Control de acceso con IAM
En esta página, se describe cómo usar Identity and Access Management (IAM) para administrar el acceso a los recursos de Colab Enterprise. Para administrar el acceso a otros recursos de Vertex AI, consulta Control de acceso de Vertex AI con IAM.
Controla el acceso a los notebooks con IAM
Puedes administrar el acceso a los notebooks de Colab Enterprise (archivos IPYNB) a nivel de proyecto o por notebook.
- Para otorgar acceso a los notebooks a nivel del proyecto, asigna una o más funciones a una principal (usuario, grupo o cuenta de servicio).
- Para otorgar acceso a un notebook específico, asigna uno o más roles a un director en el notebook. Para obtener más información, consulta Administra el acceso a un notebook.
Ejecutar código que interactúe con otros servicios Google Cloud
El otorgamiento de acceso a un notebook se limita a los permisos específicos relacionados con la interacción con él. Por ejemplo, puedes otorgar la posibilidad de crear un notebook, escribir código en él o borrarlo.
Para ejecutar código que interactúe con otros servicios de Google Cloud , debes usar uno de los siguientes métodos:
Ejecuta código en un entorno de ejecución con credenciales de usuario final habilitadas. Esto significa que tu notebook tiene el mismo acceso a los servicios de Google Cloud que el usuario del notebook.
Ejecuta código que autentique y autorice tu notebook para que interactúe con los servicios deGoogle Cloud .
Para obtener más información, consulta Ejecuta código que interactúa con Google Cloud.
Tipos de roles de IAM
Existen diferentes tipos de roles de IAM que se pueden usar en Colab Enterprise:
Los roles predefinidos te permiten otorgar un conjunto de permisos relacionados con tus recursos de Colab Enterprise a nivel del proyecto.
Los roles básicos (propietario, editor y visualizador) proporcionan control de acceso a tus recursos de Colab Enterprise a nivel del proyecto y son comunes para todos los servicios de Google Cloud.
Las funciones personalizadas te permiten elegir un conjunto de permisos específico, crear tu propia función con esos permisos y otorgarla a los usuarios en tu organización.
Para agregar, actualizar o quitar estos roles en tu proyecto de Colab Enterprise, consulta la documentación sobre cómo administrar el acceso a proyectos, carpetas y organizaciones.
Roles predefinidos para Colab Enterprise
Colab Enterprise es parte de Vertex AI, y los recursos de Colab Enterprise se administran a través de la API de Vertex AI. Por lo tanto, puedes otorgar a las principales acceso a los recursos de Colab Enterprise a través de los roles de Vertex AI.
La siguiente tabla incluye todos los roles predefinidos de Vertex AI.
Para usar roles predefinidos para operaciones comunes de Colab Enterprise, consulta Administrador de Colab Enterprise (
roles/aiplatform.colabEnterpriseAdmin
) y Usuario de Colab Enterprise (roles/aiplatform.colabEnterpriseUser
).Para conocer los roles relacionados con la administración del entorno de ejecución, consulta Administrador del entorno de ejecución del notebook (
roles/aiplatform.notebookRuntimeAdmin
) y Usuario del entorno de ejecución del notebook (roles/aiplatform.notebookRuntimeUser
).Administrador de Vertex AI (
roles/aiplatform.admin
), Usuario de Vertex AI (roles/aiplatform.user
) y Visualizador de Vertex AI (roles/aiplatform.viewer
) también incluyen permisos de Colab Enterprise.
