このドキュメントでは、Gemini for Google Cloud と Gemini for Government のデプロイに関するセキュリティ標準とガードレールについて説明します。これらの標準は、FedRAMP High や DoD IL5 などの公共部門のフレームワークに準拠するのに役立ちます。
Stellar Engine は基盤となるランディング ゾーンのデプロイを自動化しますが、主権を維持し、構成のずれを防ぎ、AI 固有の脆弱性を軽減するには、機密性の高い AI ワークロードに特定のガードレールを適用する必要があります。
前提条件
安全なデプロイ ライフサイクルを確保するために、インフラストラクチャのプロビジョニングを開始する前に、次の前提条件を満たしてください。
- Infrastructure as Code（IaC）の適用: Google Cloud コンソールでの手動構成を排除します。自動化された CI/CD パイプラインを使用して、すべての環境変更、修復アクション、調整を実装し、構成のドリフトを防ぎます。
- 公式リポジトリの使用: 公式の Stellar Engine リポジトリを使用します。未確認のフォークやカスタム バリエーションでは、セキュリティの回帰が発生する可能性があります。
- Security Command Center Premium: すべてのフォルダで Security Command Center Premium を有効にして、継続的な脅威検出とコンプライアンス モニタリングを有効にします。
ルート環境のロックダウン
FedRAMP High と DoD IL5 のフレームワークを満たすには、フォルダレベルと組織レベルで次の厳格な制御を適用します。
- デュアルフォルダ アーキテクチャ: Assured Workloads に則って管理される 2 つ以上の専用フォルダを使用してリソースを分離します。1 つは FedRAMP High 用、もう 1 つは FedRAMP Moderate または IL5 用です。
- リソースの所在地: リソースの所在地を事前に合意した米国のリージョン（
us-east4など）にロックします。 - 組織のポリシーの制約: 次の制約を有効にして、アクセスを制限します。
iam.allowedPolicyMemberDomains: 承認済みの代理店のドメインに制限します。compute.vmExternalIpAccess: VM インスタンスでのパブリック IP の割り当てを防止します。compute.restrictVpcPeering: ラテラル トラバーサルのリスクを最小限に抑え、スポーク トラフィックを集中型ハブ経由で転送します。vertexai.allowedModels: 承認済みモデルへのアクセスを制限します（承認されていない外部モデルやパートナー モデルの取り込みを防ぐなど）。
- コンテキストアウェア アクセス: トラフィックを Gemini アプリケーション レイヤに転送する前に、Identity-Aware Proxy（IAP）でユーザーの ID とデバイスのセキュリティ ポスチャー（Access Context Manager を使用）を確認する必要があります。
安全なネットワーキング
デプロイでは、フラット ピアリングではなく、Network Connectivity Center に則って管理されるハブアンドスポーク トポロジを適用する必要があります。ハブアンドスポーク トポロジには次のメリットがあります。
- トラフィックの分離: 専用の VPC 間でトラフィックを分離します（たとえば、内部ルーティング用の
vpc-trust、アプライアンス管理用のvpc-mgmt、vpc-untrustなど）。 - 境界保護: クラスタ化された次世代ファイアウォール（NGFW）を備えた専用の検査 VPC を介してトラフィックを転送し、上り（内向き）と下り（外向き）のトラフィックをサニタイズします。
- ラテラル絶縁: アプリケーション データを処理するスポーク ネットワークが相互に直接通信できないように NCC ハブを構成し、ラテラル ムーブメント ベクトルを排除します。
アプリケーション ガードレール
アプリケーション レイヤとバックエンド モデルを一般的なインジェクション リスクや流出リスクから保護するには、次の実装を行います。
- プライベート ロード バランシング: リージョン外部アプリケーション ロードバランサのみを使用してフロントエンド アプリケーションを公開し、インターネットから直接アクセスできないようにします。
- IAP: Gemini アプリケーション レイヤにトラフィックをルーティングする前に、厳格な ID とデバイスのポスチャー検証を適用します。
- Model Armor: Gemini Enterprise Agent Platform で実行されるすべてのバックエンド モデルに対して Model Armor を有効にします。ランタイム ペイロードの安全性を確保し、コンテンツ コンプライアンスを満たし、プロンプト インジェクションの脆弱性を軽減するには、Model Armor が必要です。
データ保護と監査
ソブリン ワークロードを保護するために、次の集中型監査と不変性の機能を実装できます。
- データ分類スキーム: データ分類スキームと統合して、コントロールの配置を最適化します。
- VPC Service Controls 境界: センシティブ データの処理と保存環境の周囲に VPC Service Controls 境界を実装して、データ漏洩を防ぎます。境界は DoD IL5 で必須です。
- KMS の職務分離: 暗号鍵の職務分離を厳格に実施します。ステージ 3 セキュリティ プロジェクトで Cloud Key Management Service キーリングを管理するセキュリティ管理者に、データの復号権限がないことを確認します。
階層型ログシンク: 組織レベルのテレメトリーを、次の専用の構造化シンクに転送します。
- 管理アクティビティとデータアクセスの監査ログ
- VPC Service Controls イベント
- Google Workspace とログイン イベント
- CIS コンプライアンス テレメトリー
ユーザーがテレメトリー転送をバイパスできないようにします。
SIEM の取り込み: Pub/Sub トピックを使用して、ログを専用の管理プロジェクトに転送します。ログは、不変ストレージ リポジトリに流れ込みます。
異常検出: Google Security Operations などの SecOps ツールを使用してイベントを分析し、異常な API バーストなどの違反を Agent Platform に対して検出します。
ツール間の調和: テレメトリーを Google Threat Intelligence、Wiz Security Graph、またはサードパーティ ツールと統合して、シャドー AI エンドポイントや有害な構成を特定します。
SOAR を使用した自動修復: SOAR ハンドブックを使用して、不正なモデル エンドポイントの分離や、不正使用されたトークンの無効化などのリアルタイム防御を有効にします。
モニタリングと AI セキュリティ
次の機能を使用して、オブザーバビリティと自動防御パイプラインを維持します。
- API 使用状況のモニタリング: コア LLM 関数（
serviceruntime.googleapis.com/api/request_countなど）の急増を検出するアラートを作成します。 - AI の階層型ログシンク: 階層型ログシンクを構成して、
aiplatform.googleapis.comへの異常な API 呼び出し量の急増や、AI サービス アカウントによる不可能な移動違反など、AI 固有のイベントをキャプチャします。これらのログが、機関の SIEM からアクセス可能な変更不可能なストレージ リポジトリ（BigQuery など）に流れるようにします。 - セキュア AI フレームワーク（SAIF）との連携: テレメトリーを次の 4 つの SAIF の柱に接続します。