Controllo dell'accesso

È comune che più membri del team collaborino alla creazione di un agente e che i servizi accedano all'agente. Utilizzando i ruoli, puoi controllare l'accesso e le autorizzazioni concesse alle entità.

Puoi configurare l'accesso utilizzando la console Conversational Agents o la console Google Cloud (consulta la documentazione, apri la console) con Identity and Access Management (IAM). La console Google Cloud viene utilizzata per concedere ruoli IAM alle entità, mentre la console Conversational Agents viene utilizzata per concedere ruoli agente Dialogflow CX alle entità. I ruoli degli agenti Dialogflow CX sono comodi ruoli predefiniti definiti da Dialogflow CX che limitano l'accesso a un agente o alle risorse secondarie di un agente specifico.

In alcune situazioni devi utilizzare la console Google Cloud :

• Il ruolo IAM Project Owner viene concesso per impostazione predefinita all'utente che ha creato il progetto proprietario dell'agente. Questo proprietario ha accesso completo a tutti gli agenti del progetto. Se vuoi cambiare il Project Owner, devi utilizzare la console Google Cloud .
• Tramite la console Dialogflow CX è possibile configurare solo l'accesso a livello di agente. Se vuoi configurare l'accesso a livello di progetto, devi utilizzare la console Google Cloud .
• Un sottoinsieme di ruoli IAM ha ruoli di agente Dialogflow CX corrispondenti. Se vuoi concedere un ruolo a livello di progetto o di agente che non esiste nella console Dialogflow CX, devi utilizzare la console Google Cloud .
• Se stai creando un agente datastore con l'interfaccia utente di Vertex AI Agents, devi utilizzare la console Google Cloud .

Se utilizzi l'API, potresti anche avere una o più applicazioni che inviano richieste a un agente. In questo caso, puoi controllare l'accesso con i service account.

Controlla l'accesso con la console Conversational Agents

La console Conversational Agents ti consente di applicare ruoli degli agenti pratici configurati per la condivisione a livello di agente. Questi ruoli sono correlati ai ruoli IAM con condizioni IAM che limitano l'accesso all'agente specifico o a un sottoinsieme di risorse secondarie dell'agente.

Per accedere alla configurazione dei ruoli degli agenti dalla console di Conversational Agents, devi disporre del ruolo Amministratore IAM progetto per il progetto associato. Questo ruolo viene concesso dalla console Google Cloud .

Nota: la console di Conversational Agents mostrerà solo le entità con questi ruoli specifici e condizioni specifiche dell'agente. Se hai utilizzato la console Google Cloud per aggiungere entità con ruoli o condizioni, queste non verranno visualizzate nella console Conversational Agents.

Ruolo Agente Dialogflow CX	Riepilogo	Ruolo IAM
Lettore conversazionale	Fornisce l'accesso in lettura per eseguire query (non per rilevare l'intent) sull'agente dalla console o dall'API.	Dialogflow > Dialogflow API Reader
Conversational Admin	Fornisce l'accesso completo per creare, aggiornare, eseguire query, rilevare l'intent ed eliminare l'agente dalla console o dall'API.	Dialogflow > Dialogflow API Admin
Client conversazionale	Fornisce l'accesso per rilevare l'intent dalla console o dall'API.	Dialogflow > Dialogflow API Client
Service agent	Consulta Agenti di servizio	Consulta Agenti di servizio
Editor dei flussi	Fornisce l'accesso per aggiornare, eseguire query su un flusso specifico e creare, aggiornare, eliminare o eseguire query sulle risorse del flusso (pagine, gruppi di route e versioni) dalla console o dall'API.	Dialogflow > Editor dei flussi di Dialogflow
Editor ambiente	Fornisce l'accesso per aggiornare, eseguire query su un ambiente specifico e creare, aggiornare, eliminare o eseguire query sulle risorse dell'ambiente (esperimenti) dalla console o dall'API.	Dialogflow > Dialogflow Environment editor
Entity Type Admin	Fornisce l'accesso per creare, aggiornare, eliminare o eseguire query sui tipi di entità di un agente dalla console o dall'API.	Dialogflow > Dialogflow Entity Type Admin
Intent Admin	Fornisce l'accesso per creare, aggiornare, eliminare o eseguire query sugli intent di un agente dalla console o dall'API.	Dialogflow > Dialogflow Intent Admin
Test Case Admin	Fornisce l'accesso per creare, aggiornare, eliminare o eseguire query sugli scenari di test di un agente dalla console o dall'API.	Dialogflow > Dialogflow Test Case Admin
Amministratore webhook	Fornisce l'accesso per creare, aggiornare, eliminare o eseguire query sui webhook di un agente dalla console o dall'API.	Dialogflow > Dialogflow Webhook Admin

