Gestire l'accesso a un'istanza di notebook gestiti
Questa guida descrive come concedere l'accesso a un'istanza specifica di notebook gestiti di Vertex AI Workbench. Per gestire l'accesso alle risorse Vertex AI, consulta la pagina di Vertex AI sul controllo dell'accesso.
Puoi concedere l'accesso a un'istanza di Managed Notebooks impostando un criterio IAM (Identity and Access Management) sull'istanza. La policy vincola una o più entità, ad esempio un utente o un account di serviziot, a uno o più ruoli. Ogni ruolo contiene un elenco di autorizzazioni che consentono all'entità di interagire con l'istanza.
Puoi concedere l'accesso a un'istanza anziché a una risorsa padre come un progetto, una cartella o un'organizzazione, per applicare il principio del privilegio minimo.
Se concedi l'accesso a una risorsa principale (ad esempio a un progetto), concedi implicitamente l'accesso a tutte le sue risorse secondarie (ad esempio a tutte le istanze del progetto). Per limitare l'accesso alle risorse, imposta le policy IAM sulle risorse di livello inferiore, se possibile, anziché a livello di progetto o superiore.
Per informazioni generali su come concedere, modificare e revocare l'accesso alle risorse non correlate a Vertex AI Workbench, ad esempio per concedere l'accesso a un progetto Google Cloud , consulta la documentazione IAM relativa a Concessione, modifica e revoca dell'accesso alle risorse.
Limitazioni di accesso
L'accesso a un'istanza può includere un'ampia gamma di funzionalità, a seconda del ruolo che assegni all'entità. Ad esempio, puoi concedere a un principal la possibilità di avviare, arrestare, eseguire l'upgrade e monitorare lo stato di integrità di un'istanza. Per l'elenco completo delle autorizzazioni IAM disponibili, consulta Ruoli IAM gestiti predefiniti per Managed Notebooks.
Tuttavia, anche se concedi a un principal l'accesso completo a un'istanza di blocchi note gestiti, non gli concedi la possibilità di utilizzare l'interfaccia JupyterLab dell'istanza. Per concedere l'accesso all'interfaccia JupyterLab, consulta Gestire l'accesso all'interfaccia JupyterLab di un'istanza di blocchi note gestiti.
Concedere l'accesso alle istanze di notebook gestiti
Per concedere agli utenti l'autorizzazione di accesso a una specifica istanza di Managed Notebooks, imposta una policy IAM sull'istanza.
Per concedere un ruolo a un'entità in
un'istanza di Managed Notebooks, utilizza il
metodo getIamPolicy
per recuperare il criterio attuale,
modificare l'accesso del criterio attuale e poi utilizzare il
metodo setIamPolicy
per aggiornare il criterio nell'istanza.
Recupera la norma attuale
Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:
- INSTANCE_NAME: il nome dell'istanza di Managed Notebooks
Metodo HTTP e URL:
GET https://notebooks.googleapis.com/v1/INSTANCE_NAME:getIamPolicy
Per inviare la richiesta, scegli una di queste opzioni:
curl
Esegui questo comando:
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://notebooks.googleapis.com/v1/INSTANCE_NAME:getIamPolicy"
PowerShell
Esegui questo comando:
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method GET `
-Headers $headers `
-Uri "https://notebooks.googleapis.com/v1/INSTANCE_NAME:getIamPolicy" | Select-Object -Expand Content
{ "bindings": [ { "role": "roles/notebooks.viewer", "members": [ "user:email@example.com" ] } ], "etag": "BwWWja0YfJA=", "version": 3 }
Modifica la norma
Modifica la policy con un editor di testo per aggiungere o rimuovere le entità e
i relativi ruoli associati. Ad esempio, per concedere il ruolo notebooks.admin
a
eve@example.com, aggiungi la seguente nuova associazione alla policy
nella sezione "bindings"
:
{
"role": "roles/notebooks.admin",
"members": [
"user:eve@example.com"
]
}
Dopo aver aggiunto la nuova associazione, il criterio potrebbe avere il seguente aspetto:
{
"bindings": [
{
"role": "roles/notebooks.viewer",
"members": [
"user:email@example.com"
]
},
{
"role": "roles/notebooks.admin",
"members": [
"user:eve@example.com"
]
}
],
"etag": "BwWWja0YfJA=",
"version": 3
}
Aggiorna il criterio sull'istanza
Nel corpo della richiesta, fornisci la policy IAM
aggiornata del passaggio precedente, nidificata all'interno di una sezione "policy"
.
Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:
- INSTANCE_NAME: il nome dell'istanza di Managed Notebooks
Metodo HTTP e URL:
POST https://notebooks.googleapis.com/v1/INSTANCE_NAME:setIamPolicy
Corpo JSON della richiesta:
{ "policy": { "bindings": [ { "role": "roles/notebooks.viewer", "members": [ "user:email@example.com" ] }, { "role": "roles/notebooks.admin", "members": [ "user:eve@example.com" ] } ], "etag": "BwWWja0YfJA=", "version": 3 } }
Per inviare la richiesta, scegli una di queste opzioni:
curl
Salva il corpo della richiesta in un file denominato request.json
,
ed esegui questo comando:
curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://notebooks.googleapis.com/v1/INSTANCE_NAME:setIamPolicy"
PowerShell
Salva il corpo della richiesta in un file denominato request.json
,
ed esegui questo comando:
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://notebooks.googleapis.com/v1/INSTANCE_NAME:setIamPolicy" | Select-Object -Expand Content
Dovresti ricevere un codice di stato riuscito (2xx) e una risposta vuota.
Concedere l'accesso all'interfaccia JupyterLab
La concessione dell'accesso a un principal a un'istanza di blocchi note gestiti non concede la possibilità di utilizzare l'interfaccia JupyterLab dell'istanza. Per concedere l'accesso all'interfaccia JupyterLab, consulta Gestire l'accesso all'interfaccia JupyterLab di un'istanza di blocchi note gestiti.
Passaggi successivi
Per saperne di più su Identity and Access Management (IAM) e su come i ruoli IAM possono contribuire a concedere e limitare l'accesso, consulta la documentazione IAM.
Scopri i ruoli IAM disponibili per i notebook gestiti di Vertex AI Workbench.
Scopri come creare e gestire i ruoli personalizzati.
Per scoprire come concedere l'accesso ad altre risorse Google, consulta Gestire l'accesso ad altre risorse.