Configurare i Controlli di servizio VPC per Gemini

Questo documento mostra come configurare i Controlli di servizio VPC per supportare Gemini per Google Cloud, un collaboratore basato sull'AI in Google Cloud. Per completare questa configurazione:

  1. Aggiorna il perimetro di servizio della tua organizzazione in modo da includere Gemini. Questo documento presuppone che tu abbia già un perimetro di servizio a livello di organizzazione. Per saperne di più sui perimetri di servizio, consulta Dettagli e configurazione dei perimetri di servizio.

  2. Nei progetti in cui hai attivato l'accesso a Gemini, configura le reti VPC in modo da bloccare il traffico in uscita, ad eccezione del traffico verso l'intervallo VIP con limitazioni.

Prima di iniziare

  1. Assicurati che Gemini Code Assist sia configurato per il tuo Google Cloud account utente e il tuo progetto.

  2. Assicurati di disporre dei ruoli Identity and Access Management (IAM) necessari per configurare e amministrare i Controlli di servizio VPC.

  3. Assicurati di avere un perimetro di servizio a livello di organizzazione che puoi utilizzare per configurare Gemini. Se non hai un perimetro di servizio a questo livello, puoi crearne uno.

Aggiungere Gemini al perimetro di servizio

Per utilizzare i Controlli di servizio VPC con Gemini, aggiungi Gemini al perimetro di servizio a livello di organizzazione. Il perimetro di servizio deve includere tutti i servizi che utilizzi con Gemini e altri servizi Google Cloud che vuoi proteggere.

Per aggiungere Gemini al perimetro di servizio:

  1. Nella console Google Cloud , vai alla pagina Controlli di servizio VPC.

    Vai a Controlli di servizio VPC

  2. Seleziona la tua organizzazione.

  3. Nella pagina Controlli di servizio VPC, fai clic sul nome del tuo perimetro.

  4. Fai clic su Aggiungi risorse ed esegui le seguenti operazioni:

    1. Per ogni progetto in cui hai attivato Gemini, nel riquadro Aggiungi risorse, fai clic su Aggiungi progetto, quindi procedi nel seguente modo:

    2. Nella finestra di dialogo Aggiungi progetti, seleziona i progetti che vuoi aggiungere.

      Se utilizzi il VPC condiviso, aggiungi il progetto host e i progetti di servizio al perimetro di servizio.

    3. Fai clic su Aggiungi risorse selezionate. I progetti aggiunti vengono visualizzati nella sezione Progetti.

    4. Per ogni rete VPC nei tuoi progetti, nel riquadro Aggiungi risorse, fai clic su Aggiungi rete VPC e poi procedi nel seguente modo:

    5. Nell'elenco dei progetti, fai clic sul progetto che contiene la rete VPC.

    6. Nella finestra di dialogo Aggiungi risorse, seleziona la casella di controllo della rete VPC.

    7. Fai clic su Aggiungi risorse selezionate. La rete aggiunta viene visualizzata nella sezione Reti VPC.

  5. Fai clic su Servizi limitati e procedi nel seguente modo:

    1. Nel riquadro Servizi limitati, fai clic su Aggiungi servizi.

    2. Nella finestra di dialogo Specifica i servizi da limitare, seleziona API Gemini in Google Cloud e API Gemini Code Assist come servizi che vuoi proteggere all'interno del perimetro.

    3. Se prevedi di utilizzare la personalizzazione del codice, seleziona anche l'API Developer Connect. Per ulteriori informazioni su Developer Connect, consulta la panoramica di Developer Connect.

      Per scoprire come utilizzare i vincoli personalizzati del servizio Policy dell'organizzazione per limitare operazioni specifiche su developerconnect.googleapis.com/Connection e developerconnect.googleapis.com/GitRepositoryLink, consulta Creare policy dell'organizzazione personalizzate.

    1. Fai clic su Aggiungi servizi n, dove n è il numero di servizi che hai selezionato nel passaggio precedente.

  6. (Facoltativo) Se gli sviluppatori devono utilizzare Gemini all'interno del perimetro del plug-in Cloud Code nei loro IDE, devi configurare il criterio di ingresso.

