קבלת הצעות לתפקידים מוגדרים מראש בעזרת Gemini

בדף הזה מוסבר איך אפשר למצוא ולהעניק תפקידים מוגדרים מראש של ניהול זהויות והרשאות גישה (IAM) לחשבונות משתמשים בעזרת Gemini.

באמצעות הכלי לבחירת תפקידים ב-IAM, אפשר לשאול את Gemini אילו תפקידים כדאי להקצות לחשבונות המשתמשים. בדרך כלל, כדי למצוא את התפקידים המוגדרים מראש שצריך להקצות, צריך לעיין באינדקס של תפקידים והרשאות ב-IAM או בדף Roles במסוףCloud de Confiance . באמצעות הכלי לבחירת תפקידי IAM, אפשר לתאר את הפעולות שרוצים שהחשבון הראשי יבצע ואת המשאבים שנדרשים לו כדי לבצע אותן. על סמך הקלט שלכם, Gemini מציע את התפקידים המוגדרים מראש שהוא רואה כמתאימים.

‫Gemini יכול להציע תפקידים מוגדרים מראש לחשבונות משתמשים ספציפיים. אם Gemini מציע להעניק תפקיד ברמת הפרויקט, אפשר להשתמש בכלי לבחירת תפקידי IAM כדי להעניק את התפקיד הזה.

אי אפשר להשתמש בכלי לבחירת תפקידי IAM כדי לקבל הצעות לגבי הדברים הבאים:

• תפקידים בהתאמה אישית
• תפקידים לכמה חשבונות משתמש (בהנחיה אחת)
• תפקידים במוצרי Google Workspace כמו Google Sheets ו-Google Docs

איך Gemini for Cloud de Confiance ‎ משתמש בנתונים שלכם, ובאילו מקרים.

תפקידים נדרשים

כדי לקבל את ההרשאות שנדרשות לשימוש בכלי לבחירת תפקידי IAM, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM ‏Project IAM Admin (roles/resourcemanager.projectIamAdmin) בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות לשימוש בכלי לבחירת תפקידי IAM. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי להשתמש בכלי לבחירת תפקידי IAM, נדרשות ההרשאות הבאות:

• resourcemanager.projects.get
• resourcemanager.projects.getIamPolicy
• resourcemanager.projects.setIamPolicy

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

קבלת הצעות לתפקידים בעזרת Gemini

כדי לקבל הצעות לתפקידים מ-Gemini, אפשר לגשת לכלי לבחירת תפקידים ב-IAM בדפים במסוף Cloud de Confiance שמאפשרים לתת גישה ברמת הפרויקט. לדוגמה, הכלי לבחירת תפקיד ב-IAM זמין בדפים הבאים:

• הדף IAM
• הדף חשבונות שירות
• הדף Dashboard במסוף Cloud de Confiance

ההליך הבא מתבסס על הדף IAM כנקודת הכניסה העיקרית.

1. נכנסים לדף IAM במסוף Cloud de Confiance .

   כניסה לדף IAM

2. בוחרים פרויקט.

3. בוחרים חשבון ראשי כדי לקבל הצעות לתפקידים עבורו:

   • כדי לקבל הצעות לתפקידים עבור חשבון משתמש שכבר יש לו תפקידים אחרים במשאב, לוחצים על edit Edit principal בשורה שבה מוצג המשאב.

     כדי להקצות תפקיד לסוכן שירות, מסמנים את התיבה IncludeS3NS-provided role grants כדי לראות את כתובת האימייל שלו.

   • כדי לקבל הצעות לתפקידים עבור חשבון משתמש שאין לו תפקידים קיימים במשאב, לוחצים על person_add Grant Access ואז מזינים מזהה של חשבון משתמש, למשל //iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com או //iam.googleapis.com/locations/global/workforcePools/example-pool/group/example-group@example.com.

4. כדי לפתוח את תיבת הדו-שיח של כלי בחירת תפקידי IAM, לוחצים על עזרה בבחירת תפקידים.

5. במילים שלכם, מתארים את הפעולה שרוצים שחשבון המשתמש יבצע ואת המשאב בפרויקט שבו הוא צריך לבצע אותה.

6. לוחצים על הצעת תפקידים. על סמך הקלט שלכם, Gemini מציע את התפקידים המוגדרים מראש שהוא חושב שמתאימים.

