Ricevere suggerimenti sui ruoli predefiniti con l'assistenza di Gemini

Questa pagina descrive come trovare e concedere ruoli predefiniti di Identity and Access Management (IAM) alle tue entità con l'assistenza di Gemini.

Il selettore di ruoli IAM ti consente di chiedere a Gemini quali ruoli devi concedere alle tue entità. In genere, per trovare i ruoli predefiniti giusti da concedere, devi cercare nell'indice di ruoli e autorizzazioni IAM o nella pagina Ruoli dellaCloud de Confiance console. Con il selettore dei ruoli IAM, puoi descrivere le azioni che vuoi che l'entità esegua e le risorse su cui deve eseguirle. In base al tuo input, Gemini suggerisce i ruoli predefiniti che ritiene appropriati.

Gemini può suggerire ruoli predefiniti per le singole entità. Se Gemini suggerisce di concedere un ruolo a livello di progetto, puoi utilizzare il selettore dei ruoli IAM per concedere quel ruolo.

Non puoi utilizzare il selettore dei ruoli IAM per ricevere suggerimenti per le seguenti operazioni:

• Ruoli personalizzati
• Ruoli per più entità (con un unico prompt)
• Ruoli per i prodotti Google Workspace come Fogli Google e Documenti Google

Scopri come e quando Gemini per Cloud de Confiance utilizza i tuoi dati.

Prima di iniziare

Prima di poter ricevere suggerimenti sui ruoli predefiniti da Gemini, assicurati di aver completato i seguenti prerequisiti.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per utilizzare il selettore dei ruoli IAM, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

• Visualizza i suggerimenti per i ruoli nella console: Project IAM Admin (roles/resourcemanager.projectIamAdmin)
• Recupera i suggerimenti per i ruoli personalizzati con l'API: Visualizzatore IAM (roles/iam.viewer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per utilizzare il selettore di ruoli IAM. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Ricevere suggerimenti sui ruoli con l'assistenza di Gemini

Puoi chiedere a Gemini suggerimenti sui ruoli utilizzando la consoleCloud de Confiance o l'API REST Policy Assist.

POST https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles

{
  "prompt": {
    "userInstructions": "USER_INSTRUCTIONS"
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles" | Select-Object -Expand Content

{
  "summary": "",
  "recommendations": [
    {
      "type": "RECOMMENDATION_TYPE_PREDEFINED_ROLES",
      "roles": [
        {
          "name": "roles/storage.objectViewer",
          "roleType": "ROLE_TYPE_PREDEFINED",
          "grantableScopes": [
            "Projects",
            "Buckets"
          ]
        },
        {
          "name": "roles/storage.legacyBucketReader",
          "roleType": "ROLE_TYPE_PREDEFINED",
          "grantableScopes": [
            "Projects"
          ]
        }
      ],
      "intro": "The following roles match your description:"
      "detailedReasoning": "The roles/storage.objectViewer role grants permissions to view objects and their metadata. The roles/storage.legacyBucketReader grants broader read access to buckets and objects. Choose the one that best fits the principle of least privilege for your use case."
    }
  ]
}

Esempi di casi d'uso

La seguente tabella illustra alcuni casi d'uso di esempio per il selettore di ruoli IAM. Per impostazione predefinita, Gemini suggerisce ruoli progettati per coprire i percorsi utente comuni all'interno di un servizio. Ad esempio, Gemini spesso suggerisce i ruoli Amministratore, Editor o Visualizzatore di un servizio.

Se vuoi che Gemini suggerisca i ruoli più granulari e con meno privilegi, devi specificare questa preferenza nel prompt utilizzando parole chiave specifiche. Per un elenco delle parole chiave che puoi utilizzare, consulta Parole chiave per i ruoli con privilegi minimi. Tuttavia, tieni presente che i ruoli con privilegi minimi potrebbero non essere sufficienti per le esigenze future di un utente.

Best practice

Per aiutare Gemini a fornire i suggerimenti più accurati per il tuo caso d'uso, ti consigliamo di rispettare le seguenti best practice quando crei il prompt.

• Descrivi chiaramente il tuo caso d'uso. Evita di utilizzare un linguaggio vago nei prompt. Descrivi nel modo più chiaro possibile le azioni che vuoi che l'entità esegua su quali servizi e tipi di risorse. Se vuoi che Gemini suggerisca i ruoli con meno privilegi, assicurati di creare il prompt con parole chiave specifiche che descrivano la tua intenzione di rispettare il principio del privilegio minimo.

