Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Activer les journaux d'audit des accès aux données

Pour obtenir des journaux d'audit sur l'utilisation de vos modèles génératifs et de vos points de terminaison de modèle, activez les journaux d'audit des accès aux données pour Gemini Enterprise Agent Platform. Les journaux d'audit pour l'accès aux données incluent les opérations ADMIN_READ qui lisent les métadonnées ou les informations de configuration, ainsi que les opérations DATA_READ et DATA_WRITE qui lisent ou écrivent des données fournies par l'utilisateur.

Après avoir activé les journaux d'audit pour l'accès aux données pour Agent Platform, accordez le rôle de lecteur de journaux privés (roles/logging.privateLogViewer) pour afficher le flux de journaux data_access (projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access) dans Cloud Logging dans la console Google Cloud .

Pour savoir comment activer et afficher les journaux d'audit des accès aux données, consultez Informations sur les journaux d'audit Agent Platform.

Opérations de modèle génératif auditées

Lorsque vous activez les journaux d'audit DATA_READ pour aiplatform.googleapis.com, Agent Platform enregistre les entrées de journal d'audit d'accès aux données pour les opérations de modèle génératif et de prédiction suivantes sur les modèles d'éditeur (publishers.models.*) et les points de terminaison déployés (endpoints.*) :

Génération de contenu et de chat : generateContent, streamGenerateContent et chatCompletions
Embeddings : embedContent et batchEmbedContents
Comptage des jetons : countTokens et computeTokens
Prédiction et explication en ligne : predict, rawPredict, streamRawPredict, directPredict, directRawPredict, streamDirectPredict, streamDirectRawPredict, serverStreamingPredict, predictLongRunning, fetchPredictOperation et explain

Pour obtenir la liste complète des méthodes auditées dans toutes les catégories, consultez Informations sur la journalisation d'audit d'Agent Platform.

Authentification et attribution de l'appelant

La méthode d'authentification utilisée par votre application détermine la manière dont les journaux d'audit DATA_READ enregistrent l'identité de l'appelant (protoPayload.authenticationInfo.principalEmail) et son adresse IP (protoPayload.requestMetadata.callerIp) :

Identifiants par défaut de l'application (ADC) et comptes principaux Identity and Access Management (IAM) : les requêtes authentifiées avec les ADC, les identifiants utilisateur ou les comptes de service spécifiques à la charge de travail enregistrent à la fois l'adresse IP de l'appelant (callerIp) et le compte principal authentifié de l'appelant individuel (principalEmail) dans les journaux d'audit DATA_READ. Utilisez ADC lorsque vous avez besoin d'une attribution d'audit par utilisateur ou par charge de travail en production.
Clés API Google Cloud standards : les clés API Google Cloud standards authentifient les appels d'API via un seul compte de service lié. Les journaux d'audit DATA_READ enregistrent l'adresse IP de l'appelant (callerIp), mais attribuent principalEmail à ce compte de service lié unique pour chaque requête effectuée avec la clé API, plutôt qu'à des utilisateurs ou des charges de travail individuels.
Clés API en mode Express : les requêtes envoyées en mode Express ciblent des points de terminaison sans projet et ne génèrent pas de journaux d'audit DATA_READ accessibles aux clients dans Logging.

Comparer les journaux d'audit et les journaux d'inférence

Agent Platform propose plusieurs mécanismes de journalisation pour l'inférence de modèle. Le tableau suivant compare les journaux d'audit d'accès aux données (DATA_READ) avec d'autres options de journalisation d'inférence :

Fonctionnalité de journalisation	Destination	Champs enregistrés	Charges utiles de prompt et de réponse	Adresse IP de l'appelant et principal IAM
Journaux d'audit des accès aux données (`DATA_READ`)	Journalisation (`cloudaudit.googleapis.com%2Fdata_access`)	Nom de la méthode API, modèle cible ou ressource de point de terminaison, et métadonnées de la requête	Non enregistré	Enregistre `callerIp` et `principalEmail` (ou le compte de service associé pour les clés API standards)
Journaux des métadonnées des requêtes d'inférence	Journalisation (`aiplatform.googleapis.com%2Finference_request`)	Nombre de jetons (`usageMetadata`), latence des requêtes (`requestDuration`), option de consommation (`trafficType`) et en-têtes personnalisés (`httpHeaders`)	Non enregistré	Enregistre le compte de service (`principal`, si disponible), mais pas `callerIp`
Journalisation des requêtes et réponses	Table BigQuery	Échantillons de requêtes d'inférence, de réponses, de nombres de jetons et de métadonnées de latence	Enregistre les charges utiles `full_request` et `full_response`	N'enregistre pas `callerIp` ni `principalEmail`
Journaux d'accès et de conteneur pour l'inférence en ligne	Journalisation (`prediction_access` et `prediction_container`)	État d'accès au point de terminaison, latence et flux `stdout` et `stderr` du conteneur pour les modèles AutoML et entraînés de manière personnalisée	Sortie du conteneur uniquement	N'enregistre pas `callerIp`

Étapes suivantes

Présentation

Présentation du réglage

Découvrez comment régler un modèle en fournissant un ensemble de données d'entraînement contenant un ensemble d'exemples de tâches spécifiques en aval.