קבלת הצעות לתפקידים מוגדרים מראש בעזרת Gemini

בדף הזה מוסבר איך אפשר למצוא ולהעניק תפקידים מוגדרים מראש של ניהול זהויות והרשאות גישה (IAM) לחשבונות משתמשים בעזרת Gemini.

באמצעות הכלי לבחירת תפקידי IAM, אפשר לשאול את Gemini אילו תפקידים כדאי להקצות לחשבונות המשתמשים. בדרך כלל, כדי למצוא את התפקידים המוגדרים מראש שצריך להקצות, צריך לעיין באינדקס של תפקידים והרשאות ב-IAM או בדף Roles במסוףGoogle Cloud . באמצעות הכלי לבחירת תפקידי IAM, אפשר לתאר את הפעולות שרוצים שהחשבון הראשי יבצע ואת המשאבים שנדרשים לו כדי לבצע אותן. על סמך הקלט שלכם, Gemini מציע את התפקידים המוגדרים מראש שהוא רואה כמתאימים.

‫Gemini יכול להציע תפקידים מוגדרים מראש לחשבונות משתמשים ספציפיים. אם Gemini מציע להעניק תפקיד ברמת הפרויקט, אפשר להשתמש בכלי לבחירת תפקידי IAM כדי להעניק את התפקיד הזה.

אי אפשר להשתמש בכלי לבחירת תפקידי IAM כדי לקבל הצעות לגבי הדברים הבאים:

• תפקידים בהתאמה אישית
• תפקידים לכמה חשבונות משתמש (בהנחיה אחת)
• תפקידים במוצרי Google Workspace כמו Google Sheets ו-Google Docs

איך Gemini for Google Cloud ‎ משתמש בנתונים שלכם, ובאילו מקרים.

לפני שמתחילים

כדי לקבל הצעות לתפקידים מוגדרים מראש מ-Gemini, צריך לוודא שביצעתם את הפעולות הבאות.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לשימוש בכלי לבחירת תפקידי IAM, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:

• לקבל הצעות לתפקידים במסוף: אדמין IAM של פרויקט (roles/resourcemanager.projectIamAdmin)
• קבלת הצעות לתפקידים בהתאמה אישית באמצעות ה-API: צפייה ב-IAM (roles/iam.viewer)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה מכילים את ההרשאות שנדרשות לשימוש בכלי לבחירת תפקידי IAM. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

קבלת הצעות לתפקידים בעזרת Gemini

אתם יכולים לבקש מ-Gemini הצעות לתפקידים באמצעות מסוףGoogle Cloud או Policy Assist API בארכיטקטורת REST.

POST https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles

{
  "prompt": {
    "userInstructions": "USER_INSTRUCTIONS"
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles" | Select-Object -Expand Content

{
  "summary": "",
  "recommendations": [
    {
      "type": "RECOMMENDATION_TYPE_PREDEFINED_ROLES",
      "roles": [
        {
          "name": "roles/storage.objectViewer",
          "roleType": "ROLE_TYPE_PREDEFINED",
          "grantableScopes": [
            "Projects",
            "Buckets"
          ]
        },
        {
          "name": "roles/storage.legacyBucketReader",
          "roleType": "ROLE_TYPE_PREDEFINED",
          "grantableScopes": [
            "Projects"
          ]
        }
      ],
      "intro": "The following roles match your description:"
      "detailedReasoning": "The roles/storage.objectViewer role grants permissions to view objects and their metadata. The roles/storage.legacyBucketReader grants broader read access to buckets and objects. Choose the one that best fits the principle of least privilege for your use case."
    }
  ]
}

תרחישים לדוגמה

בטבלה הבאה מוצגים כמה תרחישים לדוגמה לשימוש בכלי לבחירת תפקידים ב-IAM. כברירת מחדל, Gemini מציע תפקידים שנועדו לכסות תהליכים נפוצים שעוברים משתמשים בשירות. לדוגמה, Gemini מציע לעיתים קרובות תפקידי אדמין, עריכה או צפייה בשירות.

אם רוצים ש-Gemini יציע את התפקידים הכי מפורטים עם ההרשאות הכי מצומצמות, צריך לציין את ההעדפה הזו בהנחיה באמצעות מילות מפתח ספציפיות. רשימת מילות המפתח שבהן אפשר להשתמש מופיעה במאמר מילות מפתח לתפקידים עם ההרשאות המינימליות. עם זאת, חשוב לזכור שהרשאות מינימליות לא תמיד מספיקות לצרכים עתידיים של המשתמש.

שיטות מומלצות

כדי ש-Gemini יספק את ההצעות הכי מדויקות לתרחיש השימוש שלכם, מומלץ לפעול לפי השיטות המומלצות הבאות כשמנסחים את ההנחיה.

• מתארים בבירור את תרחיש השימוש. הימנעו משימוש בשפה מעורפלת בהנחיות. חשוב להסביר בצורה ברורה ככל האפשר אילו פעולות אתם רוצים שהגורם המרכזי יבצע באילו שירותים ובאילו סוגי משאבים. כדי ש-Gemini יציע את התפקידים עם ההרשאות המינימליות, חשוב ליצור את ההנחיה עם מילות מפתח ספציפיות שמתארות את הכוונה שלכם לפעול לפי העיקרון של הרשאות מינימליות.

