In questa pagina viene descritto come utilizzare Identity and Access Management (IAM) per gestire l'accesso alle risorse di Gemini Enterprise Agent Platform. Per gestire l'accesso alle istanze Gemini Enterprise Agent Platform Workbench, consulta Controllo degli accessi alle istanze Agent Platform Workbench.
Panoramica
Agent Platform utilizza IAM per gestire l'accesso alle risorse. Quando pianifichi controllo dell'accesso per le tue risorse, tieni presente quanto segue:
Puoi gestire l'accesso a livello di progetto o di risorsa. L'accesso a livello di progetto si applica a tutte le risorse del progetto. L'accesso a una risorsa specifica si applica solo a quella risorsa. Consulta Accesso a livello di progetto e a livello di risorsa.
Concedi l'accesso assegnando ruoli IAM alle entità. Sono disponibili ruoli predefiniti per semplificare la configurazione dell'accesso, ma sono consigliati i ruoli personalizzati perché, creandoli tu, puoi limitare l'accesso solo alle autorizzazioni necessarie. Consulta Ruoli IAM.
Ruoli IAM
Esistono diversi tipi di ruoli IAM che possono essere utilizzati in Agent Platform:
I ruoli personalizzati ti consentono di scegliere un insieme specifico di autorizzazioni, creare un tuo ruolo con queste autorizzazioni e concederlo agli utenti della tua organizzazione.
I ruoli predefiniti ti consentono di concedere un insieme di autorizzazioni correlate alle risorse di Agent Platform a livello di progetto.
I ruoli di base (Proprietario, Editor e Visualizzatore) forniscono controllo dell'accesso alle risorse della piattaforma degli agenti a livello di progetto e sono comuni a tutti i servizi Cloud de Confiance by S3NS .
Per aggiungere, aggiornare o rimuovere questi ruoli nel tuo progetto Agent Platform, consulta la documentazione su concessione, modifica e revoca dell'accesso.
Ruoli personalizzati
I ruoli personalizzati ti consentono di scegliere un insieme specifico di autorizzazioni, creare il tuo ruolo con queste autorizzazioni e concederlo agli utenti della tua organizzazione. Per saperne di più, consulta Informazioni sui ruoli IAM personalizzati.
Utilizza i ruoli personalizzati per concedere le autorizzazioni con privilegi minimi
I ruoli predefiniti spesso contengono più autorizzazioni di quelle necessarie. Puoi creare ruoli personalizzati per concedere alle entità solo le autorizzazioni specifiche necessarie.
Ad esempio, puoi creare un ruolo personalizzato con l'autorizzazione aiplatform.endpoints.predict e poi assegnarlo a un account di servizio su un endpoint. In questo modo, il account di servizio può chiamare l'endpoint per le previsioni, ma non può controllarlo.
Ruoli predefiniti per Agent Platform
| Role | Permissions |
|---|---|
Agent Platform Administrator( Grants full access to all resources in Agent Platform. |
|
Aiplatform Editor( Editor role for aiplatform |
|
Agent Platform Express User Beta( Grants user access to Agent Platform Express. |
|
Agent Platform User( Grants access to use all resource in Agent Platform. |
|
Agent Platform Viewer( Grants access to view all resource in Agent Platform. |
|
Agent Platform Agents Admin Role Beta( Grants full administrative access to Agent Platform agents, including reading and managing their memories and their access control policies. |
|
Agent Platform Agents Creator Role Beta( Grants access to create and discover Agent Platform agents and their auth providers. |
|
Agent Platform Agents User Role Beta( Grants access to view agents and to create, update, and delete their tasks. |
|
Agent Platform Agents Viewer Role Beta( Grants read-only access to Agent Platform agents. |
|
Colab Enterprise Admin( Admin role of using colab enterprise. |
|
Colab Enterprise User( User role of using colab enterprise. |
|
Agent Platform Feature Store EntityType owner( Provides full access to all permissions for a particular entity type resource. Lowest-level resources where you can grant this role:
|
|
Agent Platform Express Admin Beta( Grants admin access to Agent Platform Express. |
|
Agent Platform Feature Store Admin( Grants full access to all resources in Agent Platform Feature Store. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Data Viewer( This role provides permissions to read Feature data. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Data Writer( This role provides permissions to read and write Feature data. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Instance Creator( Administrator of Featurestore resources, but not the child resources under Featurestores. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Resource Viewer( Viewer of all resources in Agent Platform Feature Store but cannot make changes. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store User Beta( Deprecated. Use featurestoreAdmin instead. |
