Autorizzazioni a livello di API per sandbox
Rivedi le informazioni di accesso e autorizzazione per il tipo di risorsa sandbox OCI Generative AI e concedi AI carichi di lavoro sandbox l'accesso alle risorse OCI di cui hanno bisogno.
Per autorizzazioni specifiche per questo tipo di risorsa, rivedere questa pagina. Per un elenco di tutti i tipi di risorse disponibili in OCI Generative AI, vedere Accesso degli utenti alle risorse individuali.
Le operazioni sandbox elencate in questa pagina sono operazioni del piano dati nell'API sandbox AI generativa. La configurazione del progetto utilizza operazioni del piano di controllo separate. Vedere Autorizzazioni a livello di API per i progetti.
Tipo di risorsa
| Tipo di risorsa per le autorizzazioni IAM | Documentazione di riferimento | Riferimento API |
|---|---|---|
generative-ai-sandbox |
Sandbox in OCI Generative AI | API sandbox AI generativa |
Ispeziona autorizzazione
Concedere ai gruppi di utenti l'autorizzazione inspect per eseguire l'operazione seguente:
- OTTIENI
ListSandboxes
Autorizzazione di lettura
Concedere ai gruppi di utenti l'autorizzazione read per eseguire le operazioni riportate di seguito.
- OTTIENI
ListSandboxes - OTTIENI
GetSandbox
Usa autorizzazione
Concedere ai gruppi di utenti l'autorizzazione use per eseguire le operazioni riportate di seguito.
- OTTIENI
ListSandboxes - OTTIENI
GetSandbox - PUT
UpdateSandbox - POST
RunSandboxCommand
L'autorizzazione GENERATIVE_AI_SANDBOX_USE consente l'interazione attiva con una sandbox esistente, ad esempio l'esecuzione di un comando. Non concede l'autorizzazione per creare o eliminare una sandbox.
Gestisci autorizzazione
Concedere ai gruppi di utenti l'autorizzazione manage per eseguire le operazioni riportate di seguito.
- OTTIENI
ListSandboxes - OTTIENI
GetSandbox - PUT
UpdateSandbox - POST
RunSandboxCommand - POST
CreateSandbox - ELIMINA
DeleteSandbox
- L'autorizzazione Gestione include tutte le azioni consentite da uso, lettura e ispezione.
- L'autorizzazione uso include tutte le azioni consentite da read e inspect.
- L'autorizzazione lettura include tutte le azioni consentite da ispezione.
Il tipo di risorsa
generative-ai-sandbox fa parte di generative-ai-family. Se si dispone dell'autorizzazione per la famiglia, si dispone della stessa autorizzazione per questo tipo di risorsa. Ad esempio:
allow group <your-group-name> to manage generative-ai-family
in compartment <your-compartment-name>1-1 Permessi per le API
Si consiglia di utilizzare i verbi IAM di livello superiore, manage, use, read e inspect. Ad esempio, l'autorizzazione per eliminare una sandbox non concede anche l'autorizzazione per elencare le sandbox.
Se un caso d'uso richiede l'accesso a un'operazione API specifica, utilizzare le autorizzazioni individuali elencate qui.
generative-ai-sandbox
| Autorizzazione | Operazione API | Tipo operazione | Verbo |
|---|---|---|---|
GENERATIVE_AI_SANDBOX_INSPECT |
ListSandboxes |
GET |
inspect |
GENERATIVE_AI_SANDBOX_READ |
GetSandbox |
GET |
read |
GENERATIVE_AI_SANDBOX_UPDATE |
UpdateSandbox |
PUT |
use |
GENERATIVE_AI_SANDBOX_USE |
RunSandboxCommand |
POST |
use |
GENERATIVE_AI_SANDBOX_CREATE |
CreateSandbox |
POST |
manage |
GENERATIVE_AI_SANDBOX_DELETE |
DeleteSandbox |
DELETE |
manage |
Criteri per i carichi di lavoro di progetti e sandbox
Accesso utente
Un amministratore può utilizzare questi criteri con ambito di compartimento per un gruppo che crea e gestisce sandbox e i relativi progetti. Sostituire i segnaposto con i nomi dei gruppi e dei compartimenti.
Allow group <group-name> to manage generative-ai-sandbox in compartment <compartment-name>
Allow group <group-name> to manage generative-ai-project in compartment <compartment-name>Il primo criterio consente operazioni sandbox. Il secondo consente la configurazione del progetto. Consulta le autorizzazioni a livello di API per i progetti e i criteri IAM per OCI Generative AI.
Accesso da sandbox a servizi OCI
Il codice in esecuzione all'interno di una sandbox può utilizzare il relativo principal risorsa per chiamare i servizi OCI. Applica criteri al progetto e alle risorse target. Ad esempio, il criterio riportato di seguito consente alle sandbox di un progetto di leggere gli oggetti in un bucket.
Allow any-user to read objects in compartment <target-compartment-name>
where all {
request.principal.type = 'generativeaisandbox',
request.principal.project_id = '<project-ocid>',
target.bucket.name = '<bucket-name>'
}L'autorizzazione si applica alle sandbox del progetto specificato. Per concedere a carichi di lavoro diversi l'accesso OCI, utilizzare progetti o criteri separati definiti per le risorse necessarie. Per le autorizzazioni degli oggetti e la condizione del bucket, vedere Dettagli per lo storage degli oggetti e lo storage di archivio.
All'interno della sandbox, utilizzare --auth resource_principal con l'interfaccia CLI OCI o un firmatario del principal risorsa con l'SDK Python OCI:
import oci
signer = oci.auth.signers.get_resource_principals_signer()
client = oci.object_storage.ObjectStorageClient(
config={"region": "us-chicago-1"},
signer=signer,
)Lettura di un segreto vault
Per un carico di lavoro che richiede un segreto vault, concedere l'accesso al bundle di segreti specifico:
Allow any-user to read secret-bundles in compartment <secret-compartment-name>
where all {
request.principal.type = 'generativeaisandbox',
request.principal.project_id = '<project-ocid>',
target.secret.id = '<secret-ocid>'
}Utilizzare il firmatario del principal risorsa con il client OCI Secrets per recuperare il segreto in runtime. Tenere i valori segreti fuori dall'output del comando e dai log. Per le autorizzazioni del bundle segreto, vedere Dettagli per Vault, Key Management e Secret Management Service.
Altre autorizzazioni
La rete personalizzata richiede l'autorizzazione per utilizzare la subnet selezionata e qualsiasi gruppo di sicurezza di rete (NSG) collegato. I gruppi di sicurezza di rete utilizzano regole di sicurezza per controllare il traffico in entrata e in uscita per le risorse associate. Le immagini personalizzate richiedono l'autorizzazione per leggere il repository di immagini e, quando l'applicazione della scansione delle vulnerabilità è abilitata, eseguire la scansione dei risultati. Vedere Networking for Sandboxes e Using a Custom Image for a Sandbox.