Alibaba Cloud Model Studio:Pengelolaan izin

Alibaba Cloud Model Studio menyediakan kontrol akses detail halus di tingkat konsol dan model untuk mendukung struktur organisasi kompleks yang mencakup beberapa wilayah.

Identitas dan pengelolaan izin

Ruang kerja merupakan unit manajemen terkecil untuk kontrol izin detail halus atas model dan pengguna, serta untuk alokasi biaya Alibaba Cloud.

Model Studio menggunakan tiga peran untuk mengelola izin ruang kerja:

1. Super administrator: Mengelola izin pengguna, model yang tersedia, pembatasan laju model, dan Kunci API di beberapa ruang kerja.
2. Administrator ruang kerja: Mengelola izin pengguna dan resource dalam satu ruang kerja tertentu.
3. Pengguna biasa: Menggunakan resource yang telah diotorisasi.

Aksi	Super administrator (dengan kebijakan sistem AliyunBailianFullAccess)	Administrator ruang kerja	Pengguna biasa
Mengelola pemanggilan model dan pembatasan laju	Didukung	Tidak didukung	Tidak didukung
Mengelola fine-tuning model	Didukung	Tidak didukung	Tidak didukung
Manajemen pengguna	Didukung	Didukung	Tidak didukung
Mengelola akses halaman pengguna	Didukung	Didukung	Tidak didukung
Manajemen Kunci API	Didukung	Didukung	Tidak didukung
Menggunakan ruang kerja, halaman, dan resource yang telah diotorisasi	Didukung	Didukung	Didukung
Izin OpenAPI	Tidak didukung	Tidak didukung	Tidak didukung

Super administrator

Super administrator adalah salah satu dari jenis akun berikut:

• Akun Alibaba Cloud. Anda dapat mengidentifikasi akun ini di konsol Model Studio dengan mengklik ikon profil di pojok kanan atas untuk membuka panel drop-down akun. Akun yang memiliki label Alibaba Cloud account merupakan super administrator.

• Pengguna RAM (akun) dengan kebijakan sistem AliyunBailianFullAccess (Administrator Model Studio) dapat menggunakan menu Manajemen Global ( Singapura | AS (Virginia) | China (Beijing) | China (Hong Kong) | Jerman (Frankfurt)) Model Studio untuk memberikan hampir semua izin untuk setiap wilayah dan setiap ruang kerja kepada Pengguna RAM mana pun (termasuk diri sendiri). Informasi akun Pengguna RAM yang sedang login dapat dilihat dengan mengklik gambar profil di pojok kanan atas konsol Model Studio untuk membuka panel drop-down akun. (Hanya Akun Alibaba Cloud yang dapat menambahkan izin OpenAPI.)

  Pengguna RAM adalah sub-akun yang dibuat oleh Akun Alibaba Cloud untuk mendelegasikan izin sumber daya cloud secara aman kepada anggota tim.

Super administrator dapat menggunakan menu manajemen global ( Singapura | AS (Virginia) | China (Beijing) | China (Hong Kong) | Jerman (Frankfurt)) Model Studio untuk mengelola beberapa ruang kerja. Fitur-fiturnya meliputi:

1. Membuat dan mengganti nama ruang kerja.
2. Mengelola model dan pembatasan laju model di seluruh ruang kerja.
3. Mengelola akun (pengguna) untuk semua ruang kerja.
4. Mengelola semua Kunci API.

Administrator ruang kerja

Administrator ruang kerja adalah Pengguna RAM Alibaba Cloud yang mengelola ruang kerja tertentu melalui halaman Permissions-nya.

Izin Administrator memberikan akses ke semua halaman dalam ruang kerja tersebut.

Dalam kotak dialog Edit Permissions, klik tab Other, pilih Administrator dari daftar izin, lalu klik OK.

