Zugriff auf geschützte Ressourcen über einen privaten Endpunkt in einem VPC Service Controls-Perimeter zulassen

In Architekturen mit gemeinsam genutzter VPC wird das Netzwerk des Hostprojekts mit dem Dienstprojekt geteilt. Bis vor Kurzem war es daher nicht möglich, diese Projekte in verschiedene Perimeter aufzuteilen. Mit der Einführung von Regeln für eingehenden und ausgehenden Traffic auf Basis privater IP-Adressen können sich Host- und Dienstprojekte jetzt in separaten Perimetern befinden, während der Zugriff über diese Regeln kontrolliert wird.

Referenzarchitektur

Die folgenden Attribute werden in der Dienstrichtlinie verwendet:

  • VPC Service Controls-Perimeter
  • Private IP-Adressen für Access Context Manager
  • Regeln für ein- und ausgehenden Traffic

In der Netzwerkkomponente wird in dieser Architektur ein Private Service Connect-Endpunkt für den Zugriff auf Google APIs verwendet.

Architekturdiagramm zur Verwendung von VPC Service Controls zum Erstellen eines Dienstperimeters.

In dieser Referenzarchitektur werden Regeln für eingehenden und ausgehenden Traffic sowie private IP-Adressen verwendet, um den Zugriff zwischen Compute Engine-Instanzen und der Agent Platform API für die folgenden Dienstperimeter und Projekte zu steuern:

Perimeter Projekte innerhalb des Perimeters
aiml-host-perimeter aiml-host-project
high-trust-svc-perimeter ph-fm-svc-project-1
low-trust-svc-perimeter ph-fm-svc-project-2, ph-fm-svc-project-3

Der Zugriff auf die Agent Platform API von den Compute Engine-Instanzen der einzelnen Dienstprojekte wird durch Regeln für eingehenden und ausgehenden Traffic von VPC Service Controls gesteuert. Diese Regeln verwenden Access Context Manager-Zugriffsebenen, die mit privaten IP-Adressen konfiguriert sind, um den Subnetzen, die mit jedem Dienstprojekt geteilt werden, Zugriff auf ihre jeweiligen Perimeter zu gewähren.

Optional: Zugriffsebene für öffentlichen Traffic der Organisation erstellen

Wenn Ihre Endnutzer über dieGoogle Cloud -Konsole auf die Gemini Enterprise Agent Platform zugreifen müssen, folgen Sie der Anleitung in diesem Abschnitt, um eine Zugriffsebene für die Verwendung in VPC Service Controls zu erstellen. Wenn der Zugriff auf APIs jedoch ausschließlich programmatisch über private Quellen erfolgt (z. B. lokal mit privatem Google-Zugriff für lokale Hosts oder Cloud Workstations), ist die Zugriffsebene nicht erforderlich.

In dieser Referenzarchitektur verwenden wir den CIDR-Bereich corp-public-block, um Mitarbeitern der Organisation den Zugriff auf dieGoogle Cloud Console zu ermöglichen.

Mit Access Context Manager können Administratoren der Organisation von Google Cloud eine differenzierte, attributbasierte Zugriffssteuerung für Ressourcen in Google Clouddefinieren.

Zugriffsebenen beschreiben die Anforderungen, die Anfragen erfüllen müssen. Hier einige Beispiele:

  • Gerätetyp und Betriebssystem (erfordert eine Chrome Enterprise Premium-Lizenz)
  • IP-Adresse
  • Standorte
  • Nutzeridentität

Wenn die Organisation Access Context Manager zum ersten Mal verwendet, müssen ihre Administratoren eine Zugriffsrichtlinie definieren. Dies ist ein Container für Zugriffsebenen und Dienstperimeter. Das funktioniert so:

  1. Klicken Sie in der Projektauswahl oben in der Google Cloud Console auf den Tab Alle und wählen Sie dann Ihre Organisation aus.
  2. Erstellen Sie eine einfache Zugriffsebene. Folgen Sie dazu der Anleitung auf der Seite Einfache Zugriffsebene erstellen. Geben Sie die folgenden Optionen an:
    1. Wählen Sie unter Bedingungen erstellen in die Option Standardmodus aus.
    2. Geben Sie in das Feld Titel der Zugriffsebene corp-public-block ein.
    3. Wählen Sie im Abschnitt Bedingungen für die Option Bei erfüllter Bedingung Folgendes zurückgeben die Option WAHR aus.
    4. Wählen Sie unter IP-Subnetzwerke die Option Öffentliche IP aus.
    5. Geben Sie für den IP-Adressbereich den externen CIDR-Bereich an, der Zugriff auf den VPC Service Controls-Perimeter benötigt.