Le opzioni di condivisione si trovano nelle impostazioni dell'agente. Per aprire le impostazioni di condivisione dell'agente:

1. Apri la console Dialogflow CX.
2. Scegli il tuo progetto Google Cloud.
3. Seleziona l'agente.
4. Fai clic su Impostazioni agente.
5. Fai clic sulla scheda Condividi.

Aggiungi un'entità

1. Fai clic su Aggiungi.
2. Inserisci l'indirizzo email dell'utente, del gruppo o del account di servizio.
3. Seleziona Utente, Gruppo o Service account per il tipo di email.
4. Il ruolo Dialogflow Reader viene aggiunto per impostazione predefinita ed è obbligatorio per consentire agli utenti di accedere alla console di Conversational Agents.
5. Fai clic su Aggiungi ruolo in Assegna ruoli.
6. Seleziona un tipo di ruolo in Tipo.
7. Per i ruoli Flow Editor ed Environment Editor, seleziona flussi o ambienti specifici o mantieni l'opzione predefinita Tutti.
8. Facoltativamente, imposta la data di scadenza del ruolo.
9. Fai clic su Salva.

Modifica i ruoli delle entità

1. Fai clic sull'entità nell'elenco.
2. Aggiorna i ruoli per questa entità nel popup.
3. Fai clic su Salva.

Rimuovi un'entità

1. Trova l'entità nell'elenco.
2. Fai clic sul pulsante Elimina per l'entità.
3. Fai clic su Ok.

Nota: dopo aver applicato le modifiche ai ruoli delle entità, potrebbe verificarsi un ritardo prima che le modifiche diventino effettive.

Controlla l'accesso con la console Google Cloud

Puoi controllare l'accesso con le impostazioni IAM. Consulta la guida rapida di IAM per istruzioni dettagliate su come aggiungere, modificare e rimuovere le autorizzazioni.

Aggiungi un utente o un account di servizio al progetto

Puoi fornire autorizzazioni a utenti o service account concedendo loro ruoli nel tuo progetto Google Cloud . Gli utenti vengono aggiunti fornendo il loro indirizzo email. Anche i service account vengono aggiunti fornendo l'indirizzo email associato. Devi aggiungere i service account quando vuoi utilizzarne uno per più progetti. Per trovare l'indirizzo email associato al tuo account di servizio, consulta la pagina Service account di IAM nella console Google Cloud .

Per aggiungere un'entità:

1. Fai clic sul pulsante Aggiungi nella parte superiore della pagina.
2. Inserisci l'indirizzo email dell'entità.
3. Seleziona un ruolo.
4. Fai clic su Salva.

Cambia autorizzazioni

1. Fai clic sul pulsante Modifica per l'entità.
2. Seleziona un altro ruolo.
3. Fai clic su Salva.

Rimuovi un'entità

1. Fai clic sul pulsante Elimina per l'entità.

Aggiungi una condizione per limitare l'accesso a un agente

Quando aggiungi o modifichi un'entità, puoi creare una condizione IAM che limita l'accesso a un agente.

Nota: assegna i ruoli di agente agli indirizzi email degli utenti per l'accesso alla console Dialogflow CX direttamente nella console Conversational Agents.

Ad esempio:

{
    "expression": "resource.name.startsWith(\"projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID\")",
    "title": "For Dialogflow CX Agent AGENT_ID"
}

Questa condizione ti consente di accedere in modo di base a un agente specifico. Ad esempio, un account di servizio con questa condizione può chiamare l'API Dialogflow CX solo per accedere all'agente specificato nella condizione per il progetto, ma non ad altri agenti nel progetto.

Per aggiungere questa condizione a un ruolo concesso a un'entità:

1. Seleziona un'entità.
2. Fai clic sul pulsante di modifica per l'entità.
3. Fai clic su Aggiungi condizione.
4. Nel campo Titolo, inserisci For Dialogflow CX Agent AGENT_ID e sostituisci AGENT_ID con l'ID agente.
5. Puoi aggiungere qualsiasi descrizione.
6. Seleziona l'editor delle condizioni per creare la condizione.
7. Aggiungi l'espressione resource.name.startsWith("projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID"), sostituendo AGENT_ID con l'ID agente e PROJECT_ID con l'ID progetto.
8. Fai clic su Salva.

Ruoli IAM

La tabella seguente elenca i ruoli IAM comuni pertinenti per Dialogflow CX. I riepiloghi delle autorizzazioni nella tabella utilizzano i seguenti termini:

• Accesso completo: autorizzazione a modificare l'accesso, creare, eliminare, modificare e leggere qualsiasi risorsa.
• Accesso in modifica: autorizzazione per creare, eliminare, modificare e leggere qualsiasi risorsa.
• Accesso alla sessione: autorizzazione a chiamare metodi per risorse di sola runtime durante una conversazione, ad esempio rilevamento dell'intent, aggiornamento del contesto, aggiornamento delle entità sessione o interazioni di conversazione di Agent Assist.
• Accesso in lettura: autorizzazione a leggere qualsiasi risorsa.

Nota: per modificare l'accesso per un agente, devi disporre di un ruolo che fornisca l'accesso completo all'agente. Per eliminare un agente, devi disporre di un ruolo che fornisca l'accesso completo o l'accesso in modifica all'agente.

Nota: il simulatore della console chiama il metodo API detectIntent durante una conversazione. Questo metodo esegue una scrittura sullo stato della sessione. Per utilizzare la console o chiamare i metodi detectIntent/streamingDetectIntent dell'API, devi disporre di un ruolo che fornisca accesso completo, accesso in modifica o accesso alla sessione.

