Contas de serviço do Model Armor

Esta página descreve as contas de serviço relevantes para o Model Armor.

Contas de serviço gerenciado pelo usuário

Uma conta de serviço é um tipo especial de conta projetada para fornecer uma identidade para cargas de trabalho não humanas, como aplicativos em execução no Compute Engine, máquinas virtuais, apps em contêineres ou outros serviços automatizados. Essas contas permitem que cargas de trabalho não humanas façam autenticação programática e chamadas de API autorizadas para Google Cloud serviços.

As contas de serviço gerenciado pelo usuário são normalmente criadas e gerenciadas por você, mas algumas são criadas por padrão quando você ativa um Google Cloud serviço. Você ainda gerencia as contas de serviço padrão diretamente.

As contas de serviço atuam como principais e recursos. Como principal, você pode conceder acesso a recursos para contas de serviço. Google Cloud Como um recurso, você pode conceder a outros principais permissão para acessar a conta de serviço.

Permissões para interagir com o Model Armor

Os aplicativos ou serviços que chamam a API Model Armor precisam usar uma conta de serviço. Essa conta de serviço precisa receber papéis do IAM que incluem as permissões modelarmor.* necessárias para realizar ações como usar modelos para higienizar solicitações e respostas.

  • O papel predefinido roles/modelarmor.user é adequado para contas de serviço que só precisam usar modelos do Model Armor para higienização. Ele inclui permissões como modelarmor.templates.useToSanitizeUserPrompt e modelarmor.templates.useToSanitizeModelResponse.
  • Outros papéis, como roles/modelarmor.admin ou roles/modelarmor.editor, concedem permissões mais amplas para gerenciar recursos do Model Armor (modelos e configurações de limite) e normalmente são concedidos a usuários humanos ou ferramentas de automação, em vez de contas de serviço de aplicativos.

Agentes de serviço

Os agentes de serviço são contas de serviço criadas e gerenciadas pelo Google. Os agentes de serviço atuam como uma identidade para que os serviços acessem recursos no seu projeto em seu nome. Google Cloud

Os agentes de serviço são criados em algum momento depois que você ativa e usa uma Google Cloud API. Após a criação, o Google geralmente concede um papel específico e predefinido do IAM ao agente de serviço no seu projeto. Esses papéis contêm as permissões mínimas necessárias para que o agente de serviço funcione corretamente. Para uma lista completa de agentes de serviço que recebem papéis, consulte Agentes de serviço na documentação do IAM.

Agente de serviço de extensões de serviço

Ao usar o Model Armor como uma extensão de serviço com o Cloud Load Balancing, o agente de serviço de extensões de serviço está envolvido.

O agente de serviço de extensões de serviço tem um formato de e-mail como service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com.

Conceda ao agente de serviço de extensões de serviço os seguintes papéis no seu projeto para permitir que a extensão de serviço chame o Model Armor:

  • roles/modelarmor.calloutUser
  • roles/modelarmor.user
  • roles/serviceusage.serviceUsageConsumer

Exemplos de comandos para conceder esses papéis:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/modelarmor.calloutUser

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/modelarmor.user

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/serviceusage.serviceUsageConsumer

Substitua:

  • PROJECT_ID: o ID do projeto.
  • SERVICE_EXTENSION_PROJECT_NUMBER: o número do projeto de extensões de serviço.

A seguir