Vertex AI Workbench服务账号启动及使用所需的最小权限是什么？

要让Vertex AI Workbench服务账号正常启动并供用户使用，无需授予Editor角色，只需配置以下最小权限组合，可通过自定义IAM角色打包这些权限：

核心Notebook实例管理权限 #

• aiplatform.notebookInstances.create：创建Notebook实例
• aiplatform.notebookInstances.get：获取实例详情
• aiplatform.notebookInstances.update：修改实例配置（含启动/停止操作）
• aiplatform.notebookInstances.start：启动实例
• aiplatform.notebookInstances.stop：停止实例
• aiplatform.notebookInstances.list：列出项目内的Notebook实例

底层Compute Engine依赖权限 #

Vertex AI Workbench基于Compute Engine实例运行，需以下权限：

• compute.instances.create：创建底层虚拟机实例
• compute.instances.get：获取虚拟机实例信息
• compute.instances.setMetadata：设置实例元数据（用于初始化配置）
• compute.disks.create：创建实例关联的磁盘
• compute.disks.get：获取磁盘信息
• compute.networks.use：使用项目内的VPC网络
• compute.subnetworks.use：使用子网资源
• compute.firewalls.list：查看防火墙规则（确保实例网络通信正常）

存储访问权限（按需添加） #

如果需要从GCS读取/写入数据，添加以下权限：

• storage.objects.get：读取GCS对象
• storage.objects.list：列出GCS桶内对象
• storage.objects.create：写入GCS对象（仅当需要上传数据时）
• storage.objects.delete：删除GCS对象（仅当需要清理数据时）

可选扩展权限（按需添加） #

若需使用Vertex AI其他功能（如训练任务、模型访问），添加对应权限：

• aiplatform.jobs.create：创建AI训练/推理任务
• aiplatform.models.get：获取已部署模型信息
• bigquery.jobs.create：提交BigQuery查询（若需访问BigQuery数据）
• bigquery.tables.getData：读取BigQuery表数据

配置建议 #

1. 在Google Cloud IAM中创建自定义角色，将上述必要权限添加到角色中
2. 将该自定义角色绑定到Workbench使用的服务账号
3. 仅给用户授予aiplatform.notebookInstances.use权限，让他们能使用已创建的工作台实例，避免用户直接操作服务账号权限

内容的提问来源于stack exchange，提问作者Martin Wiebusch