アプリのアクセス制御を構成する

このページでは、Gemini Enterprise の管理者が API を使用して、個々の Gemini Enterprise アプリに対するきめ細かいアクセス制御を管理する方法について説明します。

デフォルトでは、IAM 権限はプロジェクト レベルで管理されることがよくあります。アプリレベルの IAM を使用すると、よりきめ細かい制御が可能になり、管理者は次のことができます。

• 同じ Google Cloud プロジェクト内の特定のアプリへのユーザー アクセスを制限する。
• Gemini Enterprise デプロイの組織のニーズとデータサイロに合わせて権限を調整する。

重要: プロジェクト レベルの IAM 権限は、 アプリレベルのポリシーよりも優先されます。ユーザーにプロジェクト レベルでロール（roles/discoveryengine.agentspaceUser など）が付与されている場合、アプリレベルの権限に関係なく、そのプロジェクト内のすべてのアプリにアクセスできます。ユーザーを 特定のアプリに制限するには、プロジェクト レベルの権限からロールを削除し、アプリレベルでロールを付与する必要があります。

注: Gemini Enterprise アプリのアプリレベルの IAM 権限を持つユーザーは、その特定のアプリにのみアクセスして使用できます。これらは ユーザーレベルの権限であり、管理機能は含まれません。

たとえば、人事アプリと全社アプリがある組織を考えてみましょう。プロジェクト レベルの権限を持つ人事チームのメンバーは、両方のアプリにアクセスできます。一方、アプリレベルの IAM ポリシーを使用すると、営業チームのメンバーに全社アプリへのアクセス権のみを付与し、人事アプリへのアクセスを禁止できます。

始める前に

• Gemini Enterprise 管理者のロールがあることを確認します。

• 有効なライセンスを持つすべての Gemini Enterprise ユーザーに Gemini Enterprise 制限付きユーザーのロールが付与されていることを確認します。

プロジェクト レベルのアクセスからアプリレベルのアクセスに移行する

ユーザーを特定のアプリに制限するには、プロジェクト レベルの権限から対応するロールを削除し、アプリレベルで付与する必要があります。

たとえば、Gemini Enterprise ユーザー（roles/discoveryengine.agentspaceUser）ロールを持つユーザーをプロジェクト レベルからアプリレベルに移行するには、次の操作を行います。

1. コンソールで、[IAM] ページに移動します。 Google Cloud
2. ユーザーを見つけて、プロジェクト レベルの権限から roles/discoveryengine.agentspaceUser ロールを削除します。
3. setIamPolicy メソッドを使用して、特定のアプリの roles/discoveryengine.agentspaceUser ロールをユーザーに付与します。詳細については、 アプリの IAM ポリシーを管理するをご覧ください。

アプリの IAM ポリシーを管理する

Gemini Enterprise アプリへのアクセスを管理するには、getIamPolicy API メソッドと setIamPolicy API メソッドを使用します。

次の手順では、現在のポリシーを取得し、ユーザー アクセスを許可または取り消すように更新する方法について説明します。

アプリの IAM ポリシーを取得する

getIamPolicy メソッドを使用して、アプリの現在の IAM ポリシーを取得します。現在の権限が上書きされないように、最初に既存のポリシーを取得することをおすすめします。

REST

重要な用語: Gemini Enterprise では、API のコンテキストで「アプリ」という用語と「エンジン」という用語を同じ意味で使用できます。Gemini Enterprise エンジンは、app_type フィールドが APP_TYPE_INTRANET に設定されている汎用検索エンジンです。

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

次のように置き換えます。

• PROJECT_ID: 実際のプロジェクトの ID。
• ENDPOINT_LOCATION: API リクエストのマルチリージョン。次のいずれかの値を指定します。
  • 米国のマルチリージョンの場合は us
  • EU のマルチリージョンの場合は eu
  • グローバル ロケーションの場合は global
  詳細については、データストアのマルチリージョンを指定するをご覧ください。
• LOCATION: データストアのマルチリージョン（global、us、eu）

• APP_ID: 構成するアプリの ID。

  注: レスポンスから etag 値をコピーします。この値は、IAM ポリシーを更新するために必要です。etag 値は、ポリシーが更新されるたびに変わります。

コマンドの例と結果

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

アプリの IAM ポリシーを更新する

アプリへのユーザー アクセスを許可または取り消すには、アプリの IAM ポリシーを setIamPolicy メソッドを使用して更新します。

重要: setIamPolicy メソッドは、既存のポリシーを置き換えます。既存の権限を削除しないようにするには、リクエストに、保持するすべてのポリシー バインディングと、新規または変更されたバインディングを含める必要があります。

IAM ポリシーは、 Gemini Enterprise ユーザー （roles/discoveryengine.agentspaceUser）ロールを使用して、ユーザーにアプリへの直接アクセスを許可します。

注: setIamPolicy を使用して行われた IAM ポリシーの変更は、反映が遅れることがあります。権限が完全に反映されるまでに数分かかることがあります。詳細については、 IAM の反映遅延をご覧ください。

REST

重要な用語: Gemini Enterprise では、API のコンテキストで「アプリ」という用語と「エンジン」という用語を同じ意味で使用できます。Gemini Enterprise エンジンは、app_type フィールドが APP_TYPE_INTRANET に設定されている汎用検索エンジンです。

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL",
              "group:GROUP_EMAIL",
              "principal://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ID",
              "principalSet://iam.googleapis.com/locations/global/workloadIdentityPools/POOL_ID/attribute.NAME/VALUE"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

次のように置き換えます。

• ETAG: getIamPolicy メソッドを使用したときにレスポンスとして取得した etag 値。

• USER_EMAIL、GROUP_EMAIL: 1 つ以上のユーザーまたはグループのメールアドレス。user と group に加えて、principal と principalSet は Workload Identity 連携の有効なメンバータイプです。

  • アクセス権を付与するには、プリンシパルを members 配列に追加します。例: "user:[e-mail]" または "group:[e-mail]"。

    注: メールアドレスの前後には余分なスペースを入れないでください。

  • アクセス権を取り消すには、members 配列からプリンシパルを削除します。

• POOL_ID: Workload Identity プールの ID。

• SUBJECT_ID: 特定の ID のサブジェクト識別子。

• NAME: 属性の名前。

• VALUE: 属性の値。

• PROJECT_ID: 実際のプロジェクトの ID。

• ENDPOINT_LOCATION: API リクエストのマルチリージョン。次のいずれかの値を指定します。

  • 米国のマルチリージョンの場合は us
  • EU のマルチリージョンの場合は eu
  • グローバル ロケーションの場合は global
  詳細については、データストアのマルチリージョンを指定するをご覧ください。

• LOCATION: データストアのマルチリージョン（global、us、eu）。

• APP_ID: 構成するアプリの ID。

  注: etag 値は、ポリシーが更新されるたびに変わります。ポリシーを再度更新するには、まずアプリの IAM ポリシーを取得するの手順に沿って新しい etag を取得する必要があります。

コマンドの例と結果

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.user",
            "members": [
              "user:[e-mail]",
              "group:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.user",
      "members": [
        "user:cloudysanfrancisco.com",
        "group:[e-mail]"
      ]
    }
  ]
}
  

次のステップ

IAM ポリシーを持つアプリを削除する場合は、アプリを削除する前にポリシーからユーザーを削除できます。詳細については、IAM ポリシーを持つアプリを削除する場合のベスト プラクティスをご覧ください。