Controle de acesso com o IAM
Esta página descreve como usar o Identity and Access Management (IAM) para gerenciar o acesso aos recursos do Colab Enterprise. Para gerenciar o acesso a outros recursos da Vertex AI, consulte Controle de acesso da Vertex AI com o IAM.
Controlar o acesso a notebooks com o IAM
É possível gerenciar o acesso a notebooks do Colab Enterprise (arquivos IPYNB) no nível do projeto ou por notebook.
- Para conceder acesso a notebooks no nível do projeto, atribua um ou mais papéis a um principal (usuário, grupo ou conta de serviço).
- Para conceder acesso a um caderno específico, atribua um ou mais papéis a um principal no caderno. Para saber mais, consulte Gerenciar o acesso a um notebook.
Como executar um código que interage com outros serviços Google Cloud
A concessão de acesso a um bloco de notas é limitada às permissões específicas relacionadas à interação com ele. Por exemplo, é possível conceder a capacidade de criar, escrever código ou excluir um notebook.
Para executar um código que interage com outros serviços Google Cloud , use um dos seguintes métodos:
Executar o código em um ambiente de execução com as credenciais do usuário final ativadas. Isso significa que o notebook tem o mesmo acesso aos serviços Google Cloud que o usuário do notebook.
Execute o código que autentica e autoriza seu notebook a interagir com os serviçosGoogle Cloud .
Para saber mais, consulte Executar código que interage com Google Cloud.
Tipos de papéis do IAM
Há diferentes tipos de papéis do IAM que podem ser usados no Colab Enterprise:
Os papéis predefinidos permitem conceder um conjunto de permissões relacionadas aos recursos do Colab Enterprise no nível do projeto.
Os papéis básicos (proprietário, editor e visualizador) fornecem controle de acesso aos recursos do Colab Enterprise no nível do projeto e são comuns a todos os serviços Google Cloud.
Os papéis personalizados permitem escolher um conjunto específico de permissões, criar seu próprio papel com elas e concedê-lo aos usuários da organização.
Para adicionar, atualizar ou remover esses papéis no seu projeto do Colab Enterprise, consulte a documentação sobre como gerenciar o acesso a projetos, pastas e organizações.
Papéis predefinidos para o Colab Enterprise
O Colab Enterprise faz parte da Vertex AI, e os recursos do Colab Enterprise são gerenciados pela API Vertex AI. Portanto, é possível conceder aos principais acesso aos recursos do Colab Enterprise por meio de papéis da Vertex AI.
A tabela a seguir inclui todos os papéis predefinidos da Vertex AI.
Para usar funções predefinidas em operações comuns do Colab Enterprise, consulte Administrador do Colab Enterprise (
roles/aiplatform.colabEnterpriseAdmin
) e Usuário do Colab Enterprise (roles/aiplatform.colabEnterpriseUser
).Para funções relacionadas ao gerenciamento de execução, consulte Administrador de ambiente de execução do notebook (
roles/aiplatform.notebookRuntimeAdmin
) e Usuário do ambiente de execução do notebook (roles/aiplatform.notebookRuntimeUser
).O Administrador da Vertex AI (
roles/aiplatform.admin
), o Usuário da Vertex AI (roles/aiplatform.user
) e o Visualizador da Vertex AI (roles/aiplatform.viewer
) também incluem permissões do Colab Enterprise.