    L'attivazione dei Controlli di servizio VPC per Gemini impedisce qualsiasi accesso dall'esterno del perimetro, inclusa l'esecuzione delle estensioni IDE di Gemini Code Assist da macchine non incluse nel perimetro, come i laptop aziendali. Pertanto, questi passaggi sono necessari se vuoi utilizzare Gemini con il plug-in Gemini Code Assist.

    1. Fai clic su Criterio in entrata.

    2. Nel riquadro Regole in entrata, fai clic su Aggiungi regola.

    3. In Attributi FROM del client API, specifica le origini esterne al perimetro che richiedono l'accesso. Puoi specificare progetti, livelli di accesso e reti VPC come origini.

    4. In Attributi TO di Google Cloud risorse/servizi, specifica il nome del servizio di Gemini e dell'API Gemini Code Assist.

    Per un elenco degli attributi delle regole in entrata, consulta Riferimento per le regole in entrata.

  7. (Facoltativo) Se la tua organizzazione utilizza Gestore contesto accesso e vuoi fornire agli sviluppatori l'accesso alle risorse protette dall'esterno del perimetro, imposta i livelli di accesso:

    1. Fai clic su Livelli di accesso.

    2. Nel riquadro Policy in entrata: livelli di accesso, seleziona il campo Scegli livello di accesso.

    3. Seleziona le caselle di controllo corrispondenti ai livelli di accesso che vuoi applicare al perimetro.

  8. Fai clic su Salva.

Dopo aver completato questi passaggi, i Controlli di servizio VPC controllano tutte le chiamate all'API Gemini in Google Cloud per assicurarsi che provengano dallo stesso perimetro.

Configura reti VPC

Devi configurare le reti VPC in modo che le richieste inviate all'IP virtuale googleapis.com normale vengano indirizzate automaticamente all'intervallo di IP virtuali (VIP) con limitazioni, 199.36.153.4/30 (restricted.googleapis.com), in cui viene pubblicato il servizio Gemini. Non è necessario modificare alcuna configurazione nelle estensioni IDE di Gemini Code Assist.

Per ogni rete VPC nel tuo progetto, segui questi passaggi per bloccare il traffico in uscita, ad eccezione del traffico verso l'intervallo VIP con limitazioni:

  1. Abilita l'accesso privato Google nelle subnet che ospitano le risorse di rete VPC.

  2. Configura le regole firewall per impedire l'uscita dei dati dalla rete VPC.

    1. Crea una regola di negazione in uscita che blocca tutto il traffico in uscita.
    1. Crea una regola di autorizzazione in uscita che consenta il traffico verso 199.36.153.4/30 sulla porta TCP 443. Assicurati che la regola di traffico in uscita abbia una priorità precedente a quella della regola di negazione del traffico in uscita che hai appena creato. In questo modo, il traffico in uscita è consentito solo all'intervallo VIP limitato.

  3. Crea una policy di risposta di Cloud DNS.

  4. Crea una regola per la policy di risposta per risolvere *.googleapis.com in restricted.googleapis.com con i seguenti valori:

    • Nome DNS: *.googleapis.com.

    • Dati locali: restricted.googleapis.com.

    • Tipo di record: A

    • TTL: 300

    • Dati RR: 199.36.153.4|199.36.153.5|199.36.153.6|199.36.153.7

    L'intervallo di indirizzi IP per restricted.googleapis.com è 199.36.153.4/30.

Dopo aver completato questi passaggi, le richieste provenienti dall'interno della rete VPC non possono uscire dalla rete VPC, impedendo il traffico in uscita all'esterno del perimetro di servizio. Queste richieste possono raggiungere solo le API e i servizi Google che verificano i Controlli di servizio VPC, impedendo l'esfiltrazione tramite le API di Google.

Configurazioni aggiuntive

A seconda dei prodotti Google Cloud che utilizzi con Gemini, devi considerare quanto segue:

Passaggi successivi