为应用配置访问权限控制

本页介绍了 Gemini Enterprise 管理员如何使用 API 来管理各个 Gemini Enterprise 应用的精细访问权限控制。

默认情况下，IAM 权限通常在项目级层进行管理。应用级 IAM 可实现更精细的控制，让管理员能够：

• 限制用户对同一 Google Cloud 项目内特定应用的访问权限。
• 根据组织需求和数据孤岛，为 Gemini Enterprise 部署调整权限。

注意： 如果用户对 Gemini Enterprise 应用拥有应用级 IAM 权限，则只能访问和使用该特定应用。这些是用户级权限，不包含管理员功能。

例如，假设某个组织有一个 HR 应用和一个公司范围的应用。具有项目级权限的 HR 团队成员可以访问这两个应用。相比之下，如果使用应用级 IAM 政策，您可以仅向销售团队成员授予对公司范围应用的访问权限，从而防止他们访问 HR 应用。

准备工作

• 确认您拥有 Gemini Enterprise 管理员角色。

• 确认所有拥有有效许可的 Gemini Enterprise 用户都具有 Gemini Enterprise 受限用户角色。

管理应用的 IAM 政策

如需管理对 Gemini Enterprise 应用的访问权限，您可以使用 getIamPolicy 和 setIamPolicy API 方法。

以下步骤展示了如何检索当前政策，然后更新该政策以授予或撤消用户访问权限。

获取应用 IAM 政策

使用 getIamPolicy 方法获取应用的当前 IAM 政策。建议先提取现有政策，以免覆盖任何当前权限。

REST

关键术语：在 Gemini Enterprise 中，“应用”一词在 API 上下文中可以与“引擎”一词互换使用。Gemini Enterprise 引擎是一种通用搜索引擎，其中 app_type 字段设置为 APP_TYPE_INTRANET。

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:getIamPolicy"

替换以下内容：

• PROJECT_ID：您的项目的 ID。
• ENDPOINT_LOCATION：API 请求的多区域。指定以下值之一：
  • us（表示美国多区域）
  • eu（表示欧盟多区域）
  • global（表示全球位置）
  如需了解详情，请参阅为数据存储区指定多区域。
• LOCATION：数据存储区的多区域：global、us 或 eu

• APP_ID：要配置的应用的 ID。

  注意： 从响应中复制 etag 值。更新 IAM 政策时需要此值。etag 值会随每次政策更新而变化。

命令和结果示例

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:getIamPolicy"

{
  "version": 1,
  "etag": "1234567890"
}
  

更新应用 IAM 政策

如需授予或撤消用户对应用的访问权限，请使用 setIamPolicy 方法更新应用的 IAM 政策。

重要提示： setIamPolicy 方法会替换现有政策。为避免移除现有权限，您的请求必须包含您要保留的所有政策绑定，以及任何新的或修改后的绑定。

IAM 政策使用 Gemini Enterprise 用户 (roles/discoveryengine.agentspaceUser) 角色授予用户对应用的直接访问权限。

注意： 对 IAM 政策的更改（例如使用 setIamPolicy 所做的更改）可能会出现传播延迟。权限可能需要几分钟才能完全传播。如需了解详情，请参阅 IAM 传播延迟。

REST

关键术语：在 Gemini Enterprise 中，“应用”一词在 API 上下文中可以与“引擎”一词互换使用。Gemini Enterprise 引擎是一种通用搜索引擎，其中 app_type 字段设置为 APP_TYPE_INTRANET。

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "ETAG",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:USER_EMAIL_1",
              "user:USER_EMAIL_2"
            ]
          }
        ]
      }
    }' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID:setIamPolicy"

替换以下内容：

• ETAG：您在使用 getIamPolicy 方法时作为响应获得的 etag 值。

• USER_EMAIL_1、USER_EMAIL_2：一个或多个用户电子邮件地址。

  • 如需授予访问权限，请将用户电子邮件地址添加到 members 数组中，每个电子邮件地址都以 user 为前缀：

    注意： 避免在电子邮件地址前后添加多余的空格。

  • 如需撤消访问权限，请从 members 数组中移除相应用户的电子邮件地址。

• PROJECT_ID：您的项目的 ID。

• ENDPOINT_LOCATION：API 请求的多区域。请指定以下某个值：

  • us（表示美国多区域）
  • eu（表示欧盟多区域）
  • global（表示全球位置）
  如需了解详情，请参阅为数据存储区指定多区域。

• LOCATION：数据存储区的多区域：global、us 或 eu。

• APP_ID：要配置的应用的 ID。

  注意： 每次更新政策时，etag 值都会发生变化。如需再次更新政策，您必须先按照获取应用 IAM 政策中的步骤获取新的 etag。

命令和结果示例

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
      "policy": {
         "etag": "1234567890",
         "bindings": [
          {
            "role": "roles/discoveryengine.agentspaceUser",
            "members": [
              "user:[e-mail]",
              "user:[e-mail]"
            ]
          }
        ]
      }
    }' \
"https://global-discoveryengine.googleapis.com/v1/projects/my-project-123/locations/global/collections/default_collection/engines/my-app:setIamPolicy"

{
  "version": 1,
  "etag": "2345678901",
  "bindings": [
    {
      "role": "roles/discoveryengine.agentspaceUser",
      "members": [
        "user:[e-mail]",
        "user:[e-mail]"
      ]
    }
  ]
}
  

后续步骤

如果您想删除具有 IAM 政策的应用，可以在删除该应用之前从相应政策中移除用户。如需了解详情，请参阅删除具有 IAM 政策的应用的最佳实践。