Control de acceso a cuadernos gestionados
En esta página se describe cómo usar Gestión de Identidades y Accesos (IAM) y un modo de acceso para gestionar el acceso a los recursos de los cuadernos gestionados de Vertex AI Workbench. Para gestionar el acceso a los recursos de Vertex AI, consulta la página de control de acceso de Vertex AI.
Vertex AI Workbench usa IAM para gestionar el acceso a las instancias de notebooks gestionados y un modo de acceso para gestionar el acceso a la interfaz JupyterLab de cada instancia.
Controlar el acceso a una instancia con la gestión de identidades y accesos
Puedes gestionar el acceso a una instancia de cuadernos gestionados a nivel de proyecto o por instancia.
- Para conceder acceso a los recursos a nivel de proyecto, asigna uno o varios roles a un principal (usuario, grupo o cuenta de servicio).
- Para conceder acceso a una instancia específica, define una política de gestión de identidades y accesos en ese recurso. La política define qué roles se asignan a qué entidades principales. Para obtener más información, consulta Gestionar el acceso a una instancia de cuadernos gestionada.
El acceso a una instancia puede incluir una amplia gama de funciones. Por ejemplo, puedes conceder a una entidad principal la capacidad de iniciar, detener y actualizar una instancia. Sin embargo, aunque se conceda a una entidad principal acceso completo a una instancia de cuadernos gestionada, no se le otorga la capacidad de usar la interfaz de JupyterLab de la instancia. Consulta la siguiente sección.
Controlar el acceso a la interfaz de JupyterLab de una instancia con el modo de acceso
Puedes controlar el acceso a la interfaz de JupyterLab de una instancia de cuadernos gestionados mediante el modo de acceso de la instancia. Puedes definir un modo de acceso a JupyterLab al crear una instancia de cuadernos gestionados. El modo de acceso no se puede cambiar una vez que se ha creado el cuaderno.
El modo de acceso a JupyterLab determina quién puede usar la interfaz de JupyterLab de la instancia. El modo de acceso también determina qué credenciales se utilizan cuando tu instancia interactúa con otros Google Cloud servicios. Para obtener más información, consulta Gestionar el acceso a la interfaz de JupyterLab de una instancia de notebooks gestionada.
Tipos de roles de IAM
Hay distintos tipos de roles de IAM que se pueden usar en Vertex AI Workbench:
Los roles predefinidos te permiten conceder un conjunto de permisos relacionados a tus recursos de Vertex AI Workbench a nivel de proyecto.
Los roles básicos (Propietario, Editor y Lector) proporcionan control de acceso a tus recursos de Vertex AI Workbench a nivel de proyecto y son comunes a todos los servicios de Google Cloud.
Los roles personalizados te permiten elegir un conjunto específico de permisos, crear tu propio rol con esos permisos y conceder el rol a los usuarios de tu organización.
Para añadir, actualizar o quitar estos roles en tu proyecto de Vertex AI Workbench, consulta la documentación sobre gestión del acceso a proyectos, carpetas y organizaciones.
Roles predefinidos de Vertex AI Workbench
Los recursos de Vertex AI Workbench se gestionan mediante la API Notebooks. Por lo tanto, los roles de Notebooks definen los permisos y el acceso al uso de Vertex AI Workbench.
| Role | Permissions |
|---|---|
Notebooks Admin( Full access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Notebooks Legacy Admin( Full access to Notebooks all resources through compute API. |
|
Notebooks Legacy Viewer( Read-only access to Notebooks all resources through compute API. |
|
Notebooks Runner( Restricted access for running scheduled Notebooks. |
|
AI Platform Notebooks Service Agent( Provide access for notebooks service agent to manage notebook instances in user projects |
|
Notebooks Viewer( Read-only access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Roles básicos
Los roles básicos Google Cloud anteriores son comunes a todos los servicios Google Cloud . Estos roles son Propietario, Editor y Lector.
Los roles básicos proporcionan permisos en Google Cloud, no solo para Vertex AI Workbench. Por este motivo, debes usar los roles de Vertex AI Workbench siempre que sea posible.
Roles personalizados
Si los roles de gestión de identidades y accesos predefinidos de Vertex AI Workbench no se ajustan a tus necesidades, puedes definir roles personalizados. Los roles personalizados te permiten elegir un conjunto específico de permisos, crear tu propio rol con esos permisos y conceder el rol a los usuarios de tu organización. Para obtener más información, consulta el artículo Conocer los roles personalizados de gestión de identidades y accesos.
Acceso a nivel de proyecto frente a políticas a nivel de recurso
Un recurso hereda todas las políticas de su ascendencia.
Una política definida a nivel de recurso no afecta a las políticas a nivel de proyecto. Puedes usar el acceso a nivel de proyecto y las políticas a nivel de recurso para personalizar los permisos.
Por ejemplo, puede conceder a los usuarios roles/notebooks.viewer permisos a nivel de proyecto para que puedan ver todos los recursos de Vertex AI Workbench del proyecto y, a continuación, puede conceder a cada usuario roles/notebooks.admin permisos en una instancia de notebooks gestionados específica para que tengan todas las admin funciones para administrar esa instancia.
No todos los roles y recursos predefinidos de Vertex AI Workbench admiten políticas a nivel de recurso. Para ver qué roles se pueden usar en qué recursos, consulta las descripciones de cada rol.
Los cambios en la capacidad de acceder a un recurso tardan en propagarse. Para obtener más información, consulta Propagación de cambios de acceso.
Información sobre las cuentas de servicio
Una cuenta de servicio es una cuenta especial que usan las aplicaciones o las instancias de máquinas virtuales (VM), no las personas. Puedes crear y asignar permisos a cuentas de servicio para conceder permisos específicos a un recurso o una aplicación.
En una instancia de cuadernos gestionados, si tu cuaderno ejecuta código que interactúa con Vertex AI u otros servicios, puedes usar una cuenta de servicio con roles de gestión de identidades y accesos específicos para autenticar tu instancia de cuadernos gestionados en esos servicios. Google Cloud
Las cuentas de servicio se identifican mediante una dirección de correo electrónico.
Siguientes pasos
Concede acceso a una instancia de cuadernos gestionados a una entidad de seguridad.
Consulta cómo crear y gestionar roles de gestión de identidades y accesos personalizados.