Alibaba Cloud Model Studio:権限管理

Alibaba Cloud Model Studio は、コンソールおよびモデルレベルできめ細かなアクセス制御を提供し、組織が複数のリージョンにわたるユーザーを管理できるように支援します。

Model Studio におけるアイデンティティと権限管理

ワークスペースは、きめ細かい権限管理（モデルおよびユーザー向け）とAlibaba Cloud コスト配分の最小管理単位です。

Model Studio では、ワークスペースの権限管理に次の 3 つのロールを使用します。

1. スーパー管理者：複数のワークスペースにわたるユーザー権限、利用可能なモデル、モデルのレート制限、および API キーを管理します。
2. ワークスペース管理者：特定のワークスペース内のユーザー権限およびリソースを管理します。
3. 一般ユーザー：認可されたリソースを利用します。

ワークスペース権限	スーパー管理者（AliyunBailianFullAccess システムポリシー付与済み）	ワークスペース管理者	一般ユーザー
モデル呼び出しとレート制限の管理	対応	非対応	非対応
モデルファインチューニングの管理	対応	非対応	非対応
ユーザー管理	対応	対応	非対応
ユーザーがアクセス可能なページの管理	対応	対応	非対応
API キー管理	対応	対応	非対応
認可されたリソースの利用	対応	対応	対応
OpenAPI 権限	非対応	非対応	非対応

スーパー管理者

スーパー管理者は、以下のいずれかのアカウントタイプです。

• Alibaba Cloud アカウント (root ユーザー)。Model Studio コンソールの右上隅には、次のように表示されます。

  

• RAM ユーザーで、AliyunBailianFullAccess（Model Studio 管理者）システムポリシーが付与されているもの。この RAM ユーザーは、Model Studio のグローバル管理メニュー (シンガポール | 米国 (バージニア) | 中国 (北京) | 中国 (香港) | ドイツ (フランクフルト)) を使用して、任意のリージョンおよび任意のワークスペースに対して、任意の RAM ユーザー（自分自身を含む）にほぼすべての権限を付与できます。（OpenAPI 権限を付与できるのは Alibaba Cloud アカウントのみです。）

  RAM ユーザーとは、Alibaba Cloud アカウントがチームメンバーにクラウドリソースおよび権限を安全に割り当てるために作成するサブアカウントです。

  右上隅には、次のように表示されます。

  

スーパー管理者は、Model Studio のグローバル管理メニュー (シンガポール | 米国 (バージニア) | 中国 (北京) | 中国 (香港) | ドイツ (フランクフルト)) を使用して、複数のワークスペースを管理できます。これらのタスクには、以下が含まれます。

1. ワークスペースの作成および名前の変更。
2. すべてのワークスペースのモデルおよびモデルのレート制限の管理。
3. すべてのワークスペースのアカウント（ユーザー）の管理。
4. すべての API キーの管理。

ワークスペース管理者

ワークスペース管理者は、RAM ユーザーであり、ワークスペースのPermissionsページからワークスペースを管理します。

管理者権限には、ワークスペース内のすべてのページへのアクセスが含まれます。

ワークスペース権限管理

Model Studio では、リソースおよびワークスペースをリージョン単位で整理しています。ワークスペースは複数のリージョンにまたがることはできず、各リージョンには個別のデフォルトワークスペースがあります。リージョンの切り替えは、グローバル管理メニュー (シンガポール | バージニア | 北京 | 中国 (香港) | フランクフルト) から行えます。

Model Studio において、ワークスペースはきめ細かい権限管理の最小単位です。

ワークスペース権限	スーパー管理者（AliyunBailianFullAccess システムポリシー付与済み）	ワークスペース管理者	一般ユーザー
モデル呼び出しとレート制限の管理	対応	非対応	非対応
モデルファインチューニングの管理	対応	非対応	非対応
ユーザー管理	対応	対応	非対応
ユーザーがアクセス可能なページの管理	対応	対応	非対応
API キー管理	対応	対応	非対応
認可されたリソースの利用	対応	対応	対応
OpenAPI 権限	非対応	非対応	非対応

