Häufig müssen mehrere Teammitglieder zusammenarbeiten, um einen Agent zu erstellen. Mithilfe von Rollen können Sie steuern, welchen Zugriff und welche Berechtigungen einzelne Teammitglieder haben sollen.
Wenn Sie die API verwenden, werden an einen Agent möglicherweise auch Anfragen von einer oder mehreren Anwendungen gesendet. In diesem Fall können Sie den Zugriff mithilfe von Dienstkonten steuern.
Den Zugriff können Sie mit Identity and Access Management (IAM) oder der Dialogflow-Konsole steuern. In einigen Situationen müssen Sie die Google Cloud Console verwenden:
- Die Dialogflow-Konsole gewährt dem Nutzer, der den Agent erstellt hat, die Rolle des Agent-Administrators (IAM-Projektinhaber). Wenn Sie den Administrator ändern, mehrere Administratoren für einen Agent hinzufügen oder Administratoren für einen Agent entfernen möchten, müssen Sie die Google Cloud Console verwenden.
- Wenn Sie Integrationen mit anderen Google Cloud-Ressourcen wie Cloud Functions eingerichtet haben und einer Anwendung keinen vollständigen Projektzugriff gewähren möchten, müssen Sie die Dialogflow API-Rollen (Administrator, Client oder Reader) in der Google Cloud Console für IAM zuweisen.
- Eine Teilmenge von IAM-Rollen verfügt über entsprechende Dialogflow-Konsole-Rollen. Wenn Sie eine Rolle zuweisen möchten, die in der Dialogflow-Konsole nicht vorhanden ist, müssen Sie die Google Cloud Console verwenden.
Rollen
In der folgenden Tabelle sind alle für Dialogflow relevanten Rollen aufgeführt. In der Zusammenfassung der Berechtigungen in der Tabelle werden die folgenden Begriffe verwendet:
- Vollständiger Zugriff: Berechtigung zum Ändern des Zugriffs, zum Erstellen, Löschen, Bearbeiten und Lesen einer Ressource.
- Bearbeitungszugriff: Berechtigung zum Erstellen, Löschen, Bearbeiten und Lesen einer Ressource.
- Lesezugriff: Berechtigung zum Lesen einer Ressource.
| Rolle der Dialogflow-Konsole | IAM-Rolle | Zusammenfassung der Berechtigungen | Berechtigungsdetails |
|---|---|---|---|
| Admin | Projekt > Inhaber |
Für Projektinhaber, die vollen Zugriff auf alle Google Cloud- und Dialogflow-Ressourcen benötigen:
|
Siehe Einfache IAM-Rollendefinitionen. |
| Entwickler | Projekt > Editor |
Für Projektbearbeiter, die Bearbeitungszugriff auf alle Google Cloud- und Dialogflow-Ressourcen benötigen:
|
Siehe Einfache IAM-Rollendefinitionen. |
| Prüfer | Projekt > Betrachter |
Gewähren Sie Projektbetrachtern Lesezugriff auf alle Google Cloud- und Dialogflow-Ressourcen:
|
Siehe Einfache IAM-Rollendefinitionen. |
| – | Projekt > Browser |
Gewähren Sie Projektbrowsern, die Lesezugriff benötigen, um die Hierarchie eines Projekts zu durchsuchen, einschließlich des Ordners, der Organisation und der IAM-Richtlinie:
|
Siehe Definitionen von IAM-Projektrollen. |
| – | Dialogflow > Dialogflow API-Administrator |
Gewähren Sie den Dialogflow API-Administratoren Zugriff, die vollen Zugriff auf Dialogflow-spezifische Ressourcen benötigen:
|
Siehe IAM-Rollendefinitionen für Dialogflow. |
| – | Dialogflow > Dialogflow API-Client |
Gewähren Sie Dialogflow API-Clients, die Dialogflow-spezifische Änderungen vornehmen und Intent-Aufrufe mithilfe der API erkennen, Folgendes:
|
Siehe IAM-Rollendefinitionen für Dialogflow. |
| – | Dialogflow > Agent-Bearbeiter in Dialogflow-Konsole |
Gewähren Sie Mitbearbeitern der Dialogflow-Konsole, die vorhandene Agents bearbeiten:
|
Siehe IAM-Rollendefinitionen für Dialogflow. |
| – | Dialogflow > Dialogflow API-Leser |
Gewähren Sie Dialogflow API-Clients, die Dialogflow-spezifische schreibgeschützte Aufrufe über die API ausführen, Folgendes:
|
Siehe IAM-Rollendefinitionen für Dialogflow. |
Zugriff mit der Google Cloud Console steuern
Sie können den Zugriff über die IAM-Einstellungen steuern. Ausführliche Informationen zum Hinzufügen, Bearbeiten und Entfernen von Berechtigungen finden Sie in der Kurzanleitung für IAM.
