É comum que vários membros da equipe colaborar na criação de um agente e para que os serviços acessem o agente. Com os papéis, você pode controlar o acesso e as permissões concedidas a principals.
É possível configurar o acesso usando o Console do Dialogflow CX (acesse a documentação, abra o console) ou usando o Console do Google Cloud (acesse a documentação, abra o console) com o gerenciamento de identidade e acesso (IAM). O console do Google Cloud é usado para conceder papéis do IAM aos principais, Já o Console do Dialogflow é usado para conceder papéis de agente do Dialogflow aos principais. Os papéis do agente do Dialogflow são papéis predefinidos convenientes definidos pelo Dialogflow que restringem o acesso a um agente ou aos recursos filhos de um agente específico.
Existem algumas situações em que você precisa usar o console do Google Cloud:
- O papel de proprietário do projeto do IAM é concedido por padrão ao usuário que criou o projeto proprietário do agente. Esse proprietário tem acesso total a todos os agentes no projeto. Se você quiser mudar o proprietário do projeto, use o console do Google Cloud.
- Somente o acesso no nível do agente pode ser configurado por meio do Console do Dialogflow CX. Se quiser configurar o acesso para envolvidos no projeto, você precisa usar o console do Google Cloud.
- Um subconjunto de papéis do IAM tem papéis correspondentes ao agente do Dialogflow. Se você quiser conceder um papel para envolvidos no projeto ou no nível do agente que não existe no Console do Dialogflow CX, use o Console do Google Cloud.
- Se você está criando um agente de repositório de dados com o Interface do usuário da Vertex AI para Conversação, você precisa usar o console do Google Cloud.
Se você estiver usando a API, também será possível ter um ou mais aplicativos que enviam solicitações a um agente. Nesse caso, controle o acesso com as contas de serviço.
Controlar o acesso com o Console do Dialogflow CX
Com o Console do Dialogflow CX, é possível aplicar papéis convenientes configurados para o compartilhamento no nível do agente. Esses papéis se relacionam aos papéis do IAM com condições do IAM que limitam o acesso ao agente específico ou a um subconjunto de recursos filhos do agente.
Para acessar a configuração de papéis do agente no Console do Dialogflow CX, você precisa receber o papel de administrador do IAM do projeto para o projeto associado. Esse papel é concedido no console do Google Cloud.
Papel do agente do Dialogflow | Resumo | Papel de IAM |
---|---|---|
Admin | Concede acesso total para criar, atualizar, consultar, detectar intents e excluir o agente do console ou da API. | Dialogflow > Administrador da API Dialogflow |
Leitor | Concede acesso de leitura para consultar (não detectar o intent) o agente do console ou da API. | Dialogflow > Leitor da API Dialogflow |
Cliente | Concede acesso para detectar intents no console ou na API. | Dialogflow > Cliente da API Dialogflow |
Administrador de intents | Concede acesso para criar, atualizar, excluir ou consultar as intents de um agente no console ou na API. | Dialogflow > Administrador de intents do Dialogflow |
Administrador do tipo de entidade | Concede acesso para criar, atualizar, excluir ou consultar os tipos de entidade de um agente no console ou na API. | Dialogflow > Administrador do tipo de entidade do Dialogflow |
Administrador do webhook | Concede acesso para criar, atualizar, excluir ou consultar os webhooks de um agente no console ou na API. | Dialogflow > Administrador de webhook do Dialogflow |
Administrador do caso de teste | Concede acesso para criar, atualizar, excluir ou consultar os casos de teste de um agente no console ou na API. | Dialogflow > Administrador de casos de teste do Dialogflow |
Editor de fluxo | Concede acesso para atualizar, consultar um fluxo específico e criar, atualizar, excluir ou consultar os recursos de fluxo (páginas, grupos de rotas e versões) no console ou na API. | Dialogflow > Editor de fluxo do Dialogflow |
Editor de ambiente | Concede acesso para atualizar, consultar um ambiente específico e criar, atualizar, excluir ou consultar os recursos do ambiente (experimentos) no console ou na API. | Dialogflow > Editor do ambiente do Dialogflow |
Opções de compartilhamento são encontradas nas configurações do agente. Para abrir as configurações de compartilhamento do agente:
- Abra o Console do Dialogflow CX.
