Model Armor 服務帳戶

本頁說明與 Model Armor 相關的服務帳戶。

使用者代管的服務帳戶

服務帳戶是一種特殊帳戶，專為非人類工作負載提供身分，例如在 Compute Engine、虛擬機器、容器化應用程式或其他自動化服務上執行的應用程式。這些帳戶可讓非人為工作負載以程式輔助方式進行驗證，並對 Google Cloud 服務發出已授權的 API 呼叫。

使用者管理的服務帳戶通常由您建立及管理，但啟用 Google Cloud 服務時，系統也會預設建立部分服務帳戶。您仍可直接管理預設服務帳戶。

服務帳戶同時是主體和資源。身為主體，您可以授予服務帳戶資源存取權。 Google Cloud 做為資源，您可以授予其他主體存取服務帳戶的權限。

與 Model Armor 互動的權限

呼叫 Model Armor API 的應用程式或服務應使用服務帳戶。 必須將包含必要 modelarmor.* 權限的 IAM 角色授予這個服務帳戶，才能執行使用範本清除提示和回應等動作。

  • 預先定義的 roles/modelarmor.user 角色適合只需要使用現有 Model Armor 範本進行清除作業的服務帳戶。包括 modelarmor.templates.useToSanitizeUserPrompt 和 modelarmor.templates.useToSanitizeModelResponse 等權限。
  • 其他角色 (例如 roles/modelarmor.admin 或 roles/modelarmor.editor) 則會授予更廣泛的權限，用於管理 Model Armor 資源 (範本和樓層設定)，通常會授予人類使用者或自動化工具，而非應用程式服務帳戶。

服務代理

服務代理是由 Google 建立及管理的服務帳戶。服務代理程式會做為 Google Cloud 服務的身分，代表您存取專案中的資源。

啟用並使用 Google Cloud API 後，系統會在某個時間點建立服務代理。建立專案時，Google 通常會將特定的預先定義 IAM 角色授予專案的服務代理人。這些角色包含服務代理正常運作所需的最低權限。如需獲派角色的服務代理完整清單，請參閱 IAM 說明文件中的「服務代理」。

Service Extensions 服務代理

將 Model Armor 做為 Service Extensions 與 Cloud Load Balancing 搭配使用時，會用到 Service Extensions 服務代理。

Service Extensions 服務代理的電子郵件地址格式為 service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com。

在專案中將下列角色授予 Service Extensions 服務代理程式，允許服務擴充功能呼叫 Model Armor：

  • roles/modelarmor.calloutUser
  • roles/modelarmor.user
  • roles/serviceusage.serviceUsageConsumer

授予這些角色的範例指令：

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/modelarmor.calloutUser

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/modelarmor.user

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:service-SERVICE_EXTENSION_PROJECT_NUMBER@gcp-sa-dep.iam.gserviceaccount.com \
  --role=roles/serviceusage.serviceUsageConsumer

更改下列內容：

  • PROJECT_ID：專案 ID。
  • SERVICE_EXTENSION_PROJECT_NUMBER：Service Extensions 專案編號。

後續步驟