Die unten aufgeführten Einstellungen finden Sie in der Google Cloud Console auf der Seite IAM.
Nutzer oder Dienstkonto zum Projekt hinzufügen
Wenn Sie Nutzern oder Dienstkonten Berechtigungen zuweisen möchten, können Sie ihnen Rollen für Ihr Cloud-Projekt zuweisen. Nutzer werden durch Angabe ihrer E-Mail-Adresse hinzugefügt. Auch Dienstkonten können durch die Angabe der zugehörigen E-Mail-Adresse hinzugefügt werden. Das Hinzufügen von Dienstkonto-Mitgliedern ist erforderlich, wenn Sie ein Dienstkonto für mehrere Projekte und Agents verwenden möchten. Die mit Ihrem Dienstkonto verknüpfte E-Mail-Adresse finden Sie in der Google Cloud Console auf der Seite Dienstkonten.
So fügen Sie ein Mitglied hinzu:
- Klicken Sie oben auf der Seite auf die Schaltfläche zum Hinzufügen eines Mitglieds.
- Geben Sie die E-Mail-Adresse des Mitglieds ein.
- Wählen Sie eine Rolle aus.
- Klicken Sie auf Speichern.
Berechtigungen ändern
- Klicken Sie auf die Schaltfläche zum Bearbeiten des jeweiligen Mitglieds.
- Wählen Sie eine andere Rolle aus.
- Klicken Sie auf Speichern.
Mitglied entfernen
- Klicken Sie auf die Schaltfläche zum Löschen des jeweiligen Mitglieds.
Zugriffssteuerung mit der Dialogflow-Konsole
Die Freigabeoptionen finden Sie in den Einstellungen des Agents. So öffnen Sie die Freigabeeinstellungen des Agents:
- Rufen Sie die Dialogflow ES-Konsole auf.
- Wählen Sie Ihren Agent im oberen Bereich der linken Seitenleiste aus.
- Klicken Sie neben dem Namen des Agents auf die Schaltfläche für die Einstellungen.
- Klicken Sie auf den Tab Share (Freigeben). Wenn der Tab Share (Freigeben) nicht angezeigt wird, haben Sie nicht die erforderliche Rolle „Agent-Administrator“.
Nutzer hinzufügen
- Geben Sie unter Invite New People (Weitere Personen einladen) die E-Mail-Adresse des Nutzers ein.
- Wählen Sie eine Rolle aus.
- Klicken Sie auf Add (Hinzufügen).
- Klicken Sie auf Speichern.
Berechtigungen ändern
- Suchen Sie den Nutzer in der Liste.
- Wählen Sie eine andere Rolle aus.
- Klicken Sie auf Speichern.
Nutzer entfernen
Suchen Sie den Nutzer in der Liste.
Klicken Sie auf die Schaltfläche zum Löschen des jeweiligen Nutzers.
Klicken Sie auf Speichern.
Automatisch erstellte Dienstkonten
Wenn Sie Ihren Agent erstellen und mit ihm arbeiten, erstellt Dialogflow automatisch einige von Google verwaltete Dienstkonten.
