IAM으로 액세스 제어
이 페이지에서는 Identity and Access Management (IAM) 를 사용하여 Colab Enterprise 리소스에 대한 액세스를 관리하는 방법을 설명합니다. 다른 Gemini Enterprise Agent Platform 리소스에 대한 액세스를 관리하려면 Agent Platform 액세스 제어를 IAM으로 참조하세요.
IAM으로 노트북 액세스 제어
프로젝트 수준 또는 노트북별로 Colab Enterprise 노트북 (IPYNB 파일)에 대한 액세스를 관리할 수 있습니다.
- 프로젝트 수준에서 노트북에 대한 액세스 권한을 부여하려면 주 구성원 (사용자, 그룹 또는 서비스 계정)에 역할을 하나 이상 할당합니다.
- 특정 노트북에 대한 액세스 권한을 부여하려면 노트북의 주 구성원에게 역할을 하나 이상 할당합니다. 자세한 내용은 노트북에 대한 액세스 관리를 참조하세요.
다른 서비스와 상호작용하는 코드 실행 Google Cloud
노트북에 대한 액세스 권한 부여는 노트북과의 상호작용과 관련된 특정 권한으로 제한됩니다. 예를 들어 노트북을 만들거나, 노트북에 코드를 작성하거나, 노트북을 삭제하는 기능을 부여할 수 있습니다.
다른 서비스와 상호작용하는 코드를 실행하려면 다음 방법 중 하나를 사용해야 합니다. Google Cloud
최종 사용자 인증 정보가 사용 설정된 런타임에서 코드를 실행합니다. 즉, 노트북이 Google Cloud 노트북 사용자와 동일한 서비스 액세스 권한을 갖습니다.
서비스와 상호작용하도록 노트북을 인증하고 승인하는 코드를 실행합니다. Google Cloud
자세한 내용은 와 상호작용하는 코드 실행 Google Cloud을 참조하세요.
IAM 역할 유형
Colab Enterprise에서 사용할 수 있는 다양한 IAM 역할 유형이 있습니다.
사전 정의된 역할을 사용하면 프로젝트 수준에서 Colab Enterprise 리소스에 대한 관련 권한 집합을 부여할 수 있습니다.
기본 역할 (소유자, 편집자, 뷰어)은 프로젝트 수준에서 Colab Enterprise 리소스에 대한 액세스 제어를 제공하며 모든 Google Cloud 서비스에 공통으로 적용됩니다.
커스텀 역할을 사용하면 특정 권한 집합을 선택하고, 해당 권한을 사용하여 고유한 역할을 만들고, 조직의 사용자에게 역할을 부여할 수 있습니다.
Colab Enterprise 프로젝트에서 이러한 역할을 추가, 업데이트 또는 삭제하려면 프로젝트, 폴더, 조직에 대한 액세스 관리 문서를 참조하세요.
Colab Enterprise의 사전 정의된 역할
Colab Enterprise는 Agent Platform의 일부이며 Colab Enterprise 리소스는 Agent Platform API를 통해 관리됩니다. 따라서 에이전트 플랫폼 역할을 통해 주 구성원에게 Colab Enterprise 리소스에 대한 액세스 권한을 부여할 수 있습니다.
다음 표에는 모든 Agent Platform 사전 정의된 역할이 포함되어 있습니다.
일반적인 Colab Enterprise 작업에 사전 정의된 역할을 사용하려면 Colab Enterprise 관리자 (
roles/aiplatform.colabEnterpriseAdmin) 및 Colab Enterprise 사용자 (roles/aiplatform.colabEnterpriseUser)를 참조하세요.런타임 관리와 관련된 역할은 노트북 런타임 관리자 (
roles/aiplatform.notebookRuntimeAdmin) 및 노트북 런타임 사용자 (roles/aiplatform.notebookRuntimeUser)를 참조하세요.Agent Platform 관리자 (
roles/aiplatform.admin), Agent Platform 사용자 (roles/aiplatform.user), 및Agent Platform 뷰어 (roles/aiplatform.viewer)에도 Colab Enterprise 권한이 포함되어 있습니다.