   כדי לקבל מידע נוסף על התפקידים ולמה Gemini הציע אותם, לוחצים על הצגת הנימוקים. מומלץ גם להשתמש בהפניה לתפקידים ולהרשאות כדי לאמת את התפקידים ש-Gemini מציע לפני שמעניקים אותם לגורם הראשי.

7. אופציונלי: אם Gemini לא מציע את התפקידים הנכונים, אפשר לשפר את ההנחיה.

   1. כדי לשנות את ההנחיה, לוחצים על עריכה.
   2. עורכים את התיאור ולוחצים על עדכון. ‫Gemini מעדכן את ההצעות לתפקידים על סמך התיאור החדש.

8. כדי לאשר את ההצעות, לוחצים על הוספת תפקידים.

9. אם רוצים, מוסיפים תנאי לתפקיד.

10. לוחצים על Save. חשבון המשתמש מקבל את התפקיד במשאב.

אתם יכולים להעניק תפקידים ברמת הפרויקט ש-Gemini מציע ישירות מבורר תפקידי ה-IAM. כדי לקבל הצעות לתפקידים ברמת הארגון, התיקייה או המשאב, צריך לשים לב להצעות לתפקידים ולהעניק אותם לחשבון המשתמש ברמה המתאימה באמצעות התהליך הרגיל במסוף Cloud de Confiance . מידע נוסף על הקצאת תפקידים מופיע במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

אם אין לכם הרשאות להקצות את התפקידים ברמת הארגון, התיקייה או המשאב, פנו לאדמין.

תרחישים לדוגמה

בטבלה הבאה מוצגים כמה תרחישים לדוגמה לשימוש בכלי לבחירת תפקידים ב-IAM. כברירת מחדל, Gemini מציע תפקידים שנועדו לכסות תהליכים נפוצים שעוברים משתמשים בשירות. לדוגמה, Gemini מציע לעיתים קרובות תפקידי אדמין, עורך או בעל הרשאת צפייה בשירות.

אם רוצים ש-Gemini יציע את התפקידים הכי מפורטים עם ההרשאות הכי מצומצמות, צריך לציין את ההעדפה הזו בהנחיה באמצעות מילות מפתח ספציפיות. רשימת מילות המפתח שבהן אפשר להשתמש מופיעה במאמר מילות מפתח לתפקידים עם ההרשאות המינימליות. עם זאת, חשוב לזכור שתפקידים עם הרשאות מינימליות לא תמיד יספיקו לצרכים העתידיים של המשתמש.