VPC Service Controls-Dienstperimeter erstellen

Wenn Sie einen Dienstperimeter erstellen, können Sie den Zugriff auf geschützte Dienste von außerhalb des Perimeters unter anderem durch das Erstellen von Zugriffsebenen (in unserem Beispiel mithilfe von IP-Adressen) zulassen. In dieser Referenzarchitektur werden mehrere Dienstperimeter erstellt, die mithilfe von Regeln für eingehenden und ausgehenden Traffic den Zugriff auf die Kommunikation der Agent Platform API und der Compute Engine API so steuern:

  • Das Subnetz für Rechenressourcen, die zum Dienstprojekt ph-fm-svc-project-1 gehören, darf auf die Agent Platform API und die Compute Engine API in ph-fm-svc-project-1 von aiml-host-project zugreifen.
  • Das Subnetz für Rechenressourcen, die zu den Dienstprojekten ph-fm-svc-project-2 und ph-fm-svc-project-3 gehören, darf auf die Agent Platform API und die Compute Engine API im Projekt ph-fm-svc-project-2 und im Projekt ph-fm-svc-project-3 von aiml-host-project aus zugreifen.

Jedes Dienstprojekt hat Zugriff auf die Compute Engine API im Hostprojekt, da bidirektionale Abläufe zwischen dem Hostprojekt und den Dienstprojekten auftreten, wenn Rechenressourcen in einem bestimmten Dienstprojekt erstellt werden.

In dieser Referenzarchitektur wird für jedes Subnetz eine Zugriffsebene erstellt, um Regeln für eingehenden und ausgehenden Traffic zu verwenden, um die erforderlichen Abläufe zwischen dem Hostprojektperimeter und jedem Dienstprojektperimeter zuzulassen.

Zugriffsebene „gce-subnet-1“ erstellen

  1. Klicken Sie in der Projektauswahl oben in der Google Cloud Console auf den Tab Alle und wählen Sie dann Ihre Organisation aus.
  2. Erstellen Sie eine einfache Zugriffsebene. Folgen Sie dazu der Anleitung auf der Seite Einfache Zugriffsebene erstellen. Geben Sie die folgenden Optionen an:
    1. Wählen Sie unter Bedingungen erstellen in die Option Standardmodus aus.
    2. Geben Sie in das Feld Titel der Zugriffsebene gce-subnet-1 ein.
    3. Wählen Sie im Abschnitt Bedingungen für die Option Bei erfüllter Bedingung Folgendes zurückgeben die Option WAHR aus.
    4. Wählen Sie unter IP-Subnetzwerke die Option Private IP aus.
    5. Wählen Sie VPC-Netzwerke aus, ermitteln Sie Ihr Projekt und wählen Sie Ihren VPC-Namen aus.
    6. Wählen Sie für die IP-Subnetze den CIDR-Bereich aus, der das Subnetz darstellt, das das Hostprojekt für ph-fm-svc-project-1 freigegeben hat.

Zugriffsebene „gce-subnet-2“ erstellen

  1. Klicken Sie in der Projektauswahl oben in der Google Cloud Console auf den Tab Alle und wählen Sie dann Ihre Organisation aus.
  2. Erstellen Sie eine einfache Zugriffsebene. Folgen Sie dazu der Anleitung auf der Seite Einfache Zugriffsebene erstellen. Geben Sie die folgenden Optionen an:
    1. Wählen Sie unter Bedingungen erstellen in die Option Standardmodus aus.
    2. Geben Sie in das Feld Titel der Zugriffsebene gce-subnet-2 ein.
    3. Wählen Sie im Abschnitt Bedingungen für die Option Bei erfüllter Bedingung Folgendes zurückgeben die Option WAHR aus.
    4. Wählen Sie unter IP-Subnetzwerke die Option Private IP aus.
    5. Wählen Sie VPC-Netzwerke aus, ermitteln Sie Ihr Projekt und wählen Sie Ihren VPC-Namen aus.
    6. Wählen Sie für die IP-Subnetze den CIDR-Bereich aus, der das Subnetz darstellt, das das Hostprojekt für ph-fm-svc-project-2 freigegeben hat.

