Oracle Cloud Infrastructure-Dokumentation

Modellinferenzzugriff mit IAM-Policys einschränken

Verwenden Sie eine IAM-Policy-Bedingung mit target.model.id, um den Inferenzzugriff einer Gruppe auf genehmigte generative KI-Modelle zu begrenzen.

IAM-Bedingungen auf Modellebene bieten eine präventive Kontrolle, die begrenzt, welche Modelle die Mitglieder einer angegebenen Gruppe für Inferenz verwenden können. Eine Inferenzanforderung von einem Mitglied dieser Gruppe wird nur autorisiert, wenn ihre Modell-ID mit der Bedingung in der Policy übereinstimmt.

In diesem Thema stellt <group-name> die Gruppe dar, deren Modellinferenzzugriff Sie einschränken möchten.

Wichtig

In den Policy-Beispielen wird der aggregierte Ressourcentyp generative-ai-family verwendet. Die in diesem Thema beschriebene Einschränkung target.model.id gilt jedoch nur für die Modellinferenz. Die betroffenen Inferenzressourcentypen in generative-ai-family sind:

  • generative-ai-chat
  • generative-ai-text-embedding
  • generative-ai-text-rerank

Die Einschränkung gilt nicht für Verwaltungsvorgänge für die anderen Ressourcentypen, die in generative-ai-family enthalten sind. Eine vollständige Liste der eingeschlossenen Ressourcentypen finden Sie unter Individuelle Ressourcentypen für generative KI.

Wenn Mitglieder dieser Gruppe in der Konsole arbeiten, gewähren Sie der Gruppe beide Zugriffstypen:

  1. Erteilen Sie der Gruppe die Mindestberechtigung inspect generative-ai-model, damit ihre Mitglieder ListModels ausführen und ein Modell auswählen können.
  2. Erteilen Sie dieselbe Gruppenberechtigung use generative-ai-family mit einer target.model.id-Bedingung, damit ihre Mitglieder nur die genehmigten Modelle aufrufen können.

Das Verb use enthält zwar die von inspect erteilten Berechtigungen, die Bedingung target.model.id gilt jedoch für jede Berechtigung in der bedingten Policy-Anweisung. Die Syntax für einzelne und mehrere Bedingungen und Musterwerte finden Sie unter Policy-Syntax.

Wichtig

IAM-Policys sind kumulativ. Um die Inferenzbeschränkung durchzusetzen, stellen Sie sicher, dass keine andere Policy dieser Gruppe oder ihren Mitgliedern einen umfassenderen Inferenzzugriff über generative-ai-family, generative-ai-chat, generative-ai-text-embedding oder generative-ai-text-rerank ohne eine target.model.id-Bedingung erteilt.

Suchen Sie Modell-IDs auf den einzelnen Modellseiten, die über Generative KI-Modelle nach Region verknüpft sind. Einschränkungen der Modellinferenz, die für einen API-Schlüssel für generative KI gelten, finden Sie unter Schlüsselberechtigungen hinzufügen.

Inferenzzugriff auf bestimmte Modelle zulassen

Erteilen Sie für eine strikte Inferenzausnahmeliste die Berechtigung use der Gruppe nur, wenn target.model.id mit einer genehmigten Modell-ID übereinstimmt. Damit die Gruppe ein Modell aufrufen kann, verwenden Sie eine einzelne Bedingung. Beispiel:

allow group <group-name> to use generative-ai-family in tenancy
where target.model.id = 'google.gemini-2.5-flash'

Um zuzulassen, dass die Gruppe eines von mehreren Modellen aufrufen kann, verwenden Sie ANY. Dadurch wird ein logisches ODER auf die Bedingungen angewendet. Im folgenden Beispiel werden zwei Modell-IDs zur Veranschaulichung der Policy-Syntax verwendet. Wählen Sie Modelle aus, die den Anforderungen Ihres Unternehmens entsprechen.

allow group <group-name> to use generative-ai-family in tenancy
where ANY {target.model.id = 'google.gemini-2.5-flash', 
target.model.id = 'google.gemini-2.5-pro'}

Um die Policy anstelle des Mandanten auf ein Compartment zu beschränken, verwenden Sie:

allow group <group-name> to use generative-ai-family
in compartment <compartment-name>
where ANY {target.model.id = '<model-1>', 
target.model.id = '<model-2>'}
Hinweis

Um strenge Complianceanforderungen zu erfüllen, listen Sie jede genehmigte Modell-ID explizit auf. Aktualisieren Sie die Policy, wenn sich das Set genehmigter Modelle ändert.

