Controllo dell'accesso ai blocchi note gestiti
Questa pagina descrive come utilizzare Identity and Access Management (IAM) e una modalità di accesso per gestire l'accesso alle risorse dei notebook gestiti da Vertex AI Workbench. Per gestire l'accesso alle risorse di Vertex AI, consulta la pagina di Vertex AI sul controllo dell'accesso.
Vertex AI Workbench utilizza IAM per gestire l'accesso alle istanze Notebooks gestite e una modalità di accesso per gestire l'accesso all'interfaccia JupyterLab di ogni istanza.
Controllare l'accesso a un'istanza con IAM
Puoi gestire l'accesso a un'istanza di notebook gestiti a livello di progetto o per istanza.
- Per concedere l'accesso alle risorse a livello di progetto, assegna uno o più ruoli a un principal (utente, gruppo o service account).
- Per concedere l'accesso a un'istanza specifica, imposta una policy IAM su quella risorsa. Il criterio definisce quali ruoli vengono assegnati a quali entità. Per saperne di più, consulta Gestire l'accesso a un'istanza di notebook gestiti.
L'accesso a un'istanza può includere un'ampia gamma di funzionalità. Ad esempio, potresti concedere a un principal la possibilità di avviare, arrestare ed eseguire l'upgrade di un'istanza. Tuttavia, anche se concedi a un principal l'accesso completo a un'istanza di blocchi note gestiti, non gli concedi la possibilità di utilizzare l'interfaccia JupyterLab dell'istanza. Consulta la sezione successiva.
Controllare l'accesso all'interfaccia JupyterLab di un'istanza con la modalità di accesso
Controlli l'accesso all'interfaccia JupyterLab di un'istanza di blocchi note gestiti tramite la modalità di accesso dell'istanza. Imposti una modalità di accesso JupyterLab quando crei un'istanza di blocchi note gestiti. La modalità di accesso non può essere modificata dopo la creazione del notebook.
La modalità di accesso a JupyterLab determina chi può utilizzare l'interfaccia JupyterLab dell'istanza. La modalità di accesso determina anche quali credenziali vengono utilizzate quando l'istanza interagisce con altri servizi Google Cloud . Per saperne di più, vedi Gestire l'accesso all'interfaccia JupyterLab di un'istanza di Managed Notebooks.
Tipi di ruoli IAM
Esistono diversi tipi di ruoli IAM che possono essere utilizzati in Vertex AI Workbench:
I ruoli predefiniti ti consentono di concedere un insieme di autorizzazioni correlate alle risorse Vertex AI Workbench a livello di progetto.
I ruoli di base (Proprietario, Editor e Visualizzatore) forniscono il controllo dell'accesso alle risorse di Vertex AI Workbench a livello di progetto e sono comuni a tutti i servizi Google Cloud.
I ruoli personalizzati ti consentono di scegliere un insieme specifico di autorizzazioni, creare un ruolo personalizzato con queste autorizzazioni e concedere il ruolo agli utenti della tua organizzazione.
Per aggiungere, aggiornare o rimuovere questi ruoli nel tuo progetto Vertex AI Workbench, consulta la documentazione sulla gestione dell'accesso a progetti, cartelle e organizzazioni.
Ruoli predefiniti per Vertex AI Workbench
Le risorse di Vertex AI Workbench vengono gestite tramite l'API Notebooks. Pertanto, i ruoli Notebooks definiscono le autorizzazioni e l'accesso all'utilizzo di Vertex AI Workbench.
Role | Permissions |
---|---|
Notebooks Admin( Full access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Notebooks Legacy Admin( Full access to Notebooks all resources through compute API. |
|
Notebooks Legacy Viewer( Read-only access to Notebooks all resources through compute API. |
|
Notebooks Runner( Restricted access for running scheduled Notebooks. |
|
AI Platform Notebooks Service Agent( Provide access for notebooks service agent to manage notebook instances in user projects |
|
Notebooks Viewer( Read-only access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Ruoli di base
I Google Cloud ruoli di base meno recenti sono comuni a tutti i servizi Google Cloud . Questi ruoli sono Proprietario, Editor e Visualizzatore.
I ruoli di base forniscono autorizzazioni per Google Cloud, non solo per Vertex AI Workbench. Per questo motivo, ti consigliamo di utilizzare i ruoli di Vertex AI Workbench, quando possibile.
Ruoli personalizzati
Se i ruoli IAM predefiniti per Vertex AI Workbench non soddisfano le tue esigenze, puoi definire ruoli personalizzati. I ruoli personalizzati ti consentono di scegliere un insieme specifico di autorizzazioni, creare un ruolo con queste autorizzazioni e concederlo agli utenti della tua organizzazione. Per maggiori informazioni, vedi Informazioni sui ruoli IAM personalizzati.
Accesso a livello di progetto rispetto a criteri a livello di risorsa
Una risorsa eredita tutte le policy dalla sua
ascendenza.
Una policy impostata a livello di risorsa non influisce sulle policy a livello di progetto. Puoi utilizzare l'accesso a livello di progetto e le policy a livello di risorsa per personalizzare le autorizzazioni.
Ad esempio, puoi concedere agli utenti le autorizzazioni roles/notebooks.viewer
a livello di progetto in modo che possano visualizzare tutte le risorse Vertex AI Workbench nel progetto, quindi puoi concedere a ogni utente le autorizzazioni roles/notebooks.admin
su un'istanza specifica di blocchi note gestiti in modo che dispongano di tutte le funzionalità admin
per amministrare l'istanza.
Non tutti i ruoli e le risorse predefiniti di Vertex AI Workbench supportano i criteri a livello di risorsa. Per vedere quali ruoli possono essere utilizzati su quali risorse, visualizza le descrizioni di ogni ruolo.
L'applicazione delle modifiche alla possibilità di accedere a una risorsa richiede tempo. Per maggiori informazioni, vedi Propagazione della modifica di accesso.
Informazioni sugli account di servizio
Un service account è un account speciale utilizzato da un'applicazione o da un'istanza di macchina virtuale (VM), non da una persona. Puoi creare e assegnare autorizzazioni agli account di servizio per concedere autorizzazioni specifiche a una risorsa o un'applicazione.
In un'istanza di notebook gestiti, se il notebook esegue codice che interagisce con Vertex AI o altri Google Cloud servizi, puoi utilizzare un account di servizio con ruoli IAM specifici per autenticare l'istanza di notebook gestiti in questi servizi.
I service account sono identificati da un indirizzo email.
Passaggi successivi
Concedi a un principal l'accesso a un'istanza di blocchi note gestiti.
Scopri come creare e gestire ruoli IAM personalizzati.