Permissões no Nível da API para Sandboxes

Revise as informações de acesso e autorização para o tipo de recurso de sandbox do OCI Generative AI e conceda às cargas de trabalho de sandbox o acesso de recurso do OCI necessário.

Para permissões específicas para este tipo de recurso, revise esta página. Para obter uma lista de todos os tipos de recursos disponíveis no OCI Generative AI, consulte Acesso do Usuário a Recursos Individuais.

As operações de sandbox listadas nesta página são operações de plano de dados na API de Sandbox de IA Generativa. A configuração do projeto usa operações separadas do plano de controle. Consulte Permissões no Nível de API para Projetos.

Tipo de Recurso


Tipo de Recurso para Permissões do Serviço IAM	Referência à Documentação	Referência da API
`generative-ai-sandbox`	Sandboxes na OCI Generative AI	API de Sandbox de IA Generativa

Inspecionar Permissão

Conceda aos grupos de usuários a permissão inspect para executar a seguinte operação:

OBTER ListSandboxes

Permissão de Leitura

Conceda aos grupos de usuários a permissão read para executar as seguintes operações:

OBTER ListSandboxes
OBTER GetSandbox

Permissão de Uso

Conceda aos grupos de usuários a permissão use para executar as seguintes operações:

OBTER ListSandboxes
OBTER GetSandbox
PUT UpdateSandbox
POST RunSandboxCommand

A permissão GENERATIVE_AI_SANDBOX_USE permite a interação ativa com um sandbox existente, como executar um comando. Ele não concede permissão para criar ou excluir um sandbox.

Gerenciar Permissão

Conceda aos grupos de usuários a permissão manage para executar as seguintes operações:

OBTER ListSandboxes
OBTER GetSandbox
PUT UpdateSandbox
POST RunSandboxCommand
POST CreateSandbox
EXCLUIR DeleteSandbox

Observação

A permissão manage inclui todas as ações permitidas pelo use, read e inspect.
A permissão use inclui todas as ações permitidas pela read e pela inspect.
A permissão leitura inclui todas as ações permitidas pelo inspect.

Dica

O tipo de recurso generative-ai-sandbox faz parte do generative-ai-family. Se você tiver permissão para a família, terá a mesma permissão para este tipo de recurso. Por exemplo:

allow group <your-group-name> to manage generative-ai-family
in compartment <your-compartment-name>

1-1 Permissões para APIs de

Observação

Recomendamos usar os verbos do IAM de nível superior, manage, use, read e inspect. Por exemplo, a permissão para excluir um sandbox também não concede permissão para listar sandboxes.

Se um caso de uso exigir acesso a uma operação de API específica, use as permissões individuais listadas aqui.

`generative-ai-sandbox`


Permissão	Operação de API	Tipo de Operação	Verbo
`GENERATIVE_AI_SANDBOX_INSPECT`	`ListSandboxes`	`GET`	`inspect`
`GENERATIVE_AI_SANDBOX_READ`	`GetSandbox`	`GET`	`read`
`GENERATIVE_AI_SANDBOX_UPDATE`	`UpdateSandbox`	`PUT`	`use`
`GENERATIVE_AI_SANDBOX_USE`	`RunSandboxCommand`	`POST`	`use`
`GENERATIVE_AI_SANDBOX_CREATE`	`CreateSandbox`	`POST`	`manage`
`GENERATIVE_AI_SANDBOX_DELETE`	`DeleteSandbox`	`DELETE`	`manage`

Políticas para Projetos e Cargas de Trabalho de Sandbox

Acesso do Usuário

Um administrador pode usar essas políticas no escopo do compartimento para um grupo que cria e gerencia sandboxes e seus projetos. Substitua os placeholders pelos nomes de grupo e compartimento.

Allow group <group-name> to manage generative-ai-sandbox in compartment <compartment-name>
Allow group <group-name> to manage generative-ai-project in compartment <compartment-name>

A primeira política permite operações de sandbox. O segundo permite a configuração do projeto. Consulte Permissões no Nível da API para Projetos e Políticas do Serviço IAM para o OCI Generative AI.

Acesso de um Sandbox aos Serviços do OCI

O código em execução em um sandbox pode usar seu controlador de recursos para chamar serviços do OCI. Políticas de escopo para o projeto e recursos de destino. Por exemplo, a seguinte política permite que sandboxes de um projeto leiam objetos em um bucket:

Allow any-user to read objects in compartment <target-compartment-name>
where all {
  request.principal.type = 'generativeaisandbox',
  request.principal.project_id = '<project-ocid>',
  target.bucket.name = '<bucket-name>'
}

A permissão se aplica a sandboxes do projeto especificado. Para conceder a diferentes cargas de trabalho acesso à OCI, use projetos ou políticas separados com escopo para seus recursos necessários. Para obter as permissões de objeto e a condição de bucket, consulte Detalhes dos Serviços Object Storage e Archive Storage.

No sandbox, use --auth resource_principal com a CLI do OCI ou um signatário do controlador de recursos com o SDK do OCI Python:

import oci

signer = oci.auth.signers.get_resource_principals_signer()
client = oci.object_storage.ObjectStorageClient(
    config={"region": "us-chicago-1"},
    signer=signer,
)

Lendo um Segredo do Vault

Para uma carga de trabalho que precisa de um segredo do serviço Vault, conceda acesso ao pacote de segredos específico:

Allow any-user to read secret-bundles in compartment <secret-compartment-name>
where all {
  request.principal.type = 'generativeaisandbox',
  request.principal.project_id = '<project-ocid>',
  target.secret.id = '<secret-ocid>'
}

Use o signatário do controlador de recursos com o cliente de Segredos do OCI para recuperar o segredo no runtime. Mantenha os valores secretos fora da saída e dos logs do comando. Para obter permissões de bundle secreto, consulte Detalhes do Serviço Vault, Key Management e Secret Management.

Outras Permissões

A rede personalizada requer permissão para usar a sub-rede selecionada e quaisquer grupos de segurança de rede (NSGs) que você anexar. Os NSGs usam regras de segurança para controlar o tráfego de entrada e saída para recursos associados. As imagens personalizadas exigem permissão para ler o repositório de imagens e, quando a aplicação da varredura de vulnerabilidade está ativada, os resultados da varredura. Consulte Networking for Sandboxes e Using a Custom Image for a Sandbox.

Documentação do Oracle Cloud Infrastructure