控管 Vertex AI Workbench 的存取權

您可以授予及限制機構或專案的 Vertex AI Workbench 存取權。為此，您可以使用 GDCHRestrictedService 政策類型定義組織政策，限制可在 Google Distributed Cloud (GDC) 實體隔離方案使用的服務。套用後，系統會禁止使用政策參照的 API。

舉例來說，您可以使用這類政策，限制只有特定專案能使用 Vertex AI Workbench。只有不受限制的組織或專案，才能建立或更新 JupyterLab 筆記本。您也可以使用這項政策，完全限制 Vertex AI Workbench 服務的存取權，以便在允許團隊使用前先執行測試。

本頁面說明如何使用 GDCHRestrictedService 政策類型，授予及限制 Vertex AI Workbench 的存取權。如要進一步瞭解組織政策，以及如何編輯 GDCHRestrictedService 組織政策，請參閱「設定組織政策」。

事前準備

  • 如要取得所需權限，授予或限制機構或專案的 Vertex AI Workbench 存取權，請要求 IAM 機構管理員授予您 GDC 受限服務政策管理員 (gdchrestrictedservice-policy-admin) 叢集角色。這個角色不會繫結至命名空間。如要進一步瞭解這個角色，請參閱「準備 IAM 權限」。

  • 定義 Management API 伺服器 kubeconfig 的路徑：

    export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG

建立限制

下列各節說明如何建立、更新、刪除及查看專案命名空間中特定服務的限制。

建立或更新限制

  • 如要為組織建立或更新限制，請執行：

    kubectl --kubeconfig=${KUBECONFIG} apply -f  - <<EOF
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: NAME
spec:
  match:
    scope: "Namespaced"
    namespaces: PROJECT_NAMESPACE
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook
EOF

刪除限制

  • 如要刪除限制，請執行：

    kubectl delete GDCHRestrictedService NAME

說明限制

  • 如要說明限制，請執行：

    kubectl describe GDCHRestrictedService NAME

限制貴組織對 Vertex AI Workbench 的存取權

如要限制貴組織對 Vertex AI Workbench 的存取權，請編輯 GDCHRestrictedService 政策類型，將 aiplatform.gdc.goog API 群組和 Notebook 種類新增至政策的 kinds 欄位。

以下範例說明當您限制整個組織對 Vertex AI Workbench 的存取權時，GDCHRestrictedService 政策類型中的 kinds 欄位會如何顯示：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

如要還原組織對 Vertex AI Workbench 的存取權，請參閱「為組織授予 Vertex AI Workbench 存取權」。

限制專案的 Vertex AI Workbench 存取權

如要限制專案的 Vertex AI Workbench 存取權，請編輯 GDCHRestrictedService 政策類型，方法是將 aiplatform.gdc.goog API 群組和 Notebook 種類新增至專案命名空間政策的 kinds 欄位。

與限制組織存取權的不同之處在於，您必須指定政策應影響的命名空間。將 namespaces 欄位新增至政策，並填入專案命名空間。

以下範例說明當您限制專案的 Vertex AI Workbench 存取權時，GDCHRestrictedService 政策類型中的 kinds 欄位會如何顯示：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: GDCHRestrictedService
metadata:
  name: restrict-notebook-for-organization
spec:
  match:
    scope: "Namespaced"
    namespaces: [PROJECT_NAMESPACE]
    kinds:
    - apiGroups:
      - "aiplatform.gdc.goog"
      kinds:
      - Notebook

# [...]

將 PROJECT_NAMESPACE 替換為要限制 Vertex AI Workbench 存取權的專案命名空間。

授予貴組織 Vertex AI Workbench 存取權

根據預設，Distributed Cloud 組織可以存取 Vertex AI Workbench。不過，如果您限制了貴組織對 Vertex AI Workbench 的存取權，可以再次授予存取權。

請按照下列步驟，為組織中的所有專案授予 Vertex AI Workbench 存取權：

  1. 找出貴組織的 GDCHRestrictedService 政策類型。

  2. 在政策中找出 aiplatform.gdc.goog API 群組和 Notebook 種類。

  3. 如果 aiplatform.gdc.goog API 群組和 Notebook 種類是政策 kinds 欄位中的唯一內容，請刪除 GDCHRestrictedService 資源。

  4. 如果 GDCHRestrictedService 政策包含其他受限服務，請從 kinds 欄位中移除 aiplatform.gdc.goog API 群組和 Notebook 種類，然後儲存政策變更。