  Cosa fare	Cosa non fare	Dettagli
  "Quale ruolo è necessario per eseguire query SQL su una tabella BigQuery e leggere i dati al suo interno?"	"Quale ruolo è necessario per eseguire le istruzioni SQL?"	SQL è un linguaggio generico utilizzato in più servizi Cloud de Confiance . Senza specificare il servizio o le azioni, Gemini non può suggerire un ruolo preciso.
  "Ho bisogno di ruoli per avviare, arrestare e riavviare le istanze di macchine virtuali Compute Engine."	"Ho bisogno di gestire le mie macchine virtuali."	Il termine gestire è troppo vago. Gestire potrebbe significare creare, eliminare, aggiornare o visualizzare le VM. Elencare chiaramente le azioni specifiche da eseguire (avvio, arresto, riavvio) e il tipo di risorsa esatto (istanze di macchine virtuali Compute Engine) produce suggerimenti più precisi.
  "Devo caricare e scaricare oggetti da un bucket Cloud Storage denominato example-bucket."	"Dammi l'accesso allo spazio di archiviazione."	Il termine Storage da solo potrebbe fare riferimento a vari servizi come Cloud Storage, Filestore o Persistent Disk. Inoltre, non sono specificate azioni. Senza specificare il servizio (Cloud Storage), il nome del tipo di risorsa (example-bucket) o le azioni (caricamento e download di oggetti), Gemini non dispone di informazioni sufficienti per suggerire i ruoli giusti.
  "Ho bisogno del ruolo meno permissivo che fornisca l'accesso di sola lettura a Secret Manager."	"Ho bisogno di un accesso limitato per gestire i miei segreti."	La frase accesso limitato non definisce chiaramente le limitazioni richieste. Gestisci i miei secret copre un'ampia gamma di azioni (creazione, elenco, aggiornamento, eliminazione, accesso alle versioni). Senza utilizzare parole chiave esplicite come privilegio minimo, Gemini suggerisce per impostazione predefinita ruoli di amministratore, editor o visualizzatore più generici specifici per il servizio.

• Utilizza i nomi ufficiali. Utilizza i nomi ufficiali di Cloud de Confiance by S3NS servizi, tipi di risorse e operazioni API nel prompt. Se non conosci i nomi ufficiali di servizi, tipi di risorse o operazioni API, ti consigliamo di consultare la documentazione ufficiale del prodotto.

  Cosa fare	Cosa non fare	Dettagli
  "Quale ruolo devo avere per aggiornare i set di dati BigQuery?"	"Quale ruolo devo aggiornare i set di dati BigQuery?	BigQuery è il nome ufficiale del prodotto, non Big query.
  "Quale ruolo è necessario per creare un bucket Cloud Storage nel mio progetto?"	"Quale ruolo è necessario per creare un bucket Storage nel mio progetto?"	Bucket di archiviazione può fare riferimento a diversi tipi di risorse di servizi come Cloud Storage, Filestore o Persistent Disk. Se specifichi il nome del prodotto e il tipo di risorsa associato, i suggerimenti saranno più precisi.

Parole chiave per i ruoli con privilegi minimi

Se hai bisogno di suggerimenti sui ruoli da Gemini che rispettino il principio del privilegio minimo, devi utilizzare parole chiave specifiche nel prompt. Di seguito è riportato un elenco non esaustivo di parole chiave che puoi utilizzare per richiedere ruoli con privilegi minimi:

• meno permissiva
• più sicuro
• ruolo più piccolo
• privilegi minimi
• autorizzazioni minime
• strettamente granulare
• accesso più ristretto
• solo il minimo indispensabile
• solo con le autorizzazioni esatte

Risoluzione dei problemi

Questa sezione descrive le soluzioni per i problemi comuni relativi al selettore dei ruoli IAM.

Gemini suggerisce ruoli che non puoi concedere a livello di progetto

Gemini può suggerire ruoli a tutti i livelli di risorse, ma puoi utilizzare il selettore di ruoli IAM solo per concedere i ruoli a livello di progetto suggeriti. Quando Gemini suggerisce ruoli a livello di organizzazione, cartella o risorsa, il selettore dei ruoli IAM indica che sono presenti ruoli suggeriti che non possono essere concessi e il pulsante Aggiungi ruoli sarà disattivato.

In questo caso, puoi copiare i ruoli suggeriti e concederli all'entità a livello appropriato utilizzando la procedura tipica nella consoleCloud de Confiance . Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Se non disponi delle autorizzazioni per concedere i ruoli a livello di organizzazione, cartella o risorsa, contatta l'amministratore.

Passaggi successivi

• Leggi la panoramica di Gemini per Cloud de Confiance.
• Scopri in che modo Gemini per Cloud de Confiance utilizza i tuoi dati.
• Scopri come trovare manualmente i ruoli predefiniti giusti.
• Utilizza il server MCP remoto Policy Assist per consentire agli agenti esterni di accedere al selettore dei ruoli IAM.