Cuentas de servicio de Model Armor

En esta página, se describen las cuentas de servicio que son relevantes para Model Armor.

Cuentas de servicio administradas por el usuario

Una cuenta de servicio es un tipo especial de cuenta diseñada para proporcionar una identidad para cargas de trabajo no humanas, como aplicaciones que se ejecutan en Compute Engine, máquinas virtuales, apps en contenedores o cualquier otro servicio automatizado. Estas cuentas permiten que las cargas de trabajo no humanas se autentiquen de forma programática y realicen llamadas autorizadas a la API de Google Cloud servicios.

Por lo general, tú creas y administras las cuentas de servicio administradas por el usuario, pero algunas se crean de forma predeterminada cuando habilitas un Google Cloud servicio. Aun así, administras las cuentas de servicio predeterminadas directamente.

Las cuentas de servicio actúan como principales y recursos. Como principal, puedes otorgar acceso a las cuentas de servicio a Google Cloud recursos. Como recurso, tú puedes otorgar permiso a otras principales para acceder a la cuenta de servicio.

Permisos para interactuar con Model Armor

Las aplicaciones o los servicios que llaman a la API de Model Armor deben usar una cuenta de servicio. A esta cuenta de servicio se le deben otorgar roles de IAM que incluyan los permisos modelarmor.* necesarios para realizar acciones como usar plantillas para desinfectar mensajes y respuestas.

  • El rol predefinido roles/modelarmor.user es adecuado para las cuentas de servicio que solo necesitan usar plantillas de Model Armor existentes para la desinfección. Incluye permisos como modelarmor.templates.useToSanitizeUserPrompt y modelarmor.templates.useToSanitizeModelResponse.
  • Otros roles, como roles/modelarmor.admin o roles/modelarmor.editor, otorgan permisos más amplios para administrar recursos de Model Armor (plantillas y configuración de piso) y, por lo general, se otorgan a usuarios humanos o herramientas de automatización en lugar de cuentas de servicio de aplicaciones.

Agentes de servicio

Los agentes de servicio son cuentas de servicio que crea y administra Google. Los agentes de servicio actúan como una identidad para que los servicios accedan a los recursos de tu proyecto en tu nombre. Google Cloud

Los agentes de servicio se crean en algún momento después de habilitar y usar una Google Cloud API. Tras la creación, Google suele otorgar un rol de IAM específico y predefinido al agente de servicio en tu proyecto. Estos roles contienen los permisos mínimos necesarios para que el agente de servicio funcione correctamente. Para obtener una lista completa de los agentes de servicio a los que se les otorgan roles, consulta Agentes de servicio en la documentación de IAM.

Agente de servicio de Service Extensions

Cuando se usa Model Armor como una extensión de servicio con Cloud Load Balancing, se involucra el agente de servicio de Service Extensions.

El agente de servicio de Service Extensions tiene un formato de correo electrónico como service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com.

Otorga al agente de servicio de Service Extensions los siguientes roles en tu proyecto para permitir que la extensión de servicio llame a Model Armor:

  • roles/modelarmor.calloutUser
  • roles/modelarmor.user
  • roles/serviceusage.serviceUsageConsumer

Ejemplo de comandos para otorgar estos roles:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/modelarmor.calloutUser

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/modelarmor.user

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/serviceusage.serviceUsageConsumer

Reemplaza lo siguiente:

  • PROJECT_ID: el ID del proyecto.
  • SERVICE_EXTENSION_PROJECT_NUMBER: el número de proyecto de Service Extensions.

¿Qué sigue?