本頁面說明如何使用 Identity and Access Management (IAM) 控管 AI Applications 資源的 Discovery Engine API 存取權和權限。
總覽
Google Cloud 提供 IAM，可讓您以更精細的方式授予使用者特定 Google Cloud 資源的存取權，避免其他資源遭到未經授權者擅自存取。本頁面說明 AI Applications 的 IAM 角色和權限。如需 Google CloudIAM 的詳細說明，請參閱 IAM 說明文件。
AI 應用程式提供一組預先定義的角色，旨在協助您控管 AI 應用程式資源的存取權。如果預先定義的角色未提供您需要的權限集，您也可以建立自己的自訂角色。此外，您仍可使用舊版基本角色 (編輯者、檢視者和擁有者)，但這些角色無法提供與 AI 應用程式角色相同的精細控管能力。尤其基本角色提供的是跨 Google Cloud 的資源存取權，而非僅限於 AI 應用程式。詳情請參閱基本角色說明文件。
預先定義的角色
AI 應用程式提供一些預先定義角色，可為主體提供更精細的權限。您授予主體的角色會控管主體可採取的動作。主體可以是個人、群組或服務帳戶。
您可以為相同的主體授予多個角色，並且隨時變更授予主體的角色 (前提是您有權限這樣做)。
權限範圍越廣的角色會包含定義較為狹隘的角色。舉例來說，Discovery Engine 編輯者角色包含 Discovery Engine 檢視者角色的所有權限，再加上 Discovery Engine 編輯者角色的額外權限。同樣地，Discovery Engine 管理員角色包含 Discovery Engine 編輯者角色的所有權限，以及額外權限。
基本角色 (擁有者、編輯者、檢視者) 提供跨 Google Cloud的權限。AI 應用程式的專屬角色僅提供 AI 應用程式權限，除了下列 Google Cloud權限，這些權限為一般 Google Cloud 使用所需：
resourcemanager.projects.getresourcemanager.projects.listserviceusage.services.listserviceusage.services.get
下表列出 AI Applications IAM 角色，以及各角色具備的所有權限對應清單。
| 角色 | 權限 |
|---|---|
Discovery Engine 管理員( 可授予所有 discoveryengine 資源的完整存取權。 |
|
Discovery Engine 編輯器( 可授予所有 Discovery Engine 資源的讀寫權限。 |
|
Discovery Engine 使用者( 可授予使用者層級的 Discovery Engine 資源存取權。 |
|
Discovery Engine 檢視者( 可讀取所有 Discovery Engine 資源。 |
|
管理 AI 應用程式身分與存取權管理
您可以使用 Google Cloud主控台取得及設定 IAM 允許政策和 IAM 角色。詳情請參閱「管理專案、資料夾和機構的存取權」。
後續步驟
- 瞭解如何管理專案、資料夾和機構的存取權。
- 進一步瞭解身分與存取權管理。
- 進一步瞭解基本角色。
- 進一步瞭解自訂角色。