Role | Permissions |
---|---|
Vertex AI Administrator( Grants full access to all resources in Vertex AI |
|
Vertex AI Batch Prediction Service Agent( Vertex AI Batch Prediction Service Agent for serving batch prediction requests. |
|
Colab Enterprise Admin( Admin role of using colab enterprise. |
|
Colab Enterprise User( User role of using colab enterprise. |
|
Vertex AI Colab Service Agent( Gives Vertex AI Colab the proper permissions to function. |
|
Vertex AI Custom Code Service Agent( Gives Vertex AI Custom Code the proper permissions. |
|
Vertex AI Feature Store EntityType owner( Provides full access to all permissions for a particular entity type resource. Lowest-level resources where you can grant this role:
|
|
Vertex AI Platform Express Admin Beta( Grants admin access to Vertex AI Express |
|
Vertex AI Platform Express User Beta( Grants user access to Vertex AI Express |
|
Vertex AI Extension Custom Code Service Agent( Gives Vertex AI Extension that executes custom code the permissions it needs to function. |
|
Vertex AI Extension Service Agent( Gives Vertex AI Extension the permissions it needs to function. |
|
Vertex AI Feature Store Admin( Grants full access to all resources in Vertex AI Feature Store Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Viewer( This role provides permissions to read Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Writer( This role provides permissions to read and write Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Instance Creator( Administrator of Featurestore resources, but not the child resources under Featurestores. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Resource Viewer( Viewer of all resources in Vertex AI Feature Store but cannot make changes. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store User Beta( Deprecated. Use featurestoreAdmin instead. |
|
Vertex AI Migration Service User( Grants access to use migration service in Vertex AI |
|
Vertex AI Model Monitoring Service Agent( Gives Vertex AI Model Monitoring the permissions it needs to function. |
|
Notebook Executor User Beta( Grants users full access to schedules and notebook execution jobs. |
|
Notebook Runtime Admin( Grants full access to all runtime templates and runtimes in Notebook Service. |
|
Notebook Runtime User( Grants users permissions to create runtime resources using a runtime template and manage the runtime resources they created. |
|
Vertex AI Notebook Service Agent( Vertex AI Service Agent used to run Notebook managed resources in user project with restricted permissions. |
|
Vertex AI Online Prediction Service Agent( Gives Vertex AI Online Prediction the permissions it needs to function. |
|
Vertex AI Platform Provisioned Throughput Admin Beta( Grants access to use all resources related to Vertex AI Provisioned Throughput |
|
Vertex AI RAG Data Service Agent( Vertex AI Service Agent used by Vertex RAG to access user imported data, Vertex AI, Document AI processors in the project |
|
Vertex AI Rapid Eval Service Agent( Vertex AI Service Agent used by GenAI Rapid Evaluation Service to access publisher model endpoints in the user project |
|
Vertex AI Reasoning Engine Service Agent( Gives Vertex AI Reasoning Engine the proper permissions to function. |
|
Vertex AI Service Agent( Gives Vertex AI the permissions it needs to function. |
|
Vertex AI Tensorboard Web App User Beta( Grants access to the Vertex AI TensorBoard web app. |
|
Vertex AI Tuning Service Agent( Vertex AI Service Agent used for tuning in user project. |
|
Vertex AI User( Grants access to use all resource in Vertex AI |
|
Vertex AI Viewer( Grants access to view all resource in Vertex AI |
|
Funciones básicas
Los roles básicos Google Cloudanteriores son comunes a todos los servicios Google Cloud . Son las funciones de propietario, editor y visualizador.
Los roles básicos proporcionan permisos en Google Cloud, no solo para Colab Enterprise. Por este motivo, deberías usar los roles de Colab Enterprise siempre que sea posible.
Funciones personalizadas
Si los roles de IAM predefinidos para Colab Enterprise no satisfacen tus necesidades, puedes definir roles personalizados. Los roles personalizados te permiten elegir un conjunto de permisos específico, crear tu propio rol con esos permisos y otorgarlo a los usuarios en tu organización. Para obtener más información, consulta Comprende los roles personalizados de IAM.
Agentes de servicio para Colab Enterprise
Colab Enterprise crea y usa automáticamente agentes de servicio para acceder a recursos en tu nombre. Cuando se crea un agente de servicio, se le otorga un rol predefinido para tu proyecto.
En la siguiente tabla, se enumeran los agentes de servicio de Colab Enterprise, sus direcciones de correo electrónico y sus respectivos roles:
Nombre | Se usa para | Dirección de correo electrónico | Rol |
---|---|---|---|
Agente de servicio de Vertex AI | Funciones de Vertex AI | service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com |
roles/aiplatform.serviceAgent |
Agente de servicio de Colab de Vertex AI | Otorga a Colab Enterprise los permisos adecuados para funcionar. | service-PROJECT_NUMBER@gcp-sa-vertex-nb.iam.gserviceaccount.com |
roles/aiplatform.colabServiceAgent |
Agente de servicio de notebook de Vertex AI | Ejecuta recursos administrados por notebooks en el proyecto del usuario con permisos restringidos | service-PROJECT_NUMBER@gcp-sa-aiplatform-vm.iam.gserviceaccount.com |
roles/aiplatform.notebookServiceAgent |
Si quitas los roles predeterminados de los agentes de servicio de Colab Enterprise, Colab Enterprise puede reasignar automáticamente esos roles para garantizar la funcionalidad del servicio sin interrupciones. Para desactivar el servicio de Colab Enterprise, debes desactivar las APIs relevantes en lugar de quitar roles.
¿Qué sigue?
Otorga a una instancia principal acceso a un notebook de Colab Enterprise.
Obtén más información sobre cómo crear y administrar funciones personalizadas de IAM.
Más información sobre los agentes de servicio