Zugriff auf Vertex AI Workbench steuern

Sie können den Zugriff auf Vertex AI Workbench für eine Organisation oder ein Projekt gewähren und einschränken. Dazu definieren Sie eine Organisationsrichtlinie mit dem Richtlinientyp GDCHRestrictedService. Damit können Sie einschränken, welche Dienste Sie in Google Distributed Cloud (GDC) Air-Gapped verwenden können. Wenn die Richtlinie angewendet wird, wird die Verwendung der APIs, auf die sie verweist, verhindert.

Mit diesem Richtlinientyp können Sie beispielsweise die Verwendung von Vertex AI Workbench auf bestimmte Projekte beschränken. Nur in nicht eingeschränkten Organisationen oder Projekten können JupyterLab-Notebooks erstellt oder aktualisiert werden. Sie können die Richtlinie auch verwenden, um den Zugriff auf den Vertex AI Workbench-Dienst vollständig einzuschränken, weil Sie Tests durchführen möchten, bevor Sie Ihren Teams die Verwendung erlauben.

Auf dieser Seite wird beschrieben, wie Sie den Zugriff auf Vertex AI Workbench mit dem Richtlinientyp GDCHRestrictedService gewähren und einschränken. Weitere Informationen zu Organisationsrichtlinien und zum Bearbeiten der Organisationsrichtlinie GDCHRestrictedService finden Sie unter Organisationsrichtlinien konfigurieren.

Hinweise

Bitten Sie Ihren IAM-Administrator der Organisation, Ihnen die Clusterrolle „GDC Restricted Service Policy Admin“ (gdchrestrictedservice-policy-admin) in Ihrem Projekt-Namespace zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Gewähren oder Einschränken des Zugriffs auf Vertex AI Workbench für eine Organisation oder ein Projekt benötigen.

Weitere Informationen zu dieser Rolle finden Sie unter IAM-Berechtigungen vorbereiten.

Zugriff auf Vertex AI Workbench für Ihre Organisation einschränken

Wenn Sie den Zugriff auf Vertex AI Workbench für Ihre Organisation einschränken möchten, bearbeiten Sie den Richtlinientyp GDCHRestrictedService, indem Sie die API-Gruppe aiplatform.gdc.goog und die Art Notebook dem Feld kinds der Richtlinie hinzufügen.

Das folgende Beispiel zeigt, wie das Feld kinds im Richtlinientyp GDCHRestrictedService aussieht, wenn Sie den Zugriff auf Vertex AI Workbench für Ihre gesamte Organisation einschränken:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Informationen zum Wiederherstellen des Zugriffs einer Organisation auf Vertex AI Workbench finden Sie unter Zugriff auf Vertex AI Workbench für Ihre Organisation gewähren.

Zugriff auf Vertex AI Workbench für ein Projekt einschränken

Wenn Sie den Zugriff auf Vertex AI Workbench für ein Projekt einschränken möchten, bearbeiten Sie den Richtlinientyp GDCHRestrictedService, indem Sie die API-Gruppe aiplatform.gdc.goog und die Art Notebook dem Feld kinds der Richtlinie für den Projektnamespace hinzufügen.

Im Unterschied zum Einschränken des Zugriffs für eine Organisation müssen Sie den Namespace angeben, auf den sich die Richtlinie auswirken soll. Fügen Sie der Richtlinie das Feld namespaces mit Ihrem Projekt-Namespace hinzu.

Im folgenden Beispiel sehen Sie, wie das Feld kinds im Richtlinientyp GDCHRestrictedService aussieht, wenn Sie den Zugriff auf Vertex AI Workbench für ein Projekt einschränken:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

[...]

Ersetzen Sie PROJECT_NAMESPACE durch den Namespace des Projekts, in dem Sie den Zugriff auf Vertex AI Workbench einschränken möchten.

Zugriff auf Vertex AI Workbench für Ihre Organisation gewähren

Standardmäßig haben Distributed Cloud-Organisationen Zugriff auf Vertex AI Workbench. Wenn Sie jedoch den Zugriff auf Vertex AI Workbench für Ihre Organisation eingeschränkt haben, können Sie den Zugriff wieder gewähren.

So gewähren Sie Zugriff auf Vertex AI Workbench für alle Projekte in Ihrer Organisation:

  1. Ermitteln Sie den GDCHRestrictedService-Richtlinientyp in Ihrer Organisation.

  2. Suchen Sie in der Richtlinie nach der aiplatform.gdc.goog-API-Gruppe und der Art Notebook.

  3. Wenn die API-Gruppe aiplatform.gdc.goog und die Art Notebook die einzigen Inhalte im Feld kinds der Richtlinie sind, löschen Sie die Ressource GDCHRestrictedService.

  4. Wenn die Richtlinie GDCHRestrictedService andere eingeschränkte Dienste enthält, entfernen Sie die API-Gruppe aiplatform.gdc.goog und die Art Notebook aus dem Feld kinds und speichern Sie die Änderungen an der Richtlinie.