Vertex AI Feature Store（従来版）リソースへのアクセスを制御する

Vertex AI Feature Store（従来版）リソースへのアクセスを制御するには、リソース階層のさまざまなレベルで IAM ポリシーを設定します。次に例を示します。

プロジェクトレベルのポリシー IAM は、プロジェクト内のすべてのリソースに適用されます。プロジェクトレベルのポリシーを設定して、プロジェクト内のすべての featurestore を読み取る権限をユーザーに付与できます。
リソースレベルの IAM ポリシーを使用すると、特定のリソースにアクセスできるユーザーを指定できます。ユーザーのサブセットに対しては、リソースレベルのポリシーを設定して、プロジェクト内の特定の featurestore への書き込み権限を付与できます。

リソースレベルの Identity and Access Management（IAM）ポリシーは、次の Vertex AI Feature Store（従来版）リソースに設定できます。

featurestore: featurestore に Identity and Access Management ポリシーを設定すると、そのポリシーは featurestore と、その featurestore 内に作成されるすべてのエンティティタイプに適用されます。
エンティティタイプ: エンティティタイプに Identity and Access Management ポリシーを設定すると、ポリシーはエンティティタイプと、そのエンティティタイプが作成された featurestore にのみ適用されます。

IAM ポリシーには、どの IAM ロールがどのプリンシパルに関連付けられるかを定義する 1 つ以上のロールバインディングが含まれます。ロールは、プリンシパルに付与する権限のコレクションです。Vertex AI では、ポリシーで使用できる事前定義ロールが用意されています。独自のカスタムロールを作成することもできます。

考慮事項

条件付きリソースポリシーは設定できません。たとえば、testing のような特定の文字列で始まる名前のリソース（今後作成されるリソースも含む）へのアクセスを許可するポリシーを作成することはできません。

サンプルのユースケース

たとえば、組織に 2 つユーザーセットが存在するとします。1 つのセットで、DevOps 管理者のロールでコアインフラストラクチャを管理します。別のセットでは、特定のエンティティタイプとその特徴を管理します（データエンジニアなど）。

DevOps 管理者は、プロジェクトレベルで featurestore とエンティティタイプを管理します。データエンジニアが新しいエンティティタイプをリクエストすると、DevOps 管理者はそのエンティティタイプを作成し、データエンジニアに所有権を委任できます。データエンジニアは、所有するエンティティタイプの特徴を自由に管理できますが、featurestore やその他のエンティティタイプに対するオペレーションは実行できません。この制御により、DevOps 管理者は機密情報を含むエンティティタイプへのアクセスを制限できます。

このシナリオでは、DevOps 管理者にプロジェクトレベルで aiplatform.featurestoreAdmin ロールが付与されています。次に、データエンジニアが新しいエンティティタイプをリクエストすると、管理者は新しいエンティティタイプを作成し、そのエンティティタイプでデータエンジニアに aiplatform.entityTypeOwner ロールを（リソースレベルのポリシーとして）割り当てます。

IAM ポリシーの取得

Google Cloud コンソールまたは API を使用して、featurestore またはエンティティタイプの現在の IAM ポリシーを表示できます。

ウェブ UI

Google Cloud Console の [Vertex AI] セクションで、[特徴] ページに移動します。

[特徴] ページに移動

[リージョン] プルダウンリストからリージョンを選択します。
特徴テーブルの [Featurestore] 列または [エンティティタイプ] 列から featurestore またはエンティティタイプを選択します。
[権限] をクリックします。
リソースレベルの権限を表示するには、[継承された権限を表示] をオフにします。
選択したリソースにアクセスできるプリンシパルは、ロールごとにグループ化されています。
ロールを開くと、そのロールに割り当てられているプリンシパルが表示されます。

REST

リソースから IAM ポリシーを取得するには、getIamPolicy メソッドを使用する POST リクエストを送信します。次の例では、エンティティタイプポリシーを取得します。

リクエストのデータを使用する前に、次のように置き換えます。

LOCATION_ID: featurestore が配置されているリージョン（us-central1 など）。
PROJECT_ID: 実際のプロジェクト ID。
FEATURESTORE_ID: featurestore の ID。
ENTITY_TYPE_ID: エンティティタイプの ID。

HTTP メソッドと URL:

POST https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:getIamPolicy

リクエストを送信するには、次のいずれかのオプションを選択します。

curl

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d "" \
    "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:getIamPolicy"

PowerShell

次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:getIamPolicy" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "version": 1,
  "etag": "BwXTmICm7mI",
  "bindings": [
    {
      "role": "roles/aiplatform.entityTypeOwner",
      "members": [
        "user:example@example.com"
      ]
    }
  ]
}

