生成AIエージェントへのアクセス

エージェント、ナレッジ・ベース、データ・ソース、データ取込みジョブ、エージェント・セッション、エージェント作業リクエスト、エンドポイントなどの生成AIエージェント・リソースへのアクセス権をユーザーに付与します

• テナンシ全体のすべての生成AIエージェント・リソースにアクセスするには、次のポリシーを使用します:

  allow group <genai-agent-administrators> to manage genai-agent-family in tenancy

• コンパートメント内のすべての生成AIエージェント・リソースにアクセスするには、次のポリシーを使用します:

  allow group <genai-agent-administrators> to manage genai-agent-family in compartment <your-compartment-name>

エージェントのデータファイルがOCIオブジェクト・ストレージ・バケットにある場合は、生成AIエージェント・サービス内でそれらのファイルをリストおよび選択する権限が必要です。

• オブジェクト・ストレージ・ファイルをナレッジ・ベースに追加する権限をユーザーに付与するには:

  allow group <your-group-name> to manage object-family in compartment <compartment-with-bucket>

管理者にオブジェクト・ストレージの保護の例を確認し、トレーニング・データを含むバケットが誤って削除されないようにポリシーなどのポリシーを適用するポリシーを追加するように依頼してください。

OCI Object Storageから大量のコンテンツを取り込むには、次のステップに従って、24時間以上実行される可能性のあるデータ取込みジョブのリソース・プリンシパルを作成します。

1. 「動的グループの作成」のステップに従って、一致ルールに次の詳細を指定します。
   1. 「一致ルール」セクションで、「下で定義したいずれかのルールに一致」をクリックします。
   2. 次の照合ルールを入力します。

      ALL {resource.type='genaiagentdataingestionjob'}

      genaiagentdataingestionjobリソース・タイプは、データ収集ジョブのリソース・プリンシパルです。前述の一致ルールは、この動的グループが生成AIエージェントのデータ取込みジョブ・リソースを表すことを意味します。

      動的グループ・メンバーシップを、前の一致ルールではなく、特定のコンパートメントで作成されたデータ取込みジョブに制限するには、次のものを使用します:

      ALL {resource.type = 'genaiagentdataingestionjob', 
      resource.compartment.id = '<compartment-ocid-for-ingestion-jobs>’}
      

   3. この動的グループが、指定されたコンパートメント内のオブジェクト・ストレージ・オブジェクトにアクセスできるようにします。

      allow dynamic-group <dynamic-group-name> 
      to read objects in compartment <compartment-name-for-objects>
      

      より多くの条件でポリシーをさらに制限できます。たとえば:

      allow dynamic-group <dynamic-group-name> 
      to read objects in tenancy where all {target.compartment.id='<compartment_ocid>’, 
      target.bucket.name=<bucket-name>, 
      target.bucket.tag.MyTagNamespace.TagKey='<MyTagValue>'}
      

      ポリシーの記述の例の詳細は、オブジェクト・ストレージの保護を参照してください。

      ノート
      
      バケット名、コンパートメントおよびタグを含む条件を使用して、オブジェクト・ストレージへのアクセスを制限できます。target.object.nameなどのポリシーでオブジェクト名または接頭辞を指定してアクセスを制限することはサポートされておらず、データ取込みジョブが失敗する可能性があります。

データがOracle Databaseベクトル・ストアにある場合、またはOpenSearchを使用したOCI検索の場合は、次のタスクを実行します。

1. Oracle Databaseデータの場合は、Oracle Databaseの生成AIエージェント・ガイドラインのタスクを実行します。
2. OpenSearchデータを使用したOCI検索の場合は、「生成AIエージェントのOCI検索のOpenSearchガイドライン」のタスクを実行します。
3. 「動的グループの作成」のステップに従って、一致ルールに次の詳細を指定します。
   1. 「一致ルール」セクションで、「下で定義したいずれかのルールに一致」をクリックします。
   2. 次の照合ルールを入力します。

      ALL {resource.type='genaiagent'}

      genaiagentリソース・タイプは、エージェントのリソース・プリンシパルです。前述の一致ルールは、この動的グループが生成AIエージェント・エージェント・リソースを表すことを意味します。

   3. この動的グループが、Oracle Databaseベクトル・ストアまたはOpenSearchシークレットのあるOCI検索を使用して、コンパートメント内のOCI Vaultシークレットにアクセスできるようにします。

      allow dynamic-group <dynamic-group-name> 
      to read secret-bundle in compartment <compartment-name>
      

データがOracle Database 23aiにある場合は、前の項で作成した動的グループを更新し、この動的グループがOCIデータベース・ツールにアクセスできるようにする別のルールを追加します。

allow dynamic-group <dynamic-group-name> 
to read database-tools-family in compartment <compartment-name>

allow group GenAI-agents-users to use genai-agent in compartment GenAI-agents-compartment

allow group GenAI-agents-users to manage genai-agent-knowledge-base in compartment GenAI-agents-compartment

allow group GenAI-agents-users to inspect genai-agent-data-source in compartment GenAI-agents-compartment

allow group GenAI-agents-users to inspect genai-agent-data-ingestion-job in compartment GenAI-agents-compartment

allow group GenAI-agents-users to manage genai-agent-endpoint in compartment GenAI-agents-compartment

allow group GenAI-agents-users to read genai-agent-work-request in compartment GenAI-agents-compartment

allow group GenAI-agents-users to manage genai-agent-session in compartment GenAI-agents-compartment