| Role | Permissions |
|---|---|
Agent Platform Administrator( Grants full access to all resources in Agent Platform. |
|
Aiplatform Editor( Editor role for aiplatform |
|
Agent Platform Express User Beta( Grants user access to Agent Platform Express. |
|
Agent Platform User( Grants access to use all resource in Agent Platform. |
|
Agent Platform Viewer( Grants access to view all resource in Agent Platform. |
|
Colab Enterprise Admin( Admin role of using colab enterprise. |
|
Colab Enterprise User( User role of using colab enterprise. |
|
Agent Platform Feature Store EntityType owner( Provides full access to all permissions for a particular entity type resource. Lowest-level resources where you can grant this role:
|
|
Agent Platform Express Admin Beta( Grants admin access to Agent Platform Express. |
|
Agent Platform Feature Store Admin( Grants full access to all resources in Agent Platform Feature Store. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Data Viewer( This role provides permissions to read Feature data. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Data Writer( This role provides permissions to read and write Feature data. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Instance Creator( Administrator of Featurestore resources, but not the child resources under Featurestores. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store Resource Viewer( Viewer of all resources in Agent Platform Feature Store but cannot make changes. Lowest-level resources where you can grant this role:
|
|
Agent Platform Feature Store User Beta( Deprecated. Use featurestoreAdmin instead. |
|
Agent Platform Memory Bank Editor Role( Grants edit access to Agent Platform Memory Bank. |
|
Agent Platform Memory Bank User Role( Grants full user access to Agent Platform Memory Bank. |
|
Agent Platform Memory Bank Viewer Role( Grants viewer access to Agent Platform Memory Bank. |
|
Agent Platform Migration Service User( Grants access to use migration service in Agent Platform |
|
Notebook Executor User Beta( Grants users full access to schedules and notebook execution jobs. |
|
Notebook Runtime Admin( Grants full access to all runtime templates and runtimes in Notebook Service. |
|
Notebook Runtime User( Grants users permissions to create runtime resources using a runtime template and manage the runtime resources they created. |
|
Vertex AI Platform Provisioned Throughput Admin Beta( Grants access to use all resources related to Vertex AI Provisioned Throughput |
|
Vertex AI Platform Publisher Provisioned Throughput Admin Beta( Grants Publisher access to use all resources related to Vertex AI Provisioned Throughput Orders |
|
Vertex AI Platform Publisher Provisioned Throughput Viewer Beta( Grants Publisher access to view all resources related to Vertex AI Provisioned Throughput Orders |
|
Agent Platform Sessions Editor Role( Grants edit access to Agent Platform Sessions. |
|
Agent Platform Sessions User Role( Grants full user access to Agent Platform Sessions. |
|
Agent Platform Sessions Viewer Role( Grants viewer access to Agent Platform Sessions |
|
Agent Platform Tensorboard Web App User Beta( Grants access to the Vertex AI TensorBoard web app. |
|
Service agent roles
Service agent roles should only be granted to service agents.
| Role | Permissions |
|---|---|
Vertex AI Agent Sandbox Service Agent( Vertex AI Service Agent used to access Agent Sandbox managed resources in consumer project with restricted permissions. |
|
Vertex AI Batch Prediction Service Agent( Vertex AI Batch Prediction Service Agent for serving batch prediction requests. |
|
Vertex AI Colab Service Agent( Gives Vertex AI Colab the proper permissions to function. |
|
Vertex AI Custom Code Service Agent( Gives Vertex AI Custom Code the proper permissions. The aiplatform.customJobs.create IAM permission is highly privileged. Through Vertex AI Custom Training jobs, it effectively grants editor-level access to other services activated for the consumer project, such as GCS and BigQuery. |
|
Vertex AI Extension Custom Code Service Agent( Gives Vertex AI Extension that executes custom code the permissions it needs to function. |
|
Vertex AI Extension Service Agent( Gives Vertex AI Extension the permissions it needs to function. |
|
Vertex AI Model Monitoring Service Agent( Gives Vertex AI Model Monitoring the permissions it needs to function. |
|
Vertex AI Notebook Service Agent( Vertex AI Service Agent used to run Notebook managed resources in user project with restricted permissions. |
|
Vertex AI Online Prediction Service Agent( Gives Vertex AI Online Prediction the permissions it needs to function. |
|
Vertex AI RAG Data Service Agent( Vertex AI Service Agent used by Vertex RAG to access user imported data, Vertex AI, Document AI processors, and Vector Search in the project |
|
Vertex AI Rapid Eval Service Agent( Vertex AI Service Agent used by GenAI Rapid Evaluation Service to access publisher model endpoints in the user project |
|
Vertex AI Reasoning Engine Service Agent( Gives Vertex AI Reasoning Engine the proper permissions to function. The aiplatform.reasoningEngines.create IAM permission implies read access to the GCS objects of the consumer project through this service agent. |
|
Vertex AI Service Agent( Gives Vertex AI the permissions it needs to function. |
|
Vertex AI Telemetry Service Agent( Allows Vertex AI Telemetry Service Agent to access telemetry data. |
|
Vertex AI Tuning Service Agent( Vertex AI Service Agent used for tuning in user project. |
|
기본 역할
이전 Google Cloud기본 역할은 모든 Google Cloud 서비스에 공통으로 적용됩니다. 이러한 역할은 소유자, 편집자, 뷰어입니다.