Pengelolaan izin ruang kerja

Model Studio mengorganisasi resource dan ruang kerja berdasarkan wilayah. Satu ruang kerja tidak dapat mencakup beberapa wilayah. Bahkan ruang kerja default di wilayah berbeda merupakan entitas yang berbeda. Anda dapat mengganti wilayah di menu manajemen global ( Singapura | Virginia | Beijing | China (Hong Kong) | Frankfurt).

Ruang kerja dalam Model Studio adalah unit administratif terkecil untuk pengelolaan izin detail halus, memungkinkan Anda mengelola:

Aksi	Super administrator (dengan kebijakan sistem AliyunBailianFullAccess)	Administrator ruang kerja	Pengguna biasa
Mengelola pemanggilan model dan pembatasan laju	Didukung	Tidak didukung	Tidak didukung
Mengelola fine-tuning model	Didukung	Tidak didukung	Tidak didukung
Manajemen pengguna	Didukung	Didukung	Tidak didukung
Mengelola akses halaman pengguna	Didukung	Didukung	Tidak didukung
Manajemen Kunci API	Didukung	Didukung	Tidak didukung
Menggunakan ruang kerja, halaman, dan resource yang telah diotorisasi	Didukung	Didukung	Didukung
Izin OpenAPI	Tidak didukung	Tidak didukung	Tidak didukung

• Batasi pemanggilan model: Kelola apakah model dapat dipanggil (dari konsol atau melalui API) dan konfigurasikan Request Number Limit dan Token Limit model.

  Pembatasan ini tidak berlaku untuk ruang kerja default, di mana semua model dapat dipanggil tanpa throttling apa pun.

  Di daftar model, gunakan toggle di kolom Model Calling untuk mengontrol status otorisasi model. Di kolom Batas Ruang Kerja Saat Ini, atur nilai dan satuan waktu untuk batas jumlah permintaan dan batas token.

• Batasi fine-tuning model: Kelola apakah model dapat difine-tune (dari konsol atau melalui API) dan kemudian diterapkan dalam ruang kerja.

  Pembatasan ini tidak berlaku untuk ruang kerja default. Di sana, semua model yang mendukung fine-tuning dapat difine-tune lalu diterapkan.

  Di tab Daftar Model ruang kerja, temukan model target. Di area Otorisasi Model, gunakan toggle di kolom Model Training untuk mengontrol izin fine-tuning model.

• Kelola izin konsol untuk pengguna: Kontrol fitur konsol mana yang dapat diakses Pengguna RAM dalam ruang kerja. Hal ini tidak memengaruhi pemanggilan API yang dilakukan dengan Kunci API milik pengguna tersebut.

  Akun Alibaba Cloud tidak memerlukan pengaturan ini dan memiliki akses ke semua halaman di semua ruang kerja.

  Dalam kotak dialog Edit Permissions, pilih tab Model. Di daftar izin, temukan dan pilih izin Model Experience - Operations. Menu Model Experience di panel navigasi kiri sesuai dengan izin Model Experience - Operations dalam daftar.

Izin Kunci API

Satu Kunci API hanya dapat dimiliki oleh satu ruang kerja dan satu pengguna dalam satu wilayah, dan tidak dapat dipindahkan ke ruang kerja atau pengguna lain. Fungsi yang dapat dipanggil dan pembatasan laju model untuk Kunci API diwariskan dari izin Workspace-nya; pengaturan ini independen dari izin konsol pengguna, dan Anda tidak perlu membuat Kunci API berbeda untuk model berbeda (seperti teks-ke-teks, teks-ke-gambar, atau sintesis suara).