Zugriffsebene „gce-subnet-3“ erstellen

  1. Klicken Sie in der Projektauswahl oben in der Google Cloud Console auf den Tab Alle und wählen Sie dann Ihre Organisation aus.
  2. Erstellen Sie eine einfache Zugriffsebene. Folgen Sie dazu der Anleitung auf der Seite Einfache Zugriffsebene erstellen. Geben Sie die folgenden Optionen an:
    1. Wählen Sie unter Bedingungen erstellen in die Option Standardmodus aus.
    2. Geben Sie in das Feld Titel der Zugriffsebene gce-subnet-3 ein.
    3. Wählen Sie im Abschnitt Bedingungen für die Option Bei erfüllter Bedingung Folgendes zurückgeben die Option WAHR aus.
    4. Wählen Sie unter IP-Subnetzwerke die Option Private IP aus.
    5. Wählen Sie VPC-Netzwerke aus, identifizieren Sie Ihr Projekt und wählen Sie Ihren VPC-Namen aus.
    6. Wählen Sie für die IP-Subnetze den CIDR-Bereich aus, der das Subnetz darstellt, das das Hostprojekt für ph-fm-svc-project-3 freigegeben hat.

Konfigurationsschritte für aiml-host-perimeter

Wählen Sie den Konfigurationstyp für den neuen Perimeter aus.

In diesem Abschnitt erstellen Sie einen VPC Service Controls-Dienstperimeter (aiml-host-perimeter) im Probelaufmodus. Im Probelaufmodus werden Verstöße so in Logs erfasst, als ob die Perimeter erzwungen würden, der Zugriff auf eingeschränkte Dienste wird aber nicht verhindert. Es wird empfohlen, den Probelaufmodus zu verwenden, bevor Sie in den erzwungenen Modus wechseln.

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Gehen Sie zu Sicherheit.

  2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

  3. Klicken Sie auf der Seite VPC Service Controls auf Probelaufmodus.

  4. Klicken Sie auf Neuer Perimeter.

  5. Geben Sie auf dem Tab Neuer VPC-Dienstperimeter im Feld Perimetername einen Namen für den Perimeter ein, z. B. aiml-host-perimeter.

    Ein Perimetername darf maximal 50 Zeichen lang sein und muss mit einem Buchstaben beginnen. Er darf nur lateinische ASCII-Buchstaben (a-z, A-Z), Zahlen (0-9) und Unterstriche (_) enthalten. Beim Perimeternamen wird zwischen Groß- und Kleinschreibung unterschieden und er muss innerhalb einer Zugriffsrichtlinie eindeutig sein.

  6. Übernehmen Sie die Standardeinstellungen für den Perimeter.

Wählen Sie die zu schützenden Ressourcen aus.

  1. Klicken Sie auf Zu schützende Ressourcen.
  2. So fügen Sie Projekte oder VPC-Netzwerke hinzu, die Sie im Perimeter sichern möchten:
    1. Klicken Sie auf Ressourcen hinzufügen.
    2. Wenn Sie dem Perimeter Projekte hinzufügen möchten, klicken Sie im Bereich Ressourcen hinzufügen auf Projekt hinzufügen.
      1. Wählen Sie das Projekt aus, das Sie hinzufügen möchten, in diesem Fall aiml-host-project.
      2. Klicken Sie auf Ausgewählte Ressourcen hinzufügen. Die hinzugefügten Projekte werden im Bereich Projekte angezeigt.

Eingeschränkte Dienste auswählen

In dieser Referenzarchitektur ist der Umfang der eingeschränkten APIs begrenzt. Es werden nur die APIs aktiviert, die für die Gemini Enterprise Agent Platform erforderlich sind. Als Best Practice empfehlen wir jedoch, beim Erstellen eines Perimeters alle Dienste einzuschränken, um das Risiko der Daten-Exfiltration aus Diensten von Google Cloud zu verringern.

So wählen Sie die Dienste aus, die Sie im Perimeter sichern möchten:

  1. Klicken Sie auf Eingeschränkte Dienste.
  2. Klicken Sie im Bereich Eingeschränkte Dienste auf Dienste hinzufügen.
  3. Wählen Sie im Dialogfeld Geben Sie Dienste an, die eingeschränkt werden sollen die Compute Engine API aus.
  4. Klicken Sie auf Compute Engine API hinzufügen.

Optional: Über VPC zugängliche Dienste auswählen

Mit der Einstellung Über VPC zugängliche Dienste wird die Gruppe von Diensten eingeschränkt, auf die von Netzwerkendpunkten innerhalb Ihres Dienstperimeters zugegriffen werden kann. In dieser Referenzarchitektur behalten wir die Standardeinstellung Alle Dienste bei.

Optional: Zugriffsebene auswählen

Wenn Sie in einem früheren Abschnitt eine CIDR-Zugriffsebene für Unternehmen erstellt haben, gehen Sie so vor, um den Zugriff auf geschützte Ressourcen von außerhalb des Perimeters zuzulassen:

  1. Klicken Sie auf Zugriffsebenen.

  2. Klicken Sie auf das Kästchen Zugriffsebene auswählen.

    Sie können Zugriffsebenen auch hinzufügen, nachdem ein Perimeter erstellt wurde.