  מומלץ	לא מומלץ	פרטים
  "איזו הרשאה נדרשת כדי להריץ שאילתות SQL בטבלה ב-BigQuery ולקרוא את הנתונים ממנה?"	"איזה תפקיד נדרש כדי להריץ הצהרות SQL?"	‫SQL היא שפה גנרית שמשמשת במגוון שירותים של Google Cloud Google. אם לא מציינים את השירות או את הפעולות, Gemini לא יכול להציע תפקיד מדויק.
  "אני צריך תפקידים כדי להפעיל, לעצור ולהפעיל מחדש מכונות וירטואליות של Compute Engine".	‫"I need to manage my virtual machines" (אני רוצה לנהל את המכונות הווירטואליות שלי).	המונח ניהול כללי מדי. ניהול יכול להיות יצירה, מחיקה, עדכון או צפייה במכונות וירטואליות. אם תציינו בבירור את הפעולות הספציפיות שצריך לבצע (התחלה, עצירה, הפעלה מחדש) ואת סוג המשאב המדויק (מכונות וירטואליות ב-Compute Engine), תקבלו הצעות מדויקות יותר.
  "אני רוצה להעלות ולהוריד אובייקטים מקטגוריה של Cloud Storage בשם example-bucket".	‫"Give me access to storage"‏ (תן לי גישה לאחסון).	המונח אחסון לבדו יכול להתייחס לשירותים שונים כמו Cloud Storage,‏ Filestore או Persistent Disk. בנוסף, לא צוינו פעולות. אם לא מציינים את השירות (Cloud Storage), את שם סוג המשאב (example-bucket) או את הפעולות (העלאה והורדה של אובייקטים), ל-Gemini אין מספיק מידע כדי להציע את התפקידים הנכונים.
  "אני צריך את התפקיד עם הכי פחות הרשאות שמאפשר גישה לקריאת רשימה בלבד ב-Secret Manager".	"אני צריך גישה מוגבלת כדי לנהל את הסודות שלי".	הביטוי גישה מוגבלת לא מגדיר בבירור את ההגבלות הנדרשות. ניהול הסודות שלי כולל מגוון רחב של פעולות (יצירה, רישום, עדכון, מחיקה, גישה לגרסאות). בלי להשתמש במילות מפתח מפורשות כמו הרשאות מינימליות, Gemini מציע כברירת מחדל תפקידי אדמין, עריכה או צפייה כלליים יותר שספציפיים לשירות.

• להשתמש בשמות רשמיים. משתמשים בשמות הרשמיים של Google Cloud שירותים, סוגי משאבים ופעולות API בפרומפט. אם אתם לא בטוחים מהם השמות הרשמיים של השירותים, סוגי המשאבים או פעולות ה-API, מומלץ לעיין במסמכי המוצר הרשמיים.

  מומלץ	לא מומלץ	פרטים
  "איזה תפקיד צריך כדי לעדכן מערכי נתונים ב-BigQuery?"	"איזה תפקיד צריך כדי לעדכן מערכי נתונים ב-BigQuery?	השם הרשמי של המוצר הוא BigQuery, ולא Big query.
  "איזה תפקיד נדרש כדי ליצור קטגוריה של Cloud Storage בפרויקט שלי?"	"What role is required to create a Storage bucket in my project?" (איזה תפקיד נדרש כדי ליצור קטגוריה של Storage בפרויקט שלי?)	קטגוריית אחסון יכולה להתייחס לסוגים שונים של משאבים משירותים כמו Cloud Storage,‏ Filestore או Persistent Disk. אם תציינו את שם המוצר ואת סוג המשאב המשויך, ההצעות יהיו מדויקות יותר.

מילות מפתח לתפקידים עם הרשאות מינימליות

אם אתם רוצים לקבל מ-Gemini הצעות לתפקידים בהתאם לעיקרון של הרשאות מינימליות, אתם צריכים להשתמש במילות מפתח ספציפיות בהנחיה. זוהי רשימה חלקית של מילות מפתח שבהן אפשר להשתמש כדי לבקש תפקידים עם הרשאות מינימליות:

• הכי פחות מתירנית
• הכי מאובטח
• התפקיד הכי מצומצם
• הרשאות מינימליות
• הרשאות מינימליות
• מפורטות מאוד
• הגישה הכי מצומצמת
• רק המינימום המוחלט
• רק עם ההרשאות המדויקות

פתרון בעיות

בקטע הזה מפורטים פתרונות לבעיות נפוצות בכלי לבחירת תפקידי IAM.

‫Gemini מציע תפקידים שאי אפשר להעניק ברמת הפרויקט

‫Gemini יכול להציע תפקידים בכל רמות המשאבים, אבל אפשר להשתמש בכלי לבחירת תפקידי IAM רק כדי להעניק את התפקידים ברמת הפרויקט שמוצעים. כש-Gemini מציע תפקידים ברמת הארגון, התיקייה או המשאב, בוחר התפקידים ב-IAM מציין שיש תפקידים מוצעים שלא ניתן להעניק, והכפתור הוספת תפקידים מושבת.

במקרה כזה, אפשר להעתיק את התפקידים המוצעים ולהקצות אותם לחשבון הראשי ברמה המתאימה באמצעות התהליך הרגיל במסוףGoogle Cloud . מידע נוסף על הקצאת תפקידים מופיע במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

אם אין לכם הרשאות להקצות את התפקידים ברמת הארגון, התיקייה או המשאב, פנו לאדמין.

המאמרים הבאים

• סקירה כללית על Gemini for Google Cloud
• איך Gemini for Google Cloud ‎ משתמש בנתונים שלכם
• איך בוחרים את התפקידים המוגדרים מראש המתאימים ביותר
• שימוש בשרת MCP מרוחק של Policy Assist כדי לתת לסוכנים חיצוניים גישה לכלי לבחירת תפקידי IAM.