Alibaba Cloud Model Studio:Gestión de permisos

Alibaba Cloud Model Studio ofrece un control de acceso granular a nivel de consola y de modelo, ayudando a las organizaciones a gestionar usuarios en múltiples regiones.

Gestión de identidad y permisos en Model Studio

Un espacio de trabajo es la unidad de gestión más pequeña para el control de permisos detallado (para modelos y usuarios) y la asignación de costos de Alibaba Cloud.

Model Studio utiliza tres roles para la gestión de permisos del espacio de trabajo:

1. Superadministrador: Gestiona permisos de usuario, modelos disponibles, límites de tasa de modelos y claves API en múltiples espacios de trabajo.
2. Administrador de espacio de trabajo: Gestiona los permisos de usuario y los recursos dentro de un espacio de trabajo específico.
3. Usuario estándar: Utiliza recursos autorizados.

Permisos del espacio de trabajo	Superadministrador (con la política de sistema AliyunBailianFullAccess)	Administrador del espacio de trabajo	Usuario estándar
Gestionar llamadas de modelo y limitación de tasa	Compatible	No compatible	No compatible
Gestionar ajuste fino de modelos	Compatible	No compatible	No compatible
Gestión de usuarios	Compatible	Compatible	No compatible
Gestionar páginas accesibles para el usuario	Compatible	Compatible	No compatible
Gestión de claves de API	Compatible	Compatible	No compatible
Usar recursos autorizados	Compatible	Compatible	Compatible
Permisos de OpenAPI	No compatible	No compatible	No compatible

Superadministrador

Un superadministrador es uno de los siguientes tipos de cuenta:

• Una cuenta de Alibaba Cloud. La esquina superior derecha de la consola de Model Studio muestra lo siguiente:

  

• Un usuario RAM con la política de sistema AliyunBailianFullAccess (administrador de Model Studio). Este usuario RAM puede utilizar el menú de gestión global de Model Studio (Singapore | EE. UU. (Virginia) | China (Beijing) | China (Hong Kong) | Germany (Frankfurt)) para otorgar casi todos los permisos a cualquier usuario RAM (incluido él mismo) para cualquier región y cualquier espacio de trabajo. (Solo una cuenta de Alibaba Cloud puede otorgar permisos de OpenAPI.)

  Un usuario RAM es una subcuenta creada por una cuenta de Alibaba Cloud para asignar de forma segura recursos en la nube y permisos a los miembros del equipo.

  La esquina superior derecha muestra lo siguiente:

  

Un superadministrador puede utilizar el menú de gestión global de Model Studio (Singapore | EE. UU. (Virginia) | China (Beijing) | China (Hong Kong) | Germany (Frankfurt)) para gestionar múltiples espacios de trabajo. Estas tareas incluyen:

1. Crear y cambiar el nombre de espacios de trabajo.
2. Gestionar modelos y limitación de tasa de modelos para todos los espacios de trabajo.
3. Gestionar cuentas (usuarios) para todos los espacios de trabajo.
4. Gestionar todas las claves de API.

Administrador del espacio de trabajo

Un administrador de espacio de trabajo es un usuario RAM que gestiona un espacio de trabajo desde su página de Permissions.

El permiso Administrator incluye acceso a todas las páginas dentro del espacio de trabajo.

Gestión de permisos del espacio de trabajo

Model Studio organiza los recursos y espacios de trabajo por región. Un espacio de trabajo no puede abarcar múltiples regiones, y cada región tiene un espacio de trabajo predeterminado distinto. Puede cambiar de región desde el menú de gestión global (Singapore | Virginia | Beijing | China (Hong Kong) | Frankfurt).

En Model Studio, un espacio de trabajo es la unidad más pequeña para la gestión de permisos detallada:

Permisos del espacio de trabajo	Superadministrador (con la política de sistema AliyunBailianFullAccess)	Administrador del espacio de trabajo	Usuario estándar
Gestionar llamadas de modelo y limitación de tasa	Compatible	No compatible	No compatible
Gestionar ajuste fino de modelos	Compatible	No compatible	No compatible
Gestión de usuarios	Compatible	Compatible	No compatible
Gestionar páginas accesibles para el usuario	Compatible	Compatible	No compatible
Gestión de claves de API	Compatible	Compatible	No compatible
Usar recursos autorizados	Compatible	Compatible	Compatible
Permisos de OpenAPI	No compatible	No compatible	No compatible

• Controlar invocaciones de modelos: Configure si un modelo puede ser invocado (desde la consola o mediante una API) dentro del espacio de trabajo, y establezca el Límite de número de solicitudes y el Límite de tokens del modelo.

