Documentación de Oracle Cloud Infrastructure

Limitación del acceso de inferencia de modelos con políticas de IAM

Utilice una condición de política de IAM con target.model.id para limitar el acceso de inferencia de un grupo a los modelos de IA generativa aprobados.

Las condiciones de IAM a nivel de modelo proporcionan un control preventivo que limita qué modelos pueden utilizar los miembros de un grupo especificado para la inferencia. Una solicitud de inferencia de un miembro de ese grupo solo se autoriza cuando su ID de modelo coincide con la condición de la política.

En este tema, <group-name> representa el grupo cuyo acceso de inferencia de modelo desea limitar.

Importante

Los ejemplos de políticas utilizan el tipo de recurso agregado generative-ai-family, pero la restricción target.model.id descrita en este tema solo se aplica a la inferencia de modelo. Los tipos de recursos de inferencia afectados en generative-ai-family son:

  • generative-ai-chat
  • generative-ai-text-embedding
  • generative-ai-text-rerank

La restricción no se aplica a las operaciones de gestión para los otros tipos de recursos incluidos en generative-ai-family. Consulte Tipos de recursos individuales de IA generativa para obtener la lista completa de los tipos de recursos incluidos.

Cuando los miembros de ese grupo trabajen en la consola, otorgue al grupo ambos tipos de acceso:

  1. Otorgue al grupo el permiso mínimo inspect generative-ai-model para que sus miembros puedan ejecutar ListModels y seleccionar un modelo.
  2. Otorgue el mismo permiso de grupo use generative-ai-family con una condición target.model.id para que sus miembros puedan llamar solo a los modelos aprobados.

Aunque el verbo use incluye los permisos otorgados por inspect, la condición target.model.id se aplica a todos los permisos de la sentencia de política condicional. Para ver la sintaxis de una y varias condiciones y valores de patrón, consulte Sintaxis de política.

Importante

Las políticas de IAM son acumulativas. Para aplicar la restricción de inferencia, asegúrese de que ninguna otra política otorgue a ese grupo o a sus miembros acceso de inferencia más amplio a través de generative-ai-family, generative-ai-chat, generative-ai-text-embedding o generative-ai-text-rerank sin una condición target.model.id.

Busque los ID de modelo en las páginas de modelos individuales enlazadas desde Generative AI Models by Region. Para obtener información sobre las restricciones de inferencia de modelos que se aplican a una clave de API de IA generativa, consulte Adición de permisos clave.

Permitir acceso de inferencia a modelos específicos

Para una lista de permitidos de inferencia estricta, otorgue el permiso use al grupo solo cuando target.model.id coincida con un ID de modelo aprobado. Para permitir que el grupo llame a un modelo, utilice una sola condición. Por ejemplo:

allow group <group-name> to use generative-ai-family in tenancy
where target.model.id = 'google.gemini-2.5-flash'

Para permitir que el grupo llame a cualquiera de varios modelos, utilice ANY, que aplica un OR lógico a las condiciones. En el ejemplo siguiente se utilizan dos ID de modelo para ilustrar la sintaxis de la política. Selección de modelos que cumplan los requisitos de la empresa.

allow group <group-name> to use generative-ai-family in tenancy
where ANY {target.model.id = 'google.gemini-2.5-flash', 
target.model.id = 'google.gemini-2.5-pro'}

Para limitar la política a un compartimento en lugar del arrendamiento, utilice:

allow group <group-name> to use generative-ai-family
in compartment <compartment-name>
where ANY {target.model.id = '<model-1>', 
target.model.id = '<model-2>'}
Nota

Para conocer los requisitos de conformidad estrictos, muestre explícitamente cada ID de modelo aprobado. Actualice la política cuando cambie el juego de modelos aprobados.

Permitir acceso de inferencia por patrón de ID de modelo

Utilice un valor de patrón para permitir que el grupo llame a modelos cuyos ID empiecen por los mismos caracteres. Por ejemplo, la siguiente política permite a los miembros del grupo ejecutar inferencia con modelos cuyos ID comienzan por google.gemini-3.:

allow group <group-name> to use generative-ai-family in tenancy
where target.model.id = /google.gemini-3.*/
Advertencia

La coincidencia de patrones no distingue entre mayúsculas y minúsculas. Un patrón también otorga acceso a futuros ID de modelo que coincidan con él. Para requisitos de cumplimiento estrictos, utilice una lista de permitidos explícita en su lugar.

Otorgar acceso de inferencia excepto a los modelos especificados

Para otorgar acceso a la inferencia de grupo solo cuando el ID de modelo no coincide con ningún valor excluido, combine condiciones de desigualdad con ALL, que aplica un AND lógico a las condiciones:

allow group <group-name> to use generative-ai-family in tenancy
where ALL {target.model.id != /google.*/, 
target.model.id != '<another-excluded-model>'}
Advertencia

Esta política otorga acceso de inferencia a todos los modelos actuales o futuros que no coincidan con una exclusión. No se trata de una denegación explícita, y otra política aplicable aún puede otorgar acceso de inferencia a un modelo excluido. Utilice una lista de permitidos explícita cuando el acceso de inferencia se deba limitar a un conjunto conocido de modelos aprobados.

Otorgamiento del permiso mínimo para mostrar modelos

La operación ListModels no tiene como destino un modelo individual, por lo que la solicitud no incluye un valor para target.model.id. Cuando una variable de una condición de política no se aplica a una solicitud, la condición se evalúa como falsa y la solicitud se rechaza. Por lo tanto, la política condicional use generative-ai-family no autoriza ListModels, aunque use normalmente incluye permisos inspect. Consulte Condiciones en la documentación de IAM.

Los miembros del grupo no pueden mostrar ni seleccionar modelos en la consola sin permiso para ejecutar ListModels. Otorgue al mismo grupo otra política incondicional para inspeccionar el tipo de recurso generative-ai-model:

allow group <group-name> to inspect generative-ai-model in tenancy

Esta política permite a los miembros del grupo ejecutar la operación ListModels. No les otorga permiso para llamar a modelos que no están incluidos en la lista de permitidos de modelos.

Nota

Si una aplicación utiliza la API, ya conoce el ID de modelo y no llama a ListModels, la política inspect no es necesaria únicamente para aplicar la restricción de inferencia de modelo.

Planificar la lista de permitidos

Antes de agregar la política:

  • Identifique los modelos aprobados para la carga de trabajo y utilice sus ID de modelo exactos en la condición.
  • Revise todas las políticas que se aplican al grupo cuyo modelo de acceso de inferencia desea limitar y a sus miembros, incluidas las políticas que se aplican porque los miembros pertenecen a otros grupos. Revise también las políticas de otros principales utilizados por la carga de trabajo. Elimine el acceso de inferencia más amplio que haría que la lista de permitidos no fuera efectiva.
  • Confirme que cada modelo aprobado está disponible en la región necesaria. Las condiciones de IAM a nivel de modelo restringen el acceso de inferencia, pero no sustituyen la disponibilidad regional ni la planificación de la residencia de datos.
  • Revise y actualice la lista de permitidos cuando se agreguen, sustituyan o den de baja modelos aprobados.