Tindakan berikut pada akun pemilik memengaruhi status Kunci API:

Aksi	Akun Alibaba Cloud	Pengguna RAM
Hapus manual Kunci API	Kunci menjadi tidak valid dan tidak dapat dipulihkan.Tidak didukung	Kunci menjadi tidak valid dan tidak dapat dipulihkan.Tidak didukung
Hapus pengguna dari ruang kerja	—	Kunci menjadi tidak valid.Tidak didukung Kunci API akan diaktifkan kembali jika pengguna ditambahkan kembali ke ruang kerja.
Hapus pengguna atau peran dikonsol RAM	—	Kunci menjadi tidak valid dan tidak dapat dipulihkan.Tidak didukung
Atur daftar putih IP untuk Kunci API	Didukung untuk Kunci API di wilayah China (Beijing).	Didukung untuk Kunci API di wilayah China (Beijing).

Untuk mengelola Kunci API, buka tab Permissions di panel navigasi kiri konsol Model Studio, tempat Anda dapat memberikan izin kepada Pengguna RAM untuk membuat, menghapus, dan melihat semua Kunci API di ruang kerja.

Dalam kotak dialog Edit Permissions, beralih ke tab Other dan pilih API key.

Izin OpenAPI

Secara default, Pengguna RAM tidak dapat memanggil OpenAPI untuk fitur aplikasi di Model Studio, termasuk data, basis pengetahuan, rekayasa prompt.

Untuk memberikan izin ini, Akun Alibaba Cloud harus menetapkan salah satu kebijakan berikut kepada Pengguna RAM di konsol RAM:

• AliyunBailianDataFullAccess: Mengizinkan pengguna memanggil semua API dalam katalog API aplikasi Model Studio.
• AliyunBailianDataReadOnlyAccess: Mengizinkan pengguna memanggil API read-only dalam katalog API aplikasi Model Studio, seperti DescribeFile - Query file status dan GetIndexJobStatus - Query the status of a knowledge base creation job.

Untuk kontrol izin detail halus atas basis pengetahuan, Anda dapat membuat kebijakan kustom di konsol RAM yang hanya memberikan aksi yang dibutuhkan Pengguna RAM.

Aksi basis pengetahuan: sfm:CreateIndex, sfm:UpdateIndex, sfm:DeleteIndex, dan sfm:SubmitIndexJob.

Contoh kebijakan kustom:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sfm:CreateIndex",
        "sfm:UpdateIndex",
        "sfm:DeleteIndex",
        "sfm:SubmitIndexJob"
      ],
      "Resource": "*"
    }
  ]
}

Setelah membuat kebijakan kustom, sambungkan ke Pengguna RAM untuk memberikan izin CRUD minimum untuk basis pengetahuan. Untuk daftar lengkap aksi, lihat Otorisasi RAM.

Strategi produksi

• Strategi perencanaan ruang kerja

  • Dikelompokkan berdasarkan lingkungan (Direkomendasikan): Buat ruang kerja terpisah untuk lingkungan pengembangan, pengujian, staging, dan produksi untuk memastikan isolasi lingkungan yang ketat.

    • project-dev-workspace
    • project-test-workspace
    • project-prod-workspace

  • Dikelompokkan berdasarkan lini bisnis: Buat ruang kerja terpisah untuk unit bisnis berbeda, seperti pemasaran, purna jual, dan desain, untuk menyederhanakan manajemen izin dan biaya.

    • marketing-team-workspace
    • customer-team-workspace
• Kebijakan pembatasan laju

  • Alokasikan kuota total Akun Alibaba Cloud secara proporsional di antara ruang kerja dan sisihkan sebagian sebagai buffer untuk menangani lonjakan traffic tak terduga.

    Contoh: Jika kuota total akun adalah 1.000 QPM, rencana alokasi yang mungkin adalah sebagai berikut:

    • project-prod-workspace: 600 QPM (60%)
    • project-test-workspace: 200 QPM (20%)
    • project-dev-workspace: 100 QPM (10%)
    • Buffer cadangan: 100 QPM (10%)

Izin penagihan dan langganan

Secara default, Pengguna RAM tidak memiliki izin untuk melihat tagihan Alibaba Cloud atau membeli produk langganan. Untuk melakukannya, tetapkan izin spesifik kepada Pengguna RAM di konsol RAM.