  3. Klicken Sie das Kästchen für die Zugriffsebene an. (In dieser Referenzarchitektur ist dies corp-public-block.)

Richtlinie für eingehenden Traffic konfigurieren

Die bidirektionale Kommunikation zwischen einem Hostprojekt und einem Dienstprojekt erfolgt, wenn Rechenressourcen in einem bestimmten Dienstprojekt erstellt werden, da das Hostprojekt Inhaber des VPC-Netzwerk ist, das das mit dem Dienstprojekt gemeinsam genutzte Subnetz enthält. In diesem Abschnitt konfigurieren Sie eine Regel für eingehenden Traffic, die allen drei Dienstprojekten Zugriff auf Rechenressourcen im Hostprojekt für diese Abläufe gewährt.

  1. Klicken Sie im Menü auf der linken Seite auf Richtlinie für eingehenden Traffic.
  2. Klicken Sie auf Regel hinzufügen.
  3. Führen Sie im Bereich Regel für eingehenden Traffic die folgenden Schritte aus:
    1. Wählen Sie unter FROM-Attribute die folgenden FROM-Attribute des API-Clients aus:
      1. Identität: Alle Identitäten
      2. Quelle: Projekte (ph-fm-svc-project-1, ph-fm-svc-project-2, ph-fm-svc-project-3)
    2. Wählen Sie für TO-Attribute die folgenden TO-Attribute von Diensten und Ressourcen von Google Cloudaus:
      1. Projekt: Alle Projekte
      2. Dienste: Ausgewählte Dienste
      3. Ausgewählte Dienste: Compute Engine API
      4. Methoden: Alle Methoden

Richtlinie für ausgehenden Traffic konfigurieren

In diesem Abschnitt konfigurieren Sie zwei Regeln für ausgehenden Traffic.

Erste Regel für ausgehenden Traffic

Da das Hostprojekt das mit ph-fm-svc-project-1 freigegebene Subnetz besitzt, ist eine Regel für ausgehenden Traffic erforderlich, damit dieses Subnetz vom Perimeter des Hostprojekts aus auf den Perimeter von ph-fm-svc-project-1 zugreifen kann. Die Zugriffsebene für Unternehmen ermöglicht die bidirektionale Kommunikation, die für die Erstellung von Compute-Instanzen erforderlich ist, wenn ein Endnutzer Compute-Ressourcen in einem Dienstprojekt mit der konfigurierten Zugriffsebene erstellt.

  1. Klicken Sie im Menü auf der linken Seite auf Richtlinie für ausgehenden Traffic.
  2. Klicken Sie auf Regel hinzufügen.
  3. Führen Sie im Bereich Regel für ausgehenden Traffic die folgenden Schritte aus:
    1. Wählen Sie unter FROM-Attribute die folgenden FROM-Attribute des API-Clients aus:
      1. Identität: Alle Identitäten
      2. Wählen Sie Quellen für ausgehenden Traffic auf Zugriffsebene aktivieren aus.
      3. Zugriffsebenen corp-public-block und gce-subnet-1.
    2. Wählen Sie für TO-Attribute die folgenden TO-Attribute von Diensten und Ressourcen von Google Cloudaus:
      1. Projekt: Ausgewählte Projekte
      2. Projekt hinzufügen: ph-fm-svc-project-1
      3. Dienste: Alle Dienste

Zweite Regel für ausgehenden Traffic

Da das Hostprojekt die mit ph-fm-svc-project-2 und ph-fm-svc-project-3 freigegebenen Subnetze besitzt, ist eine Regel für ausgehenden Traffic erforderlich, damit diese Subnetze vom Perimeter des Hostprojekts aus auf den Perimeter der Dienstprojekte zugreifen können. Die Zugriffsebene für Unternehmen ermöglicht die bidirektionale Kommunikation, die für die Erstellung von Compute-Instanzen erforderlich ist, wenn ein Endnutzer Compute-Ressourcen in einem Dienstprojekt mit der konfigurierten Zugriffsebene erstellt.

  1. Klicken Sie im Menü auf der linken Seite auf Richtlinie für ausgehenden Traffic.
  2. Klicken Sie auf Regel hinzufügen.
  3. Führen Sie im Bereich Regel für ausgehenden Traffic die folgenden Schritte aus:
    1. Wählen Sie unter FROM-Attribute die folgenden FROM-Attribute des API-Clients aus:
      1. Identität: Alle Identitäten
      2. Wählen Sie Quellen für ausgehenden Traffic auf Zugriffsebene aktivieren aus.
      3. Zugriffsebenen corp-public-block, gce-subnet-2 und gce-subnet-3.
    2. Wählen Sie für TO-Attribute die folgenden TO-Attribute von Diensten und Ressourcen von Google Cloudaus:
      1. Projekt: Ausgewählte Projekte
      2. Projekt hinzufügen: ph-fm-svc-project-2, ph-fm-svc-project-3
      3. Dienste: Alle Dienste

Perimeter erstellen

Nachdem Sie die vorherigen Konfigurationsschritte abgeschlossen haben, erstellen Sie den Perimeter, indem Sie auf Perimeter erstellen klicken.

