Zugriffssteuerung

Häufig müssen mehrere Teammitglieder zusammenarbeiten, um einen Agenten zu erstellen, und Dienste müssen auf den Agenten zugreifen. Mithilfe von Rollen können Sie steuern, welchen Zugriff und welche Berechtigungen einzelnen Hauptkonten gewährt werden sollen.

Sie können den Zugriff über die Dialogflow CX-Konsole (Informationen in der Dokumentation, Konsole öffnen) oder über die Google Cloud Console (Informationen in der Dokumentation, Console öffnen) mit Identity and Access Management (IAM) konfigurieren. Mit der Google Cloud Console werden Hauptkonten IAM-Rollen zugewiesen, mit der Dialogflow CX-Konsole Konversations-Agent-Rollen (Dialogflow CX). Die Rollen von Conversational Agents (Dialogflow CX) sind praktische vordefinierte Rollen, die von Conversational Agents (Dialogflow CX) definiert werden und den Zugriff auf einen Agent oder die untergeordneten Ressourcen eines bestimmten Agents einschränken.

In folgenden Situationen müssen Sie die Google Cloud Console verwenden:

• Die IAM-Projektinhaberrolle wird standardmäßig dem Nutzer zugewiesen, der das Projekt erstellt hat, dem der Agent gehört. Dieser Inhaber hat uneingeschränkten Zugriff auf alle Agents im Projekt. Wenn Sie den Projektinhaber ändern möchten, müssen Sie die Google Cloud Console verwenden.
• Der Zugriff auf Agent-Ebene kann nur über die Dialogflow CX-Konsole konfiguriert werden. Wenn Sie den Zugriff auf Projektebene konfigurieren möchten, müssen Sie die Google Cloud Console verwenden.
• Eine Teilmenge von IAM-Rollen verfügt über entsprechende Rollen für Conversational Agents (Dialogflow CX). Wenn Sie eine Rolle auf Projekt- oder Agent-Ebene zuweisen möchten, die in der Dialogflow CX-Konsole nicht vorhanden ist, müssen Sie die Google Cloud Console verwenden.
• Wenn Sie einen Datenspeicher-Agenten mit der Vertex AI Conversation-Benutzeroberfläche erstellen, müssen Sie die Google Cloud Console verwenden.

Wenn Sie die API verwenden, werden an einen Agent möglicherweise auch Anfragen von einer oder mehreren Anwendungen gesendet. In diesem Fall können Sie den Zugriff mithilfe von Dienstkonten steuern.

Zugriff mit der Dialogflow CX-Konsole steuern

Mit der Dialogflow CX-Konsole können Sie praktische Agentrollen anwenden, die für die Freigabe auf Agent-Ebene konfiguriert sind. Diese Rollen beziehen sich auf IAM-Rollen mit IAM-Bedingungen, die den Zugriff auf den jeweiligen Agent oder eine Teilmenge von untergeordneten Ressourcen des Agents einschränken.

Damit Sie über die Dialogflow CX-Konsole auf die Konfiguration von Agent-Rollen zugreifen können, benötigen Sie die Rolle Projekt-IAM-Administrator für das zugehörige Projekt. Diese Rolle wird über die Google Cloud Console gewährt.

Die Freigabeoptionen finden Sie in den Einstellungen des Agents. So öffnen Sie die Freigabeeinstellungen des Agents:

1. Öffnen Sie die Dialogflow CX Console.
2. Wählen Sie Ihr Google Cloud-Projekt aus.
3. Wählen Sie den Agent aus.
4. Klicken Sie auf Agent-Einstellungen.
5. Klicken Sie auf den Tab Share (Freigeben).

Hauptkonto hinzufügen

1. Klicken Sie auf Add.
2. Geben Sie die E-Mail-Adresse des Nutzers, der Gruppe oder des Dienstkontos ein.
3. Wählen Sie als E-Mail-Typ Nutzer, Gruppe oder Dienstkonto aus.
4. Die Rolle Dialogflow-Leser wird standardmäßig hinzugefügt. Diese ist erforderlich, damit die Nutzer auf die Dialogflow CX-Konsole zugreifen können.
5. Klicken Sie unter Rollen zuweisen auf Rolle hinzufügen.
6. Wählen Sie unter Typ einen Rollentyp aus.
7. Wählen Sie für die Rollen Ablaufeditor und Umgebungseditor bestimmte Abläufe oder Umgebungen aus oder behalten Sie die Standardoption Alle bei.
8. Legen Sie optional das Ablaufdatum für die Rolle fest.
9. Klicken Sie auf Speichern.