תרחיש שימוש	דוגמאות להנחיות
זיהוי תפקידים לניהול שירותים כללי	"אילו הרשאות צריך כדי לנהל את ההגדרה של AlloyDB ל-PostgreSQL?" "אילו תפקידים נדרשים כדי לעבוד עם BigQuery?" "איך נותנים למישהו גישה להרצה ולניפוי באגים בשירותי Cloud Run?" "אני צריך להקצות זהות לסוכן Vertex AI כדי להפעיל קריאות בסיסיות לכלים".
זיהוי התפקידים שנדרשים לביצוע משימות ספציפיות	"איזו הרשאה נדרשת כדי ליצור, להפעיל ולעצור מכונות וירטואליות?" "אני רוצה לתת למשתמש הרשאה ליצור ולנהל מערכי נתונים וטבלאות ב-BigQuery". "אני רוצה לתת לחשבון שירות הרשאת גישה להפעלת פונקציות של Cloud Run". "אני רוצה שהסוכן שלי יפעיל שרת MCP מקומי שפרסתי ב-Cloud Run". הנחיות שמניבות הצעות לתפקידים עם הרשאות מינימליות: "מה התפקיד המינימלי שנדרש כדי ליצור מכונות וירטואליות, להפעיל אותן ולהפסיק את הפעולה שלהן?" "מהם תפקידי ה-IAM עם ההרשאות המינימליות שנדרשים ליצירת מדיניות IAM?" "אני רוצה לתת לחשבון שירות גישה להפעלת פונקציות של Cloud Run. מה הגישה המצומצמת ביותר שנדרשת?" "מהו התפקיד עם הכי פחות הרשאות שהסוכן שלי צריך כדי להפעיל שרת MCP מקומי שפרסתי ב-Cloud Run?"
זיהוי התפקידים שנדרשים להרצת פקודות של Google Cloud CLI	"What IAM role is required to run: gcloud compute instances create instance-1?" (איזה תפקיד ב-IAM נדרש כדי להריץ את הפקודה: gcloud compute instances create instance-1?) הנחיה שמניבה הצעות לתפקידים עם הרשאות מינימליות: "What is the smallest role a service account needs to execute: gcloud datastore instances describe?"
זיהוי תפקידים למשימה שכוללת יחסי תלות טרנזיטיביים	"אני רוצה להגדיר מכונה ב-Compute Engine כך שהיא תתבצע באופן אוטומטי על סמך ניצול המעבד. אילו תפקידים ב-IAM צריך להקצות לחשבון השירות?" הנחיה שמניבה הצעות לתפקידים עם הרשאות מינימליות: "אני רוצה להגדיר מכונה ב-Compute Engine כך שהיא תתבצע באופן אוטומטי על סמך ניצול המעבד. מהן ההרשאות המינימליות שצריך להעניק לחשבון שירות שמשמש את הכלי לשינוי גודל אוטומטי של מכונת Compute Engine?"
זיהוי תפקידים למשימה שעשויה לדרוש שילוב של כמה תפקידים עם הרשאות ספציפיות	"לתת למשתמשים גישה רק למערך נתונים מסוים ב-BigQuery. הם לא צריכים להיות מסוגלים ליצור או למחוק מערכי נתונים". הנחיה שמניבה הצעות לתפקידים עם הרשאות מינימליות: "מהו התפקיד הכי מאובטח שאפשר להקצות למשתמשים כדי לתת להם גישת קריאה בלבד למערך נתונים יחיד ב-BigQuery, בלי לאפשר להם לבצע פעולות של יצירה או מחיקה במערך נתונים כלשהו?"

שיטות מומלצות

כדי ש-Gemini יספק את ההצעות הכי מדויקות לתרחיש השימוש שלכם, מומלץ לפעול לפי השיטות המומלצות הבאות כשמנסחים את ההנחיה.

• מתארים בבירור את תרחיש השימוש. הימנעו משימוש בשפה מעורפלת בהנחיות. חשוב להסביר בצורה ברורה ככל האפשר אילו פעולות אתם רוצים שהחשבון הראשי יבצע באילו שירותים ובאילו סוגי משאבים. אם רוצים ש-Gemini יציע את התפקידים עם ההרשאות המינימליות, חשוב ליצור את ההנחיה עם מילות מפתח ספציפיות שמתארות את הכוונה לפעול בהתאם לעיקרון של הרשאות מינימליות.

  מומלץ	לא מומלץ	פרטים
  "איזה תפקיד נדרש כדי להריץ שאילתות SQL בטבלה ב-BigQuery ולקרוא את הנתונים ממנה?"	"What role is required to execute SQL statements?" (איזו הרשאה נדרשת כדי להריץ הצהרות SQL?)	‫SQL היא שפה גנרית שמשמשת במגוון שירותים של Cloud de Confiance Google. בלי לציין את השירות או הפעולות, Gemini לא יכול להציע תפקיד מדויק.
  "אני צריך תפקידים כדי להפעיל, להפסיק ולהפעיל מחדש מכונות וירטואליות של Compute Engine".	‫"I need to manage my virtual machines" (אני רוצה לנהל את המכונות הווירטואליות שלי).	המונח ניהול כללי מדי. ניהול יכול להיות יצירה, מחיקה, עדכון או צפייה במכונות וירטואליות. אם תציינו בבירור את הפעולות הספציפיות שצריך לבצע (התחלה, עצירה, הפעלה מחדש) ואת סוג המשאב המדויק (מכונות וירטואליות של Compute Engine), ההצעות יהיו מדויקות יותר.
  "אני רוצה להעלות ולהוריד אובייקטים מקטגוריה של Cloud Storage בשם example-bucket".	‫"Give me access to storage" (תן לי גישה לאחסון).	המונח אחסון לבדו יכול להתייחס לשירותים שונים כמו Cloud Storage,‏ Filestore או Persistent Disk. בנוסף, לא צוינו פעולות. אם לא מציינים את השירות (Cloud Storage), את שם סוג המשאב (example-bucket) או את הפעולות (העלאה והורדה של אובייקטים), ל-Gemini אין מספיק מידע כדי להציע את התפקידים הנכונים.
  "אני צריך את התפקיד עם הכי פחות הרשאות שמאפשר גישה לקריאת רשימות בלבד ב-Secret Manager".	"אני צריך גישה מוגבלת כדי לנהל את הסודות שלי".	הביטוי גישה מוגבלת לא מגדיר בבירור את ההגבלות הנדרשות. ההרשאה Manage my secrets (ניהול הסודות שלי) מכסה מגוון רחב של פעולות (יצירה, הצגה, עדכון, מחיקה, גישה לגרסאות). בלי להשתמש במילות מפתח מפורשות כמו הרשאה מינימלית, Gemini מציע כברירת מחדל תפקידי אדמין, עריכה או צפייה כלליים יותר שספציפיים לשירות.

