Mengonfigurasi kontrol akses untuk aplikasi

Halaman ini menjelaskan cara admin Gemini Enterprise dapat menggunakan API untuk mengelola kontrol akses terperinci untuk setiap aplikasi Gemini Enterprise.

Secara default, izin IAM sering kali dikelola di level project. IAM tingkat aplikasi memungkinkan kontrol yang lebih terperinci, sehingga admin dapat:

• Membatasi akses pengguna ke aplikasi tertentu dalam project Google Cloud yang sama.
• Menyesuaikan izin dengan kebutuhan organisasi dan silo data untuk deployment Gemini Enterprise Anda.

Penting: Izin IAM level project lebih diutamakan daripada kebijakan level aplikasi. Jika pengguna diberi peran (seperti roles/discoveryengine.agentspaceUser) di level project, mereka dapat mengakses semua aplikasi dalam project tersebut, terlepas dari izin level aplikasi. Untuk membatasi pengguna ke aplikasi tertentu, Anda harus menghapus peran dari izin tingkat project mereka, lalu memberikan peran di tingkat aplikasi.

Catatan: Pengguna dengan izin IAM tingkat aplikasi untuk aplikasi Gemini Enterprise hanya dapat mengakses dan menggunakan aplikasi tertentu tersebut. Izin ini adalah izin tingkat pengguna yang tidak mencakup kemampuan admin.

Misalnya, pertimbangkan organisasi dengan aplikasi HR dan aplikasi di seluruh perusahaan. Anggota tim HR dengan izin tingkat project dapat mengakses kedua aplikasi tersebut. Sebaliknya, dengan menggunakan kebijakan IAM tingkat aplikasi, Anda dapat memberikan akses kepada anggota tim penjualan hanya ke aplikasi seluruh perusahaan, sehingga mencegah mereka mengakses aplikasi HR.

Sebelum memulai

• Pastikan Anda memiliki peran Admin Gemini Enterprise.

• Pastikan semua pengguna Gemini Enterprise dengan lisensi yang valid memiliki peran Pengguna yang Dibatasi Gemini Enterprise.

Transisi dari akses tingkat project ke tingkat aplikasi

Untuk membatasi pengguna ke aplikasi tertentu, Anda harus menghapus peran yang sesuai dari izin tingkat project, lalu memberikan peran tersebut di tingkat aplikasi.

Misalnya, untuk memindahkan pengguna dengan peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) dari tingkat project ke tingkat aplikasi, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman IAM.
2. Temukan pengguna dan hapus peran roles/discoveryengine.agentspaceUser dari izin tingkat project-nya.
3. Gunakan metode setIamPolicy untuk memberikan peran roles/discoveryengine.agentspaceUser kepada pengguna untuk aplikasi tertentu. Untuk mengetahui informasi selengkapnya, lihat Mengelola kebijakan IAM untuk aplikasi.

Mengelola kebijakan IAM untuk aplikasi

Untuk mengelola akses ke aplikasi Gemini Enterprise, Anda dapat menggunakan metode API getIamPolicy dan setIamPolicy.

Langkah-langkah berikut menunjukkan cara mengambil kebijakan saat ini, lalu memperbaruinya untuk memberikan atau mencabut akses pengguna.

Mendapatkan kebijakan IAM aplikasi

Dapatkan kebijakan IAM aplikasi Anda saat ini menggunakan metode getIamPolicy. Sebaiknya ambil kebijakan yang ada terlebih dahulu untuk menghindari menimpa izin saat ini.

REST

Istilah Penting: Di Gemini Enterprise, istilah aplikasi dapat digunakan secara bergantian dengan istilah mesin dalam konteks API. Mesin Gemini Enterprise adalah mesin telusur umum dengan kolom app_type disetel ke APP_TYPE_INTRANET.