IAM ポリシーを設定する

IAM ポリシーは、featurestore またはエンティティタイプに設定できます。

ウェブ UI

Google Cloud Console の [Vertex AI] セクションで、[特徴] ページに移動します。

[特徴] ページに移動

[リージョン] プルダウンリストからリージョンを選択します。
特徴テーブルの [Featurestore] 列または [エンティティタイプ] 列から featurestore またはエンティティタイプを選択します。
[権限] をクリックします。
[プリンシパルを追加] をクリックします。
プリンシパルを指定し、プリンシパルに関連付けるロールを 1 つ以上指定します。
[保存] をクリックします。

REST

リソースに IAM ポリシーを設定するには、setIamPolicy メソッドを使用する POST リクエストを送信します。次の例では、エンティティタイプにポリシーを設定しています。

IAM ポリシーを設定すると、既存のポリシーがすべてオーバーライドされます（変更は追加されません）。リソースの既存のポリシーを変更する場合は、getIamPolicy メソッドを使用して既存のポリシーを取得し、変更します。setIamPolicy リクエストに、変更したポリシーを etag と一緒に含めます。

409 エラーコードが返された場合、ポリシーを更新した SetIamPolicy リクエストが同時に発生しています。GetIamPolicy を作成してポリシーの更新 etag を取得し、新しい etag を含めて SetIamPolicy リクエストを再試行します。

リクエストのデータを使用する前に、次のように置き換えます。

LOCATION_ID: featurestore が配置されているリージョン（us-central1 など）。
PROJECT_ID: 実際のプロジェクト ID。
FEATURESTORE_ID: featurestore の ID。
ENTITY_TYPE_ID: エンティティタイプの ID。
ROLE: 付与する権限を含む IAM ロール（roles/aiplatform.featurestoreDataViewer など）。
PRINCIPAL: ロールの権限を付与するプリンシパル（user:myuser@example.com など）。
ETAG: ポリシーの同時更新による相互上書きを防止する文字列値。この値は、getIamPolicy レスポンスの一部として返されます。

HTTP メソッドと URL:

POST https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:setIamPolicy

リクエストの本文（JSON）:

{
  "policy": {
    "bindings": [
      {
        "role": "ROLE",
        "members": [
          "PRINCIPAL"
        ]
      },
      ...
    ],
    "etag": "ETAG"
  }
}

リクエストを送信するには、次のいずれかのオプションを選択します。

curl

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:setIamPolicy"

PowerShell

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:setIamPolicy" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "version": 1,
  "etag": "BwXTmICm7mI",
  "bindings": [
    {
      "role": "roles/aiplatform.entityTypeOwner",
      "members": [
        "user:user1@example.com"
      ]
    },
    {
      "role": "roles/aiplatform.featurestoreDataViewer",
      "members": [
        "user:user2@example.com",
        "user:user3@example.com"
      ]
    },
    {
      "role": "roles/aiplatform.featurestoreDataWriter",
      "members": [
        "user:user4@example.com",
      ]
    }
  ]
}

リソースの IAM 権限を確認する

現在認証されているユーザーに featurestore またはエンティティタイプに対する特定の IAM 権限があるかどうかを確認できます。

REST

ユーザーにリソースに対する特定の IAM 権限が付与されているかどうかを確認するには、testIamPermissions メソッドを使用する POST リクエストを送信します。次の例では、現在認証されているユーザーにエンティティタイプに対する一連の IAM 権限が付与されているかどうかをテストできます。

リクエストのデータを使用する前に、次のように置き換えます。

LOCATION_ID: featurestore が配置されているリージョン（us-central1 など）。
PROJECT_ID: 実際のプロジェクト ID。
FEATURESTORE_ID: featurestore の ID。
ENTITY_TYPE_ID: エンティティタイプの ID。

HTTP メソッドと URL:

POST https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:testIamPermissions -d

リクエストの本文（JSON）:

{
  "permissions": [
    "aiplatform.googleapis.com/entityTypes.get",
    "aiplatform.googleapis.com/entityTypes.readFeatureValues",
    "aiplatform.googleapis.com/entityTypes.writeFeatureValues"
  ]
}

リクエストを送信するには、次のいずれかのオプションを選択します。

curl

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:testIamPermissions -d"

PowerShell

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://LOCATION_ID-aiplatform.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/featurestores/FEATURESTORE_ID/entityTypes/ENTITY_TYPE_ID:testIamPermissions -d" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。レスポンスには、現在認証されているユーザーが利用できるリクエストの JSON 本文の権限のみが含まれます。

{
  "permissions": [
    "aiplatform.googleapis.com/entityTypes.get",
    "aiplatform.googleapis.com/entityTypes.readFeatureValues",
    "aiplatform.googleapis.com/entityTypes.writeFeatureValues"
  ]
}