生成AIエージェントへのアクセス

エージェント、ナレッジ・ベース、データ・ソース、データ取込みジョブ、エージェント・セッション、エージェント作業リクエスト、エンドポイントなどの生成AIエージェント・リソースへのアクセス権をユーザーに付与します

• テナンシ全体のすべての生成AIエージェント・リソースにアクセスするには、次のポリシーを使用します:

  allow group <genai-agent-administrators> to manage genai-agent-family in tenancy

• コンパートメント内のすべての生成AIエージェント・リソースにアクセスするには、次のポリシーを使用します:

  allow group <genai-agent-administrators> to manage genai-agent-family in compartment <your-compartment-name>
                              

エージェントのデータファイルがOCIオブジェクト・ストレージ・バケットにある場合は、生成AIエージェント・サービス内でそれらのファイルをリストおよび選択する権限が必要です。

• オブジェクト・ストレージ・ファイルをナレッジ・ベースに追加する権限をユーザーに付与するには:

  allow group <your-group-name> to manage object-family in compartment <compartment-with-bucket>
                              

管理者にオブジェクト・ストレージの保護の例を確認し、トレーニング・データを含むバケットが誤って削除されないようにポリシーなどのポリシーを適用するポリシーを追加するように依頼してください。

OCI Object Storageから大量のコンテンツを取り込むには、次のステップに従って、24時間以上実行される可能性のあるデータ取込みジョブのリソース・プリンシパルを作成します。

1. 「動的グループの作成」のステップに従って、一致ルールに次の詳細を指定します。
   1. 「一致ルール」セクションで、「次に定義したルールに一致」を選択します。
   2. 次の照合ルールを入力します。

      ALL {resource.type='genaiagentdataingestionjob'}

      genaiagentdataingestionjobリソース・タイプは、データ収集ジョブのリソース・プリンシパルです。前述の一致ルールは、この動的グループが生成AIエージェントのデータ取込みジョブ・リソースを表すことを意味します。

      動的グループ・メンバーシップを、前の一致ルールではなく、特定のコンパートメントで作成されたデータ取込みジョブに制限するには、次のものを使用します:

      ALL {resource.type = 'genaiagentdataingestionjob', 
      resource.compartment.id = '<compartment-ocid-for-ingestion-jobs>'}
      

   3. この動的グループが、指定されたコンパートメント内のオブジェクト・ストレージ・オブジェクトにアクセスできるようにします。

      allow dynamic-group <dynamic-group-name> 
      to read objects in compartment <compartment-name-for-objects>
                                          

      より多くの条件でポリシーをさらに制限できます。たとえば:

      allow dynamic-group <dynamic-group-name> 
      to read objects in tenancy where all {target.compartment.id='<compartment_ocid>', 
      target.bucket.name=<bucket-name>, 
      target.bucket.tag.MyTagNamespace.TagKey='<MyTagValue>'}
      

      ポリシーの記述の例の詳細は、オブジェクト・ストレージの保護を参照してください。

      ノート
      
      バケット名、コンパートメントおよびタグを含む条件を使用して、オブジェクト・ストレージへのアクセスを制限できます。target.object.nameなどのポリシーでオブジェクト名または接頭辞を指定してアクセスを制限することはサポートされておらず、データ取込みジョブが失敗する可能性があります。

データがOracle Databaseベクトル・ストアにある場合、またはOpenSearchを使用したOCI検索の場合は、次のタスクを実行します。

1. Oracle Databaseデータの場合は、RAG Tool Oracle Database Guidelines for Generative AI Agentsのタスクを実行します。
2. OpenSearchデータを含むOCI検索の場合は、「生成AIエージェントのためのOpenSearchガイドラインを使用したRAGツールOCI検索」のタスクを実行します。
3. 「動的グループの作成」のステップに従って、一致ルールに次の詳細を指定します。
   1. 「一致ルール」セクションで、「次に定義したルールに一致」を選択します。
   2. 次の照合ルールを入力します。

      ALL {resource.type='genaiagent'}

      genaiagentリソース・タイプは、エージェントのリソース・プリンシパルです。前述の一致ルールは、この動的グループが生成AIエージェント・エージェント・リソースを表すことを意味します。

   3. この動的グループが、Oracle Databaseベクトル・ストアまたはOpenSearchシークレットのあるOCI検索を使用して、コンパートメント内のOCI Vaultシークレットにアクセスできるようにします。

      デフォルト・アイデンティティ・ドメインで使用できる次のポリシーを記述します。

      allow dynamic-group <dynamic-group-name> 
      to read secret-bundle in compartment <compartment-name>
                                          

      Oracle Identity Cloud Service (IDCS)ドメイン名および動的グループ名を指定して、デフォルトではないアイデンティティ・ドメインで次のポリシーを使用します:

      allow dynamic-group '<idcs-domain-name>/<dynamic-group-name>' 
      to read secret-bundle in compartment <compartment-name>
                                          

データがOracle AI Database 26aiにある場合は、OCI Vaultへのサービス・アクセス用に作成した動的グループがOCI Database Toolsにもアクセスできるようにします。

デフォルト・アイデンティティ・ドメインで使用できる次のポリシーを記述します。

allow dynamic-group <dynamic-group-name> 
to read database-tools-family in compartment <compartment-name>
                    

Oracle Identity Cloud Service (IDCS)ドメイン名および動的グループ名を指定して、デフォルトではないアイデンティティ・ドメインで次のポリシーを使用します:

allow dynamic-group '<idcs-domain-name>/<dynamic-group-name>' 
to read database-tools-family in compartment <compartment-name>
                    

例:

allow group GenAI-agents-users to use genai-agent in compartment GenAI-agents-compartment

次に例を示します:

allow group GenAI-agents-users to manage genai-agent-knowledge-base in compartment GenAI-agents-compartment

例:

allow group GenAI-agents-users to inspect genai-agent-data-source in compartment GenAI-agents-compartment

次に例を示します:

allow group GenAI-agents-users to inspect genai-agent-data-ingestion-job in compartment GenAI-agents-compartment

次に例を示します:

allow group GenAI-agents-users to manage genai-agent-endpoint in compartment GenAI-agents-compartment

次に例を示します:

allow group GenAI-agents-users to read genai-agent-work-request in compartment GenAI-agents-compartment

次に例を示します:

allow group GenAI-agents-users to manage genai-agent-session in compartment GenAI-agents-compartment

例:

allow group GenAI-agents-users to use genai-agent-tool in compartment GenAI-agents-compartment