Konsep identitas agen

Gemini Cloud Assist beroperasi menggunakan dua mode identitas yang berbeda untuk mengelola izin dan audit. Mode yang digunakan bergantung pada cara tindakan dipicu: secara interaktif oleh pengguna atau secara proaktif oleh sistem.

Ringkasan mode identitas

Tabel berikut merangkum model keamanan dan izin untuk setiap mode:

Mode identitas Pemicu Sumber izin
Identitas pengguna akhir Permintaan chat dan interaktif Izin IAM pribadi Anda
Identitas agen Tugas latar belakang otonom Akun layanan khusus

Identitas pengguna akhir

Saat Anda berinteraksi dengan Gemini Cloud Assist melalui panel chat, layanan ini akan menggunakan identitas pengguna akhir Anda.

Dalam mode ini, Gemini Cloud Assist mewarisi izin yang ada untuk mengakses resource dan melakukan tindakan. Asisten tidak dapat melihat atau mengubah resource apa pun yang tidak memiliki izin untuk Anda akses sendiri. Semua tindakan yang mengubah status, yang dikenal sebagai mutasi resource, memerlukan izin eksplisit Anda dan dicatat di Cloud Audit Logs dengan identitas Anda.

Identitas agen

Saat Gemini Cloud Assist melakukan tugas latar belakang otonom—seperti menyelidiki pemberitahuan atau menganalisis anomali biaya—layanan ini akan menggunakan identitas agen khusus. Penyelidikan pemberitahuan proaktif tidak mendukung pemberitahuan berbasis log.

Identitas agen adalah principal IAM yang disediakan sistem dan unik untuk project Anda. Hal ini memungkinkan Gemini Cloud Assist berfungsi tanpa sesi pengguna aktif sekaligus mempertahankan batas keamanan yang ketat.

Tata kelola dan kontrol

Administrator mengelola identitas agen melalui mekanisme berikut:

  • Izin yang dapat dikonfigurasi: Tidak seperti identitas pengguna, administrator harus memberikan peran IAM secara eksplisit ke identitas agen.
  • Akses yang dibatasi cakupannya: Secara default, agen dibatasi untuk membaca telemetri dan log saja. Agen tidak dapat mengakses data sensitif dalam database atau bucket penyimpanan kecuali jika diizinkan secara khusus.
  • Audit logging: Semua tindakan otonom dicatat sepenuhnya dalam log audit. Hasil proaktif diberi tag sebagai Sistem yang dibuat di Google Cloud konsol untuk membedakannya dari tindakan yang dimulai pengguna.

Langkah berikutnya