Konfigurationsschritte für high-trust-svc-perimeter

Wählen Sie den Konfigurationstyp für den neuen Perimeter aus.

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Gehen Sie zu Sicherheit.

  2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

  3. Klicken Sie auf der Seite VPC Service Controls auf Probelaufmodus.

  4. Klicken Sie auf Neuer Perimeter.

  5. Geben Sie auf dem Tab Neuer VPC-Dienstperimeter im Feld Perimetername einen Namen für den Perimeter ein, z. B. high-trust-svc-perimeter.

    Ein Perimetername darf maximal 50 Zeichen lang sein und muss mit einem Buchstaben beginnen. Er darf nur lateinische ASCII-Buchstaben (a-z, A-Z), Zahlen (0-9) und Unterstriche (_) enthalten. Beim Perimeternamen wird zwischen Groß- und Kleinschreibung unterschieden und er muss innerhalb einer Zugriffsrichtlinie eindeutig sein.

  6. Übernehmen Sie die Standardeinstellungen für den Perimeter.

Wählen Sie die zu schützenden Ressourcen aus.

  1. Klicken Sie auf Zu schützende Ressourcen.
  2. So fügen Sie Projekte oder VPC-Netzwerke hinzu, die Sie im Perimeter sichern möchten:
    1. Klicken Sie auf Ressourcen hinzufügen.
    2. Wenn Sie dem Perimeter Projekte hinzufügen möchten, klicken Sie im Bereich Ressourcen hinzufügen auf Projekt hinzufügen.
      1. Wählen Sie das Projekt aus, das Sie hinzufügen möchten, in diesem Fall ph-fm-svc-project-1.
      2. Klicken Sie auf Ausgewählte Ressourcen hinzufügen. Die hinzugefügten Projekte werden im Bereich Projekte angezeigt.

Eingeschränkte Dienste auswählen

In dieser Referenzarchitektur ist der Umfang der eingeschränkten APIs begrenzt, sodass nur die für Gemini erforderlichen APIs aktiviert werden. Als Best Practice empfehlen wir jedoch, beim Erstellen eines Perimeters alle Dienste einzuschränken, um das Risiko der Daten-Exfiltration aus Diensten von Google Cloud zu verringern.

So wählen Sie die Dienste aus, die Sie im Perimeter sichern möchten:

  1. Klicken Sie auf Eingeschränkte Dienste.
  2. Klicken Sie im Bereich Eingeschränkte Dienste auf Dienste hinzufügen.
  3. Wählen Sie im Dialogfeld Geben Sie Dienste an, die eingeschränkt werden sollen die Compute Engine API aus.
  4. Klicken Sie auf Compute Engine API hinzufügen.
  5. Klicken Sie im Bereich Eingeschränkte Dienste auf Dienste hinzufügen.
  6. Wählen Sie im Dialogfeld Geben Sie Dienste an, die eingeschränkt werden sollen die Agent Platform API aus.
  7. Klicken Sie auf Agent Platform API hinzufügen.

Optional: Über VPC zugängliche Dienste auswählen

Mit der Einstellung Über VPC zugängliche Dienste wird die Gruppe von Diensten eingeschränkt, auf die von Netzwerkendpunkten innerhalb Ihres Dienstperimeters zugegriffen werden kann. In dieser Referenzarchitektur behalten wir die Standardeinstellung Alle Dienste bei.

Optional: Zugriffsebene auswählen

Wenn Sie in einem früheren Abschnitt eine CIDR-Zugriffsebene für Unternehmen erstellt haben, gehen Sie so vor, um den Zugriff auf geschützte Ressourcen von außerhalb des Perimeters zuzulassen:

  1. Klicken Sie auf Zugriffsebenen.

  2. Klicken Sie auf das Kästchen Zugriffsebene auswählen.

    Sie können Zugriffsebenen auch hinzufügen, nachdem ein Perimeter erstellt wurde.

