Настройка доступа к Yandex Foundation Models с помощью API-ключа

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Создайте сервисный аккаунт:

yc iam service-account create --name sa-api

Где --name — имя сервисного аккаунта в формате:

• длина — от 2 до 63 символов;
• может содержать строчные буквы латинского алфавита, цифры и дефисы;
• первый символ — буква, последний — не дефис.

Результат:

id: ajehr0to1g8b********
folder_id: b1gv87ssvu49********
created_at: "2023-03-04T09:03:11.665153755Z"
name: sa-api

Создайте сервисный аккаунт с помощью метода REST API create для ресурса ServiceAccount:

curl \
  --request POST \
  --header 'Content-Type: application/json' \
  --header "Authorization: Bearer <IAM-токен>" \
  --data '{
    "folderId": "<идентификатор_каталога>",
    "name": "<имя_сервисного_аккаунта>",
    "description": "service account for api"
  }' \
  https://iam.api.cloud.yandex.net/iam/v1/serviceAccounts

Где:

• <IAM-токен> — действующий токен авторизации;

• <идентификатор_каталога> — идентификатор каталога, в котором размещены сервисы;

• <имя_сервисного_аккаунта> — имя сервисного аккаунта, например sa-api. Требования к формату имени:

  • длина — от 2 до 63 символов;
  • может содержать строчные буквы латинского алфавита, цифры и дефисы;
  • первый символ — буква, последний — не дефис.

Также сервисный аккаунт можно создать с помощью вызова gRPC ServiceAccountService/Create.

Выполните команду:

yc resource-manager folder add-access-binding <идентификатор_каталога> \
   --role <идентификатор_роли> \
   --subject serviceAccount:<идентификатор_сервисного_аккаунта>

Где --role — роль для работы с Foundation Models:
* ai.languageModels.user — для работы с моделями генерации текста.
* ai.imageGeneration.user — для работы с моделями генерации изображений.
* ai.datasets.editor и ai.models.editor — для создания датасетов и дообучения моделей.
* ai.assistants.editor — для создания ассистента.

Подробнее о ролях сервиса Foundation Models.

Назначьте сервисному аккаунту роль с помощью метода REST API setAccessBindings для ресурса ServiceAccount:

curl \
  --request POST \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer <IAM-токен>" \
  --data '{
    "accessBindingDeltas": [{
      "action": "ADD",
      "accessBinding": {
        "roleId": "<идентификатор_роли>",
        "subject": {
          "id": "<идентификатор_сервисного_аккаунта>",
          "type": "serviceAccount"
          }
        }
      }
    ]
   }' \
  https://resource-manager.api.cloud.yandex.net/resource-manager/v1/folders/<идентификатор_каталога>:updateAccessBindings

Где:

• <IAM-токен> — действующий токен авторизации.

• <идентификатор_роли> — роль для работы с Foundation Models:

  • ai.languageModels.user — для работы с моделями генерации текста.
  • ai.imageGeneration.user — для работы с моделями генерации изображений.
  • ai.datasets.editor и ai.models.editor — для создания датасетов и дообучения моделей.
  • ai.assistants.editor — для создания ассистента.

  Подробнее о ролях сервиса Foundation Models.

• <идентификатор_сервисного_аккаунта> — идентификатор ранее созданного сервисного аккаунта.

Также назначить сервисному аккаунту роль можно с помощью вызова gRPC ServiceAccountService/SetAccessBindings.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Посмотрите описание команды создания API-ключа:

   yc iam api-key create --help
   

2. Выберите сервисный аккаунт, например sa-api:

   yc iam service-account list
   

   Результат:

   +----------------------+------------------+-------------------------------+
   |          ID          |       NAME       |          DESCRIPTION          |
   +----------------------+------------------+-------------------------------+
   | aje6o61dvog2******** | sa-api           |                               |
   +----------------------+------------------+-------------------------------+
   

3. Создайте API-ключ для выбранного сервисного аккаунта и запишите ответ в файл:

   yc iam api-key create --service-account-name sa-api > api-key.yaml
   

   В ответе в свойстве secret будет содержаться API-ключ:

   api_key:
     id: ajeke74kbp5b********
     service_account_id: ajepg0mjt06********
     created_at: "2019-04-09T08:41:27Z"
   secret: AQVN1HHJReSrfo9jU3aopsXrJyfq_UHs********
   

Создайте API-ключ с помощью метода REST API create для ресурса ApiKey:

curl \
  --request POST \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer <IAM-токен>" \
  --data "{ \"serviceAccountId\": \"<идентификатор_сервисного_аккаунта>\" }" \
  https://iam.api.cloud.yandex.net/iam/v1/apiKeys

Где:

• <IAM-токен> — действующий токен авторизации.
• <идентификатор_сервисного_аккаунта> — идентификатор сервисного аккаунта sa-api.

Также API-ключ можно создать с помощью вызова gRPC API ApiKeyService/Create.