1. Untuk mengizinkan Pengguna RAM melihat tagihan Alibaba Cloud, berikan izin AliyunBSSReadOnlyAccess.
2. Untuk mengizinkan Pengguna RAM membeli produk langganan Alibaba Cloud, berikan izin AliyunBSSOrderAccess.

Pengaturan umum

Konfigurasi super administrator

Hanya Akun Alibaba Cloud (akun root) atau Pengguna RAM dengan kebijakan sistem AliyunRAMFullAccess yang dapat melakukan operasi ini.

1. Buka konsol RAM dan berikan izin AliyunBailianFullAccess (administrator Model Studio) dan AliyunBSSOrderAccess (untuk membeli produk langganan Alibaba Cloud) kepada Pengguna RAM.
2. Setelah memberikan izin ini, Anda dapat menggunakan menu manajemen global ( Singapura | AS (Virginia) | China (Beijing) | China (Hong Kong) | Jerman (Frankfurt)) Model Studio untuk mengelola izin Pengguna RAM mana pun (termasuk diri sendiri) di semua wilayah dan ruang kerja, serta membeli produk langganan Model Studio.

Konfigurasi administrator ruang kerja

Operasi ini memerlukan super administrator atau administrator ruang kerja.

1. Di konsol Model Studio, buka tab Permissions di panel navigasi sisi kiri dan berikan izin Administrator kepada Pengguna RAM.

   Dalam kotak dialog Edit Permissions, beralih ke tab Other, lalu pilih Administrator.

Konfigurasi izin pemanggilan model

1. Jika Anda tidak menggunakan ruang kerja default, pastikan izin pemanggilan model diaktifkan untuk model tertentu di ruang kerja tersebut. (Operasi ini memerlukan super administrator.)

2. Untuk memanggil model dari konsol Model Studio, buka tab Permissions di panel navigasi sisi kiri dan berikan izin berikut kepada Pengguna RAM: (Operasi ini memerlukan super administrator atau administrator ruang kerja.)

   1. Playground-FullAccess untuk memanggil model dari konsol.
   2. BatchInference-FullAccess untuk menggunakan fitur inferensi batch.
   3. ModelObservation-FullAccess untuk melihat konsumsi token pemanggilan dan evaluasi model.

3. Untuk memanggil model menggunakan API Model Studio, buat atau tetapkan Kunci API untuk Pengguna RAM di ruang kerja yang sesuai. Untuk informasi lebih lanjut, lihat izin Kunci API. (Operasi ini memerlukan super administrator atau administrator ruang kerja.)

Izin API untuk fine-tuning model

1. Jika Anda tidak menggunakan ruang kerja default, pastikan izin fine-tuning model (pelatihan) diaktifkan untuk model tertentu di ruang kerja tersebut. (Operasi ini memerlukan super administrator.)
2. Buat atau tetapkan Kunci API untuk Pengguna RAM di ruang kerja yang sesuai. Untuk informasi lebih lanjut, lihat izin Kunci API. (Operasi ini memerlukan super administrator atau administrator ruang kerja.)

FAQ

1. Mendapatkan ID ruang kerja

Untuk detailnya, lihat Dapatkan ID ruang kerja dalam pengembangan aplikasi.

2. Memanggil model dari sub-ruang kerja

Anda dapat menggunakan Kunci API sub-ruang kerja tanpa konfigurasi khusus.

3. Menggunakan aplikasi di ruang kerja

Untuk memanggil aplikasi di ruang kerja melalui API, Anda memerlukan ID APLIKASI dan ID Ruang Kerja yang sesuai.

5. Bagaimana cara menghapus ruang kerja?

Buka konsol Model Studio, pilih wilayah target di pojok kanan atas, buka Manajemen Ruang Kerja, lalu klik Delete di kolom Actions untuk ruang kerja target. Ruang kerja yang dihapus tidak dapat dipulihkan.