Aktivieren Sie auf der IAM-Seite die Option Von Google bereitgestellte Rollenzuweisungen, um diese Dienstkonten aufzurufen.
Sie sollten für diese Dienstkonten Schlüssel weder löschen, bearbeiten noch herunterladen, und sollten diese Dienstkonten nie für direkte API-Aufrufe verwenden. Sie werden nur vom Dialogflow-Dienst verwendet, um eine Verbindung zu einer Reihe von Ihrem Agent verwendeten Google Cloud-Diensten herzustellen. Bei der Konfiguration bestimmter Dialogflow-Funktionen müssen Sie möglicherweise per E-Mail auf diese Dienstkonten verweisen.
Folgende Tabelle beschreibt einige dieser Dienstkonten:
| IAM-E-Mail-Formular | Zweck |
|---|---|
| service-project-number @gcp-sa-dialogflow.iam.gserviceaccount.com |
Wird verwendet, um den Agent mit den Diensten zu verbinden, die den Integrationstraffic verarbeiten. |
| firebase-adminsdk-alphanum @project-id.iam.gserviceaccount.com |
Wird verwendet, um den Agent mit den Diensten zu verbinden, die den Google Assistant-Integrationstraffic verarbeiten. |
| project-id @appspot.gserviceaccount.com |
Wird verwendet, um den Agent mit den Diensten zu verbinden, die den Google Assistant-Integrationstraffic verarbeiten. |
Administratorrolle übertragen
Um die Administratorrolle eines Agents zu übertragen, muss der vorhandene Administrator wie oben beschrieben vorgehen, um einen neuen Administrator hinzuzufügen. Sobald der neue Administrator die zugewiesene Rolle akzeptiert, können Sie den alten Administrator entfernen.
Wenn der vorhandene Administrator in Ihrer Organisation nicht mehr arbeitet und Sie die Administratorrolle auf einen anderen Mitarbeiter übertragen möchten, haben Sie zwei Möglichkeiten:
- Ein Administrator der Organisation, die dem Projekt des Agents zugeordnet ist, hat die Berechtigung, den Agent-Administrator zu ändern.
- Wenn Sie Leseberechtigungen für den Agent haben, können Sie den Agent exportieren und in einen Agent importieren, bei dem der gewünschte Mitarbeiter Administrator ist. Dies kann zu Ausfallzeiten bei einem Agent in der Live-Produktion führen, während der Agent migriert und Integrationen aktualisiert werden.
OAuth
Wenn Sie für den Zugriff auf Dialogflow Google-Clientbibliotheken verwenden, müssen Sie OAuth nicht direkt verwenden, da diese Bibliotheken die Implementierung für Sie übernehmen. Wenn Sie jedoch Ihren eigenen Client implementieren, müssen Sie möglicherweise einen eigenen OAuth-Ablauf implementieren. Für den Zugriff auf die Dialogflow API ist einer der folgenden OAuth-Bereiche erforderlich:
https://www.googleapis.com/auth/cloud-platform(Zugriff auf alle Projektressourcen)https://www.googleapis.com/auth/dialogflow(Zugriff auf Dialogflow-Ressourcen)
Anfragen mit Zugriff auf Cloud Storage
Einige Dialogflow-Anfragen zum Zugriff auf Objekte in Cloud Storage zum Lesen oder Schreiben von Daten. Wenn Sie eine dieser Anfragen aufrufen, greift Dialogflow im Namen des Aufrufers auf die Cloud Storage-Daten zu. Das bedeutet, dass die Anfrageauthentifizierung Berechtigungen für den Zugriff auf Dialogflow sowie auf die Cloud Storage-Objekte haben muss.
Informationen zur Verwendung einer Google-Clientbibliothek und von IAM-Rollen finden Sie in der Anleitung zur Zugriffssteuerung in Cloud Storage.
Wenn Sie einen eigenen Client implementieren und OAuth nutzen, müssen Sie den folgenden OAuth-Bereich verwenden:
https://www.googleapis.com/auth/cloud-platform(Zugriff auf alle Projektressourcen)