Gemini Cloud Assist は、権限と監査を管理するために 2 つの異なる ID モードを使用して動作します。使用されるモードは、アクションがユーザーによってインタラクティブにトリガーされるか、システムによってプロアクティブにトリガーされるかによって異なります。
ID モードの概要
次の表に、各モードのセキュリティ モデルと権限モデルの概要を示します。
| ID モード | トリガー | 権限のソース |
|---|---|---|
| エンドユーザー ID | チャットとインタラクティブ リクエスト | 個人の IAM 権限 |
| エージェント ID | 自律的なバックグラウンド タスク | 専用のサービス アカウント |
エンドユーザー ID
チャット パネルで Gemini Cloud Assist を操作するか、インタラクティブ アクションを使用すると、サービスはエンドユーザーの ID を使用します。
このモードでは、Gemini Cloud Assist は、リソースにアクセスしてアクションを実行するための既存の権限を継承します。アシスタントは、ユーザー自身がアクセス権を持っていないリソースを表示または変更することはできません。リソースの変更と呼ばれる状態変更アクションには、明示的な同意が必要であり、ID の下で Cloud Audit Logs に記録されます。
エージェント ID
Gemini Cloud Assist が アラートの調査や費用の異常の分析などの自律的なバックグラウンド タスクを実行する場合、専用のエージェント ID を使用します。アラートの事前調査では、ログベースのアラートはサポートされていません。
エージェント ID は、プロジェクトに固有のシステム プロビジョニングされた IAM プリンシパルです。これにより、Gemini Cloud Assist は厳格なセキュリティ境界を維持しながら、アクティブなユーザー セッションなしで機能できます。
ガバナンスと制御
管理者は、次のメカニズムを使用してエージェント ID を管理します。
- 構成可能な権限: ユーザー ID とは異なり、管理者はエージェント ID に IAM ロールを明示的に付与する必要があります。
- スコープ指定アクセス: デフォルトでは、エージェントは読み取り専用のテレメトリーとログに制限されます。データベースやストレージ バケット内のセンシティブ データには、明示的に承認されない限りアクセスできません。
- 監査ロギング: すべての自律アクションは完全に監査ログに記録されます。ユーザーが開始したアクションと区別するために、事前対応の結果には Google Cloud コンソールで [System]（システム）生成のタグが付けられます。
次のステップ
- プロアクティブ モードを設定し、エージェント ID をプロビジョニングします。
- アラート ポリシーの事前対応型調査を構成する方法を確認する。
- ユーザーとエージェントの IAM の要件を確認します。