• モデル呼び出しの制御：ワークスペース内でモデルを呼び出せるかどうか（コンソールまたは API 経由）を設定し、モデルのRequest Number LimitおよびToken Limitを設定します。

  この制限はデフォルトワークスペースには設定できません。すべてのモデルがレート制限なしで呼び出せます。

  

• モデルファインチューニングの制御：ワークスペース内でモデルをファインチューニング（コンソールまたは API 経由）およびファインチューニング後のデプロイが可能かどうかを設定します。

  この制限はデフォルトワークスペースには設定できません。ファインチューニングをサポートするすべてのモデルは、ファインチューニングおよび完了後のデプロイが可能です。

  

• ユーザーのコンソール権限の管理：RAM ユーザーがワークスペース内でどのコンソール機能にアクセスできるかを制御します。この設定は、ユーザーの API キーによる API 呼び出しには影響しません。

  Alibaba Cloud アカウントは、デフォルトですべてのワークスペースのすべてのページにアクセスできます。

  

API キー権限

1 つの API キーは、1 つのリージョン内の 1 つのワークスペースおよび 1 人のユーザーにのみ属し、他のワークスペースやユーザーに転送することはできません。API キーの呼び出し可能な関数およびモデルのレート制限は、そのワークスペースの権限と一致し、コンソールレベルのユーザー権限の影響を受けません。テキスト生成、テキストからの画像生成、音声合成など、異なるモデルごとに異なる API キーを作成する必要はありません。

所有者のアカウントに対する以下の操作は、API キーのステータスに影響します。

トリガーとなる操作	Alibaba Cloud アカウント	RAM ユーザー
API キーを手動で削除する	非対応 失敗は回復できません。	非対応 失敗は回復できません。
ワークスペースからユーザーを削除する	—	非対応 失敗します。 ユーザーをワークスペースに再追加すると、キーは再アクティブ化されます。
RAM コンソールでユーザーまたはロールを削除する	—	非対応 失敗は回復できません。
API キーの IP ホワイトリストを設定する	China (Beijing) リージョンの API キーでサポートされています。	China (Beijing) リージョンの API キーでサポートされています。

Model Studio コンソールの左側ナビゲーションウィンドウにあるPermissionsタブで、RAM ユーザーにワークスペース内のすべての API キーを作成・削除・表示する権限を付与できます。

OpenAPI 権限

デフォルトでは、RAM ユーザーには、データ、ナレッジベース、プロンプトエンジニアリングなどの Model Studio アプリケーション機能に関するOpenAPI を呼び出す権限がありません。

この権限を付与するには、Alibaba Cloud アカウントがRAM コンソールで RAM ユーザーに以下のポリシーのいずれかを割り当てる必要があります。

• AliyunBailianDataFullAccess：ユーザーが Model Studio アプリケーションのAPI カタログ内のすべての API を呼び出せるようにします。
• AliyunBailianDataReadOnlyAccess：ユーザーが Model Studio アプリケーションのAPI カタログ内の読み取り専用 API（例：DescribeFile - ファイルステータスの照会、GetIndexJobStatus - ナレッジベース作成ジョブのステータス照会）を呼び出せるようにします。

本番環境での使用

• ワークスペース計画戦略

  • 環境別グループ化（推奨）： 開発、テスト、ステージング、本番環境ごとに個別のワークスペースを作成し、厳格な環境隔離を実現します。

    • project-dev-workspace
    • project-test-workspace
    • project-prod-workspace

  • 業務部門別グループ化： マーケティング、アフターセールス、デザインなど、異なる業務部門ごとに個別のワークスペースを作成し、権限およびコスト管理を簡素化します。

