Control de acceso

Es común que varios miembros del equipo colaboren en la compilación de un agente. Mediante el uso de funciones, puedes controlar el acceso y los permisos otorgados a los miembros del equipo.

Puedes configurar el acceso mediante la consola de CX de Dialogflow (revisa la documentación, abre Console ) o mediante Google Cloud Console (revisa la documentación, abre Console) con la administración de identidades y accesos (IAM). Cloud Console se usa para agregar miembros con funciones de IAM, mientras que la consola de Dialogflow se usa para agregar miembros con funciones de agente de Dialogflow. Las funciones de agente de Dialogflow son funciones convenientes basadas en las funciones de IAM que restringen el acceso a un agente.

Hay algunas situaciones en las que debes usar Google Cloud Console:

La consola de CX de Dialogflow proporciona la función de propietario del proyecto de IAM para el usuario que creó el proyecto que posee el agente. Este propietario tiene acceso completo a todos los agentes del proyecto. Si deseas cambiar el propietario del proyecto, debes usar Cloud Console.
Las funciones del agente de Dialogflow solo se usan para el acceso a nivel de agente. Si quieres configurar el acceso a nivel de proyecto, debes usar Cloud Console.
Un subconjunto de funciones de IAM tiene las funciones de agente de Dialogflow correspondientes. Si deseas otorgar una función a nivel de proyecto o de agente que no existe en la consola de CX de Dialogflow, debes usar Cloud Console.

Si usas la API, es posible que una o más aplicaciones también envíen solicitudes a un agente. En este caso, puedes controlar el acceso con las cuentas de servicio.

Controla el acceso con la consola de Dialogflow CX

La consola de CX de Dialogflow te permite aplicar funciones convenientes de agente configuradas para el uso compartido a nivel de agente. Estas funciones se correlacionan con las funciones de IAM con condiciones de IAM que limitan el acceso al agente específico.

Función del agente de Dialogflow	Resumen	Función de IAM
Administrador	Proporciona acceso completo para crear, actualizar, consultar, detectar intent y borrar el agente desde la consola o la API.	Dialogflow > Admin. de API de Dialogflow
Lector	Proporciona acceso de lectura para consultar (no detectar intents) el agente desde la consola o la API.	Dialogflow > Lector de API de Dialogflow

Las opciones para compartir se encuentran en la configuración del agente. Para abrir la configuración de uso compartido del agente, sigue estos pasos:

Abre la consola de Dialogflow CX.
Elige tu proyecto de GCP.
Selecciona el agente.
Haz clic en Configuración del agente.
Haz clic en la pestaña Compartir.

Agrega un miembro

Ingresa la dirección de correo electrónico del usuario o grupo en Invitar personas nuevas.
Selecciona Usuario o Grupo para el tipo de correo electrónico.
Selecciona una función.
Haz clic en Agregar.
Haga clic en Save.

Cambia las funciones de los miembros.

Busca el miembro en la lista.
Selecciona una función diferente.
Haz clic en Guardar.

Quita un miembro

Busca el miembro en la lista.
Haz clic en el botón Borrar del miembro.
Haga clic en Save.

Controla el acceso con Cloud Console

Puedes controlar el acceso con la configuración de IAM. Consulta la guía de inicio rápido de IAM para obtener instrucciones detalladas sobre cómo agregar, editar y quitar permisos.

Para acceder a la configuración a continuación, abre la página IAM en Cloud Console.

Agrega un usuario o miembro de cuenta de servicio al proyecto

Puedes aplicar funciones a usuarios o cuentas de servicio si las agregas como miembros de tu proyecto de Cloud. Los usuarios se agregan mediante el ingreso de la dirección de correo electrónico. Las cuentas de servicio también se agregan mediante el ingreso de la dirección de correo electrónico asociada. Debes agregar miembros de la cuenta de servicio cuando quieras usar una cuenta de servicio para varios proyectos. Para encontrar la dirección de correo electrónico asociada con tu cuenta de servicio, consulta la página Cuentas de servicio de IAM en Cloud Console.

Para agregar un miembro, sigue estos pasos:

Haz clic en el botón Agregar en la parte superior de la página.
Ingresa la dirección de correo electrónico del miembro.
Selecciona una función.
Haz clic en Guardar.

Cambia permisos

Haz clic en el botón Editar del miembro.
Selecciona una función diferente.
Haz clic en Guardar.

Quita un miembro

Haz clic en el botón Borrar del miembro.

Agrega una condición para restringir el acceso a un agente

Cuando agregas o editas un miembro, puedes crear una condición de IAM que restrinja el acceso a un agente.