  Esta restricción no se puede configurar para el espacio de trabajo predeterminado. Todos los modelos se pueden invocar sin limitación de tasa.

  

• Controlar el ajuste fino de modelos: Configure si un modelo puede ser ajustado (desde la consola o mediante una API) y desplegado tras el ajuste fino dentro del espacio de trabajo.

  Esta restricción no se puede configurar para el espacio de trabajo predeterminado. Todos los modelos que admiten ajuste fino pueden ser ajustados y desplegados tras su finalización.

  

• Gestionar permisos de consola para usuarios: Controle a qué funciones de la consola puede acceder un usuario RAM dentro de un espacio de trabajo. Esta configuración no afecta las llamadas a la API realizadas con la clave API del usuario.

  Una cuenta de Alibaba Cloud tiene acceso a todas las páginas en todos los espacios de trabajo de forma predeterminada.

  

Permisos de clave API

Una sola clave API puede pertenecer únicamente a un espacio de trabajo y a un usuario dentro de una sola región, y no se puede transferir a otros espacios de trabajo o usuarios. Las funciones invocables y la limitación de tasa de modelos para una clave API son coherentes con los permisos de su Espacio de trabajo, y no se ven afectadas por los permisos de usuario a nivel de consola. No necesita crear diferentes claves API para diferentes modelos, como generación de texto, generación de texto a imagen o síntesis de voz.

Las siguientes acciones en la cuenta de un propietario afectan el estado de la clave de API:

Acción desencadenante	Cuenta de Alibaba Cloud	Usuario RAM
Eliminar manualmente una clave de API	No admitido Los fallos son irrecuperables.	No admitido Los fallos son irrecuperables.
Eliminar un usuario de un espacio de trabajo	—	No admitido Fallo. La clave se reactiva si el usuario se vuelve a agregar al espacio de trabajo.
Eliminar el usuario o rol en laconsola de RAM	—	No admitido El fallo es irrecuperable.
Establecer una lista blanca de IP para una clave de API	Admitido para claves de API en la región China (Pekín).	Admitido para claves de API en la región China (Pekín).

En la consola de Model Studio, en la pestaña Permissions del panel de navegación izquierdo, puede otorgar a un usuario RAM permiso para crear, eliminar y ver todas las claves API en el espacio de trabajo.

Permisos de OpenAPI

De forma predeterminada, los usuarios RAM no tienen permiso para invocar la OpenAPI para funciones de aplicación de Model Studio como datos, base de conocimientos e ingeniería de prompts.

Para otorgar este permiso, una cuenta de Alibaba Cloud debe asignar una de las siguientes políticas al usuario RAM en la consola de RAM:

• AliyunBailianDataFullAccess: Permite al usuario invocar todas las API en el catálogo de API de la aplicación Model Studio.
• AliyunBailianDataReadOnlyAccess: Permite al usuario invocar API de solo lectura en el catálogo de API de la aplicación Model Studio, como DescribeFile - Consultar estado de archivo y GetIndexJobStatus - Consultar el estado de un trabajo de creación de base de conocimientos.

Uso en un entorno de producción

• Estrategia de planificación del espacio de trabajo

  • Agrupar por entorno (Recomendado): Cree espacios de trabajo separados para los entornos de desarrollo, pruebas, preproducción y producción para lograr un aislamiento estricto de entornos.

    • project-dev-workspace
    • project-test-workspace
    • project-prod-workspace

  • Agrupar por línea de negocio: Cree espacios de trabajo separados para diferentes unidades de negocio, como marketing, posventa y diseño, para simplificar la gestión de permisos y costos.