  3. Klicken Sie das Kästchen für die Zugriffsebene an. (In dieser Referenzarchitektur ist dies corp-public-block.)

Richtlinie für eingehenden Traffic konfigurieren

Da das Hostprojekt das mit ph-fm-svc-project-1 freigegebene Subnetz besitzt, ist eine Regel für eingehenden Traffic erforderlich, um diesem Subnetz den Zugriff auf den Perimeter von ph-fm-svc-project-1 aus dem Hostprojekt zu ermöglichen. Dadurch können die Compute-Instanzen von ph-fm-svc-project-1 auf den verwalteten Dienst in ph-fm-svc-project-1 zugreifen.

  1. Klicken Sie im Menü auf der linken Seite auf Richtlinie für eingehenden Traffic.
  2. Klicken Sie auf Regel hinzufügen.
  3. Führen Sie im Bereich Regel für eingehenden Traffic die folgenden Schritte aus:
    1. Wählen Sie unter FROM-Attribute die folgenden FROM-Attribute des API-Clients aus:
      1. Identität: Alle Identitäten
      2. Quelle: Zugriffsebene
      3. Zugriffsebene: gce-subnet-1
    2. Wählen Sie für TO-Attribute die folgenden TO-Attribute von Diensten und Ressourcen von Google Cloudaus:
      1. Projekt: Alle Projekte
      2. Dienste: Alle Dienste

Richtlinie für ausgehenden Traffic konfigurieren

Da das Hostprojekt das mit ph-fm-svc-project-1 freigegebene Subnetz besitzt, ist eine Regel für ausgehenden Traffic erforderlich, um die bidirektionale Kommunikation zwischen dem Dienstprojekt und seinem Hostprojekt zu ermöglichen, wenn im Dienstprojekt Rechenressourcen erstellt werden.

  1. Klicken Sie im Menü auf der linken Seite auf Richtlinie für ausgehenden Traffic.
  2. Klicken Sie auf Regel hinzufügen.
  3. Führen Sie im Bereich Regel für ausgehenden Traffic die folgenden Schritte aus:
    1. Wählen Sie unter FROM-Attribute die folgenden FROM-Attribute des API-Clients aus:
      1. Identität: Alle Identitäten
    2. Wählen Sie für TO-Attribute die folgenden TO-Attribute von Diensten und Ressourcen von Google Cloudaus:
      1. Projekt: Ausgewählte Projekte
      2. Projekt hinzufügen: aiml-host-project
      3. Dienste: Ausgewählte Dienste
      4. Ausgewählte Dienste: Compute Engine API
      5. Methoden: Alle Methoden

Perimeter erstellen

Nachdem Sie die vorherigen Konfigurationsschritte abgeschlossen haben, erstellen Sie den Perimeter, indem Sie auf Perimeter erstellen klicken.

Konfigurationsschritte für low-trust-svc-perimeter

Wählen Sie den Konfigurationstyp für den neuen Perimeter aus.

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Gehen Sie zu Sicherheit.

  2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

  3. Klicken Sie auf der Seite VPC Service Controls auf Probelaufmodus.

  4. Klicken Sie auf Neuer Perimeter.

  5. Geben Sie auf dem Tab Neuer VPC-Dienstperimeter im Feld Perimetername einen Namen für den Perimeter ein, z. B. low-trust-svc-perimeter.

    Ein Perimetername darf maximal 50 Zeichen lang sein und muss mit einem Buchstaben beginnen. Er darf nur lateinische ASCII-Buchstaben (a-z, A-Z), Zahlen (0-9) und Unterstriche (_) enthalten. Beim Perimeternamen wird zwischen Groß- und Kleinschreibung unterschieden und er muss innerhalb einer Zugriffsrichtlinie eindeutig sein.

  6. Übernehmen Sie die Standardeinstellungen für den Perimeter.

Wählen Sie die zu schützenden Ressourcen aus.

  1. Klicken Sie auf Zu schützende Ressourcen.
  2. So fügen Sie Projekte oder VPC-Netzwerke hinzu, die Sie im Perimeter sichern möchten:
    1. Klicken Sie auf Ressourcen hinzufügen.
    2. Wenn Sie dem Perimeter Projekte hinzufügen möchten, klicken Sie im Bereich Ressourcen hinzufügen auf Projekt hinzufügen.
      1. Wählen Sie das Projekt aus, das Sie hinzufügen möchten. Wählen Sie für diese Referenzarchitektur Folgendes aus:
        • ph-fm-svc-project-2
        • ph-fm-svc-project-3
      2. Klicken Sie auf Ausgewählte Ressourcen hinzufügen. Die hinzugefügten Projekte werden im Bereich Projekte angezeigt.

Eingeschränkte Dienste auswählen

In dieser Referenzarchitektur ist der Umfang der eingeschränkten APIs begrenzt, sodass nur die für Gemini erforderlichen APIs aktiviert werden. Als Best Practice empfehlen wir jedoch, beim Erstellen eines Perimeters alle Dienste einzuschränken, um das Risiko der Daten-Exfiltration aus Diensten von Google Cloud zu verringern.