Por ejemplo:

{
    "expression": "resource.name.startsWith(\"projects/PROJECT_ID/locations/global/agents/AGENT_ID\")",
    "title": "For Dialogflow Agent AGENT_ID"
}

Esta condición te brinda acceso básico a un agente específico. Por ejemplo, una cuenta de servicio con esta condición solo puede llamar a la API de Dialogflow para acceder al agente especificado en la condición del proyecto, pero no a otros agentes en el proyecto.

Para agregar esta condición a un miembro, haz lo siguiente:

Selecciona un miembro.
Haz clic en el botón Editar del miembro.
Haz clic en Agregar condición:
En el campo Título, ingresa For Dialogflow Agent AGENT_ID y reemplaza AGENT_ID por el ID del agente.
Puedes agregar cualquier descripción.
Selecciona el Editor de condiciones para crear tu condición.
Agrega la expresión resource.name.startsWith("projects/PROJECT_ID/locations/global/agents/AGENT_ID") y reemplaza AGENT_ID por el ID del agente y PROJECT_ID por el ID del proyecto.
Haga clic en Save.

Funciones de IAM

En la siguiente tabla, se enumeran todas las funciones de IAM relevantes para CX de Dialogflow.

Para modificar el acceso de un agente o borrar un agente, necesitas una función de Propietario de proyecto de IAM, Editor del proyecto de IAM o Administrador de agente de Dialogflow que proporcione “acceso completo”.

Función de IAM	Resumen de los permisos	Detalles de los permisos
Proyecto > Propietario	Otorga a los propietarios de proyectos que necesitan acceso completo a todos los recursos de Google Cloud y Dialogflow: Acceso completo a todos los recursos de proyectos de Google Cloud con Cloud Console o las API. Acceso completo a la consola de Dialogflow CX para crear, editar y borrar agentes. Permite detectar el intent mediante la API.	Consulta las definiciones de funciones básicas de IAM.
Proyecto > Editor	Otorga acceso a los editores del proyecto que necesitan acceso de edición a todos los recursos de Google Cloud y Dialogflow: Acceso de edición a todos los recursos del proyecto de Cloud mediante Cloud Console o las API. Acceso de edición a la consola de Dialogflow CX para crear, editar y borrar agentes. Permite detectar el intent mediante la API.	Consulta las definiciones de funciones básicas de IAM.
Proyecto > Visualizador	Otorga acceso a los visualizadores del proyecto que necesitan acceso de lectura a todos los recursos de Google Cloud y Dialogflow: Acceso de lectura a todos los recursos del proyecto de Cloud mediante Cloud Console o las API. Acceso de lectura a la consola de Dialogflow CX. No permite detectar el intent mediante la API.	Consulta las definiciones de funciones básicas de IAM.
Proyecto > Navegador	Se otorga a los navegadores de proyectos que necesitan acceso de lectura para explorar la jerarquía de un proyecto, incluida la carpeta, la organización y la política de IAM: Acceso de lectura a la jerarquía de proyectos de Cloud. No tienes acceso a la consola de Dialogflow CX. No permite detectar el intent mediante la API.	Consulta las definiciones de funciones de los proyectos de IAM.
Dialogflow > Administrador de la API de Dialogflow	Se otorga a los administradores de la API de Dialogflow que necesitan acceso completo a los recursos específicos de Dialogflow: Acceso completo a Dialogflow mediante Cloud Console o las API. Tienes acceso completo a la consola de Dialogflow CX. Permite detectar el intent mediante la API.	Consulta las definiciones de las funciones de Dialogflow de IAM.
Dialogflow > Cliente de la API de Dialogflow	Se otorga a los clientes de la API de Dialogflow que realizan ediciones específicas de Dialogflow y detectan llamadas de intent mediante la API: Acceso de edición a Dialogflow mediante Cloud Console o las API. No tienes acceso a la consola de Dialogflow CX. Permite detectar el intent mediante la API.	Consulta las definiciones de las funciones de Dialogflow de IAM.
Dialogflow > Editor del agente de la consola de Dialogflow	Se otorga a los editores de la consola de Dialogflow que editan los agentes existentes: Acceso completo a Dialogflow mediante Cloud Console. Acceso de edición a la mayoría de los datos de agentes mediante la consola de Dialogflow CX. Permite detectar el intent mediante la API.	Consulta las definiciones de las funciones de Dialogflow de IAM.
Dialogflow > Lector de la API de Dialogflow	Se otorga a los clientes de la API de Dialogflow que realizan llamadas de solo lectura específicas de Dialogflow mediante la API: Acceso de lectura a Dialogflow mediante Cloud Console o las API. Acceso de lectura a la consola de Dialogflow CX. No permite detectar el intent mediante la API.	Consulta las definiciones de las funciones de Dialogflow de IAM.

Opinión

Casos de prueba