Autorisations au niveau de l'API pour les bacs à sable
Vérifiez les informations d'accès et d'autorisation pour le type de ressource de bac à sable du service d'intelligence artificielle générative pour OCI et accordez aux charges de travail de bac à sable l'accès aux ressources OCI dont elles ont besoin.
Pour obtenir des autorisations spécifiques pour ce type de ressource, consultez cette page. Pour obtenir la liste de tous les types de ressource disponibles dans le service d'intelligence artificielle générative pour OCI, voir Accès des utilisateurs aux ressources individuelles.
Les opérations de bac à sable listées dans cette page sont des opérations de plan de données dans l'API de bac à sable du service d'intelligence artificielle générative. La configuration de projet utilise des opérations de plan de contrôle distinctes. Voir Autorisations au niveau de l'API pour les projets.
Type de ressource
| Type de ressource pour les autorisations IAM | Référence de documentation | Référence d'API |
|---|---|---|
generative-ai-sandbox |
Bacs à sable dans OCI Generative AI | API de bac à sable d'IA générative |
Inspecter l'autorisation
Accordez aux groupes d'utilisateurs l'autorisation inspect pour exécuter l'opération suivante :
- OBTENIR
ListSandboxes
Autorisation de lecture
Accordez aux groupes d'utilisateurs l'autorisation read pour exécuter les opérations suivantes :
- OBTENIR
ListSandboxes - OBTENIR
GetSandbox
Utiliser la permission
Accordez aux groupes d'utilisateurs l'autorisation use pour exécuter les opérations suivantes :
- OBTENIR
ListSandboxes - OBTENIR
GetSandbox - PUT
UpdateSandbox - POST
RunSandboxCommand
L'autorisation GENERATIVE_AI_SANDBOX_USE permet une interaction active avec un bac à sable existant, par exemple l'exécution d'une commande. L'autorisation de créer ou de supprimer un bac à sable n'est pas accordée.
Gérer les autorisations
Accordez aux groupes d'utilisateurs l'autorisation manage pour exécuter les opérations suivantes :
- OBTENIR
ListSandboxes - OBTENIR
GetSandbox - PUT
UpdateSandbox - POST
RunSandboxCommand - POST
CreateSandbox - SUPPRIMER
DeleteSandbox
- L'autorisation manage (Gérer) inclut toutes les actions autorisées par use (utiliser), read (lire) et inspect (inspecter).
- L'autorisation use (utiliser) inclut toutes les actions autorisées par les options read (Lecture) et inspect (Inspecter).
- L'autorisation read inclut toutes les actions autorisées par inspect.
Le type de ressource
generative-ai-sandbox fait partie de generative-ai-family. Si vous êtes autorisé à accéder à la famille, vous disposez de la même autorisation pour ce type de ressource. Par exemple :
allow group <your-group-name> to manage generative-ai-family
in compartment <your-compartment-name>1-1 Autorisations pour les API
Il est recommandé d'utiliser les verbes IAM de niveau supérieur, manage, use, read et inspect. Par exemple, l'autorisation de supprimer un bac à sable ne permet pas non plus de lister les bacs à sable.
Si un cas d'utilisation nécessite l'accès à une opération d'API spécifique, utilisez les autorisations individuelles indiquées ici.
generative-ai-sandbox
| Autorisation | Opération d'API | Type d'opération | Verbe |
|---|---|---|---|
GENERATIVE_AI_SANDBOX_INSPECT |
ListSandboxes |
GET |
inspect |
GENERATIVE_AI_SANDBOX_READ |
GetSandbox |
GET |
read |
GENERATIVE_AI_SANDBOX_UPDATE |
UpdateSandbox |
PUT |
use |
GENERATIVE_AI_SANDBOX_USE |
RunSandboxCommand |
POST |
use |
GENERATIVE_AI_SANDBOX_CREATE |
CreateSandbox |
POST |
manage |
GENERATIVE_AI_SANDBOX_DELETE |
DeleteSandbox |
DELETE |
manage |
Politiques pour les projets et les charges de travail de bac à sable
Accès utilisateur
Un administrateur peut utiliser ces politiques ciblées par compartiment pour un groupe qui crée et gère les bacs à sable et leurs projets. Remplacez les paramètres fictifs par les noms de groupe et de compartiment.
Allow group <group-name> to manage generative-ai-sandbox in compartment <compartment-name>
Allow group <group-name> to manage generative-ai-project in compartment <compartment-name>La première politique autorise les opérations de bac à sable. Le second permet la configuration du projet. Voir Autorisations au niveau de l'API pour les projets et Politiques IAM pour le service d'intelligence artificielle générative pour OCI.
Accès depuis un bac à sable vers les services OCI
Le code s'exécutant dans un bac à sable peut utiliser son principal de ressource pour appeler les services OCI. Étendre les politiques au projet et aux ressources cibles. Par exemple, la politique suivante permet aux bacs à sable d'un projet de lire des objets dans un seau :
Allow any-user to read objects in compartment <target-compartment-name>
where all {
request.principal.type = 'generativeaisandbox',
request.principal.project_id = '<project-ocid>',
target.bucket.name = '<bucket-name>'
}L'autorisation s'applique aux bacs à sable du projet spécifié. Pour accorder à différentes charges de travail un accès OCI différent, utilisez des projets ou des politiques distincts adaptés à leurs ressources requises. Pour les autorisations d'objet et la condition de seau, voir Informations détaillées sur les services de stockage d'objets et de stockage d'archives.
Dans le bac à sable, utilisez --auth resource_principal avec l'interface de ligne de commande OCI ou un signataire de principal de ressource avec la trousse SDK Python pour OCI :
import oci
signer = oci.auth.signers.get_resource_principals_signer()
client = oci.object_storage.ObjectStorageClient(
config={"region": "us-chicago-1"},
signer=signer,
)Lecture d'une clé secrète de chambre forte
Pour une charge de travail nécessitant une clé secrète du service de chambre forte, accordez l'accès à l'ensemble de clés secrètes spécifique :
Allow any-user to read secret-bundles in compartment <secret-compartment-name>
where all {
request.principal.type = 'generativeaisandbox',
request.principal.project_id = '<project-ocid>',
target.secret.id = '<secret-ocid>'
}Utilisez le signataire du principal de ressource avec le client de clés secrètes OCI pour extraire la clé secrète à l'exécution. Conserver les valeurs secrètes hors de la sortie de commande et des journaux. Pour les autorisations d'ensemble de clés secrètes, voir Informations détaillées sur le service de chambre forte, de gestion des clés et de gestion des clés secrètes.
Autres autorisations
Le réseau personnalisé nécessite une autorisation pour utiliser le sous-réseau sélectionné et tous les groupes de sécurité de réseau que vous attachez. Les groupes de sécurité de réseau utilisent des règles de sécurité pour contrôler le trafic entrant et sortant pour les ressources associées. Les images personnalisées doivent être autorisées à lire le référentiel d'images et, lorsque l'application de balayage de vulnérabilités est activée, à analyser les résultats. Voir Réseau pour les bacs à sable et Utilisation d'une image personnalisée pour un bac à sable.