הגדרת VPC Service Controls ל-Gemini

במאמר הזה מוסבר איך להגדיר את VPC Service Controls כדי לתמוך ב-Gemini for Google Cloud, שותף מבוסס-AI ב- Google Cloud. כדי להשלים את ההגדרה הזו, צריך לבצע את הפעולות הבאות:

  1. מעדכנים את גבולות הגזרה לשירות של הארגון כך שיכלול את Gemini. במאמר הזה אנחנו מניחים שכבר יש לכם גבולות גזרה לשירות ברמת הארגון. מידע נוסף על גבולות גזרה לשירות זמין במאמר פרטים והגדרה של גבולות גזרה לשירות.

  2. בפרויקטים שבהם הפעלתם גישה ל-Gemini, צריך להגדיר רשתות VPC כדי לחסום תעבורה יוצאת, למעט תעבורה לטווח כתובות ה-IP הווירטואליות המוגבל.

לפני שמתחילים

  1. מוודאים ש-Gemini Code Assist מוגדר בחשבון המשתמש ובפרויקט שלכם ב- Google Cloud.

  2. כדי להגדיר ולנהל את VPC Service Controls, צריך לוודא שיש לכם את תפקידי ניהול הזהויות והרשאות הגישה (IAM) הנדרשים.

  3. ודאו שיש לכם גבולות גזרה לשירות ברמת הארגון שתוכלו להשתמש בו כדי להגדיר את Gemini. אם אין לכם היקף שירות ברמה הזו, אתם יכולים ליצור אחד.

הוספת Gemini לגבולות גזרה לשירות

כדי להשתמש ב-VPC Service Controls עם Gemini, מוסיפים את Gemini לגבולות הגזרה לשירות ברמת הארגון. גבולות גזרה לשירות חייבים לכלול את כל השירותים שבהם אתם משתמשים עם Gemini ועם Google Cloud שירותים אחרים שאתם רוצים להגן עליהם.

כדי להוסיף את Gemini לגבולות גזרה לשירות, יש לבצע את השלבים הבאים:

  1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

    מעבר אל VPC Service Controls

  2. בוחרים את הארגון.

  3. בדף VPC Service Controls, לוחצים על השם של גבול הגזרה.

  4. לוחצים על הוספת משאבים ומבצעים את הפעולות הבאות:

    1. לכל פרויקט שבו הפעלתם את Gemini, בחלונית Add resources, לוחצים על Add project ופועלים לפי השלבים הבאים:

    2. בתיבת הדו-שיח Add projects, בוחרים את הפרויקטים שרוצים להוסיף.

      אם אתם משתמשים ב-VPC משותף, אתם צריכים להוסיף את הפרויקט המארח ואת פרויקטי השירות לגבולות גזרה לשירות.

    3. לוחצים על הוספת המקורות שנבחרו. הפרויקטים שנוספו מופיעים בקטע Projects.

    4. לכל רשת VPC בפרויקטים, בחלונית Add resources, לוחצים על Add VPC network ומבצעים את הפעולות הבאות:

    5. ברשימת הפרויקטים, לוחצים על הפרויקט שמכיל את רשת ה-VPC.

    6. בתיבת הדו-שיח הוספת משאבים, מסמנים את תיבת הסימון של רשת ה-VPC.

    7. לוחצים על הוספת המקורות שנבחרו. הרשת שנוספה מופיעה בקטע VPC networks.

  5. לוחצים על שירותים עם גישה מוגבלת ומבצעים את הפעולות הבאות:

    1. בחלונית Restricted Services (שירותים מוגבלים), לוחצים על Add services (הוספת שירותים).

    2. בתיבת הדו-שיח Specify services to restrict, בוחרים באפשרות Gemini for Google Cloud API ובאפשרות Gemini Code Assist API כשירותים שרוצים לאבטח בתוך ההיקף.

    3. אם אתם מתכננים להשתמש בעיגון בקוד של הארגון, תצטרכו לבחור גם באפשרות Developer Connect API. מידע נוסף על Developer Connect זמין במאמר סקירה כללית של Developer Connect.

      כדי ללמוד איך משתמשים באילוצים מותאמים אישית של Organization Policy Service כדי להגביל פעולות ספציפיות ב-developerconnect.googleapis.com/Connection וב-developerconnect.googleapis.com/GitRepositoryLink, אפשר לעיין במאמר יצירת מדיניות ארגון בהתאמה אישית.

    1. לוחצים על הוספת שירותים של n, כאשר n הוא מספר השירותים שבחרתם בשלב הקודם.

  6. אופציונלי: אם המפתחים שלכם צריכים להשתמש ב-Gemini בתוך גבולות הגזרה של תוסף Cloud Code בסביבות הפיתוח המשולבות שלהם, תצטרכו להגדיר את מדיניות הכניסה.

