Sie können VPC Service Controls mit Contact Center AI Platform (CCAI Platform) verwenden, um das Risiko der Daten-Exfiltration aus Ihrem Contact Center zu verringern. Wenn Sie eine CCAI Platform-Instanz in einen VPC Service Controls-Perimeter einbeziehen, kann die Instanz keine Daten mit Google Cloud Diensten (z. B. Cloud Storage oder Dialogflow CX) austauschen, die sich außerhalb des Perimeters befinden. Sie können Ihre Instanz weiter schützen, indem Sie die CCAI Platform API in die Liste der eingeschränkten Dienste aufnehmen. Anschließend können Sie eine Zugriffsebene erstellen, um nur Ihren Administratoren den Zugriff auf Ihre Instanz zu ermöglichen.
Wenn Sie eine Instanz in Ihren Perimeter aufnehmen, wird der Datenaustausch der Instanz mit Diensten von Drittanbietern (nicht-Google Cloud) nicht eingeschränkt. Um den Datenaustausch mit Diensten von Drittanbietern einzuschränken, empfiehlt Google, Private Service Connect zu verwenden, um privaten Ingress und privaten Egress für Ihre Instanz einzurichten. Weitere Informationen finden Sie unter Private Service Connect.
Perimeter erstellen und Zugriff auf eine Instanz einschränken
Sie können einen Perimeter erstellen und die Möglichkeit für Nutzer einschränken, CCAI Platform-Instanzen in der Google Cloud Console zu erstellen und zu bearbeiten. Verwenden Sie anschließend eine Zugriffsebene, um den Nutzern, die Instanzen erstellen und bearbeiten sollen, explizit Zugriff zu gewähren. Weitere Informationen finden Sie unter Zugriff auf geschützte Ressourcen.
Folgen Sie der Anleitung unter Dienstperimeter erstellen, um einen Perimeter zu erstellen und den Zugriff auf eine Instanz einzuschränken. Beachten Sie dabei die folgenden Anforderungen:
Wenn Sie Ressourcen im Bereich Zu schützende Ressourcen hinzufügen, wählen Sie das Projekt aus, das die CCAI Platform-Instanz enthält, die Sie in den Perimeter aufnehmen möchten.
Wenn Sie Dienste im Bereich Eingeschränkte Dienste einschränken, wählen Sie CCAI Platform API aus.
Ihre Instanz befindet sich jetzt in einem Perimeter und Sie haben die CCAI Platform API als eingeschränkten Dienst angegeben. Das bedeutet, dass kein Nutzer eine CCAI Platform-Instanz in Ihrem Perimeter erstellen oder bearbeiten kann, es sei denn, Sie gewähren ihm explizit Zugriff darauf. Weitere Informationen finden Sie unter Zugriff auf geschützte Ressourcen zulassen.
Abhängigkeiten des Agent-Adapters
Der Agent-Adapter ist von den folgenden Diensten abhängig:
Wenn Sie diese Dienste einschränken möchten, indem Sie sie in die Liste der eingeschränkten Dienste in Ihrem Perimeteraufnehmen, können die folgenden APIs nicht von außerhalb des Perimeters aufgerufen werden:
identitytoolkit.googleapis.com(aus dem Identity Platform-Dienst)securetoken.googleapis.com(aus dem Identity Platform-Dienst)storage.googleapis.com(aus dem Cloud Storage-Dienst)firestore.googleapis.com(aus dem Firestore-Dienst)
Der Agent-Adapter ist von diesen APIs abhängig. Wenn Sie sie einschränken, müssen Sie den Zugriff darauf für Ihre Agent-Adapter-Nutzer zulassen. Weitere Informationen finden Sie unter Zugriff auf geschützte Ressourcen zulassen.
Zugriff auf geschützte Ressourcen zulassen
In diesem Abschnitt wird beschrieben, wie Sie den Zugriff auf geschützte Ressourcen zulassen.
Zugriffsebene konfigurieren
Konfigurieren Sie eine Zugriffsebene, um den Zugriff auf alle Ressourcen zuzulassen, die Sie unter Perimeter erstellen und Zugriff auf eine Instanz einschränken eingeschränkt haben.
Folgen Sie der Anleitung unter Zugriffsebene erstellen, um eine Zugriffsebene zu erstellen. Beachten Sie dabei die folgenden Anforderungen:
Geben Sie eine Bedingung an, mit der Ihre Administratoren auf den eingeschränkten CCAI Platform API-Dienst zugreifen können. So können sie Instanzen in der Google Cloud Console verwalten. Die Bedingung muss ein Zugriffsebene attribut Ihrer Administratoren enthalten.
Optional (wenn Sie die Dienste Identity Platform, Cloud Storage oder Firestore eingeschränkt haben): Geben Sie eine Bedingung an, mit der die Nutzer des Agent-Adapters auf die eingeschränkten Dienste Identity Platform, Cloud Storage oder Firestore zugreifen können. Die Bedingung muss ein Zugriffsebenen attribut Ihrer Agent-Adapter-Nutzer enthalten.
Privater Google-Zugriff
Wenn Ihr Anwendungsfall dies erfordert, können Sie anstelle einer Zugriffsebene den privater Google-Zugriff verwenden, um den Zugriff auf eingeschränkte Ressourcen innerhalb eines Perimeters zuzulassen. Weitere Informationen finden Sie unter Privaten Google-Zugriff für lokale Hosts konfigurieren.