So wählen Sie die Dienste aus, die Sie im Perimeter sichern möchten:

  1. Klicken Sie auf Eingeschränkte Dienste.
  2. Klicken Sie im Bereich Eingeschränkte Dienste auf Dienste hinzufügen.
  3. Wählen Sie im Dialogfeld Geben Sie Dienste an, die eingeschränkt werden sollen die Compute Engine API aus.
  4. Klicken Sie auf Compute Engine API hinzufügen.
  5. Klicken Sie im Bereich Eingeschränkte Dienste auf Dienste hinzufügen.
  6. Wählen Sie im Dialogfeld Geben Sie Dienste an, die eingeschränkt werden sollen die Agent Platform API aus.
  7. Klicken Sie auf Agent Platform API hinzufügen.

Optional: Über VPC zugängliche Dienste auswählen

Mit der Einstellung Über VPC zugängliche Dienste wird die Gruppe von Diensten eingeschränkt, auf die von Netzwerkendpunkten innerhalb Ihres Dienstperimeters zugegriffen werden kann. In dieser Referenzarchitektur behalten wir die Standardeinstellung Alle Dienste bei.

Optional: Zugriffsebene auswählen

Wenn Sie in einem früheren Abschnitt eine CIDR-Zugriffsebene für Unternehmen erstellt haben, gehen Sie so vor, um den Zugriff auf geschützte Ressourcen von außerhalb des Perimeters zuzulassen:

  1. Klicken Sie auf Zugriffsebenen.

  2. Klicken Sie auf das Kästchen Zugriffsebene auswählen.

    Sie können Zugriffsebenen auch hinzufügen, nachdem ein Perimeter erstellt wurde.

  3. Klicken Sie das Kästchen für die Zugriffsebene an. (In dieser Referenzarchitektur ist dies corp-public-block.)

Richtlinie für eingehenden Traffic konfigurieren

Da das Hostprojekt das Subnetz besitzt, das für ph-fm-svc-project-2 und ph-fm-svc-project-3 freigegeben ist, ist eine Regel für eingehenden Traffic erforderlich, um diesen Subnetzen Zugriff auf den Perimeter des Dienstprojekts vom Hostprojekt aus zu gewähren. Dadurch können die Compute-Instanzen dieser Dienstprojekte auf den verwalteten Dienst in ph-fm-svc-project-2 und ph-fm-svc-project-3 zugreifen.

  1. Klicken Sie im Menü auf der linken Seite auf Richtlinie für eingehenden Traffic.
  2. Klicken Sie auf Regel hinzufügen.
  3. Führen Sie im Bereich Regel für eingehenden Traffic die folgenden Schritte aus:
    1. Wählen Sie unter FROM-Attribute die folgenden FROM-Attribute des API-Clients aus:
      1. Identität: Alle Identitäten
      2. Quelle: Zugriffsebene
      3. Zugriffsebene: gce-subnet-2, gce-subnet-3
    2. Wählen Sie für TO-Attribute die folgenden TO-Attribute von Diensten und Ressourcen von Google Cloudaus:
      1. Projekt: Alle Projekte
      2. Dienste: Alle Dienste

Richtlinie für ausgehenden Traffic konfigurieren

Da das Hostprojekt das mit ph-fm-svc-project-２ und ph-fm-svc-project-3 gemeinsam genutzte Subnetz besitzt, ist eine Regel für ausgehenden Traffic erforderlich, um die bidirektionale Kommunikation zwischen den Dienstprojekten und ihrem Hostprojekt zu ermöglichen, wenn Rechenressourcen in den Dienstprojekten erstellt werden.

  1. Klicken Sie im Menü auf der linken Seite auf Richtlinie für ausgehenden Traffic.
  2. Klicken Sie auf Regel hinzufügen.
  3. Führen Sie im Bereich Regel für ausgehenden Traffic die folgenden Schritte aus:
    1. Wählen Sie unter FROM-Attribute die folgenden FROM-Attribute des API-Clients aus:
      1. Identität: Alle Identitäten
    2. Wählen Sie für TO-Attribute die folgenden TO-Attribute von Diensten und Ressourcen von Google Cloudaus:
      1. Projekt: Ausgewählte Projekte
      2. Projekt hinzufügen: aiml-host-project
      3. Dienste: Ausgewählte Dienste
      4. Ausgewählte Dienste: Compute Engine API
      5. Methoden: Alle Methoden

Perimeter erstellen

Nachdem Sie die vorherigen Konfigurationsschritte abgeschlossen haben, erstellen Sie den Perimeter, indem Sie auf Perimeter erstellen klicken.