|
Agent Platform Memory Bank Editor Role( Grants edit access to Agent Platform Memory Bank. |
|
Agent Platform Memory Bank User Role( Grants full user access to Agent Platform Memory Bank. |
|
Agent Platform Memory Bank Viewer Role( Grants viewer access to Agent Platform Memory Bank. |
|
Agent Platform Migration Service User( Grants access to use migration service in Agent Platform |
|
Notebook Executor User Beta( Grants users full access to schedules and notebook execution jobs. |
|
Notebook Runtime Admin( Grants full access to all runtime templates and runtimes in Notebook Service. |
|
Notebook Runtime User( Grants users permissions to create runtime resources using a runtime template and manage the runtime resources they created. |
|
Vertex AI Platform Provisioned Throughput Admin Beta( Grants access to use all resources related to Vertex AI Provisioned Throughput |
|
Vertex AI Platform Publisher Provisioned Throughput Admin Beta( Grants Publisher access to use all resources related to Vertex AI Provisioned Throughput Orders |
|
Vertex AI Platform Publisher Provisioned Throughput Viewer Beta( Grants Publisher access to view all resources related to Vertex AI Provisioned Throughput Orders |
|
Agent Platform Sessions Editor Role( Grants edit access to Agent Platform Sessions. |
|
Agent Platform Sessions User Role( Grants full user access to Agent Platform Sessions. |
|
Agent Platform Sessions Viewer Role( Grants viewer access to Agent Platform Sessions |
|
Agent Platform Tensorboard Web App User Beta( Grants access to the Vertex AI TensorBoard web app. |
|
Service agent roles
Service agent roles should only be granted to service agents.
| Role | Permissions |
|---|---|
Vertex AI Agent Sandbox Service Agent( Vertex AI Service Agent used to access Agent Sandbox managed resources in consumer project with restricted permissions. |
|
Vertex AI Batch Prediction Service Agent( Vertex AI Batch Prediction Service Agent for serving batch prediction requests. |
|
Vertex AI Colab Service Agent( Gives Vertex AI Colab the proper permissions to function. |
|
Vertex AI Custom Code Service Agent( Gives Vertex AI Custom Code the proper permissions. The aiplatform.customJobs.create IAM permission is highly privileged. Through Vertex AI Custom Training jobs, it effectively grants editor-level access to other services activated for the consumer project, such as GCS and BigQuery. |
|
Vertex AI Extension Custom Code Service Agent( Gives Vertex AI Extension that executes custom code the permissions it needs to function. |
|
Vertex AI Extension Service Agent( Gives Vertex AI Extension the permissions it needs to function. |
|
Vertex AI Model Monitoring Service Agent( Gives Vertex AI Model Monitoring the permissions it needs to function. |
|
Vertex AI Notebook Service Agent( Vertex AI Service Agent used to run Notebook managed resources in user project with restricted permissions. |
|
Vertex AI Online Prediction Service Agent( Gives Vertex AI Online Prediction the permissions it needs to function. |
|
Vertex AI RAG Data Service Agent( Vertex AI Service Agent used by Vertex RAG to access user imported data, Vertex AI, Document AI processors, and Vector Search in the project |
|
Vertex AI Rapid Eval Service Agent( Vertex AI Service Agent used by GenAI Rapid Evaluation Service to access publisher model endpoints in the user project |
|
Vertex AI Reasoning Engine Service Agent( Gives Vertex AI Reasoning Engine the proper permissions to function. The aiplatform.reasoningEngines.create IAM permission implies read access to the GCS objects of the consumer project through this service agent. |
|
Vertex AI Service Agent( Gives Vertex AI the permissions it needs to function. |
|
Vertex AI Telemetry Service Agent( Allows Vertex AI Telemetry Service Agent to access telemetry data. |
|
Vertex AI Tuning Service Agent( Vertex AI Service Agent used for tuning in user project. |
|
Ruoli di base
I ruoli di base Cloud de Confiancepiù vecchi sono comuni a tutti i servizi Cloud de Confiance . Questi ruoli sono Proprietario, Editor e Visualizzatore.
Accesso a livello di progetto e a livello di risorsa
Puoi gestire l'accesso a livello di progetto o di risorsa. Potresti anche avere la possibilità di gestire l'accesso a livello di cartella o organizzazione.
Per la maggior parte delle risorse di Agent Platform, l'accesso può essere controllato solo dal progetto, dalla cartella e dall'organizzazione. L'accesso alle singole risorse può essere concesso solo per tipi di risorse specifici, ad esempio un endpoint o un archivio di caratteristiche.