    • marketing-team-workspace
    • customer-team-workspace
• Política de limitación

  • Asigne la cuota total de su cuenta de Alibaba Cloud proporcionalmente entre los espacios de trabajo. Reserve una parte como búfer para manejar picos de tráfico.

    Ejemplo: La cuota total de la cuenta es de 1000 QPM. El plan de asignación es el siguiente:

    • project-prod-workspace: 600 QPM (60%)
    • project-test-workspace: 200 QPM (20%)
    • project-dev-workspace: 100 QPM (10%)
    • Búfer reservado: 100 QPM (10%)

Gestionar permisos de facturación y suscripción

De forma predeterminada, un usuario RAM no tiene permiso para ver facturas de Alibaba Cloud ni adquirir productos de suscripción. Para otorgar estos permisos, asigne permisos específicos al usuario RAM en la consola de RAM.

1. Para permitir que un usuario RAM vea las facturas de Alibaba Cloud, otórguele el permiso AliyunBSSReadOnlyAccess.
2. Para permitir que un usuario RAM adquiera productos de suscripción de Alibaba Cloud, otórguele el permiso AliyunBSSOrderAccess.

Configuración común

Configurar un superadministrador

Solo una cuenta de Alibaba Cloud (cuenta raíz) o un usuario RAM con la política de sistema AliyunRAMFullAccess puede realizar esta operación.

1. Vaya a la consola de RAM y otorgue al usuario RAM los permisos AliyunBailianFullAccess (administrador de Model Studio) y AliyunBSSOrderAccess (para adquirir productos de suscripción de Alibaba Cloud).
2. Después de la configuración, puede utilizar el menú de gestión global de Model Studio (Singapore | EE. UU. (Virginia) | China (Beijing) | China (Hong Kong) | Germany (Frankfurt)) para otorgar cualquier permiso para cualquier región y cualquier espacio de trabajo a cualquier usuario RAM (incluido usted mismo), y adquirir productos de suscripción de Model Studio.

Configurar un administrador de espacio de trabajo

Esta operación requiere un superadministrador o un administrador del espacio de trabajo.

1. En la consola de Model Studio, vaya a la pestaña Permissions en el panel de navegación izquierdo y otorgue al usuario RAM el permiso de Administrador.

   

Establecer permisos de llamada de modelo

1. Si no utiliza el espacio de trabajo predeterminado, asegúrese de que el permiso de invocación de modelos esté habilitado para el modelo específico en el espacio de trabajo. (Esta operación requiere un superadministrador).

2. Para invocar modelos desde la consola de Model Studio, vaya a la pestaña Permissions en el panel de navegación izquierdo y otorgue al usuario RAM los siguientes permisos: (Esta operación requiere un superadministrador o un administrador de espacio de trabajo).

   1. El permiso ModelExperience-FullAccess para llamar a modelos desde la consola.
   2. El permiso BatchInference-FullAccess para utilizar la función de inferencia por lotes.
   3. El permiso ModelObservation-FullAccess para ver el consumo de tokens de las invocaciones y evaluaciones de modelos.

   

3. Para invocar modelos mediante la API de Model Studio, cree o asigne una clave API para el usuario RAM en el espacio de trabajo correspondiente. Consulte Permisos de clave API. (Esta operación requiere un superadministrador o un administrador de espacio de trabajo).

Configurar permisos de ajuste fino de API

1. Si no utiliza el espacio de trabajo predeterminado, asegúrese de que el permiso de ajuste fino de modelos (entrenamiento) esté habilitado para el modelo específico en el espacio de trabajo. (Esta operación requiere un superadministrador).
2. Cree o asigne una clave API para el usuario RAM en el espacio de trabajo correspondiente. Consulte Permisos de clave API. (Esta operación requiere un superadministrador o un administrador de espacio de trabajo).

FAQ

1. Obtener un ID de espacio de trabajo

Consulte Obtener el ID del espacio de trabajo.

2. Llamar a un modelo en un subespacio de trabajo

Utilice la clave de API de su subespacio de trabajo. No se requiere ninguna configuración especial.

3. Usar aplicaciones del espacio de trabajo

Para gestionar o invocar aplicaciones en un espacio de trabajo a través de la API, debe proporcionar tanto el ID de APP como el ID de espacio de trabajo.