Netzwerk konfigurieren

Private Service Connect-Endpunkt für den Zugriff auf Google APIs verwenden

Die Verwendung von Private Service Connect für den Zugriff auf Google APIs ist eine Alternative zum privater Google-Zugriff oder zu den öffentlichen Domainnamen für Google APIs. In diesem Fall ist der Produzent Google.

Mit Private Service Connect können Sie Folgendes tun:

  • Eine oder mehrere interne IP-Adressen für den Zugriff auf Google APIs für verschiedene Anwendungsfälle erstellen.
  • Lokalen Traffic beim Zugreifen auf Google APIs an bestimmte IP-Adressen und Regionen weiterleiten.
  • Erstellen Sie einen benutzerdefinierten DNS-Namen für den Endpunkt, der zum Auflösen von Google APIs verwendet werden soll.

In der Referenzarchitektur wird ein Private Service Connect-Google API-Endpunkt mit dem Namen restricted und der IP-Adresse 192.168.10.2 mit dem Ziel VPC Service Controls bereitgestellt. Er wird als virtuelle IP-Adresse (VIP) für den Zugriff auf eingeschränkte Dienste verwendet, die im VPC Service Controls-Perimeter konfiguriert sind. Der Private Service Connect-Endpunkt wird im Hostprojekt aiml-host-project bereitgestellt.

Über Compute Engine-Instanzen auf Gemini Pro zugreifen

Wenn Sie einen Private Service Connect-Endpunkt erstellen, erstellt Service Directory DNS-Einträge in einer privaten p.googleapis.com-Zone. Die Einträge verweisen auf die IP-Adresse des Endpunkts und verwenden das Format SERVICE-ENDPOINT.p.googleapis.com, das dem voll qualifizierten Domainnamen entspricht, der für den Zugriff auf die Agent Platform API verwendet wird: LOCATION-aiplatform-restricted.p.googleapis.com.

Netzwerkkonfiguration validieren

Mit dem folgenden Verfahren wird die Agent Platform API von den in den Dienstprojekten bereitgestellten Compute Engine-Instanzen aktualisiert, um den benutzerdefinierten voll qualifizierten Domainnamen zu verwenden und die Validierung durchzuführen.

  1. Initialisieren Sie Ihre Python-Umgebungsvariablen so:

    PROJECT_ID="ph-fm-svc-project-1"
LOCATION_ID="us-central1"
API_ENDPOINT="us-central1-aiplatform-restricted.p.googleapis.com"
MODEL_ID="gemini-2.0-flash-exp"
GENERATE_CONTENT_API="streamGenerateContent"

  2. Erstellen Sie mit einem Texteditor eine request.json-Datei, die den folgenden JSON-Code enthält:

    {
  "contents": [
    {
      "role": "user",
      "parts": [
        {
          "text": "what weight more 1kg feathers vs 1kg stones"
        }
      ]
    }
  ],
  "generationConfig": {
    "temperature": 1,
    "maxOutputTokens": 8192,
    "topP": 0.95,
    "seed": 0
  },
  "safetySettings": [
    {
      "category": "HARM_CATEGORY_HATE_SPEECH",
      "threshold": "OFF"
    },
    {
      "category": "HARM_CATEGORY_DANGEROUS_CONTENT",
      "threshold": "OFF"
    },
    {
      "category": "HARM_CATEGORY_SEXUALLY_EXPLICIT",
      "threshold": "OFF"
    },
    {
      "category": "HARM_CATEGORY_HARASSMENT",
      "threshold": "OFF"
    }
  ]
}

  3. Senden Sie die folgende cURL-Anfrage an die Gemini API der Gemini Enterprise Agent Platform:

    curl \
-X POST \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://${API_ENDPOINT}/v1/projects/${PROJECT_ID}/locations/${LOCATION_ID}/publishers/google/models/${MODEL_ID}:${GENERATE_CONTENT_API}" -d '@request.json'

Perimeter im Probelaufmodus validieren

In dieser Referenzarchitektur ist der Dienstperimeter im Probelaufmodus konfiguriert. So können Sie die Auswirkungen der Zugriffsrichtlinie ohne Erzwingung testen. So können Sie sehen, wie sich Ihre Richtlinien auf Ihre Umgebung auswirken würden, wenn sie aktiv wären, ohne dass die Gefahr besteht, dass legitimer Traffic gestört wird.

Informationen zum Validieren Ihres Perimeters im Probelaufmodus finden Sie im YouTube-Video VPC Service Controls-Probelauf-Logging.

Nachdem Sie den Perimeter im Probelaufmodus validiert haben, wechseln Sie in den erzwungenen Modus.