Herramientas y controles de inferencia para casos de uso de IA generativa

En este documento, se incluyen las prácticas recomendadas y los lineamientos para la Agent Platform de Gemini Enterprise cuando se ejecutan cargas de trabajo de IA generativa en Google Cloud.

Define el modo de acceso a los notebooks y las instancias de Agent Platform Workbench

ID de control de Google VAI-CO-4.1
Implementación Obligatorio
Descripción

En esta restricción de lista, se definen los modos de acceso permitidos para los notebooks y las instancias de Agent Platform Workbench. En la lista de entidades permitidas o bloqueadas, se pueden especificar varios usuarios con el modo service-account o el acceso para un solo usuario con el modo single-user.
Productos aplicables
  • Workbench de Agent Platform de Gemini Enterprise
  • Servicio de políticas de la organización
Ruta constraints/ainotebooks.accessMode
Operador Is
Valor
  • service-account
  • single-user
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Inhabilita las descargas de archivos en instancias de Agent Platform Workbench

ID de control de Google VAI-CO-4.2
Implementación Obligatorio
Descripción

La restricción booleana ainotebooks.disableFileDownloads te impide crear instancias de Gemini Enterprise Agent Platform Workbench con la opción de descarga de archivos habilitada. De forma predeterminada, puedes habilitar la opción de descarga de archivos en cualquier instancia de Agent Platform Workbench.
Productos aplicables
  • Servicio de políticas de la organización
  • Agent Platform Workbench
Ruta constraints/ainotebooks.disableFileDownloads
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Inhabilita el acceso raíz en instancias y notebooks administrados por el usuario de Agent Platform Workbench

ID de control de Google VAI-CO-4.3
Implementación Obligatorio
Descripción

La restricción booleana ainotebooks.disableRootAccess te impide crear notebooks e instancias administrados por el usuario de Agent Platform Workbench de Gemini Enterprise con acceso raíz habilitado. De forma predeterminada, los notebooks y las instancias administrados por el usuario de Agent Platform Workbench pueden tener este acceso habilitado.
Productos aplicables
  • Servicio de políticas de la organización
  • Agent Platform Workbench
Ruta constraints/ainotebooks.disableRootAccess
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Inhabilita la terminal en instancias de Agent Platform Workbench

ID de control de Google VAI-CO-4.4
Implementación Obligatorio
Descripción

La restricción booleana ainotebooks.disableTerminal te impide crear instancias de Gemini Enterprise Agent Platform Workbench con la terminal habilitada. De forma predeterminada, puedes habilitar la terminal en las instancias de Agent Platform Workbench.
Productos aplicables
  • Servicio de políticas de la organización
  • Agent Platform Workbench
Ruta constraints/ainotebooks.disableTerminal
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Restringe opciones de entorno en notebooks e instancias de Agent Platform Workbench

ID de control de Google VAI-CO-4.5
Implementación Obligatorio
Descripción

La restricción de lista ainotebooks.environmentOptions define las opciones de imágenes de contenedores y VM que puedes seleccionar cuando creas instancias y notebooks de Gemini Enterprise Agent Platform Workbench. Debes especificar de forma explícita las opciones que quieres permitir o denegar.

El formato esperado para las instancias de VM es ainotebooks-vm/PROJECT_ID/IMAGE_TYPE/CONSTRAINED_VALUE. Reemplaza IMAGE_TYPE por image-family o image-name.

Por ejemplo:

ainotebooks-vm/deeplearning-platform-release/image-family/pytorch-1-4-cpu ainotebooks-vm/deeplearning-platform-release/image-name/pytorch-latest-cpu-20200615

El formato esperado para las imágenes de contenedor es el siguiente: ainotebooks-container/CONTAINER_REPOSITORY:TAG

Por ejemplo:

ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:latest ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:m48
Productos aplicables
  • Servicio de políticas de la organización
  • Agent Platform Workbench
Ruta constraints/ainotebooks.environmentOptions
Operador Is
Tipo Lista
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Aplicar actualizaciones automáticas programadas en los notebooks y las instancias administrados por el usuario de Agent Platform Workbench

ID de control de Google VAI-CO-4.6
Implementación Obligatorio
Descripción

La restricción booleana ainotebooks.requireAutoUpgradeSchedule te impide crear instancias y notebooks administrados por el usuario de Agent Platform Workbench de Gemini Enterprise sin un programa de actualización automática.

Para definir un programa cron para las actualizaciones automáticas, usa la marca de metadatos notebook-upgrade-schedule. Por ejemplo:

--metadata=notebook-upgrade-schedule="00 19 * * MON"
Productos aplicables
  • Servicio de políticas de la organización
  • Agent Platform Workbench
Ruta constraints/ainotebooks.requireAutoUpgradeSchedule
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • MA-2
  • MA-3
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Restringe el acceso público en las instancias y los notebooks nuevos de Agent Platform Workbench

ID de control de Google VAI-CO-4.7
Implementación Obligatorio
Descripción

Esta restricción booleana limita el acceso desde direcciones IP públicas a los notebooks y las instancias de Workbench de Agent Platform de Gemini Enterprise. De forma predeterminada, las direcciones IP públicas pueden acceder a los notebooks y las instancias de Agent Platform Workbench.
Productos aplicables
  • Servicio de políticas de la organización
  • Agent Platform Workbench
Ruta constraints/ainotebooks.restrictPublicIp
Operador is
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-3.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4

Restringe las redes de VPC en las instancias de Agent Platform Workbench

ID de control de Google VAI-CO-4.8
Implementación Obligatorio
Descripción

La restricción de lista ainotebooks.restrictVpcNetworks define las redes de VPC que un usuario puede seleccionar cuando crea instancias de Gemini Enterprise Agent Platform Workbench. De forma predeterminada, se puede crear una instancia de Agent Platform Workbench en cualquier red de VPC.

Usa uno de los siguientes formatos para definir una lista de redes permitidas o denegadas:

  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/global/networks/NETWORK_NAME
Productos aplicables
  • Servicio de políticas de la organización
  • Agent Platform Workbench
Ruta constraints/ainotebooks.restrictVpcNetworks
Operador is
Tipo Lista
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-3.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4

¿Qué sigue?