Hauptkontorollen ändern

1. Klicken Sie in der Liste auf das Hauptkonto.
2. Aktualisieren Sie die Rollen für dieses Hauptkonto im Pop-up-Fenster.
3. Klicken Sie auf Speichern.

Hauptkonto entfernen

1. Suchen Sie in der Liste nach dem Hauptkonto.
2. Klicken Sie auf die Schaltfläche delete zum Löschen des jeweiligen Hauptkontos.
3. Klicken Sie auf OK.

Zugriff mit der Google Cloud Console steuern

Sie können den Zugriff über die IAM-Einstellungen steuern. Ausführliche Informationen zum Hinzufügen, Bearbeiten und Entfernen von Berechtigungen finden Sie in der Kurzanleitung für IAM.

Öffnen Sie in der Google Cloud Console die Seite IAM, um auf die Einstellungen zuzugreifen.

Nutzer oder Dienstkonto zum Projekt hinzufügen

Wenn Sie Nutzern oder Dienstkonten Berechtigungen zuweisen möchten, können Sie ihnen Rollen für Ihr Google Cloud-Projekt zuweisen. Nutzer werden durch Angabe ihrer E-Mail-Adresse hinzugefügt. Auch Dienstkonten können durch die Angabe der zugehörigen E-Mail-Adresse hinzugefügt werden. Das Hinzufügen von Dienstkonten ist erforderlich, wenn Sie ein Dienstkonto für mehrere Projekte verwenden möchten. Die E-Mail-Adresse Ihres Dienstkontos finden Sie auf der IAM-Seite Dienstkonten in der Google Cloud Console.

So fügen Sie ein Hauptkonto hinzu:

1. Klicken Sie oben auf der Seite auf die Schaltfläche add zum Hinzufügen eines Mitglieds.
2. Geben Sie die E-Mail-Adresse Ihres Hauptkontos ein.
3. Wählen Sie eine Rolle aus.
4. Klicken Sie auf Speichern.

Berechtigungen ändern

1. Klicken Sie auf die Schaltfläche edit zum Bearbeiten des jeweiligen Hauptkontos.
2. Wählen Sie eine andere Rolle aus.
3. Klicken Sie auf Speichern.

Hauptkonto entfernen

1. Klicken Sie auf die Schaltfläche delete zum Löschen des jeweiligen Hauptkontos.

Bedingung hinzufügen, um den Zugriff auf einen Agent einzuschränken

Wenn Sie ein Hauptkonto hinzufügen oder bearbeiten, können Sie eine IAM-Bedingung erstellen, die den Zugriff auf einen Agent einschränkt.

Beispiel:

{
    "expression": "resource.name.startsWith(\"projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID\")",
    "title": "For Conversational Agents (Dialogflow CX) Agent AGENT_ID"
}

Mit dieser Bedingung erhalten Sie grundlegenden Zugriff auf einen bestimmten Agent. Zum Beispiel kann ein Dienstkonto mit dieser Bedingung nur die Conversational Agents (Dialogflow CX) API aufrufen, um auf den Agent zuzugreifen, der in der Bedingung für das Projekt angegeben ist, jedoch nicht für andere Agents im Projekt.