    • marketing-team-workspace
    • customer-team-workspace
• スロットリングポリシー

  • Alibaba Cloud アカウントの合計クォータをワークスペース間で比例配分します。トラフィックの急増に対応するため、一部をバッファーとして確保します。

    例： アカウントの合計クォータは 1000 QPM です。配分計画は以下のとおりです。

    • project-prod-workspace：600 QPM（60％）
    • project-test-workspace：200 QPM（20％）
    • project-dev-workspace：100 QPM（10％）
    • 予約バッファー：100 QPM（10％）

課金およびサブスクリプション権限の管理

デフォルトでは、RAM ユーザーには Alibaba Cloud の請求書を表示したり、サブスクリプションプロダクトを購入したりする権限がありません。これらの権限を付与するには、RAM コンソールで RAM ユーザーに特定の権限を割り当てます。

1. RAM ユーザーが Alibaba Cloud の請求書を表示できるようにするには、AliyunBSSReadOnlyAccess 権限を付与します。
2. RAM ユーザーが Alibaba Cloud のサブスクリプションプロダクトを購入できるようにするには、 AliyunBSSOrderAccess 権限を付与します。

共通設定

スーパー管理者の設定

この操作は、Alibaba Cloud アカウント（ルートアカウント）またはAliyunRAMFullAccess システムポリシーを持つ RAM ユーザーのみが実行できます。

1. RAM コンソールにアクセスし、RAM ユーザーにAliyunBailianFullAccess（Model Studio 管理者）およびAliyunBSSOrderAccess（Alibaba Cloud サブスクリプションプロダクトの購入用）権限を付与します。
2. 構成後、Model Studio のグローバル管理メニュー (シンガポール | 米国 (バージニア) | 中国 (北京) | 中国 (香港) | ドイツ (フランクフルト)) を使用して、任意の RAM ユーザー（自分自身を含む）に任意のリージョンおよび任意のワークスペースのあらゆる権限を付与し、Model Studio のサブスクリプションプロダクトを購入できます。

ワークスペース管理者の設定

この操作には、スーパー管理者またはワークスペース管理者の権限が必要です。

1. Model Studio コンソールで、左側ナビゲーションウィンドウのPermissionsタブにアクセスし、RAM ユーザーに管理者権限を付与します。

   

モデル呼び出し権限の設定

1. デフォルトワークスペースを使用しない場合、ワークスペース内の特定のモデルに対してモデル呼び出し権限が有効になっていることを確認します。（この操作にはスーパー管理者の権限が必要です。）

2. Model Studio コンソールからモデルを呼び出す場合、左側ナビゲーションウィンドウのPermissionsタブにアクセスし、RAM ユーザーに以下の権限を付与します。（この操作にはスーパー管理者またはワークスペース管理者の権限が必要です。）

   1. コンソールからモデルを呼び出すためのModelExperience-FullAccess 権限。
   2. バッチ推論機能を使用するためのBatchInference-FullAccess 権限。
   3. モデル呼び出しおよび評価のトークン消費量を表示するためのModelObservation-FullAccess 権限。

   

3. Model Studio API を使用してモデルを呼び出す場合、対応するワークスペースで RAM ユーザーの API キーを作成または割り当てます。API キー権限をご参照ください。（この操作にはスーパー管理者またはワークスペース管理者の権限が必要です。）

API ファインチューニング権限の設定

1. デフォルトワークスペースを使用しない場合、ワークスペース内の特定のモデルに対してモデルファインチューニング（トレーニング）権限が有効になっていることを確認します。（この操作にはスーパー管理者の権限が必要です。）
2. 対応するワークスペースで RAM ユーザーの API キーを作成または割り当てます。API キー権限をご参照ください。（この操作にはスーパー管理者またはワークスペース管理者の権限が必要です。）

よくある質問

1. ワークスペース ID の取得

ワークスペース ID の取得をご参照ください。

2. サブワークスペースでのモデル呼び出し

サブワークスペースの API キーを使用します。特別な構成は不要です。

3. ワークスペースアプリケーションの使用

ワークスペース内のアプリケーションを API 経由で管理または呼び出すには、APP ID およびワークスペース IDの両方を指定する必要があります。