Mengonfigurasi kontrol akses untuk aplikasi

Halaman ini menjelaskan cara admin Gemini Enterprise menggunakan API untuk mengelola kontrol akses terperinci untuk setiap aplikasi Gemini Enterprise.

Jika Anda perlu mengonfigurasi kontrol akses tingkat resource yang terperinci di seluruh aplikasi dan penyimpanan data, lihat Mengonfigurasi kontrol akses terperinci untuk aplikasi dan penyimpanan data.

Secara default, izin IAM sering dikelola di level project. IAM tingkat aplikasi memungkinkan kontrol yang lebih terperinci, sehingga admin dapat:

• Membatasi akses pengguna ke aplikasi tertentu dalam project Google Cloud yang sama.
• Sesuaikan izin dengan kebutuhan organisasi dan silo data untuk deployment Gemini Enterprise Anda.

Penting: Izin IAM level project lebih diutamakan daripada kebijakan level aplikasi. Jika pengguna diberi peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) di tingkat project, mereka dapat mengakses semua aplikasi dalam project tersebut, terlepas dari izin tingkat aplikasi. Untuk membatasi pengguna ke aplikasi tertentu, ganti peran Pengguna Gemini Enterprise tingkat project mereka dengan peran Pengguna Gemini Enterprise yang Dibatasi (roles/discoveryengine.agentspaceRestrictedUser), lalu berikan peran Pengguna Gemini Enterprise di setiap aplikasi yang perlu mereka akses.

Catatan: Pengguna dengan izin IAM tingkat aplikasi untuk aplikasi Gemini Enterprise hanya dapat mengakses dan menggunakan aplikasi tertentu tersebut. Izin ini adalah izin tingkat pengguna yang tidak mencakup kemampuan admin.

Misalnya, pertimbangkan organisasi dengan aplikasi HR dan aplikasi di seluruh perusahaan. Anggota tim HR dengan izin level project dapat mengakses kedua aplikasi tersebut. Sebaliknya, dengan menggunakan kebijakan IAM tingkat aplikasi, Anda dapat memberikan akses anggota tim penjualan hanya ke aplikasi seluruh perusahaan, sehingga mencegahnya mengakses aplikasi HR.

Sebelum memulai

• Pastikan Anda memiliki peran Admin Gemini Enterprise (roles/discoveryengine.agentspaceAdmin).

• Pastikan semua pengguna Gemini Enterprise memiliki lisensi yang valid dan diberi peran Pengguna dengan Akses Terbatas Gemini Enterprise (roles/discoveryengine.agentspaceRestrictedUser) di tingkat project. Untuk mengetahui petunjuknya, lihat Memberikan izin kepada pengguna Anda.

  Peran ini tidak memberikan akses ke aplikasi apa pun dengan sendirinya. Hal ini memberikan akses tingkat project yang dibutuhkan pengguna, lalu Anda memberikan akses ke setiap aplikasi. Jika Anda menggunakan peran level project kustom, bukan peran roles/discoveryengine.agentspaceRestrictedUser yang telah ditentukan sebelumnya, pastikan peran kustom Anda menyertakan izin discoveryengine.locations.buildAuthorizationUrl, discoveryengine.dataStores.get, discoveryengine.collections.get, dan discoveryengine.devToolsConfigs.get. Menghilangkan discoveryengine.devToolsConfigs.get akan menyebabkan error 403 PERMISSION_DENIED di Cloud Audit Logs saat aplikasi web memeriksa devToolsConfig.

Transisi dari akses level project ke tingkat aplikasi

Untuk membatasi pengguna ke aplikasi tertentu, Anda harus mengganti peran Pengguna Gemini Enterprise tingkat project mereka dengan peran Pengguna Terbatas Gemini Enterprise, lalu memberikan peran Pengguna Gemini Enterprise di tingkat aplikasi individual.

Untuk mengalihkan pengguna dari akses tingkat project ke akses tingkat aplikasi, ikuti langkah-langkah berikut. Anda menggunakan konsol Google Cloud untuk perubahan tingkat project, dan API untuk pemberian tingkat aplikasi, yang tidak didukung oleh konsol Google Cloud .

1. Di konsol Google Cloud , buka halaman IAM.
2. Temukan pengguna dan hapus peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) dari izin tingkat project-nya.
3. Jika Anda belum melakukannya, berikan peran Pengguna dengan Akses Terbatas Gemini Enterprise (roles/discoveryengine.agentspaceRestrictedUser) kepada pengguna di tingkat project.
4. Gunakan metode setIamPolicy untuk memberikan peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) kepada pengguna untuk setiap aplikasi tertentu yang perlu diaksesnya. Untuk mengetahui informasi selengkapnya, lihat Mengelola kebijakan IAM untuk aplikasi.

Mengelola kebijakan IAM untuk aplikasi

Untuk mengelola akses ke aplikasi Gemini Enterprise, Anda dapat menggunakan metode API getIamPolicy dan setIamPolicy.