Gli utenti condividono il controllo di tutte le risorse a cui possono accedere. Ad esempio, se un utente registra un modello, tutti gli altri utenti autorizzati nel progetto possono accedere, modificare ed eliminare il modello.
Per concedere l'accesso alle risorse a livello di progetto, assegna uno o più ruoli a un'entità (utente, gruppo o service account).
Per le risorse della piattaforma dell'agente che ti consentono di concedere l'accesso a livello di risorsa, imposta una policy IAM sulla risorsa. La policy definisce quali ruoli vengono assegnati a quali entità.
L'impostazione di una policy a livello di risorsa non influisce sulle policy a livello di progetto. Una risorsa eredita tutte le policy dalla sua ascendenza. Puoi utilizzare questi due livelli di granularità per personalizzare le autorizzazioni. Ad esempio, puoi concedere agli utenti le autorizzazioni in lettura a livello di progetto in modo che possano leggere tutte le risorse del progetto, quindi puoi concedere agli utenti le autorizzazioni in scrittura per risorsa (a livello di risorsa).
Non tutti i ruoli e le risorse predefiniti di Agent Platform supportano le policy a livello di risorsa. Per identificare quali ruoli possono essere utilizzati su quali risorse, consulta la tabella dei ruoli predefiniti.
Risorse supportate
Agent Platform supporta le risorse archivio di caratteristiche, tipo di entità e Model Registry di Vertex AI Feature Store. Per saperne di più, consulta Controlla l'accesso alle risorse di Vertex AI Feature Store. L'accesso a Model Registry viene gestito a livello di Agent Platform.
Dopo aver concesso o revocato l'accesso a una risorsa, la propagazione delle modifiche richiede tempo. Per scoprire di più, consulta Propagazione della modifica di accesso.
Risorse, service account e agenti di servizio
I servizi di Agent Platform spesso gestiscono risorse a lunga esecuzione che eseguono azioni, come l'esecuzione di un job di addestramento che legge i dati di addestramento o la gestione di un modello di machine learning (ML) che legge il peso del modello. Queste risorse autonome hanno la propria identità quando eseguono azioni. Questa identità è distinta da quella dell'entità che ha creato la risorsa. Le autorizzazioni concesse all'identità della risorsa definiscono i dati e le altre risorse a cui l'identità della risorsa può accedere, non le autorizzazioni dell'entità che ha creato la risorsa.
Per impostazione predefinita, le risorse Agent Platform utilizzano i service account gestiti da Agent Platform come identità della risorsa. Questi service account sono chiamati service agent della piattaforma agente e sono collegati al progetto in cui viene creata la risorsa. Gli utenti con autorizzazioni specifiche di Agent Platform possono creare risorse che utilizzano gli agenti di servizio di Agent Platform. Per alcuni servizi, puoi specificare un account di servizio da collegare alla risorsa. La risorsa utilizza questo account di servizio per accedere ad altre risorse e servizi. Per saperne di più sui service account, consulta Service account.
Agent Platform utilizza service agent diversi a seconda delle API chiamate. Ogni agente di servizio dispone di autorizzazioni IAM specifiche per il progetto a cui è associato. Queste autorizzazioni vengono utilizzate dall'identità della risorsa per eseguire azioni e possono includere l'accesso di sola lettura a tutte le risorse Cloud Storage e ai dati BigQuery nel progetto.
Service account
Un service account è un account speciale utilizzato da un'applicazione o da un'istanza di macchina virtuale (VM), non da una persona. Puoi creare e assegnare autorizzazioni ai service account per fornire autorizzazioni specifiche a una risorsa o un'applicazione.
Per informazioni sull'utilizzo di un account di servizio per personalizzare le autorizzazioni disponibili per un container di addestramento personalizzato o un container che gestisce le previsioni online per un modello con addestramento personalizzato, consulta Utilizza un service account personalizzato.
I service account sono identificati da un indirizzo email.
Agenti di servizio
Gli agenti di servizio vengono forniti automaticamente e consentono a un servizio di accedere alle risorse per tuo conto.
