ユーザー管理のノートブック インスタンスには、特定の Identity and Access Management（IAM）ロールセットがあります。各事前定義ロールには、一連の権限が含まれています。
IAM ポリシーを使用して、プリンシパルに 1 つ以上の IAM ロールを付与できます。各 IAM ロールには、プリンシパルに特定のリソースへのアクセスを許可する権限が含まれています。
ユーザー管理のノートブックの IAM 権限では、Notebooks API を使用してインスタンスを管理できます。たとえば、ユーザー管理のノートブック インスタンスを作成、削除、変更できます。JupyterLab のアクセスを構成する方法については、ノートブックを開くと 403（Forbidden）エラーが表示されるをご覧ください。
IAM とは
Google Cloud には IAM 機能があります。これにより、特定の Google Cloud リソースに対するアクセス権を詳細に設定できるため、他のリソースへの不正なアクセスを防ぐことができます。IAM では最小権限のセキュリティ原則を導入して、リソースに対する必要なアクセス権のみを付与できます。
IAM では、IAM ポリシーを設定して、誰に、どのリソースに対するどのアクセス権を付与するかを制御できます。IAM ポリシーは、特定のロールをプリンシパルに付与することで、そのプリンシパルに特定の権限を付与します。たとえば、Google Cloud プロジェクトなどの特定のリソースについて、ユーザーに roles/notebooks.viewer のロールを割り当てた場合、ユーザーはそのプロジェクト内のノートブックを参照できるようになります。
詳細については、Identity and Access Management をご覧ください。
ユーザー管理のノートブック インスタンスの JupyterLab ウェブ インターフェースに対するアクセス権
ユーザー管理のノートブック インスタンスを作成すると、デフォルトでは、ユーザー管理のノートブックはサービス アカウントに JupyterLab ウェブ インターフェースへのアクセスを許可します。JupyterLab ウェブ インターフェースへのアクセス権をユーザーに付与するには、ユーザーが管理するノートブック インスタンスで使用されるサービス アカウントへのアクセス権をユーザーに付与する必要があります。ウェブ インターフェースへのアクセスに関する問題のトラブルシューティングについては、Vertex AI Workbench トラブルシューティング ガイドをご覧ください。
詳しくは、サービス アカウントとサービス アカウントへのアクセス権の付与方法をご覧ください。
ユーザー管理ノートブックの IAM 事前定義ロール
ユーザー管理のノートブックには、プリンシパルに割り当てることができる IAM 事前定義ロールがあります。各ロールには、特定のタスクに適した一連の権限が含まれています。権限を付与するには、プロジェクトのプリンシパル（ユーザー、グループ、またはサービス アカウント）にロールを付与するポリシーを設定します。ユーザー管理のノートブックの API メソッドを使用して API リクエストを行うユーザーの ID には、IAM を通じて、リソースを使用するための適切な権限が割り当てられている必要があります。
基本ロール（閲覧者、編集者、オーナー）とカスタムロールに加えて、ユーザー管理のノートブックの事前定義ロールをプリンシパルに割り当てることができます。
次の表に、ユーザー管理のノートブックの IAM 事前定義ロールと、それらのロールに含まれている権限を示します。各ロールには、特定のタスクに適した一連の権限が含まれています。たとえば、ノートブック閲覧者（roles/notebooks.viewer）のロールでは、指定されたリソースに対する読み取り専用アクセス権が付与されます。
| ロール | 権限 |
|---|---|
|
Notebooks 管理者
Notebooks のすべてのリソースに対する完全アクセス権。 このロールを付与できる最下位レベルのリソース:
|
|
|
Notebooks の従来の管理者
Compute API での Notebooks のすべてのリソースに対する完全アクセス権。 |
|
|
Notebooks の従来の閲覧者
Compute API での Notebooks のすべてのリソースに対する読み取り専用アクセス権。 |
|
|
Notebooks 実行者
スケジュール設定された Notebooks を実行するための制限付きアクセス権 |
|
|
Notebooks 閲覧者
Notebooks のすべてのリソースに対する読み取り専用アクセス権。 このロールを付与できる最下位レベルのリソース:
|
|
次のステップ
- IAM の詳細について学習する。
- ユーザー管理ノートブックの IAM ロールをプリンシパルに付与する。
- カスタム IAM ロールの作成と管理の方法を学習する。