Déployer l'application Antigravity et la CLI Antigravity pour le secteur public américain

Vous pouvez déployer l'application Antigravity et la CLI Antigravity dans des environnements de limite de données FedRAMP High, IL4, IL5, ITAR et CJIS lorsqu'ils sont utilisés avec la plate-forme Gemini.

Suivez ces instructions pour configurer l'application Antigravity et la CLI Antigravity afin de respecter les normes réglementaires et les consignes similaires requises pour les organisations du secteur public et les clients d'entreprise aux États-Unis. Si vous ne suivez pas les étapes de cette page, vous risquez d'obtenir une configuration non conforme.

Une organisation d'évaluation tierce (3PAO) a validé que ces instructions de déploiement permettent à l'application Antigravity et à la CLI Antigravity de communiquer uniquement avec un point de terminaison régional d'API de service cloud basé aux États-Unis. Le point de terminaison de l'API aiplatform.us.rep.googleapis.com est déjà compatible avec les limites de données Assured Workloads pour FedRAMP High, IL4, IL5, ITAR et CJIS. Pour en savoir plus, consultez Évaluation de l'application et de la CLI Antigravity par Coalfire.

Prérequis

Déployer l'application Antigravity et la CLI Antigravity

Procédez comme suit pour déployer l'application Antigravity et la CLI Antigravity, et configurer votre environnement local et votre client afin de répondre aux attentes de votre organisation en matière de sécurité :

  1. Téléchargez l'application Antigravity et la CLI Antigravity localement.
  2. Créez un projet dans votre dossier Assured Workloads et activez l'API aiplatform.googleapis.com. Pour obtenir des instructions, consultez la section Configuration du projet et de l'APIGoogle Cloud .
  3. Configurez l'authentification auprès d'Antigravity en fonction de vos utilisateurs et de vos clients. Vous pouvez utiliser Cloud Identity (pour la fédération avec votre fournisseur ou système d'identité externe) et des comptes de service Google Cloud pour vous authentifier auprès d'Antigravity.

  4. Connectez-vous à Antigravity à l'aide des identifiants par défaut de l'application, comme suit :

    • Lorsque vous utilisez le client de bureau Antigravity :

      1. Sélectionnez un projet dans le dossier Assured Workloads.
      2. Sélectionnez l'emplacement aux États-Unis.

    • Lorsque vous utilisez la CLI Antigravity :

      1. Utilisez la Google Cloud CLI pour configurer votre projet de quota :

        gcloud auth application-default set-quota-project QUOTA_PROJECT_ID

        Remplacez QUOTA_PROJECT_ID par l'ID du projet dans votre dossier Assured Workloads.

      2. Définissez les variables d'environnement suivantes :

        export AGY_ADC_AUTH=true
export GOOGLE_CLOUD_LOCATION=us
export AGY_CLI_DISABLE_AUTO_UPDATE=true

Se connecter aux modèles compatibles

Les modèles suivants sont compatibles avec FedRAMP High, IL4, IL5, ITAR et CJIS :

  • Gemini 3.6 Flash
  • Gemini 3.7 Flash
  • Gemini 3.8 Flash
  • Gemini 4.0 Argon

Pour vous connecter à une version du modèle compatible avec les exigences de conformité du secteur public américain, sélectionnez US comme URI de point de terminaison de base. Vous devez sélectionner États-Unis pour vous assurer que les requêtes et les réponses sont conformes aux exigences spécifiques des clients du secteur public aux États-Unis. Pour obtenir des instructions, consultez Points de terminaison régionaux et listes d'autorisation réseau.

Désactiver les API facultatives

L'application Antigravity et la CLI Antigravity appellent d'autres API de backend, qui ne sont pas toutes compatibles avec les exigences du secteur public américain. Ces API ne sont pas nécessaires à la fonctionnalité de base du produit. Pour maintenir la conformité de votre déploiement, désactivez la possibilité d'appeler les API suivantes depuis votre environnement local :

  • Tous les points de terminaison multirégionaux hors États-Unis dans aiplatform.*.rep.googleapis.com (à l'exception de aiplatform.us.rep.googleapis.com)
  • antigravity.google
  • *.antigravity.google
  • antigravity.google.com
  • *.antigravity.google.com
  • antigravity-cli-auto-updater-974169037036.us-central1.run.app
  • antigravity-hub-auto-updater-974169037036.us-central1.run.app
  • antigravity-unleash.goog
  • businessaicode.googleapis.com
  • chromewebstore.google.com
  • cloudcode-pa.googleapis.com
  • aicode.googleapis.com
  • daily-cloudcode-pa.googleapis.com
  • play.googleapis.com

Pour désactiver ces points de terminaison dans votre environnement local, appliquez les contrôles suivants :

  • Règles de réseau et de proxy : dans votre proxy Web d'entreprise, votre pare-feu ou votre règle DNS, bloquez les requêtes sortantes vers les domaines listés tout en autorisant le trafic vers le point de terminaison aiplatform.us.rep.googleapis.com.
  • Règle d'administration d'utilisation des points de terminaison : configurez la contrainte de règle d'administration constraints/gcp.restrictEndpointUsage au niveau du dossier ou du projet pour refuser le groupe de valeurs in:non-us-aiplatform-endpoints (qui bloque les points de terminaison Gemini Enterprise Agent Platform mondiaux et hors États-Unis) et les points de terminaison businessaicode.googleapis.com, businessaicode.us.rep.googleapis.com et businessaicode.eu.rep.googleapis.com. Pour trouver les points de terminaison multirégionaux compatibles avec Agent Platform, consultez Points de terminaison multirégionaux. Pour savoir comment configurer cette contrainte et ses groupes de valeurs sélectionnés, consultez Restreindre l'utilisation des points de terminaison.
  • Gestion d'API du projet : désactivez les API businessaicode.googleapis.com et cloudaicompanion.googleapis.com dans votre projet Assured Workloads si elles sont activées. Le point de terminaison cloudcode-pa.googleapis.com est un point de terminaison client Google interne que vous ne pouvez pas activer ni désactiver via Service Usage et que vous devez bloquer à l'aide de vos règles de réseau ou de proxy. Pour en savoir plus, consultez Désactiver des services.
  • Mises à jour automatiques de la CLI : définissez la variable d'environnement AGY_CLI_DISABLE_AUTO_UPDATE=true pour empêcher la CLI Antigravity d'interroger le point de terminaison antigravity-cli-auto-updater-974169037036.us-central1.run.app au démarrage.

Prise en charge de l'inspection et des certificats SSL/TLS

L'application et la CLI Antigravity interrogent et utilisent automatiquement le magasin racine de confiance du système d'exploitation hôte, tel que /etc/ssl/certs sous Linux, le magasin de certificats Windows sous Windows et le trousseau sous macOS.

Si vous déployez le bundle de certificats CA d'entreprise sur l'OS client, Antigravity approuve et fonctionne automatiquement dans l'environnement SSL/TLS inspecté. Vous n'avez pas besoin d'un remplacement d'autorité de certification personnalisé.

Si vous utilisez des proxys d'entreprise, le transport HTTP du langage Go est compatible avec les variables d'environnement de proxy standard du système. Configurez ces variables sur les machines qui exécutent Antigravity :

  • HTTP_PROXY
  • HTTPS_PROXY
  • NO_PROXY

Pour en savoir plus, consultez Paramètres.