Quando viene creato un agente di servizio, gli viene assegnato un ruolo predefinito per il tuo progetto. La tabella seguente elenca i service agent della piattaforma agente, i loro indirizzi email e i rispettivi ruoli:
| Nome | Utilizzato per | Indirizzo email | Ruolo |
|---|---|---|---|
| Agent Platform Service Agent | Funzionalità di Agent Platform | service-PROJECT_NUMBER@gcp-sa-aiplatform.s3ns-system.iam.gserviceaccount.com |
roles/aiplatform.serviceAgent |
| Gemini Enterprise Agent Platform RAG Data Service Agent | RAG Agent Platform accede ai dati importati dall'utente, ad Agent Platform e ai processori Document AI nel progetto | service-PROJECT_NUMBER@gcp-sa-vertex-rag.s3ns-system.iam.gserviceaccount.com |
roles/ |
| Gemini Enterprise Agent Platform Custom Code Service Agent |
Codice di addestramento personalizzato Codice dell'applicazione Ray on Agent Platform |
service-PROJECT_NUMBER@gcp-sa-aiplatform-cc.s3ns-system.iam.gserviceaccount.com |
roles/aiplatform.customCodeServiceAgent |
| Agent Platform Extension Service Agent | Estensioni Vertex | service-PROJECT_NUMBER@gcp-sa-vertex-ex.s3ns-system.iam.gserviceaccount.com |
|
| Service account Cloud AI Platform Notebooks | Funzionalità di Agent Platform Workbench | service-PROJECT_NUMBER@gcp-sa-notebooks.s3ns-system.iam.gserviceaccount.com |
roles/notebooks.serviceAgent |
L'agente di servizio del codice personalizzato di Gemini Enterprise Agent Platform viene creato solo se esegui il codice di addestramento personalizzato per addestrare un modello con addestramento personalizzato.
Ruoli e autorizzazioni degli agenti di servizio
Di seguito sono riportati i ruoli e le autorizzazioni concessi agli agenti di servizio della piattaforma Agent.
| Ruolo | Autorizzazioni |
|---|---|
Vertex AI Service Agent( Concede a Vertex AI le autorizzazioni necessarie per il funzionamento. |
|
Vertex AI RAG Data Service Agent( Service agent Vertex AI utilizzato dalla RAG di Vertex per accedere ai dati importati dall'utente, a Vertex AI, ai processori Document AI e alla ricerca vettoriale nel progetto |
|
Vertex AI Custom Code Service Agent( Concede al codice personalizzato Vertex AI le autorizzazioni appropriate. L'autorizzazione IAM aiplatform.customJobs.create comporta privilegi elevati. Tramite i job di addestramento personalizzato di Vertex AI, concede effettivamente l'accesso a livello di editor ad altri servizi attivati per il progetto consumer, come GCS e BigQuery. |
|
Vertex AI Extension Service Agent( Concede all'estensione Vertex AI le autorizzazioni necessarie per il funzionamento. |
|
AI Platform Notebooks Service Agent( Fornisci accesso per consentire al service agent notebook di gestire le istanze notebook nei progetti degli utenti |
|
Concedi ai service agent Agent Platform l'accesso ad altre risorse
A volte è necessario concedere ruoli aggiuntivi a un agente di servizio Agent Platform. Ad esempio, se hai bisogno che Agent Platform acceda a un bucket Cloud Storage in un progetto diverso, devi concedere uno o più ruoli aggiuntivi al service agent.
Requisiti per l'aggiunta di ruoli per BigQuery
La tabella seguente descrive i ruoli aggiuntivi richiesti che devono essere aggiunti all'agente di servizio della piattaforma agente per le tabelle o le viste BigQuery in un progetto diverso o supportate da un'origine dati esterna.
Il termine progetto home si riferisce al progetto in cui si trova il set di dati o il modello di Agent Platform. Il termine progetto diverso si riferisce a qualsiasi altro progetto.
| Tipo di tabella | Progetto con tabella | Progetto origine dati | Aggiunta del ruolo obbligatoria |
|---|---|---|---|
| Tabella BigQuery nativa | Progetto di casa | N/D | Nessuno. |
| Tabella BigQuery nativa | Progetto diverso | N/D | BigQuery Data Viewer per un progetto diverso. Scopri di più. |
| Vista BigQuery | Progetto di casa | N/D | Nessuno. |
| Vista BigQuery | Progetto diverso | N/D | BigQuery Data Viewer per un progetto diverso. Scopri di più. |
| Origine dati BigQuery esterna supportata da Bigtable | Progetto di casa | Progetto di casa | Bigtable Reader per il progetto della casa. Scopri di più. |
| Origine dati BigQuery esterna supportata da Bigtable | Progetto di casa | Progetto diverso | Bigtable Reader per un progetto diverso. Scopri di più. |
| Origine dati BigQuery esterna supportata da Bigtable | Progetto diverso | Progetto diverso | BigQuery Reader e Bigtable Reader per un progetto diverso. Scopri di più. |
| Origine dati BigQuery esterna supportata da Cloud Storage | Progetto di casa | Progetto di casa | Nessuno. |
| Origine dati BigQuery esterna supportata da Cloud Storage | Progetto di casa | Progetto diverso | Storage Object Viewer per un progetto diverso. Scopri di più. |
| Origine dati BigQuery esterna supportata da Cloud Storage | Progetto diverso | Progetto diverso | Storage Object Viewer e BigQuery Data Viewer per un progetto diverso. Scopri di più. |
| Origine dati BigQuery esterna supportata da Fogli Google | Progetto di casa | N/D | Condividi il file di Fogli con il account di servizio di Agent Platform. Scopri di più. |
| Origine dati BigQuery esterna supportata da Fogli Google | Progetto diverso | N/D | BigQuery Reader per un progetto diverso e condividi il file di Fogli con il service account di Agent Platform. |
Requisiti per l'aggiunta di ruoli per Cloud Storage
Se accedi ai dati in un bucket Cloud Storage in un progetto diverso, devi assegnare il ruolo Storage > Storage Object Viewer alla piattaforma dell'agente in quel progetto. Scopri di più.