Role | Permissions |
---|---|
Vertex AI Administrator( Grants full access to all resources in Vertex AI |
|
Vertex AI Batch Prediction Service Agent( Vertex AI Batch Prediction Service Agent for serving batch prediction requests. |
|
Colab Enterprise Admin( Admin role of using colab enterprise. |
|
Colab Enterprise User( User role of using colab enterprise. |
|
Vertex AI Colab Service Agent( Gives Vertex AI Colab the proper permissions to function. |
|
Vertex AI Custom Code Service Agent( Gives Vertex AI Custom Code the proper permissions. |
|
Vertex AI Feature Store EntityType owner( Provides full access to all permissions for a particular entity type resource. Lowest-level resources where you can grant this role:
|
|
Vertex AI Platform Express Admin Beta( Grants admin access to Vertex AI Express |
|
Vertex AI Platform Express User Beta( Grants user access to Vertex AI Express |
|
Vertex AI Extension Custom Code Service Agent( Gives Vertex AI Extension that executes custom code the permissions it needs to function. |
|
Vertex AI Extension Service Agent( Gives Vertex AI Extension the permissions it needs to function. |
|
Vertex AI Feature Store Admin( Grants full access to all resources in Vertex AI Feature Store Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Viewer( This role provides permissions to read Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Data Writer( This role provides permissions to read and write Feature data. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Instance Creator( Administrator of Featurestore resources, but not the child resources under Featurestores. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store Resource Viewer( Viewer of all resources in Vertex AI Feature Store but cannot make changes. Lowest-level resources where you can grant this role:
|
|
Vertex AI Feature Store User Beta( Deprecated. Use featurestoreAdmin instead. |
|
Vertex AI Migration Service User( Grants access to use migration service in Vertex AI |
|
Vertex AI Model Monitoring Service Agent( Gives Vertex AI Model Monitoring the permissions it needs to function. |
|
Notebook Executor User Beta( Grants users full access to schedules and notebook execution jobs. |
|
Notebook Runtime Admin( Grants full access to all runtime templates and runtimes in Notebook Service. |
|
Notebook Runtime User( Grants users permissions to create runtime resources using a runtime template and manage the runtime resources they created. |
|
Vertex AI Notebook Service Agent( Vertex AI Service Agent used to run Notebook managed resources in user project with restricted permissions. |
|
Vertex AI Online Prediction Service Agent( Gives Vertex AI Online Prediction the permissions it needs to function. |
|
Vertex AI Platform Provisioned Throughput Admin Beta( Grants access to use all resources related to Vertex AI Provisioned Throughput |
|
Vertex AI RAG Data Service Agent( Vertex AI Service Agent used by Vertex RAG to access user imported data, Vertex AI, Document AI processors in the project |
|
Vertex AI Rapid Eval Service Agent( Vertex AI Service Agent used by GenAI Rapid Evaluation Service to access publisher model endpoints in the user project |
|
Vertex AI Reasoning Engine Service Agent( Gives Vertex AI Reasoning Engine the proper permissions to function. The aiplatform.reasoningEngines.create IAM permission implies read access to the GCS objects of the consumer project through this service agent. |
|
Vertex AI Service Agent( Gives Vertex AI the permissions it needs to function. |
|
Vertex AI Telemetry Service Agent( Allows Vertex AI Telemetry Service Agent to access telemetry data. |
|
Vertex AI Tensorboard Web App User Beta( Grants access to the Vertex AI TensorBoard web app. |
|
Vertex AI Tuning Service Agent( Vertex AI Service Agent used for tuning in user project. |
|
Vertex AI User( Grants access to use all resource in Vertex AI |
|
Vertex AI Viewer( Grants access to view all resource in Vertex AI |
|
Papéis básicos
Os Google Cloud papéis básicos mais antigos são comuns a todos os Google Cloud serviços. Esses papéis são de Proprietário, Editor e Visualizador.
Os papéis básicos fornecem permissões em todo o Google Cloud, não apenas no Colab Enterprise. Por esse motivo, use as funções do Colab Enterprise sempre que possível.
Papéis personalizados
Se os papéis predefinidos do IAM para o Colab Enterprise não atenderem às suas necessidades, defina papéis personalizados. Os papéis personalizados permitem escolher um conjunto específico de permissões, criar seu próprio papel com elas e concedê-lo aos usuários da organização. Para mais informações, consulte Noções básicas sobre papéis personalizados do IAM.
Agentes de serviço para o Colab Enterprise
O Colab Enterprise cria e usa automaticamente agentes de serviço para acessar recursos em seu nome. Quando um agente de serviço é criado, ele recebe um papel predefinido para o projeto.
A tabela a seguir lista os agentes de serviço do Colab Enterprise, os endereços de e-mail e os respectivos papéis:
Nome | Usado para | Endereço de e-mail | Papel |
---|---|---|---|
Agente de serviço da Vertex AI | Recursos da Vertex AI | service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com |
roles/aiplatform.serviceAgent |
Agente de serviço da Vertex AI Colab | Concede ao Colab Enterprise as permissões adequadas para funcionar | service-PROJECT_NUMBER@gcp-sa-vertex-nb.iam.gserviceaccount.com |
roles/aiplatform.colabServiceAgent |
Agente de serviço da Vertex AI para Notebook | Executar recursos gerenciados por notebooks no projeto do usuário com permissões restritas | service-PROJECT_NUMBER@gcp-sa-aiplatform-vm.iam.gserviceaccount.com |
roles/aiplatform.notebookServiceAgent |
Se você remover os papéis padrão dos agentes de serviço do Colab Enterprise, o Colab Enterprise poderá reatribuí-los automaticamente para garantir a funcionalidade ininterrupta do serviço. Para desativar o serviço do Colab Enterprise, desative as APIs relevantes em vez de remover papéis.
A seguir
Conceder a um principal o acesso a um bloco do Colab Enterprise.
Saiba como criar e gerenciar papéis personalizados de IAM.
Saiba mais sobre os agentes de serviço