Controlo de acesso com a IAM
Esta página descreve como usar a gestão de identidade e de acesso (IAM) para gerir o acesso aos recursos do Colab Enterprise. Para gerir o acesso a outros recursos do Vertex AI, consulte o artigo Controlo de acesso do Vertex AI com a IAM.
Controle o acesso aos notebooks com o IAM
Pode gerir o acesso aos blocos de notas do Colab Enterprise (ficheiros IPYNB) ao nível do projeto ou por bloco de notas.
- Para conceder acesso a blocos de notas ao nível do projeto, atribua uma ou mais funções a um principal (utilizador, grupo ou conta de serviço).
- Para conceder acesso a um bloco de notas específico, atribua uma ou mais funções a um principal no bloco de notas. Para saber mais, consulte o artigo Faça a gestão do acesso a um bloco de notas.
Executar código que interage com outros serviços Google Cloud
A concessão de acesso a um bloco de notas está limitada às autorizações específicas relacionadas com a interação com o bloco de notas. Por exemplo, pode conceder a capacidade de criar um bloco de notas, escrever código no mesmo ou eliminar o bloco de notas.
Para executar código que interage com outros Google Cloud serviços, tem de usar um dos seguintes métodos:
Executar código num tempo de execução com credenciais de utilizador final ativadas. Isto significa que o seu bloco de notas tem o mesmo acesso aos Google Cloud serviços que o utilizador do bloco de notas.
Executar código que autentica e autoriza o seu bloco de notas a interagir com os Google Cloud serviços.
Para saber mais, consulte o artigo Executar código que interage com Google Cloud.
Tipos de funções de IAM
Existem diferentes tipos de funções IAM que podem ser usadas no Colab Enterprise:
As funções predefinidas permitem-lhe conceder um conjunto de autorizações relacionadas aos seus recursos do Colab Enterprise ao nível do projeto.
As funções básicas (proprietário, editor e visitante) fornecem controlo de acesso aos seus recursos do Colab Enterprise ao nível do projeto e são comuns a todos os Google Cloud serviços.
As funções personalizadas permitem-lhe escolher um conjunto específico de autorizações, criar a sua própria função com essas autorizações e conceder a função aos utilizadores na sua organização.
Para adicionar, atualizar ou remover estas funções no seu projeto do Colab Enterprise, consulte a documentação sobre a gestão do acesso a projetos, pastas e organizações.
Funções predefinidas para o Colab Enterprise
O Colab Enterprise faz parte do Vertex AI e os recursos do Colab Enterprise são geridos através da API Vertex AI. Por conseguinte, pode conceder aos principais acesso aos recursos do Colab Enterprise através de funções do Vertex AI.
A tabela seguinte inclui todas as funções predefinidas do Vertex AI.
Para usar funções predefinidas para operações comuns do Colab Enterprise, consulte os artigos Administrador do Colab Enterprise (
roles/aiplatform.colabEnterpriseAdmin
) e Utilizador do Colab Enterprise (roles/aiplatform.colabEnterpriseUser
).Para funções relacionadas com a gestão de tempo de execução, consulte Notebook Runtime Admin (
roles/aiplatform.notebookRuntimeAdmin
) e Notebook Runtime User (roles/aiplatform.notebookRuntimeUser
).Administrador do Vertex AI (
roles/aiplatform.admin
), Utilizador do Vertex AI (roles/aiplatform.user
) e Visualizador do Vertex AI (roles/aiplatform.viewer
) também incluem autorizações do Colab Enterprise.