- Escolha seu projeto do Google Cloud.
- Selecione seu agente.
- Clique em Configurações do agente.
- Clique na guia Compartilhar.
Adicionar um principal
- Clique em Add.
- Digite o endereço de e-mail do usuário, grupo ou conta de serviço.
- Selecione Usuário, Grupo ou Conta de serviço como o tipo de e-mail.
- O papel Dialogflow Reader é adicionado por padrão, o que é exigido para que os usuários acessem o Console do Dialogflow CX.
- Clique em Adicionar função em Atribuir funções.
- Selecione um tipo de papel em Tipo.
- Para os papéis Editor de fluxo e Editor de ambiente, selecione fluxos ou ambientes específicos ou mantenha a opção padrão Todos.
- Como alternativa, defina a data de validade do papel.
- Clique em Save.
Alterar funções principais
- Clique no principal na lista.
- Atualize os papéis para esse principal no pop-up.
- Clique em Save.
Remover uma conta principal
- Encontre o principal na lista.
- Clique no botão de exclusão delete no principal.
- Clique em OK.
Controlar o acesso com o console do Google Cloud
É possível controlar o acesso com as configurações do IAM. Consulte o guia de início rápido do IAM para ver as instruções detalhadas sobre como adicionar, editar e remover permissões.
Para acessar as configurações abaixo, abra a página IAM no console do Google Cloud.
Adicionar um usuário ou uma conta de serviço ao projeto
É possível dar permissões a usuários ou contas de serviço concedendo papéis no projeto do Google Cloud. Os usuários são adicionados fornecendo os respectivos endereços de e-mail. As contas de serviço também são adicionadas fornecendo o endereço de e-mail associado a elas. É necessário adicionar contas de serviço quando você quiser usar uma conta de serviço para vários projetos. Para encontrar o endereço de e-mail associado à sua conta de serviço, consulte a IAM Contas de serviço no console do Google Cloud.
Para adicionar um principal, faça o seguinte:
- Clique no botão de adição na parte superior da página.
- Digite o endereço de e-mail do principal.
- Selecione um papel.
- Clique em Salvar.
Alterar permissões
- Clique no botão de edição no principal.
- Selecione um papel diferente.
- Clique em Save.
Remover uma conta principal
- Clique no botão de exclusão no principal.
Adicionar uma condição para restringir o acesso a um agente
Ao adicionar ou editar um principal, é possível criar uma condição do IAM que restrinja o acesso a um agente.
Exemplo:
{
"expression": "resource.name.startsWith(\"projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID\")",
"title": "For Dialogflow Agent AGENT_ID"
}
Essa condição fornece acesso básico a um agente específico. Por exemplo, uma conta de serviço com essa condição só pode chamar a API Dialogflow para acessar o agente especificado na condição no projeto, mas não para outros agentes no projeto.
Para adicionar essa condição a um papel concedido a um principal, faça o seguinte:
- Selecione um principal.
- Clique no botão de edição no principal.
- Clique em Adicionar condição.
- No campo Título,
digite
For Dialogflow Agent AGENT_ID
e substitua AGENT_ID pelo ID do agente. - Você pode inserir qualquer descrição.
- Selecione o Editor de condições para criar a condição.
- Adicione a expressão
resource.name.startsWith("projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID")
, substituindo AGENT_ID pelo ID do agente e PROJECT_ID pelo ID do projeto. - Clique em Save.
Papéis IAM
Na tabela a seguir, listamos os papéis comuns do IAM relevantes para o Dialogflow CX. Os resumos de permissões na tabela usam os seguintes termos:
- Acesso total: Permissão para modificar o acesso, criar, excluir, editar e ler qualquer recurso.
