IAMポリシーによるモデル推論アクセスの制限

target.model.idでIAMポリシー条件を使用して、グループの推論アクセスを承認済の生成AIモデルに制限します。

モデル・レベルのIAM条件は、指定されたグループのメンバーが推論に使用できるモデルを制限する予防的制御を提供します。そのグループのメンバーからの推論リクエストは、そのモデルIDがポリシー内の条件と一致する場合にのみ認可されます。

このトピック全体を通して、<group-name>は、モデル推論アクセスを制限するグループを表します。

重要

ポリシーの例では、集計generative-ai-familyリソース・タイプを使用しますが、このトピックで説明するtarget.model.id制限はモデル推論にのみ適用されます。generative-ai-family内の影響を受ける推論リソース・タイプは次のとおりです。

generative-ai-chat
generative-ai-text-embedding
generative-ai-text-rerank

この制限は、generative-ai-familyに含まれる他のリソース・タイプの管理操作には適用されません。含まれるリソース・タイプの完全なリストは、生成AI個別リソース・タイプを参照してください。

そのグループのメンバーがコンソールで機能する場合は、次の両方のタイプのアクセス権をグループに付与します。

メンバーがListModelsを実行してモデルを選択できるように、グループに最小限のinspect generative-ai-model権限を付与します。
メンバーが承認済モデルのみを起動できるように、target.model.id条件で同じグループのuse generative-ai-family権限を付与します。

use動詞にはinspectによって付与された権限が含まれていますが、target.model.id条件は条件付きポリシー・ステートメントのすべての権限に適用されます。単一および複数の条件およびパターン値の構文については、ポリシー構文を参照してください。

重要

IAMポリシーは累積的です。推論制限を強制するには、target.model.id条件なしで、generative-ai-family、generative-ai-chat、generative-ai-text-embeddingまたはgenerative-ai-text-rerankを介して、そのグループまたはそのメンバーに幅広い推論アクセス権を付与する他のポリシーがないことを確認します。

地域別生成AIモデルからリンクされた個々のモデル・ページでモデルIDを検索します。生成AI APIキーに適用されるモデル推論の制限については、キー権限の追加を参照してください。

特定のモデルへの推論アクセスの許可

厳密な推論許可リストの場合、target.model.idが承認済モデルIDと一致する場合にのみ、グループuse権限を付与します。グループが1つのモデルを起動できるようにするには、単一の条件を使用します。例:

allow group <group-name> to use generative-ai-family in tenancy
where target.model.id = 'google.gemini-2.5-flash'

グループが複数のモデルのいずれかを起動できるようにするには、ANYを使用します。これにより、論理ORが条件に適用されます。次の例では、2つのモデルIDを使用してポリシーの構文を示します。組織の要件を満たすモデルを選択します。

allow group <group-name> to use generative-ai-family in tenancy
where ANY {target.model.id = 'google.gemini-2.5-flash', 
target.model.id = 'google.gemini-2.5-pro'}

テナンシではなくコンパートメントをポリシーの対象範囲として指定するには、次を使用します:

allow group <group-name> to use generative-ai-family
in compartment <compartment-name>
where ANY {target.model.id = '<model-1>', 
target.model.id = '<model-2>'}

ノート

厳密なコンプライアンス要件については、承認された各モデルIDを明示的にリストしてください。承認済モデルのセットが変更されたときにポリシーを更新します。

モデルIDパターンによる推論アクセスの許可

パターン値を使用して、IDが同じ文字で始まるモデルをグループが起動できるようにします。たとえば、次のポリシーでは、IDがgoogle.gemini-3.で始まるモデルを使用して、グループのメンバーが推論を実行できます。

allow group <group-name> to use generative-ai-family in tenancy
where target.model.id = /google.gemini-3.*/

警告

パターン一致では、大/小文字が区別されません。パターンには、パターンに一致する将来のモデルIDへのアクセス権も付与されます。厳格なコンプライアンス要件の場合は、かわりに明示的な許可リストを使用してください。

指定したモデル以外の推論アクセス権の付与

モデルIDが除外値と一致しない場合にのみグループ推論アクセス権を付与するには、不等式条件をALLと組み合せます。これにより、論理ANDが条件に適用されます。

allow group <group-name> to use generative-ai-family in tenancy
where ALL {target.model.id != /google.*/, 
target.model.id != '<another-excluded-model>'}

警告

このポリシーは、除外と一致しない現在または将来のすべてのモデルに対する推論アクセス権を付与します。これは明示的な拒否ではなく、別の適用可能なポリシーでも、除外されたモデルへの推論アクセス権を付与できます。推論アクセスを承認済モデルの既知のセットに制限する必要がある場合は、明示的な許可リストを使用します。

モデルをリストするための最小権限の付与

ListModels操作は個々のモデルを対象としないため、リクエストにはtarget.model.idの値が含まれません。ポリシー条件の変数がリクエストに適用されない場合、条件はfalseに評価され、リクエストは拒否されます。したがって、useには通常inspect権限が含まれている場合でも、条件付きuse generative-ai-familyポリシーはListModelsを認可しません。IAMドキュメントの条件を参照してください。

グループのメンバーは、ListModelsを実行する権限がないと、コンソールでモデルをリストまたは選択できません。generative-ai-modelリソース・タイプを検査するために、同じグループに別の無条件ポリシーを付与します:

allow group <group-name> to inspect generative-ai-model in tenancy

このポリシーにより、グループのメンバーはListModels操作を実行できます。モデル許可リストに含まれていないモデルを起動する権限は付与されません。

ノート

アプリケーションがAPIを使用しており、すでにモデルIDを認識しており、ListModelsをコールしていない場合、inspectポリシーはモデルの推論制限を強制するためにのみ必要ありません。

許可リストの計画

ポリシーを追加する前に: