בדרך כלל כמה חברי צוות משתפים פעולה כדי ליצור נציג, ולשירותים יש גישה לנציג. באמצעות תפקידים, אתם יכולים לשלוט בגישה ובהרשאות שניתנות לחשבונות משתמשים.
אם אתם משתמשים ב-API, יכול להיות שיש לכם גם אפליקציה אחת או יותר ששולחות בקשות לסוכן. במקרה כזה, אתם יכולים לשלוט בגישה באמצעות חשבונות שירות.
אתם יכולים לשלוט בגישה באמצעות ניהול זהויות והרשאות גישה (IAM) או באמצעות מסוף Dialogflow.
מסוף Dialogflow מעניק את התפקיד "אדמין של נציג" למשתמש שיצר את הנציג. המשתמש הזה מקבל באופן אוטומטי את התפקיד Project Owner ב-IAM בפרויקט שמשויך לנציג.
אדמינים של נציגים יכולים להוסיף לנציג מפתחים ובודקים במסוף Dialogflow. כשמקצים את התפקיד "מפתח" או "בודק" במסוף Dialogflow, המשתמש מקבל את התפקיד "עריכת פרויקטים" או "צפייה בפרויקטים" ב-IAM, בהתאמה. דרך נוספת להוסיף מפתחים ובודקים לנציג היא להקצות למשתמשים את התפקידים המתאימים ב-IAM, "עריכת פרויקטים" או "צפייה בפרויקטים", במסוף Google Cloud .
יש מצבים שבהם צריך להשתמש במסוף Google Cloud :
- כדי לשנות את האדמין, להוסיף כמה אדמינים לנציג או להסיר אדמינים של נציג, צריך להשתמש במסוף Google Cloud .
- אם יש לכם שילובים עם משאבים אחרים של Google Cloud , כמו Cloud Functions, ואתם לא רוצים לתת לאפליקציה גישה מלאה לפרויקט, אתם צריכים להקצות את התפקידים של Dialogflow API (אדמין, לקוח או קורא) במסוף Google Cloud ל-IAM.
- לקבוצת משנה של תפקידי IAM יש תפקידים תואמים במסוף Dialogflow. אם רוצים להקצות תפקיד שלא קיים במסוף Dialogflow, צריך להשתמש במסוף Google Cloud .
תפקידים
בטבלה הבאה מפורטים תפקידים נפוצים שרלוונטיים ל-Dialogflow, הקשר בין התפקידים במסוף Dialogflow לבין התפקידים ב-IAM ופרטים על ההרשאות.
בסיכומי ההרשאות בטבלה נעשה שימוש במונחים הבאים:
- גישה מלאה: הרשאה לשנות את הגישה, ליצור, למחוק, לערוך ולקרוא כל משאב.
- גישת עריכה: הרשאה ליצור, למחוק, לערוך ולקרוא כל משאב.
- גישה לסשן: הרשאה להפעיל שיטות למשאבים בזמן ריצה בלבד במהלך שיחה, כמו זיהוי כוונה, עדכון הקשר, עדכון ישויות של סשן או אינטראקציות בשיחה של Agent Assist. רמת הגישה הזו מספקת קבוצת משנה של הרשאות שקיימות ברמות הגישה המלאה וגישת העריכה.
- גישת קריאה: הרשאה לקרוא כל משאב.
| תפקיד במסוף Dialogflow | תפקיד IAM | סיכום ההרשאות | פרטי ההרשאות |
|---|---|---|---|
| אדמין | פרויקט > בעלים |
הקצאה לבעלי פרויקטים שצריכים גישה מלאה לכל המשאבים של Google Cloud ו-Dialogflow:
|
הגדרות של תפקידים בסיסיים ב-IAM |
| מפתח | פרויקט > עריכה |
צריך להקצות את התפקיד לעורכי פרויקטים שזקוקים לגישת עריכה לכל המשאבים של Google Cloud ו-Dialogflow:
|
הגדרות של תפקידים בסיסיים ב-IAM |
| משתמש בעל הרשאת בדיקה | Project > Viewer |
צריך להקצות את התפקיד לצופים בפרויקט שצריכים גישת קריאה לכל המשאבים של Google Cloud ו-Dialogflow:
|
הגדרות של תפקידים בסיסיים ב-IAM |
| לא רלוונטי | פרויקט > דפדפן |
כדי לתת למשתמשים גישה לקריאה בלבד, כדי שהם יוכלו לעיין בהיררכיה של הפרויקט, כולל התיקייה, הארגון ומדיניות ה-IAM:
|
הגדרות של תפקידים בפרויקט ב-IAM |
| לא רלוונטי | Dialogflow > Dialogflow API Admin |
צריך להקצות לאדמינים של Dialogflow API שזקוקים לגישה מלאה למשאבים ספציפיים של Dialogflow:
|
הגדרות של תפקידי IAM ב-Dialogflow |
| לא רלוונטי | Dialogflow > לקוח Dialogflow API |
צריך להקצות ללקוחות Dialogflow API שמבצעים קריאות לזיהוי כוונה באמצעות ה-API:
|
הגדרות של תפקידי IAM ב-Dialogflow |
| לא רלוונטי | Dialogflow > Dialogflow Console Agent Editor |
הרשאות לעורכים במסוף Dialogflow שעורכים סוכנים קיימים:
|
הגדרות של תפקידי IAM ב-Dialogflow |
| לא רלוונטי | Dialogflow > Dialogflow API Reader |
הקצאה ללקוחות Dialogflow API שמבצעים קריאות לקריאה בלבד ספציפיות ל-Dialogflow באמצעות ה-API:
|
הגדרות של תפקידי IAM ב-Dialogflow |
שליטה בגישה באמצעות מסוף Google Cloud
אתם יכולים לשלוט בגישה באמצעות הגדרות IAM. במדריך למתחילים בנושא IAM מוסבר בפירוט איך מוסיפים, עורכים ומסירים הרשאות.
כדי לגשת להגדרות שבהמשך, פותחים את הדף IAM במסוף Google Cloud .
הוספת משתמש או חשבון שירות לפרויקט
כדי לתת הרשאות למשתמשים או לחשבונות שירות, אתם יכולים להקצות להם תפקידים בפרויקט ב- Google Cloud . כדי להוסיף משתמשים, צריך להזין את כתובת האימייל שלהם. כדי להוסיף חשבונות שירות, צריך לציין את כתובת האימייל שמשויכת אליהם. צריך להוסיף חברים לחשבון השירות כשרוצים להשתמש בחשבון שירות אחד לכמה פרויקטים וסוכנים. כדי למצוא את כתובת האימייל שמשויכת לחשבון השירות, נכנסים לדף Service Accounts של IAM במסוף Google Cloud .
כדי להוסיף חבר או חברה:
- לוחצים על כפתור ההוספה בחלק העליון של הדף.
- מזינים את כתובת האימייל של חבר הקבוצה.
- בוחרים תפקיד.
- לוחצים על Save.
שינוי הרשאות
- לוחצים על כפתור העריכה של המשתמש.
- בוחרים תפקיד אחר.
- לוחצים על Save.
הסרת חבר מהקבוצה
- לוחצים על כפתור המחיקה ליד החבר/ה.
שליטה בגישה באמצעות מסוף Dialogflow
אפשרויות השיתוף נמצאות בהגדרות של הנציג. כדי לפתוח את הגדרות השיתוף של הסוכן:
- נכנסים למסוף Dialogflow ES.
- בוחרים את הנציג בחלק העליון של התפריט בסרגל הצד הימני.
- לוחצים על כפתור ההגדרות ליד שם הנציג.
- לוחצים על הכרטיסייה שיתוף. אם הכרטיסייה שיתוף לא מופיעה, סימן שאין לכם את התפקיד הנדרש "אדמין של נציגים".
הוספת משתמש
- מזינים את כתובת האימייל של המשתמש בקטע הזמנת אנשים חדשים.
- בוחרים תפקיד.
- לוחצים על הוספה.
- לוחצים על Save.
שינוי הרשאות
- מוצאים את המשתמש ברשימה.
- בוחרים תפקיד אחר.
- לוחצים על Save.
הסרת משתמש
מוצאים את המשתמש ברשימה.