• להשתמש בשמות רשמיים. משתמשים בשמות הרשמיים של Cloud de Confiance by S3NS שירותים, סוגי משאבים ופעולות API בהנחיה. אם אתם לא בטוחים מהם השמות הרשמיים של השירותים, סוגי המשאבים או פעולות ה-API, מומלץ לעיין במסמכי המוצר הרשמיים.

  מומלץ	לא מומלץ	פרטים
  "איזה תפקיד צריך כדי לעדכן מערכי נתונים ב-BigQuery?"	"איזה תפקיד צריך כדי לעדכן מערכי נתונים ב-BigQuery?	השם הרשמי של המוצר הוא BigQuery, ולא Big query.
  "איזה תפקיד נדרש כדי ליצור קטגוריה של Cloud Storage בפרויקט שלי?"	"What role is required to create a Storage bucket in my project?"	קטגוריית אחסון יכולה להתייחס לסוגים שונים של משאבים משירותים כמו Cloud Storage,‏ Filestore או Persistent Disk. אם תציינו את שם המוצר ואת סוג המשאב המשויך, תקבלו הצעות מדויקות יותר.

מילות מפתח לתפקידים עם הרשאות מינימליות

אם אתם רוצים לקבל מ-Gemini הצעות לתפקידים בהתאם לעיקרון של הרשאות מינימליות, אתם צריכים להשתמש במילות מפתח ספציפיות בהנחיה. זוהי רשימה חלקית של מילות מפתח שבהן אפשר להשתמש כדי לבקש תפקידים עם הרשאות מינימליות:

• הכי פחות מתירנית
• הכי מאובטח
• התפקיד הכי מצומצם
• הרשאות מינימליות
• הרשאות מינימליות
• מפורטות מאוד
• הגישה הכי מצומצמת
• רק את המינימום המוחלט
• רק עם ההרשאות המדויקות

פתרון בעיות

בקטע הזה מפורטים פתרונות לבעיות נפוצות בכלי לבחירת תפקידי IAM.

‫Gemini מציע תפקידים שאי אפשר להעניק ברמת הפרויקט

‫Gemini יכול להציע תפקידים בכל רמות המשאבים, אבל אפשר להשתמש בכלי לבחירת תפקידי IAM רק כדי להעניק את התפקידים ברמת הפרויקט שמוצעים. כש-Gemini מציע תפקידים ברמת הארגון, התיקייה או המשאב, בוחר תפקידי ה-IAM מציין שיש תפקידים מוצעים שלא ניתן להעניק, והכפתור הוספת תפקידים מושבת.

במקרה כזה, אפשר להעתיק את התפקידים המוצעים ולהקצות אותם לחשבון הראשי ברמה המתאימה באמצעות התהליך הרגיל בCloud de Confiance מסוף. מידע נוסף על הקצאת תפקידים מופיע במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

אם אין לכם הרשאות להקצות את התפקידים ברמת הארגון, התיקייה או המשאב, פנו לאדמין.

המאמרים הבאים

• כדאי לקרוא את הסקירה הכללית על Gemini for Cloud de Confiance ‎.
• איך Gemini for Cloud de Confiance ‎ משתמש בנתונים שלכם
• איך בוחרים את התפקידים המוגדרים מראש המתאימים ביותר