Ruolo IAM	Riepilogo delle autorizzazioni	Dettagli autorizzazione
Project > Owner	Concedi ai Project Owner che hanno bisogno dell'accesso completo a tutte le risorse Google Cloud e Dialogflow CX: Accesso completo a tutte le risorse del progetto Google Cloud utilizzando la console Google Cloud o le API. Accesso completo agli agenti tramite la console Conversational Agents. Può rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli IAM di base.
Progetto > Editor	Concedi il ruolo agli editor del progetto che hanno bisogno dell'accesso in modifica a tutte le risorse Google Cloud e Dialogflow CX: Accesso in modifica a tutte le risorse del progetto Google Cloud utilizzando la console Google Cloud o le API. Modifica l'accesso in modifica agli agenti utilizzando la console Conversational Agents. Può rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli IAM di base.
Progetto > Visualizzatore	Concedi ai visualizzatori del progetto che necessitano dell'accesso in lettura a tutte le risorse Google Cloud e Dialogflow CX: Accesso in lettura a tutte le risorse del progetto Google Cloud utilizzando la console Google Cloud o le API. Accesso in lettura agli agenti tramite la console o l'API Conversational Agents, non può utilizzare il simulatore. Impossibile rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli IAM di base.
Progetto > Amministratore IAM	Concedi agli amministratori IAM del progetto che necessitano dell'accesso in modifica alla configurazione dei ruoli degli agenti Dialogflow CX.	Consulta le definizioni dei ruoli di IAM Resource Manager.
Progetto > Browser	Concedi ai browser di progetto che necessitano dell'accesso in lettura per esplorare la gerarchia di un progetto, inclusi cartella, organizzazione e policy IAM: Accesso in lettura alla gerarchia dei progetti Google Cloud . Nessun accesso agli agenti che utilizzano la console Conversational Agents. Impossibile rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli di progetto IAM.
Dialogflow > Amministratore API Dialogflow	Concedi agli amministratori dell'API Dialogflow CX che necessitano dell'accesso completo alle risorse specifiche di Dialogflow CX: Accesso completo a tutte le risorse Dialogflow CX utilizzando la console Google Cloud o le API. Accesso completo agli agenti tramite la console Conversational Agents. Può rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli IAM di Dialogflow.
Dialogflow > Client API Dialogflow	Concedi ai client API Dialogflow CX che eseguono chiamate di rilevamento intent utilizzando l'API: Accesso alla sessione alle risorse di runtime di Dialogflow CX utilizzando il simulatore o l'API Dialogflow CX. Accesso limitato agli agenti tramite la console Conversational Agents. Può rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli IAM di Dialogflow.
Dialogflow > Editor degli agenti della console Conversational Agents	Concedi agli editor della console Conversational Agents che modificano gli agenti esistenti: Accesso completo a tutte le risorse Dialogflow CX utilizzando la console Google Cloud . Accesso in modifica alla maggior parte dei dati degli agenti utilizzando la console Conversational Agents. Può rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli IAM di Dialogflow.
Dialogflow > Dialogflow API Reader	Concedi ai client API Dialogflow che eseguono chiamate di sola lettura specifiche di Dialogflow CX utilizzando l'API: Accesso in lettura a tutte le risorse Dialogflow CX utilizzando la console Google Cloud o le API. Accesso in lettura agli agenti tramite la console Conversational Agents, non può utilizzare il simulatore. Impossibile rilevare l'intent utilizzando l'API.	Consulta le definizioni dei ruoli IAM di Dialogflow.
Discovery Engine Admin	Concedi agli utenti che creano agenti datastore con l'interfaccia utente di Vertex AI Agents.	Consulta le definizioni dei ruoli IAM di Discovery Engine.

OAuth

Se utilizzi le librerie client di Google per accedere a Dialogflow CX, non è necessario utilizzare direttamente OAuth, perché queste librerie gestiscono l'implementazione per te. Tuttavia, se implementi il tuo client, potresti dover implementare il tuo flusso OAuth. L'accesso all'API Dialogflow CX richiede uno dei seguenti ambiti OAuth:

• https://www.googleapis.com/auth/cloud-platform (accesso a tutte le risorse del progetto)
• https://www.googleapis.com/auth/dialogflow (accesso alle risorse di Dialogflow CX)

Richieste che comportano l'accesso a Cloud Storage

Alcune richieste di Dialogflow CX accedono agli oggetti in Cloud Storage per leggere o scrivere dati. Quando chiami una di queste richieste, Dialogflow CX accede ai dati di Cloud Storage per conto del chiamante. Ciò significa che l'autenticazione della richiesta deve disporre delle autorizzazioni per accedere a Dialogflow CX e agli oggetti Cloud Storage.

Quando utilizzi una libreria client di Google e i ruoli IAM, consulta la guida controllo dell'accesso di Cloud Storage per informazioni sui ruoli di Cloud Storage.

Quando implementi il tuo client e utilizzi OAuth, devi utilizzare il seguente ambito OAuth:

• https://www.googleapis.com/auth/cloud-platform (accesso a tutte le risorse del progetto)

Ruoli personalizzati per l'accesso allo strumento Playbook

Puoi fornire controllo dell'accesso granulare per gli strumenti del playbook utilizzando autorizzazioni e ruoli personalizzati.

Puoi elencare le autorizzazioni disponibili visitando lo strumento di ricerca delle autorizzazioni e cercando dialogflow.tools.

Utilizzando queste autorizzazioni, puoi creare ruoli personalizzati.