So fügen Sie diese Bedingung einer Rolle hinzu, die einem Hauptkonto zugewiesen ist:

1. Wählen Sie ein Hauptkonto aus.
2. Klicken Sie auf die Schaltfläche edit zum Bearbeiten des jeweiligen Hauptkontos.
3. Klicken Sie auf Bedingung hinzufügen.
4. Geben Sie im Feld Titel For Conversational Agents (Dialogflow CX) Agent AGENT_ID ein und ersetzen Sie "AGENT_ID" durch Ihre Agent-ID.
5. Sie können auch eine beliebige Beschreibung hinzufügen.
6. Wählen Sie den Bedingungseditor aus, um die Bedingung zu erstellen.
7. Fügen Sie den Ausdruck resource.name.startsWith("projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID") hinzu und ersetzen Sie AGENT_ID durch Ihre Agent-ID und PROJECT_ID durch Ihre Projekt-ID.
8. Klicken Sie auf Speichern.

IAM-Rollen

In der folgenden Tabelle sind gängige IAM-Rollen aufgeführt, die für Konversations-Agenten (Dialogflow CX) relevant sind. In der Zusammenfassung der Berechtigungen in der Tabelle werden die folgenden Begriffe verwendet:

• Vollständiger Zugriff: Berechtigung zum Ändern des Zugriffs, zum Erstellen, Löschen, Bearbeiten und Lesen beliebiger Ressourcen.
• Bearbeitungszugriff: Berechtigung zum Erstellen, Löschen, Bearbeiten und Lesen beliebiger Ressourcen.
• Sitzungszugriff: Berechtigung zum Aufrufen von Methoden für nur zur Laufzeit verfügbare Ressourcen während einer Unterhaltung, z. B. zum Erkennen von Intents, Aktualisieren des Kontexts, Aktualisieren von Sitzungsentitäten oder Unterhaltungsinteraktionen mit Agent Assist.
• Lesezugriff: Berechtigung zum Lesen einer beliebigen Ressource.

OAuth

Wenn Sie Google-Clientbibliotheken zum Zugriff auf Conversational Agents (Dialogflow CX) verwenden, müssen Sie OAuth nicht direkt verwenden, da diese Bibliotheken die Implementierung für Sie übernehmen. Wenn Sie jedoch Ihren eigenen Client implementieren, müssen Sie möglicherweise auch Ihren eigenen OAuth-Vorgang implementieren. Für den Zugriff auf die API für Konversations-Agenten (Dialogflow CX) ist einer der folgenden OAuth-Bereiche erforderlich:

• https://www.googleapis.com/auth/cloud-platform (Zugriff auf alle Projektressourcen)
• https://www.googleapis.com/auth/dialogflow (Zugriff auf Ressourcen für Conversational Agents (Dialogflow CX))

Anfragen, die den Zugriff auf Cloud Storage erfordern

Einige Conversational Agents (Dialogflow CX) fordern Zugriff auf Objekte in Cloud Storage an, um Daten zu lesen oder zu schreiben. Wenn Sie eine dieser Anfragen aufrufen, greift Conversational Agents (Dialogflow CX) im Namen des Anrufers auf die Cloud Storage-Daten zu. Das bedeutet, dass die Authentifizierung Ihrer Anfrage Berechtigungen für den Zugriff auf Conversational Agents (Dialogflow CX) sowie auf die Cloud Storage-Objekte haben muss.

Wenn Sie eine Google-Clientbibliothek und IAM-Rollen verwenden, finden Sie Informationen zu Cloud Storage-Rollen in der Anleitung zur Zugriffssteuerung für Cloud Storage.

Wenn Sie Ihren eigenen Client implementieren und OAuth verwenden, müssen Sie den folgenden OAuth-Gültigkeitsbereich verwenden:

• https://www.googleapis.com/auth/cloud-platform (Zugriff auf alle Projektressourcen)

Zugriffssteuerung für die Agent Builder-Konsole

Weitere Informationen finden Sie im Leitfaden zur Zugriffssteuerung für Vertex AI Agent Builder und Discovery Engine.

Benutzerdefinierte Rollen für den Zugriff auf das Playbook-Tool

Mithilfe von Berechtigungen und benutzerdefinierten Rollen können Sie eine detaillierte Zugriffssteuerung für Playbook-Tools ermöglichen.

Sie können die verfügbaren Berechtigungen auflisten, indem Sie das Suchtool für Berechtigungen aufrufen und nach dialogflow.tools suchen.

Mit diesen Berechtigungen können Sie benutzerdefinierte Rollen erstellen.