Controlo de acesso aos notebooks geridos
Esta página descreve como usar a gestão de identidade e de acesso (IAM) e um modo de acesso para gerir o acesso aos recursos de blocos de notas geridos do Vertex AI Workbench. Para gerir o acesso aos recursos do Vertex AI, consulte a página do Vertex AI sobre o controlo de acesso.
O Vertex AI Workbench usa o IAM para gerir o acesso a instâncias de blocos de notas geridos e um modo de acesso para gerir o acesso à interface do JupyterLab de cada instância.
Controle o acesso a uma instância com o IAM
Pode gerir o acesso a uma instância de notebooks geridos ao nível do projeto ou por instância.
- Para conceder acesso a recursos ao nível do projeto, atribua uma ou mais funções a um principal (utilizador, grupo ou conta de serviço).
- Para conceder acesso a uma instância específica, defina uma política de IAM nesse recurso. A política define as funções atribuídas aos principais. Para saber mais, consulte o artigo Faça a gestão do acesso a uma instância de blocos de notas geridos.
O acesso a uma instância pode incluir uma vasta gama de capacidades. Por exemplo, pode conceder a um principal a capacidade de iniciar, parar e atualizar uma instância. No entanto, mesmo que conceda a um principal acesso total a uma instância de blocos de notas gerida, não lhe concede a capacidade de usar a interface do JupyterLab da instância. Consulte a secção seguinte.
Controle o acesso à interface do JupyterLab de uma instância com o modo de acesso
Controla o acesso à interface do JupyterLab de uma instância de notebooks geridos através do modo de acesso da instância. Define um modo de acesso do JupyterLab quando cria uma instância de blocos de notas geridos. Não é possível alterar o modo de acesso após a criação do bloco de notas.
O modo de acesso do JupyterLab determina quem pode usar a interface do JupyterLab da instância. O modo de acesso também determina que credenciais são usadas quando a sua instância interage com outros Google Cloud serviços. Para saber mais, consulte o artigo Faça a gestão do acesso à interface do JupyterLab de uma instância de blocos de notas geridos.
Tipos de funções de IAM
Existem diferentes tipos de funções IAM que podem ser usadas no Vertex AI Workbench:
As funções predefinidas permitem-lhe conceder um conjunto de autorizações relacionadas aos seus recursos do Vertex AI Workbench ao nível do projeto.
As funções básicas (proprietário, editor e leitor) fornecem controlo de acesso aos recursos do Vertex AI Workbench ao nível do projeto e são comuns a todos os Google Cloud serviços.
As funções personalizadas permitem-lhe escolher um conjunto específico de autorizações, criar a sua própria função com essas autorizações e conceder a função aos utilizadores na sua organização.
Para adicionar, atualizar ou remover estas funções no seu projeto do Vertex AI Workbench, consulte a documentação sobre a gestão do acesso a projetos, pastas e organizações.
Funções predefinidas para o Vertex AI Workbench
Os recursos do Vertex AI Workbench são geridos através da API Notebooks. Por conseguinte, as funções dos blocos de notas definem as autorizações e o acesso à utilização do Vertex AI Workbench.
Role | Permissions |
---|---|
Notebooks Admin( Full access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Notebooks Legacy Admin( Full access to Notebooks all resources through compute API. |
|
Notebooks Legacy Viewer( Read-only access to Notebooks all resources through compute API. |
|
Notebooks Runner( Restricted access for running scheduled Notebooks. |
|
AI Platform Notebooks Service Agent( Provide access for notebooks service agent to manage notebook instances in user projects |
|
Notebooks Viewer( Read-only access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Funções básicas
As Google Cloud funções básicas mais antigas são comuns a todos os serviços Google Cloud . Estas funções são Proprietário, Editor e Visitante.
As funções básicas concedem autorizações em Google Cloud, não apenas para o Vertex AI Workbench. Por este motivo, deve usar as funções do Vertex AI Workbench sempre que possível.
Funções personalizadas
Se as funções IAM predefinidas para o Vertex AI Workbench não satisfizerem as suas necessidades, pode definir funções personalizadas. As funções personalizadas permitem-lhe escolher um conjunto específico de autorizações, criar a sua própria função com essas autorizações e conceder a função aos utilizadores na sua organização. Para mais informações, consulte o artigo Compreender as funções personalizadas do IAM.
Acesso ao nível do projeto versus políticas ao nível do recurso
Um recurso herda todas as políticas da respetiva linhagem.
Uma política definida ao nível do recurso não afeta as políticas ao nível do projeto. Pode usar o acesso ao nível do projeto e as políticas ao nível do recurso para personalizar as autorizações.
Por exemplo, pode conceder aos utilizadores autorizações roles/notebooks.viewer
ao nível do projeto para que possam ver todos os recursos do Vertex AI Workbench no projeto e, em seguida, pode conceder a cada utilizador autorizações roles/notebooks.admin
numa instância específica de blocos de notas geridos para que tenham todas as capacidades admin
para administrar essa instância.
Nem todas as funções e recursos predefinidos do Vertex AI Workbench suportam políticas ao nível do recurso. Para ver que funções podem ser usadas em que recursos, consulte as descrições de cada função.
As alterações à capacidade de aceder a um recurso demoram algum tempo a propagar-se. Para mais informações, consulte o artigo Propagação das alterações de acesso.
Acerca das contas de serviço
Uma conta de serviço é uma conta especial usada por uma aplicação ou uma instância de máquina virtual (MV) e não por uma pessoa. Pode criar e atribuir autorizações a contas de serviço para conceder autorizações específicas a um recurso ou uma aplicação.
Numa instância de notebooks geridos, se o seu notebook executar código que interage com o Vertex AI ou outros serviços Google Cloud , pode usar uma conta de serviço com funções do IAM específicas para autenticar a sua instância de notebooks geridos nesses serviços.
As contas de serviço são identificadas por um endereço de email.
O que se segue?
Conceda a um principal acesso a uma instância de notebooks geridos.
Saiba como criar e gerir funções de IAM personalizadas.