Se utilizzi un bucket Cloud Storage per ricevere dati dal tuo computer locale per un'operazione di importazione e il bucket si trova in un progetto diverso daCloud de Confiance , devi assegnare il ruoloStorage > Storage Object Creator ad Agent Platform in quel progetto. Scopri di più.
Concedi ad Agent Platform l'accesso alle risorse nel tuo progetto principale
Per concedere ruoli aggiuntivi a un service agent per Agent Platform nel tuo progetto principale:
Vai alla pagina IAM della console Cloud de Confiance per il progetto principale.
Seleziona la casella di controllo Includi concessioni di ruoli fornite da Google.
Determina il service agent a cui vuoi concedere le autorizzazioni e fai clic sull'icona a forma di matita .
Puoi filtrare per Principal:@gcp-sa-aiplatform-cc.s3ns-system.iam.gserviceaccount.com per trovare i service agent di Agent Platform.
Concedi i ruoli richiesti al service agent e salva le modifiche.
Concedi l'accesso ad Agent Platform alle risorse di un altro progetto
Quando utilizzi origini o destinazioni dati in un progetto diverso, devi concedere le autorizzazioni all'agente di servizio Agent Platform in quel progetto. L'agente di servizio della piattaforma agente viene creato dopo l'avvio del primo job asincrono (ad esempio, la creazione di un endpoint). Puoi anche creare esplicitamente l'agente di servizio Agent Platform. Per saperne di più, consulta gcloud beta services identity create. Questo comando di Google Cloud CLI crea l'agente di servizio principale e l'agente di servizio per il codice personalizzato. Tuttavia, nella risposta viene restituito solo l'agente di servizio principale.
Per aggiungere autorizzazioni ad Agent Platform in un altro progetto:
Vai alla pagina IAM della console Cloud de Confiance per il tuo progetto principale (il progetto in cui utilizzi Agent Platform).
Seleziona la casella di controllo Includi concessioni di ruoli fornite da Google.
Determina il service agent a cui vuoi concedere le autorizzazioni e copia il suo indirizzo email (elencato in Principal).
Puoi filtrare per Principal:@gcp-sa-aiplatform-cc.s3ns-system.iam.gserviceaccount.com per trovare i service agent di Agent Platform.
Passa al progetto in cui devi concedere le autorizzazioni.
Fai clic su Aggiungi e inserisci l'indirizzo email in Nuove entità.
Aggiungi tutti i ruoli richiesti e fai clic su Salva.
Fornisci l'accesso a Fogli Google
Se utilizzi un'origine dati BigQuery esterna supportata da Fogli Google, devi condividere il foglio con il service account di Agent Platform. Il account di servizio Agent Platform viene creato dopo l'avvio del primo job asincrono (ad esempio, la creazione di un endpoint). Puoi anche creare esplicitamente il account di servizio Agent Platform utilizzando gcloud CLI seguendo queste istruzioni.
Per autorizzare Agent Platform ad accedere al tuo file di Fogli:
Vai alla pagina IAM della console Cloud de Confiance .
Cerca il account di servizio con il nome
Agent Platform Service Agente copia il suo indirizzo email (elencato in Principal).Apri il file di Fogli e condividilo con quell'indirizzo.
Passaggi successivi
- Scopri di più su IAM.
- Scopri di più sulle autorizzazioni IAM specifiche e sulle operazioni che supportano.
- Per scoprire i modi consigliati per configurare un progetto per un team, consulta Configura un progetto per un team.
- thought Visualizza una panoramica dei componenti e delle funzionalità di Agentspace.