Gemini Cloud Assist opera utilizzando due modalità di identità distinte per gestire le autorizzazioni e l'audit. La modalità utilizzata dipende da come viene attivata un'azione: in modo interattivo da un utente o in modo proattivo dal sistema.
Riepilogo delle modalità di identità
La tabella seguente riassume i trigger e l'origine delle autorizzazioni per ogni modalità:
| Modalità di identità | Trigger | Origine autorizzazione |
|---|---|---|
| Identità utente finale | Richieste di chat e interattive | Le tue autorizzazioni IAM personali |
| Identità dell'agente | Attività in background autonome | Un account di servizio dedicato |
Identità utente finale
Quando interagisci con Gemini Cloud Assist tramite il riquadro della chat, il servizio utilizza la tua identità utente finale.
In questa modalità, Gemini Cloud Assist eredita le autorizzazioni esistenti per accedere alle risorse ed eseguire azioni. L'assistente non può visualizzare o modificare le risorse a cui non hai l'autorizzazione ad accedere. Tutte le azioni che modificano lo stato, note come mutazioni delle risorse, richiedono il tuo consenso esplicito. Le azioni intraprese da Gemini Cloud Assist vengono registrate in Cloud Audit Logs con la tua identità, come se le avessi intraprese tu. Ciò include la classificazione dell'azione in base al tipo di log di Cloud Audit Logs pertinente e l'omissione di un'azione dai log se l'azione appartiene a un tipo di log non abilitato in Cloud Audit Logs.
Identità dell'agente
Quando Gemini Cloud Assist esegue attività in background autonome , ad esempio indagini sugli avvisi o analisi delle anomalie dei costi, utilizza un'identità dell'agente dedicata. L'indagine proattiva sugli avvisi non supporta gli avvisi basati su log.
L'identità dell'agente è un'entità IAM di cui è stato eseguito il provisioning dal sistema, univoca per il tuo progetto. Ciò consente a Gemini Cloud Assist di funzionare senza una sessione utente attiva, mantenendo al contempo un limite di sicurezza rigoroso.
Governance e controlli
Gli amministratori gestiscono l'identità dell'agente tramite i seguenti meccanismi:
- Autorizzazioni configurabili: a differenza delle identità utente, un amministratore deve concedere esplicitamente i ruoli IAM all'identità dell'agente.
- Accesso con ambito: per impostazione predefinita, l'agente è limitato alla telemetria e ai log di sola lettura. Non può accedere a dati sensibili in database o bucket di archiviazione a meno che non sia specificamente autorizzato.
- Audit logging: tutte le azioni autonome vengono registrate completamente negli audit log. I risultati proattivi vengono contrassegnati come sistema generati nella Google Cloud console per distinguerli dalle azioni avviate dall'utente. Analogamente alle azioni avviate dall'utente, le azioni autonome vengono omesse dai log quando il tipo di log pertinente non è abilitato in Cloud Audit Logs.
Passaggi successivi
- Configura la modalità proattiva ed esegui il provisioning di un'identità dell'agente.
- Scopri come configurare le indagini proattive per le policy di avviso.
- Esamina i requisiti IAM per utenti e agenti.