לוחצים על כפתור המחיקה של המשתמש.
לוחצים על Save.
חשבונות שירות שנוצרים באופן אוטומטי
כשאתם יוצרים נציג ועובדים איתו, Dialogflow יוצר באופן אוטומטי כמה סוכני שירות.
כדי לראות את התפקידים שניתנו לסוכני השירות האלה, מפעילים את האפשרות Include Google-provided role grants בדף IAM.
אל תמחקו, תערכו או תורידו מפתחות של סוכני השירות האלה, ואל תשתמשו בהם כדי לבצע קריאות ישירות ל-API. הם משמשים רק את שירות Dialogflow כדי להתחבר למגוון שירותי Google Cloud שבהם הנציג משתמש. יכול להיות שתצטרכו להפנות לסוכני השירות האלה באמצעות כתובת האימייל שלהם כשאתם מגדירים תכונות מסוימות של Dialogflow.
בטבלה הבאה מתוארים חלק מסוכני השירות האלה:
| טופס אימייל של IAM | מטרה |
|---|---|
| service-project-number @gcp-sa-dialogflow. |
משמש לחיבור הנציג לשירותים שמטפלים בתנועה של השילוב. |
| firebase-adminsdk-alphanum @project-id. |
משמש לחיבור הנציג לשירותים שמטפלים בתנועה של השילוב עם Google Assistant. |
| project-id @ |
משמש לחיבור הנציג לשירותים שמטפלים בתנועה של השילוב עם Google Assistant. |
העברת תפקיד אדמין
כדי להעביר את תפקיד האדמין של נציג, האדמין הקיים צריך לפעול לפי השלבים שלמעלה כדי להוסיף אדמין חדש. אחרי שהאדמין החדש יאשר את התפקיד שהוקצה לו, אפשר להסיר את האדמין הישן.
אם האדמין הנוכחי כבר לא עובד בארגון שלכם, ואתם צריכים להעביר את תפקיד האדמין לעובד אחר, יש לכם שתי אפשרויות:
- לאדמין של הארגון שמשויך לפרויקט של הנציג יש הרשאות לשנות את האדמין של הנציג.
- אם יש לכם הרשאות קריאה לנציג, אתם יכולים לייצא את הנציג ולייבא אותו לנציג שבו העובד הרצוי הוא אדמין. יכול להיות שהפעולה הזו תגרום לזמן השבתה של נציג פעיל בסביבת הייצור בזמן שהנציג מועבר וכל השילובים מתעדכנים.
OAuth
אם אתם משתמשים בספריות הלקוח של Google כדי לגשת ל-Dialogflow, אתם לא צריכים להשתמש ב-OAuth באופן ישיר, כי הספריות האלה מטפלות בהטמעה בשבילכם. עם זאת, אם אתם מטמיעים לקוח משלכם, יכול להיות שתצטרכו להטמיע תהליך OAuth משלכם. כדי לגשת ל-Dialogflow API, צריך אחד מהיקפי ההרשאות הבאים של OAuth:
https://www.googleapis.com/auth/cloud-platform(גישה לכל המשאבים בפרויקט)https://www.googleapis.com/auth/dialogflow(גישה למשאבים של Dialogflow)
בקשות שכוללות גישה ל-Cloud Storage
חלק מהבקשות של Dialogflow ניגשות לאובייקטים ב-Cloud Storage כדי לקרוא או לכתוב נתונים. כשאתם שולחים אחת מהבקשות האלה, Dialogflow ניגש לנתונים ב-Cloud Storage בשם הגורם ששלח את הבקשה. כלומר, לאימות הבקשה צריכות להיות הרשאות גישה ל-Dialogflow וגם לאובייקטים של Cloud Storage.
כשמשתמשים בספריית לקוח של Google ובתפקידי IAM, אפשר לקרוא מידע על תפקידים ב-Cloud Storage במדריך לבקרת גישה ב-Cloud Storage.
כשמטמיעים לקוח משלכם ומשתמשים ב-OAuth, צריך להשתמש בהיקף ההרשאות הבא של OAuth:
https://www.googleapis.com/auth/cloud-platform(גישה לכל המשאבים בפרויקט)