代理身份概念

Gemini Cloud Assist 采用两种不同的身份模式来管理权限和审核。使用的模式取决于操作的触发方式：是由用户以互动方式触发，还是由系统以主动方式触发。

身份模式摘要

下表总结了每种模式的触发器和权限来源：

身份模式 触发器 权限来源
最终用户身份 Chat 和互动请求 您的个人 IAM 权限
代理身份 自主后台任务 专用服务帐号

最终用户身份

当您通过 聊天面板与 Gemini Cloud Assist 互动时，该服务会使用您的最终用户身份。

在此模式下，Gemini Cloud Assist 会继承您现有的权限来访问资源和执行操作。助理无法查看或修改您自己无权访问的任何资源。 所有更改状态的操作（称为资源突变）都需要您明确同意。Gemini Cloud Assist 执行的操作会以您的身份记录在 Cloud Audit Logs 中，就像您执行了该操作一样。这包括将操作归类到其相关的 Cloud Audit Logs 日志类型下，以及在 Cloud Audit Logs 中未启用操作所属的日志类型时，从日志中省略该操作。

代理身份

当 Gemini Cloud Assist 执行自主 后台任务（例如 调查提醒 或 分析费用异常）时，它会使用专用 代理身份。主动调查提醒不支持基于日志的提醒。

代理身份是系统为您的项目预配的 IAM 主账号，具有唯一性。这使得 Gemini Cloud Assist 能够在没有活跃用户会话的情况下运行，同时保持严格的安全边界。

治理和控制

管理员可以通过以下机制管理代理身份：

  • 可配置的权限：与用户身份不同，管理员必须 明确向代理身份授予 IAM 角色 。
  • 限定范围的访问权限：默认情况下，代理只能读取遥测数据 和日志。除非获得明确授权，否则它无法访问数据库或存储分区中的敏感数据。
  • 审核日志记录：所有自主操作都会被完整地记录在审核日志中。主动式 结果在 Google Cloud 控制台中标记为系统生成，以区别于用户发起的操作。与用户发起的操作类似，当 Cloud Audit Logs 中未 启用相关 日志类型时，自主操作会从日志中省略。

后续步骤