Permisos de nivel de API para sandboxes

Revise la información de acceso y autorización para el tipo de recurso de sandbox de OCI Generative AI y otorgue a las cargas de trabajo de sandbox el acceso a recursos de OCI que necesitan.

Para obtener permisos específicos para este tipo de recurso, revise esta página. Para obtener una lista de todos los tipos de recursos disponibles en OCI Generative AI, consulte Acceso de usuario a recursos individuales.

Las operaciones de sandbox que se muestran en esta página son operaciones de plano de datos en la API de sandbox de IA generativa. La configuración del proyecto utiliza operaciones de plano de control independientes. Consulte API-Level Permissions for Projects.

Tipo de recurso


Tipo de recurso para permisos de IAM	Referencia documental	Referencia de API
`generative-ai-sandbox`	Sandboxes en OCI Generative AI	API de sandbox de IA generativa

Permiso de inspección

Otorgue a los grupos de usuarios el permiso inspect para ejecutar la siguiente operación:

OBTENER ListSandboxes

Permiso de Lectura

Otorgue a los grupos de usuarios el permiso read para ejecutar las siguientes operaciones:

OBTENER ListSandboxes
OBTENER GetSandbox

Usar Permiso

Otorgue a los grupos de usuarios el permiso use para ejecutar las siguientes operaciones:

OBTENER ListSandboxes
OBTENER GetSandbox
PUT UpdateSandbox
POST RunSandboxCommand

El permiso GENERATIVE_AI_SANDBOX_USE permite la interacción activa con un sandbox existente, como la ejecución de un comando. No otorga permiso para crear o suprimir un sandbox.

Gestionar permiso

Otorgue a los grupos de usuarios el permiso manage para ejecutar las siguientes operaciones:

OBTENER ListSandboxes
OBTENER GetSandbox
PUT UpdateSandbox
POST RunSandboxCommand
POST CreateSandbox
SUPRIMIR DeleteSandbox

Nota

El permiso manage incluye todas las acciones permitidas por use, read e inspect.
El permiso use incluye todas las acciones permitidas por read e inspect.
El permiso read incluye todas las acciones permitidas por inspect.

Consejo

El tipo de recurso generative-ai-sandbox forma parte de generative-ai-family. Si tiene permiso para la familia, tiene el mismo permiso para este tipo de recurso. Por ejemplo:

allow group <your-group-name> to manage generative-ai-family
in compartment <your-compartment-name>

1-1 Permisos para las API

Nota

Recomendamos utilizar los verbos de IAM de nivel superior, manage, use, read y inspect. Por ejemplo, el permiso para suprimir un sandbox no también otorga permiso para mostrar sandboxes.

Si un caso de uso requiere acceso a una operación de API específica, utilice los permisos individuales que se muestran aquí.

`generative-ai-sandbox`


Permiso	Operación de API	Tipo de Operación	Verbo
`GENERATIVE_AI_SANDBOX_INSPECT`	`ListSandboxes`	`GET`	`inspect`
`GENERATIVE_AI_SANDBOX_READ`	`GetSandbox`	`GET`	`read`
`GENERATIVE_AI_SANDBOX_UPDATE`	`UpdateSandbox`	`PUT`	`use`
`GENERATIVE_AI_SANDBOX_USE`	`RunSandboxCommand`	`POST`	`use`
`GENERATIVE_AI_SANDBOX_CREATE`	`CreateSandbox`	`POST`	`manage`
`GENERATIVE_AI_SANDBOX_DELETE`	`DeleteSandbox`	`DELETE`	`manage`

Políticas para proyectos y cargas de trabajo de sandbox

Acceso de Usuario

Un administrador puede utilizar estas políticas de ámbito de compartimento para un grupo que crea y gestiona sandboxes y sus proyectos. Sustituya los marcadores a los nombres de grupo y compartimento.

Allow group <group-name> to manage generative-ai-sandbox in compartment <compartment-name>
Allow group <group-name> to manage generative-ai-project in compartment <compartment-name>

La primera política permite operaciones de sandbox. El segundo permite la configuración del proyecto. Consulte Permisos de nivel de API para proyectos y Políticas de IAM para OCI Generative AI.

Acceso desde un entorno de prueba a servicios de OCI

El código que se ejecuta dentro de un sandbox puede utilizar su entidad de recurso para llamar a los servicios de OCI. Defina políticas para los recursos de proyecto y destino. Por ejemplo, la siguiente política permite que los sandboxes de un proyecto lean objetos en un cubo:

Allow any-user to read objects in compartment <target-compartment-name>
where all {
  request.principal.type = 'generativeaisandbox',
  request.principal.project_id = '<project-ocid>',
  target.bucket.name = '<bucket-name>'
}

El permiso se aplica a los sandboxes del proyecto especificado. Para proporcionar a diferentes cargas de trabajo diferentes acceso a OCI, utilice proyectos o políticas independientes con ámbito para sus recursos necesarios. Para conocer los permisos de objeto y la condición del cubo, consulte Detalles de Object Storage y Archive Storage.

Dentro del sandbox, utilice --auth resource_principal con la CLI de OCI o un firmante de entidad de recurso con el SDK de Python de OCI:

import oci

signer = oci.auth.signers.get_resource_principals_signer()
client = oci.object_storage.ObjectStorageClient(
    config={"region": "us-chicago-1"},
    signer=signer,
)

Lectura de un secreto de almacén

Para una carga de trabajo que necesita un secreto de Vault, otorgue acceso al grupo de secretos específico:

Allow any-user to read secret-bundles in compartment <secret-compartment-name>
where all {
  request.principal.type = 'generativeaisandbox',
  request.principal.project_id = '<project-ocid>',
  target.secret.id = '<secret-ocid>'
}

Utilice el firmante de la entidad de recurso con el cliente de secretos de OCI para recuperar el secreto en tiempo de ejecución. Mantenga los valores secretos fuera de los logs y la salida del comando. Para obtener más información sobre los permisos de grupos de secretos, consulte Detalles del servicio Vault, Key Management y Secret Management.

Otros permisos

Las redes personalizadas requieren permiso para utilizar la subred seleccionada y cualquier grupo de seguridad de red (NSG) que asocie. Los NSG utilizan reglas de seguridad para controlar el tráfico entrante y saliente de los recursos asociados. Las imágenes personalizadas requieren permiso para leer el repositorio de imágenes y, cuando la aplicación del análisis de vulnerabilidades está activada, los resultados del análisis. Consulte Redes para sandboxes y Uso de una imagen personalizada para un sandbox.

Documentación de Oracle Cloud Infrastructure