Role | Permissions |
---|---|
Vertex AI Administrator( Grants full access to all resources in Vertex AI |
|
Vertex AI Batch Prediction Service Agent( Vertex AI Batch Prediction Service Agent for serving batch prediction requests. |
|
Colab Enterprise Admin( Admin role of using colab enterprise. |
|
Colab Enterprise User( User role of using colab enterprise. |
|
Vertex AI Colab Service Agent( Gives Vertex AI Colab the proper permissions to function. |
|
Vertex AI Custom Code Service Agent( Gives Vertex AI Custom Code the proper permissions. |
|
Vertex AI Feature Store EntityType owner( Provides full access to all permissions for a particular entity type resource. Lowest-level resources where you can grant this role:
|
|
Vertex AI Platform Express Admin Beta( Grants admin access to Vertex AI Express |
|
Vertex AI Platform Express User Beta( Grants user access to Vertex AI Express |
|
Vertex AI Extension Custom Code Service Agent( Gives Vertex AI Extension that executes custom code the permissions it needs to function. |
|
Vertex AI Extension Service Agent( Gives Vertex AI Extension the permissions it needs to function. |
|
Vertex AI Feature Store Admin( Grants full access to all resources in Vertex AI Feature Store Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Viewer( This role provides permissions to read Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Writer( This role provides permissions to read and write Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Instance Creator( Administrator of Featurestore resources, but not the child resources under Featurestores. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Resource Viewer( Viewer of all resources in Vertex AI Feature Store but cannot make changes. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store User Beta( Deprecated. Use featurestoreAdmin instead. |
|
Vertex AI Migration Service User( Grants access to use migration service in Vertex AI |
|
Vertex AI Model Monitoring Service Agent( Gives Vertex AI Model Monitoring the permissions it needs to function. |
|
Notebook Executor User Beta( Grants users full access to schedules and notebook execution jobs. |
|
Notebook Runtime Admin( Grants full access to all runtime templates and runtimes in Notebook Service. |
|
Notebook Runtime User( Grants users permissions to create runtime resources using a runtime template and manage the runtime resources they created. |
|
Vertex AI Notebook Service Agent( Vertex AI Service Agent used to run Notebook managed resources in user project with restricted permissions. |
|
Vertex AI Online Prediction Service Agent( Gives Vertex AI Online Prediction the permissions it needs to function. |
|
Vertex AI Platform Provisioned Throughput Admin Beta( Grants access to use all resources related to Vertex AI Provisioned Throughput |
|
Vertex AI RAG Data Service Agent( Vertex AI Service Agent used by Vertex RAG to access user imported data, Vertex AI, Document AI processors in the project |
|
Vertex AI Rapid Eval Service Agent( Vertex AI Service Agent used by GenAI Rapid Evaluation Service to access publisher model endpoints in the user project |
|
Vertex AI Reasoning Engine Service Agent( Gives Vertex AI Reasoning Engine the proper permissions to function. |
|
Vertex AI Service Agent( Gives Vertex AI the permissions it needs to function. |
|
Vertex AI Telemetry Service Agent( Allows Vertex AI Telemetry Service Agent to access telemetry data. |
|
Vertex AI Tensorboard Web App User Beta( Grants access to the Vertex AI TensorBoard web app. |
|
Vertex AI Tuning Service Agent( Vertex AI Service Agent used for tuning in user project. |
|
Vertex AI User( Grants access to use all resource in Vertex AI |
|
Vertex AI Viewer( Grants access to view all resource in Vertex AI |
|
Funções básicas
As Google Cloud funções básicas mais antigas são comuns a todos os serviços Google Cloud . Estas funções são Proprietário, Editor e Visitante.
As funções básicas concedem autorizações em todos os produtos Google Cloud Google Cloud, e não apenas para o Colab Enterprise. Por este motivo, deve usar as funções do Colab Enterprise sempre que possível.
Funções personalizadas
Se as funções de IAM predefinidas para o Colab Enterprise não satisfizerem as suas necessidades, pode definir funções personalizadas. As funções personalizadas permitem-lhe escolher um conjunto específico de autorizações, criar a sua própria função com essas autorizações e conceder a função aos utilizadores na sua organização. Para mais informações, consulte o artigo Compreender as funções personalizadas do IAM.
Agentes de serviço para o Colab Enterprise
O Colab Enterprise cria e usa automaticamente agentes de serviço para aceder a recursos em seu nome. Quando é criado um agente do serviço, é atribuída ao agente do serviço uma função predefinida para o seu projeto.
A tabela seguinte apresenta os agentes de serviço do Colab Enterprise, os respetivos endereços de email e as respetivas funções:
Nome | Utilizado para | Endereço de email | Função |
---|---|---|---|
Agente de serviço da Vertex AI | Capacidades da Vertex AI | service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com |
roles/aiplatform.serviceAgent |
Agente do serviço Vertex AI Colab | Concede ao Colab Enterprise as autorizações adequadas para funcionar | service-PROJECT_NUMBER@gcp-sa-vertex-nb.iam.gserviceaccount.com |
roles/aiplatform.colabServiceAgent |
Agente do serviço Vertex AI Notebook | Execute recursos geridos por blocos de notas no projeto do utilizador com autorizações restritas | service-PROJECT_NUMBER@gcp-sa-aiplatform-vm.iam.gserviceaccount.com |
roles/aiplatform.notebookServiceAgent |
Se remover as funções predefinidas dos agentes do serviço Colab Enterprise, o Colab Enterprise pode reatribuir automaticamente essas funções para garantir a funcionalidade do serviço ininterrupta. Para desativar o serviço Colab Enterprise, tem de desativar as APIs relevantes em vez de remover funções.
O que se segue?
Conceda a um principal acesso a um bloco de notas do Colab Enterprise.
Saiba como criar e gerir funções de IAM personalizadas.
Saiba mais sobre os agentes de serviços