기본 역할은 Colab Enterprise뿐만 아니라 전반에 대한 권한을 제공합니다 Google Cloud. 이러한 이유로 가능하면 Colab Enterprise 역할을 사용해야 합니다.
커스텀 역할
Colab Enterprise의 사전 정의된 IAM 역할이 필요에 맞지 않는 경우 커스텀 역할을 정의할 수 있습니다. 커스텀 역할을 사용하면 특정 권한 집합을 선택하고, 해당 권한을 사용하여 고유한 역할을 만들고, 조직의 사용자에게 역할을 부여할 수 있습니다. 자세한 내용은 Understanding IAM 맞춤 역할을 참조하세요.
Colab Enterprise의 서비스 에이전트
Colab Enterprise는 사용자를 대신하여 리소스에 액세스하기 위해 서비스 에이전트를 자동으로 만들고 사용합니다. 서비스 에이전트가 생성되면 서비스 에이전트에게 프로젝트의 사전 정의된 역할이 부여됩니다.
다음 표에는 Colab Enterprise 서비스 에이전트, 이메일 주소, 각 역할이 나와 있습니다.
| 이름 | 연결 대상: | 이메일 주소 | 역할 |
|---|---|---|---|
| Vertex AI 서비스 에이전트 | Agent Platform 기능 | service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com |
roles/aiplatform.serviceAgent |
| Vertex AI Colab 서비스 에이전트 | 작동하는 데 필요한 적절한 권한을 Colab Enterprise에 부여합니다. | service-PROJECT_NUMBER@gcp-sa-vertex-nb.iam.gserviceaccount.com |
roles/aiplatform.colabServiceAgent |
| Vertex AI 노트북 서비스 에이전트 | 제한된 권한으로 사용자 프로젝트에서 노트북 관리형 리소스를 실행합니다. | service-PROJECT_NUMBER@gcp-sa-aiplatform-vm.iam.gserviceaccount.com |
roles/aiplatform.notebookServiceAgent |
Colab Enterprise 서비스 에이전트의 기본 역할을 삭제하면 Colab Enterprise에서 중단 없는 서비스 기능을 보장하기 위해 이러한 역할을 자동으로 다시 할당할 수 있습니다. Colab Enterprise 서비스를 사용 중지하려면 역할을 삭제하는 대신 관련 API를 사용 중지해야 합니다.
Colab Enterprise 권한의 보안 고려사항
사용자가 Colab Enterprise 노트북을 만들면 해당 노트북에 대한
코드 소유자 (roles/dataform.codeOwner)
역할이 자동으로
부여됩니다. 이 리소스 수준 역할 부여는 프로젝트 수준 IAM 역할과 별개입니다.
IAM은 정책을 계층적 방식으로 구성합니다.
- 사용자는 프로젝트 IAM 정책에서 역할을 가질 수 있으며, 이 역할은 프로젝트의 모든 리소스에 자동으로 전파됩니다.
- 사용자는 개별 노트북과 같은 특정 리소스 정책에서 역할을 가질 수도 있습니다.
사용자는 리소스 정책 또는 상위 정책 중 하나에 역할이 있는 경우 리소스에 액세스할 수 있습니다.
사용자의 액세스 권한을 완전히 취소하려면 관리자가 다음 중 하나를 수행하면 됩니다.
- 각 개별 노트북에서 사용자의 역할을 삭제합니다. 자세한 내용은 노트북에서 리소스 수준 액세스 권한 삭제를 참조하세요.
- IAM 거부 정책을 만들어 프로젝트의 모든 리소스에서 사용자의 모든 권한을 취소합니다.
다음 단계
커스텀 IAM 역할 생성 및 관리 방법 알아보기.
서비스 에이전트 자세히 알아보기