Zugriff auf Inferenz nach Modell-ID-Muster zulassen

Verwenden Sie einen Musterwert, damit die Gruppe Modelle aufrufen kann, deren IDs mit denselben Zeichen beginnen. Beispiel: Mit der folgenden Policy können Mitglieder der Gruppe Inferenz mit Modellen ausführen, deren IDs mit google.gemini-3. beginnen:

allow group <group-name> to use generative-ai-family in tenancy
where target.model.id = /google.gemini-3.*/
Warnung

Beim Musterabgleich wird die Kleinschreibung nicht berücksichtigt. Ein Muster gewährt auch Zugriff auf zukünftige Modell-IDs, die ihm entsprechen. Für strenge Compliance-Anforderungen verwenden Sie stattdessen eine explizite Ausnahmeliste.

Inferenzzugriff mit Ausnahme der angegebenen Modelle erteilen

Um der Gruppeninferenz nur dann Zugriff zu erteilen, wenn die Modell-ID keinem ausgeschlossenen Wert entspricht, kombinieren Sie Ungleichheitsbedingungen mit ALL. Dadurch wird ein logisches UND auf die Bedingungen angewendet:

allow group <group-name> to use generative-ai-family in tenancy
where ALL {target.model.id != /google.*/, 
target.model.id != '<another-excluded-model>'}
Warnung

Diese Policy erteilt Inferenzzugriff auf jedes aktuelle oder zukünftige Modell, das keinem Ausschluss entspricht. Dies ist keine explizite Ablehnung, und eine andere anwendbare Policy kann weiterhin Inferenzzugriff auf ein ausgeschlossenes Modell erteilen. Verwenden Sie eine explizite Ausnahmeliste, wenn der Inferenzzugriff auf eine bekannte Gruppe genehmigter Modelle beschränkt werden muss.

Mindestberechtigung zum Auflisten von Modellen erteilen

Der Vorgang ListModels zielt nicht auf ein einzelnes Modell ab. Daher enthält die Anforderung keinen Wert für target.model.id. Wenn eine Variable in einer Policy-Bedingung nicht auf eine Anforderung anwendbar ist, ergibt die Bedingung "False", und die Anforderung wird abgelehnt. Daher autorisiert die bedingte use generative-ai-family-Policy ListModels nicht, obwohl use normalerweise inspect-Berechtigungen enthält. Siehe Bedingungen in der IAM-Dokumentation.

Mitglieder der Gruppe können keine Modelle in der Konsole ohne die Berechtigung zum Ausführen von ListModels auflisten oder auswählen. Erteilen Sie derselben Gruppe eine weitere unbedingte Policy, um den Ressourcentyp generative-ai-model zu prüfen:

allow group <group-name> to inspect generative-ai-model in tenancy

Mit dieser Policy können Mitglieder der Gruppe den Vorgang ListModels ausführen. Sie erteilt ihnen keine Berechtigung zum Aufrufen von Modellen, die nicht in der Ausnahmeliste des Modells enthalten sind.

Hinweis

Wenn eine Anwendung die API verwendet, die Modell-ID bereits kennt und nicht ListModels aufruft, ist die Policy inspect nicht nur erforderlich, um die Modellinferenzeinschränkung durchzusetzen.

Ausnahmeliste planen

Bevor Sie die Policy hinzufügen:

  • Identifizieren Sie die für die Workload genehmigten Modelle, und verwenden Sie die genauen Modell-IDs in der Bedingung.
  • Prüfen Sie alle Policys, die für die Gruppe gelten, deren Modellinferenzzugriff Sie einschränken möchten, sowie deren Mitglieder, einschließlich Policys, die angewendet werden, weil die Mitglieder zu anderen Gruppen gehören. Prüfen Sie auch die Policys für andere Principals, die von der Workload verwendet werden. Entfernen Sie einen umfassenderen Inferenzzugriff, der die Ausnahmeliste unwirksam machen würde.
  • Stellen Sie sicher, dass jedes genehmigte Modell in der erforderlichen Region verfügbar ist. IAM-Bedingungen auf Modellebene schränken den Inferenzzugriff ein, ersetzen aber nicht die regionale Verfügbarkeit und die Planung der Datenresidenz.
  • Prüfen und aktualisieren Sie die Ausnahmeliste, wenn genehmigte Modelle hinzugefügt, ersetzt oder deaktiviert werden.