Mengonfigurasi kontrol akses untuk aplikasi

Halaman ini menjelaskan cara admin Gemini Enterprise dapat menggunakan API untuk mengelola kontrol akses terperinci untuk setiap aplikasi Gemini Enterprise.

Secara default, izin IAM sering kali dikelola di level project. IAM tingkat aplikasi memungkinkan kontrol yang lebih terperinci, sehingga admin dapat:

• Membatasi akses pengguna ke aplikasi tertentu dalam project Google Cloud yang sama.
• Menyelaraskan izin dengan kebutuhan organisasi dan silo data untuk deployment Gemini Enterprise Anda.

Catatan: Pengguna dengan izin IAM tingkat aplikasi untuk aplikasi Gemini Enterprise hanya dapat mengakses dan menggunakan aplikasi tertentu tersebut. Izin ini adalah izin tingkat pengguna yang tidak mencakup kemampuan admin.

Misalnya, pertimbangkan organisasi dengan aplikasi HR dan aplikasi di seluruh perusahaan. Anggota tim HR dengan izin tingkat project dapat mengakses kedua aplikasi tersebut. Sebaliknya, dengan menggunakan kebijakan IAM tingkat aplikasi, Anda dapat memberikan akses anggota tim penjualan hanya ke aplikasi seluruh perusahaan, sehingga mencegahnya mengakses aplikasi HR.

Sebelum memulai

• Pastikan Anda memiliki peran Admin Gemini Enterprise.

• Pastikan semua pengguna Gemini Enterprise dengan lisensi yang valid memiliki peran Pengguna yang Dibatasi Gemini Enterprise.

Mengelola kebijakan IAM untuk aplikasi

Untuk mengelola akses ke aplikasi Gemini Enterprise, Anda dapat menggunakan metode API getIamPolicy dan setIamPolicy.

Langkah-langkah berikut menunjukkan cara mengambil kebijakan saat ini, lalu memperbaruinya untuk memberikan atau mencabut akses pengguna.

Mendapatkan kebijakan IAM aplikasi

Dapatkan kebijakan IAM aplikasi Anda saat ini menggunakan metode getIamPolicy. Sebaiknya ambil kebijakan yang ada terlebih dahulu untuk menghindari menimpa izin saat ini.

REST

Istilah Penting: Di Gemini Enterprise, istilah aplikasi dapat digunakan secara bergantian dengan istilah mesin dalam konteks API. Mesin Gemini Enterprise adalah mesin telusur generik dengan kolom app_type disetel ke APP_TYPE_INTRANET.

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

Ganti kode berikut:

• PROJECT_ID: ID project Anda.
• ENDPOINT_LOCATION: multi-region untuk permintaan API Anda. Tentukan salah satu nilai berikut:
  • us untuk multi-region AS
  • eu untuk multi-region Uni Eropa
  • global untuk lokasi Global
  Untuk mengetahui informasi selengkapnya, lihat Menentukan multi-region untuk penyimpanan data Anda.
• LOCATION: multi-region penyimpanan data Anda: global, us, atau eu

• APP_ID: ID aplikasi yang ingin Anda konfigurasi.

  Catatan: Salin nilai etag dari respons. Nilai ini diperlukan untuk memperbarui kebijakan IAM. Nilai etag berubah dengan setiap pembaruan kebijakan.

Contoh perintah dan hasil

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

Memperbarui kebijakan IAM aplikasi

Untuk memberikan atau mencabut akses pengguna ke aplikasi, perbarui kebijakan IAM aplikasi menggunakan metode setIamPolicy.

Penting: Metode setIamPolicy menggantikan kebijakan yang ada. Untuk menghindari penghapusan izin yang ada, permintaan Anda harus menyertakan semua binding kebijakan yang ingin Anda pertahankan, selain binding baru atau yang diubah.

Kebijakan IAM menggunakan peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) untuk memberikan akses langsung ke aplikasi kepada pengguna.

Catatan: Perubahan pada kebijakan IAM, seperti yang dilakukan menggunakan setIamPolicy, dapat mengalami penundaan propagasi. Mungkin perlu waktu beberapa menit agar izin diterapkan sepenuhnya. Untuk mengetahui informasi selengkapnya, lihat Penundaan penerapan IAM.

REST

Istilah Penting: Di Gemini Enterprise, istilah aplikasi dapat digunakan secara bergantian dengan istilah mesin dalam konteks API. Mesin Gemini Enterprise adalah mesin telusur generik dengan kolom app_type disetel ke APP_TYPE_INTRANET.

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL_1",
              "user:USER_EMAIL_2"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

Ganti kode berikut:

• ETAG: nilai etag yang Anda dapatkan sebagai respons saat Anda menggunakan metode getIamPolicy.

• USER_EMAIL_1, USER_EMAIL_2: satu atau beberapa alamat email pengguna.

  • Untuk memberikan akses, tambahkan email pengguna ke array members, yang masing-masing diawali dengan user:

    Catatan: Hindari spasi tambahan sebelum atau sesudah alamat email.

  • Untuk mencabut akses, hapus alamat email pengguna dari array members.

• PROJECT_ID: ID project Anda.

• ENDPOINT_LOCATION: multi-region untuk permintaan API Anda. Tentukan salah satu nilai berikut:

  • us untuk multi-region AS
  • eu untuk multi-region Uni Eropa
  • global untuk lokasi Global
  Untuk mengetahui informasi selengkapnya, lihat Menentukan multi-region untuk penyimpanan data Anda.

• LOCATION: multi-region penyimpanan data Anda: global, us, atau eu.

• APP_ID: ID aplikasi yang ingin Anda konfigurasi.

  Catatan: Nilai etag berubah dengan setiap pembaruan kebijakan. Untuk memperbarui kebijakan lagi, Anda harus mendapatkan etag baru terlebih dahulu dengan mengikuti Mendapatkan kebijakan IAM aplikasi.

Contoh perintah dan hasil

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:[e-mail]",
              "user:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.agentspaceUser",
      "members": [
        "user:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}
  

Apa langkah selanjutnya?

Jika ingin menghapus aplikasi dengan kebijakan IAM, Anda dapat menghapus pengguna dari kebijakan sebelum menghapus aplikasi. Untuk mengetahui informasi selengkapnya, lihat Praktik terbaik untuk menghapus aplikasi dengan kebijakan IAM.