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

Ganti kode berikut:

• PROJECT_ID: ID project Anda.
• ENDPOINT_LOCATION: multi-region untuk permintaan API Anda. Tentukan salah satu nilai berikut:
  • us untuk multi-region AS
  • eu untuk multi-region Uni Eropa
  • global untuk lokasi Global
  Untuk mengetahui informasi selengkapnya, lihat Menentukan multi-region untuk penyimpanan data Anda.
• LOCATION: multi-region penyimpanan data Anda: global, us, atau eu

• APP_ID: ID aplikasi yang ingin Anda konfigurasi.

  Catatan: Salin nilai etag dari respons. Nilai ini diperlukan untuk memperbarui kebijakan IAM. Nilai etag berubah dengan setiap pembaruan kebijakan.

Contoh perintah dan hasil

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

Memperbarui kebijakan IAM aplikasi

Untuk memberikan atau mencabut akses pengguna ke aplikasi, perbarui kebijakan IAM aplikasi menggunakan metode setIamPolicy.

Penting: Metode setIamPolicy menggantikan kebijakan yang ada. Untuk menghindari penghapusan izin yang ada, permintaan Anda harus menyertakan semua binding kebijakan yang ingin Anda pertahankan, selain binding baru atau yang diubah.

Kebijakan IAM menggunakan peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) untuk memberikan akses langsung ke aplikasi kepada pengguna.

Catatan: Perubahan pada kebijakan IAM, seperti yang dilakukan menggunakan setIamPolicy, dapat mengalami penundaan propagasi. Mungkin perlu waktu beberapa menit agar izin diterapkan sepenuhnya. Untuk mengetahui informasi selengkapnya, lihat Penundaan penerapan IAM.

REST

Istilah Penting: Di Gemini Enterprise, istilah aplikasi dapat digunakan secara bergantian dengan istilah mesin dalam konteks API. Mesin Gemini Enterprise adalah mesin telusur umum dengan kolom app_type disetel ke APP_TYPE_INTRANET.

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL",
              "group:GROUP_EMAIL",
              "principal://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ID",
              "principalSet://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/attribute.NAME/VALUE"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

Ganti kode berikut:

• ETAG: nilai etag yang Anda peroleh sebagai respons saat Anda menggunakan metode getIamPolicy.

• USER_EMAIL, GROUP_EMAIL: satu atau beberapa alamat email pengguna atau grup. Selain user dan group, principal dan principalSet adalah jenis anggota yang valid untuk Workload Identity Federation.

  • Untuk memberikan akses, tambahkan akun utama ke array members. Contohnya, "user:[e-mail]" atau "group:[e-mail]".

    Catatan: Hindari spasi tambahan sebelum atau sesudah alamat email.

  • Untuk mencabut akses, hapus akun utama dari array members.

• POOL_ID: ID workload identity pool Anda.

• SUBJECT_ID: ID subjek untuk identitas tertentu.

• NAME: Nama atribut.

• VALUE: Nilai atribut.

• PROJECT_ID: ID project Anda.

• ENDPOINT_LOCATION: multi-region untuk permintaan API Anda. Tentukan salah satu nilai berikut:

  • us untuk multi-region AS
  • eu untuk multi-region Uni Eropa
  • global untuk lokasi Global
  Untuk mengetahui informasi selengkapnya, lihat Menentukan multi-region untuk penyimpanan data Anda.

• LOCATION: multi-region penyimpanan data Anda: global, us, atau eu.

• APP_ID: ID aplikasi yang ingin Anda konfigurasi.

  Catatan: Nilai etag berubah dengan setiap pembaruan kebijakan. Untuk memperbarui kebijakan lagi, Anda harus mendapatkan etag baru terlebih dahulu dengan mengikuti Mendapatkan kebijakan IAM aplikasi.

Contoh perintah dan hasil

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.user",
            "members": [
              "user:[e-mail]",
              "group:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.user",
      "members": [
        "user:cloudysanfrancisco.com",
        "group:[e-mail]"
      ]
    }
  ]
}
  

Apa langkah selanjutnya?

Jika ingin menghapus aplikasi dengan kebijakan IAM, Anda dapat menghapus pengguna dari kebijakan sebelum menghapus aplikasi. Untuk mengetahui informasi selengkapnya, lihat Praktik terbaik untuk menghapus aplikasi dengan kebijakan IAM.