Gemini Cloud Assist fonctionne avec deux modes d'identité distincts pour gérer les autorisations et l'audit. Le mode utilisé dépend de la manière dont une action est déclenchée : de manière interactive par un utilisateur ou de manière proactive par le système.
Résumé des modes d'identité
Le tableau suivant résume les modèles de sécurité et d'autorisation pour chaque mode :
| Mode d'identité | Déclencheur | Source d'autorisation |
|---|---|---|
| Identité de l'utilisateur final | Requêtes interactives et de chat | Vos autorisations IAM personnelles |
| Identité de l'agent | Tâches autonomes en arrière-plan | Un compte de service dédié |
Identité de l'utilisateur final
Lorsque vous interagissez avec Gemini Cloud Assist via le panneau de chat ou que vous utilisez des actions interactives, le service utilise votre identité d'utilisateur final.
Dans ce mode, Gemini Cloud Assist hérite de vos autorisations existantes pour accéder aux ressources et effectuer des actions. L'assistant ne peut pas voir ni modifier les ressources auxquelles vous n'êtes pas autorisé à accéder. Toutes les actions qui modifient l'état, appelées mutations de ressources, nécessitent votre consentement explicite et sont enregistrées dans Cloud Audit Logs sous votre identité.
Identité de l'agent
Lorsque Gemini Cloud Assist effectue des tâches autonomes en arrière-plan, comme l'investigation d'alertes ou l'analyse d'anomalies de coûts, il utilise une identité d'agent dédiée. L'investigation proactive des alertes n'est pas compatible avec les alertes basées sur les journaux.
L'identité de l'agent est un compte principal IAM provisionné par le système et unique à votre projet. Cela permet à Gemini Cloud Assist de fonctionner sans session utilisateur active tout en maintenant une limite de sécurité stricte.
Gouvernance et contrôles
Les administrateurs gèrent l'identité de l'agent à l'aide des mécanismes suivants :
- Autorisations configurables : contrairement aux identités utilisateur, un administrateur doit accorder explicitement des rôles IAM à l'identité de l'agent.
- Accès limité : par défaut, l'agent est limité à la télémétrie en lecture seule et aux journaux. Il ne peut pas accéder aux données sensibles dans les bases de données ni aux buckets de stockage, sauf autorisation spécifique.
- Journalisation d'audit : toutes les actions autonomes sont entièrement enregistrées dans les journaux d'audit. Les résultats proactifs sont marqués comme générés par le système dans la Google Cloud console pour les distinguer des actions initiées par l'utilisateur.
Étape suivante
- Configurez le mode proactif et provisionnez une identité d'agent.
- Découvrez comment configurer des investigations proactives pour les règles d'alerte.
- Consultez les exigences IAM pour les utilisateurs et les agents.