Langkah-langkah berikut menunjukkan cara mengambil kebijakan saat ini, lalu memperbaruinya untuk memberikan atau mencabut akses pengguna.

Mendapatkan kebijakan IAM aplikasi

Dapatkan kebijakan IAM aplikasi Anda saat ini menggunakan metode getIamPolicy. Sebaiknya ambil kebijakan yang ada terlebih dahulu untuk menghindari menimpa izin saat ini.

REST

Istilah Penting: Di Gemini Enterprise, istilah aplikasi dapat digunakan secara bergantian dengan istilah mesin dalam konteks API. Mesin Gemini Enterprise adalah mesin telusur umum dengan kolom app_type disetel ke APP_TYPE_INTRANET.

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

Ganti kode berikut:

• PROJECT_ID: ID project Anda.
• ENDPOINT_LOCATION: multi-region untuk permintaan API Anda. Tentukan salah satu nilai berikut:
  • us untuk multi-region AS
  • eu untuk multi-region Uni Eropa
  • global untuk lokasi Global
  Untuk mengetahui informasi selengkapnya, lihat Menentukan multi-region untuk penyimpanan data Anda.
• LOCATION: multi-region penyimpanan data Anda: global, us, atau eu

• APP_ID: ID aplikasi yang ingin Anda konfigurasi.

  Catatan: Salin nilai etag dari respons. Nilai ini diperlukan untuk memperbarui kebijakan IAM. Nilai etag berubah dengan setiap pembaruan kebijakan.

Contoh perintah dan hasil

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

Memperbarui kebijakan IAM aplikasi

Untuk memberikan atau mencabut akses pengguna ke aplikasi, perbarui kebijakan IAM aplikasi menggunakan metode setIamPolicy.

Penting: Metode setIamPolicy menggantikan kebijakan yang ada. Untuk menghindari penghapusan izin yang ada, permintaan Anda harus menyertakan semua binding kebijakan yang ingin Anda pertahankan, selain binding baru atau yang diubah.

Kebijakan IAM menggunakan peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) untuk memberikan akses langsung kepada pengguna ke aplikasi.

Catatan: Perubahan pada kebijakan IAM, seperti yang dilakukan menggunakan setIamPolicy, dapat mengalami penundaan propagasi. Mungkin perlu waktu beberapa menit agar izin diterapkan sepenuhnya. Untuk mengetahui informasi selengkapnya, lihat Penundaan penerapan IAM.

REST

Istilah Penting: Di Gemini Enterprise, istilah aplikasi dapat digunakan secara bergantian dengan istilah mesin dalam konteks API. Mesin Gemini Enterprise adalah mesin telusur umum dengan kolom app_type disetel ke APP_TYPE_INTRANET.

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL",
              "group:GROUP_EMAIL",
              "principal://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ID",
              "principalSet://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/attribute.NAME/VALUE"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

Ganti kode berikut:

• ETAG: nilai etag yang Anda peroleh sebagai respons saat Anda menggunakan metode getIamPolicy.

• USER_EMAIL, GROUP_EMAIL: satu atau beberapa alamat email pengguna atau grup. Selain user dan group, principal dan principalSet adalah jenis anggota yang valid untuk Workload Identity Federation.

  • Untuk memberikan akses, tambahkan akun utama ke array members. Misalnya, "user:[e-mail]" atau "group:[e-mail]".

    Catatan: Hindari spasi tambahan sebelum atau sesudah alamat email.

  • Untuk mencabut akses, hapus akun utama dari array members.

• POOL_ID: ID workload identity pool Anda.

• SUBJECT_ID: ID subjek untuk identitas tertentu.

• NAME: Nama atribut.

• VALUE: Nilai atribut.

• PROJECT_ID: ID project Anda.

• ENDPOINT_LOCATION: multi-region untuk permintaan API Anda. Tentukan salah satu nilai berikut:

  • us untuk multi-region AS
  • eu untuk multi-region Uni Eropa
  • global untuk lokasi Global
  Untuk mengetahui informasi selengkapnya, lihat Menentukan multi-region untuk penyimpanan data Anda.

• LOCATION: multi-region penyimpanan data Anda: global, us, atau eu.

• APP_ID: ID aplikasi yang ingin Anda konfigurasi.

  Catatan: Nilai etag berubah dengan setiap pembaruan kebijakan. Untuk memperbarui kebijakan lagi, Anda harus mendapatkan etag baru terlebih dahulu dengan mengikuti Mendapatkan kebijakan IAM aplikasi.

Contoh perintah dan hasil

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.user",
            "members": [
              "user:[e-mail]",
              "group:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.user",
      "members": [
        "user:cloudysanfrancisco.com",
        "group:[e-mail]"
      ]
    }
  ]
}
  

Apa langkah selanjutnya?

Jika ingin menghapus aplikasi dengan kebijakan IAM, Anda dapat menghapus pengguna dari kebijakan sebelum menghapus aplikasi. Untuk mengetahui informasi selengkapnya, lihat Praktik terbaik untuk menghapus aplikasi dengan kebijakan IAM.