. מציינים אחד מהערכים הבאים:
  • ‫us לאזור מרובה בארה"ב
  • ‫eu לאזור עם מספר אזורים באיחוד האירופי
  • global למיקום הגלובלי
  מידע נוסף זמין במאמר בנושא הגדרת מאגר נתונים במספר אזורים.
• ‫LOCATION: האזור המרובה של מאגר הנתונים: ‫global,‏ us או eu

• ‫APP_ID: המזהה של האפליקציה שרוצים להגדיר.

  הערה: מעתיקים את הערך etag מהתשובה. חובה לציין את הערך הזה כדי לעדכן את מדיניות ה-IAM. הערך של etag משתנה בכל עדכון של המדיניות.

דוגמה לפקודה ולתוצאה

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

עדכון מדיניות ה-IAM של האפליקציה

כדי להעניק למשתמשים גישה לאפליקציה או לבטל את הגישה שלהם, צריך לעדכן את מדיניות ה-IAM של האפליקציה באמצעות השיטה setIamPolicy.

חשוב: השיטה setIamPolicy מחליפה את המדיניות הקיימת. כדי לא להסיר הרשאות קיימות, הבקשה צריכה לכלול את כל הקישורים למדיניות שרוצים לשמור, בנוסף לקישורים חדשים או לקישורים שרוצים לשנות.

במדיניות IAM נעשה שימוש בתפקיד משתמש Gemini Enterprise (roles/discoveryengine.agentspaceUser) כדי להעניק למשתמשים גישה ישירה לאפליקציה.

הערה: שינויים במדיניות IAM, כמו אלה שמתבצעים באמצעות setIamPolicy, כפופים לעיכובים בהפצה. יכול להיות שיעברו כמה דקות עד שההרשאות יתעדכנו באופן מלא. מידע נוסף זמין במאמר השהיית התפשטות של IAM.

REST

מונח חשוב: ב-Gemini Enterprise, אפשר להשתמש במונח אפליקציה לסירוגין עם המונח מנוע בהקשר של ממשקי API. מנוע Gemini Enterprise הוא מנוע חיפוש כללי שבו השדה app_type מוגדר לערך APP_TYPE_INTRANET.

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL",
              "group:GROUP_EMAIL",
              "principal://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ID",
              "principalSet://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/attribute.NAME/VALUE"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

מחליפים את מה שכתוב בשדות הבאים:

• ‫ETAG: הערך etag שקיבלתם בתגובה כשנעשה שימוש בשיטה getIamPolicy.

• ‫USER_EMAIL, ‏ GROUP_EMAIL: כתובת אימייל אחת או יותר של משתמש או קבוצה. בנוסף ל-user ול-group, גם principal ו-principalSet הם סוגי חברים תקינים באיחוד שירותי אימות הזהות של עומסי עבודה.

  • כדי להעניק גישה, מוסיפים חשבונות משתמשים למערך members. לדוגמה, "user:[e-mail]" או "group:[e-mail]".

    הערה: חשוב להימנע מרווחים מיותרים לפני כתובת האימייל או אחריה.

  • כדי לבטל את הגישה, מסירים את החשבונות הראשיים ממערך ה-members.

• ‫POOL_ID: המזהה של מאגר הזהויות של עומסי עבודה.

• ‫SUBJECT_ID: מזהה הנושא של זהות ספציפית.

• ‫NAME: השם של מאפיין.

• ‫VALUE: הערך של מאפיין.

• ‫PROJECT_ID: מזהה הפרויקט.

• ‫ENDPOINT_LOCATION: האזור הרב-אזורי של בקשת ה-API. מציינים אחד מהערכים הבאים:

  • ‫us לאזור מרובה בארה"ב
  • ‫eu לאזור עם מספר אזורים באיחוד האירופי
  • global למיקום הגלובלי
  מידע נוסף זמין במאמר בנושא הגדרת מאגר נתונים במספר אזורים.

• ‫LOCATION: האזור המרובה של מאגר הנתונים: ‫global,‏ us או eu.

• ‫APP_ID: המזהה של האפליקציה שרוצים להגדיר.

  הערה: הערך של etag משתנה בכל עדכון של המדיניות. כדי לעדכן את המדיניות שוב, קודם צריך לקבל את etag החדש לפי ההוראות שבמאמר קבלת מדיניות IAM של האפליקציה.

דוגמה לפקודה ולתוצאה

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.user",
            "members": [
              "user:[e-mail]",
              "group:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.user",
      "members": [
        "user:cloudysanfrancisco.com",
        "group:[e-mail]"
      ]
    }
  ]
}
  

מה השלב הבא?

אם רוצים למחוק אפליקציה עם מדיניות IAM, אפשר להסיר את המשתמשים מהמדיניות לפני שמוחקים את האפליקציה. מידע נוסף זמין במאמר שיטות מומלצות למחיקת אפליקציה עם מדיניות IAM.