Gemini Cloud Assist opera utilizzando due modalità di identità distinte per gestire le autorizzazioni e l'audit. La modalità utilizzata dipende da come viene attivata un'azione: in modo interattivo da un utente o in modo proattivo dal sistema.
Riepilogo delle modalità di identità
La tabella seguente riassume i trigger e l'origine delle autorizzazioni per ogni modalità:
| Modalità di identità | Trigger | Origine autorizzazione |
|---|---|---|
| Identità utente finale | Richieste di chat e interattive | Le tue autorizzazioni IAM personali |
| Agent Identity | Attività in background autonome | Un account di servizio dedicato |
Identità utente finale
Quando interagisci con Gemini Cloud Assist tramite il riquadro della chat, il servizio utilizza la tua identità utente finale.
In questa modalità, Gemini Cloud Assist eredita le autorizzazioni esistenti per accedere alle risorse ed eseguire azioni. L'assistente non può visualizzare o modificare le risorse a cui non hai l'autorizzazione di accedere. Tutte le azioni che modificano lo stato, note come mutazioni delle risorse, richiedono il tuo consenso esplicito. Le azioni intraprese da Gemini Cloud Assist vengono registrate in Cloud Audit Logs con la tua identità, come se le avessi intraprese tu. Ciò include la classificazione dell'azione in base al tipo di log di Cloud Audit Logs pertinente e l'omissione di un'azione dai log se l'azione appartiene a un tipo di log non abilitato in Cloud Audit Logs.
Agent Identity
Quando Gemini Cloud Assist esegue attività in background autonome , ad esempio indagini sugli avvisi o analisi delle anomalie dei costi, utilizza un'identità dell'agente dedicata. L'indagine proattiva sugli avvisi non supporta gli avvisi basati su log.
L'identità dell'agente è un'entità IAM fornita dal sistema univoca per il tuo progetto. Ciò consente a Gemini Cloud Assist di funzionare senza una sessione utente attiva, mantenendo al contempo un limite di sicurezza rigoroso.
Governance e controlli
Gli amministratori gestiscono l'identità dell'agente tramite i seguenti meccanismi:
- Autorizzazioni configurabili: a differenza delle identità utente, un amministratore deve concedere esplicitamente i ruoli IAM all'identità dell'agente.
- Accesso con ambito: per impostazione predefinita, l'agente è limitato alla telemetria e ai log di sola lettura. Non può accedere a dati sensibili in database o bucket di archiviazione a meno che non sia specificamente autorizzato.
- Audit logging: tutte le azioni autonome vengono registrate completamente negli audit log. I risultati proattivi vengono contrassegnati come sistema generati nella Google Cloud console per distinguerli dalle azioni avviate dall'utente. Analogamente alle azioni avviate dall'utente, le azioni autonome vengono omesse dai log quando il tipo di log pertinente non è abilitato in Cloud Audit Logs.
Passaggi successivi
- Configura la modalità proattiva e il provisioning di un'identità dell'agente.
- Esamina i requisiti IAM per utenti e agenti.