- Acesso de edição: permissão para criar, excluir, editar e ler qualquer recurso.
- Acesso à sessão: Permissão para chamar métodos para recursos somente de execução durante uma conversa, como detectar intents, atualizar contexto, atualizar entidades de sessão, ou interações de conversa do Agent Assist.
- Acesso de leitura: permissão para ler qualquer recurso.
Papel do IAM | Resumo da permissão | Detalhes da permissão |
---|---|---|
Projeto > Proprietário |
Concede aos proprietários do projeto
que precisam de acesso total a todos os recursos do Google Cloud e do Dialogflow:
|
Consulte Definições dos papéis básicos do IAM. |
Projeto > Editor |
Concede aos editores do projeto
que precisam de acesso para edição a todos os recursos do Google Cloud e do Dialogflow:
|
Consulte Definições dos papéis básicos do IAM. |
Projeto > Leitor |
Concede aos leitores do projeto
que precisam de acesso de leitura a todos os recursos do Google Cloud e do Dialogflow:
|
Consulte Definições dos papéis básicos do IAM. |
Projeto > Administrador do IAM |
Conceda a administradores de IAM do projeto que precisam de acesso para editar a configuração dos papéis de agente do Dialogflow. | Consulte Definições de papéis do gerenciador de recursos do IAM. |
Projeto > Navegador |
Concede a navegadores do projeto
que precisam de acesso de leitura para navegar na hierarquia de um projeto,
incluindo a pasta, a organização e a política do Cloud IAM:
|
Consulte Definições de papéis do projeto do IAM. |
Dialogflow > Administrador da API Dialogflow |
Conceda a administradores da API Dialogflow que precisam de acesso total a recursos específicos do Dialogflow:
|
Consulte Definições de papéis do IAM do Dialogflow. |
Dialogflow > Cliente da API Dialogflow |
Conceda a clientes da API Dialogflow
que realizam chamadas de intent de detecção usando a API:
|
Consulte Definições de papéis do IAM do Dialogflow. |
Dialogflow > Editor de agente do Console do Dialogflow |
Conceda aos editores do Console do Dialogflow CX
que editam agentes:
|
Consulte Definições de papéis do IAM do Dialogflow. |
Dialogflow > Leitor da API Dialogflow |
Conceda a clientes da API Dialogflow que realizam chamadas somente leitura específicas do Dialogflow usando a API:
|
Consulte Definições de papéis do IAM do Dialogflow. |
Administrador do Discovery Engine | Conceder aos usuários que criam agentes de repositório de dados com a interface do usuário da Vertex AI Agents. | Consulte Outras definições de papéis. |
OAuth
Se você estiver usando bibliotecas de cliente do Google para acessar o Dialogflow, faça o seguinte: você não precisa usar OAuth diretamente, porque essas bibliotecas cuidam da implementação para você. No entanto, se você estiver implementando seu próprio cliente, talvez seja necessário implementar seu próprio fluxo OAuth. O acesso à API Dialogflow requer um dos seguintes escopos do OAuth:
https://www.googleapis.com/auth/cloud-platform
(acesso a todos os recursos do projeto)https://www.googleapis.com/auth/dialogflow
(acesso aos recursos do Dialogflow)
Solicitações que envolvem acesso ao Cloud Storage
Algumas solicitações do Dialogflow solicitam acesso a objetos no Cloud Storage para ler ou gravar dados. Quando você chama uma dessas solicitações, O Dialogflow acessa os dados do Cloud Storage em nome do autor da chamada. Isso significa que a autenticação de solicitação precisa ter permissões para acessar o Dialogflow e os objetos do Cloud Storage.
Ao usar uma biblioteca de cliente do Google e papéis do IAM, consulte Guia de controle de acesso do Cloud Storage para informações sobre os papéis do Cloud Storage.
Ao implementar seu próprio cliente e usar o OAuth, use o seguinte escopo do OAuth:
https://www.googleapis.com/auth/cloud-platform
(acesso a todos os recursos do projeto)