    הפעלת VPC Service Controls עבור Gemini מונעת כל גישה מחוץ לגבולות הגזרה, כולל הרצת תוספי IDE של Gemini Code Assist ממכונות שלא נמצאות בגבולות הגזרה, כמו מחשבים ניידים של החברה. לכן, צריך לבצע את השלבים האלה אם רוצים להשתמש ב-Gemini עם התוסף Gemini Code Assist.

    1. לוחצים על Ingress policy (מדיניות כניסה).

    2. בחלונית Ingress rules, לוחצים על Add rule.

    3. בקטע ממאפיינים של לקוח ה-API, מציינים את המקורות שמחוץ לגבולות הגזרה שנדרשת להם גישה. אפשר לציין פרויקטים, רמות גישה ורשתות VPC כמקורות.

    4. בקטע To attributes of Google Cloud resources/services, מציינים את שם השירות של Gemini ושל Gemini Code Assist API.

    רשימה של מאפייני כללי כניסה מופיעה במאמר בנושא חומר עזר בנושא כללי כניסה.

  7. אופציונלי: אם הארגון שלכם משתמש ב-Access Context Manager ואתם רוצים לתת למפתחים גישה למשאבים מוגנים מחוץ לגבולות גזרה, צריך להגדיר רמות גישה:

    1. לוחצים על רמות גישה.

    2. בחלונית Ingress Policy: Access Levels, בוחרים בשדה Choose Access Level.

    3. מסמנים את התיבות שמתאימות לרמות הגישה שרוצים להחיל על ההיקף.

  8. לוחצים על Save.

אחרי שמבצעים את השלבים האלה, מערכת VPC Service Controls בודקת את כל הקריאות ל-Gemini for Google Cloud API כדי לוודא שהן מגיעות מתוך גבולות הגזרה.

הגדרת רשתות VPC

צריך להגדיר את רשתות ה-VPC כך שהבקשות שנשלחות לכתובת ה-IP הווירטואלית הרגילה googleapis.com ינותבו אוטומטית לטווח כתובות ה-IP הווירטואליות המוגבלות (VIP),‏ 199.36.153.4/30 (restricted.googleapis.com), שבהן שירות Gemini פועל. אתם לא צריכים לשנות את ההגדרות בתוספים של Gemini Code Assist ל-IDE.

לכל רשת VPC בפרויקט, פועלים לפי השלבים הבאים כדי לחסום תעבורת נתונים יוצאת, למעט תעבורת נתונים לטווח ה-VIP המוגבל:

  1. מפעילים את הגישה הפרטית ל-Google ברשתות המשנה שמארחות את משאבי רשת ה-VPC.

  2. מגדירים כללים של חומת אש כדי למנוע יציאה של נתונים מרשת ה-VPC.

    1. יוצרים כלל לדחיית תעבורת נתונים יוצאת שחוסם את כל התעבורה היוצאת.
    1. יוצרים כלל שמאפשר תעבורת נתונים יוצאת (egress) אל 199.36.153.4/30 ביציאת TCP‏ 443. חשוב לוודא שלכלל שמאפשר תעבורת נתונים יוצאת (egress) יש עדיפות לפני הכלל שדוחה תעבורת נתונים יוצאת (egress) שיצרתם זה עתה – כך תתאפשר תעבורת נתונים יוצאת רק לטווח ה-VIP המוגבל.

  3. יצירה של מדיניות תגובה ב-Cloud DNS.

  4. יוצרים כלל למדיניות התגובה כדי לפתור את הבעיה *.googleapis.com עד restricted.googleapis.com עם הערכים הבאים:

    • שם DNS: ‏ *.googleapis.com.

    • נתונים מחנויות מקומיות: restricted.googleapis.com.

    • סוג הרשומה: A

    • ‫TTL: 300

    • נתוני RR: 199.36.153.4|199.36.153.5|199.36.153.6|199.36.153.7

    טווח כתובות ה-IP של restricted.googleapis.com הוא 199.36.153.4/30.

אחרי שתבצעו את השלבים האלה, הבקשות שמקורן בתוך רשת ה-VPC לא יוכלו לצאת מרשת ה-VPC, וכך תמנע יציאה מחוץ לגבולות הגזרה של השירות. הבקשות האלה יכולות להגיע רק לממשקי API ולשירותים של Google שבודקים את VPC Service Controls, וכך למנוע העברה לא מורשית של נתונים דרך ממשקי Google API.

הגדרות נוספות

בהתאם למוצרים שבהם אתם משתמשים עם Gemini, חשוב לקחת בחשבון את הנקודות הבאות: Google Cloud

  • מכונות לקוח שמחוברות להיקף. למכונות שנמצאות בתוך היקף בקרות השירות של VPC יש גישה לכל ממשקי Gemini. אפשר גם להרחיב את גבולות הגזרה אל Cloud VPN או אל Cloud Interconnect מורשים מרשת חיצונית.

  • מכונות לקוח מחוץ להיקף. אם יש לכם מכונות לקוח מחוץ לגבולות הגזרה לשירות, אתם יכולים להעניק גישה מבוקרת לשירות Gemini המוגבל.

  • ‫Gemini Code Assist. כדי לעמוד בדרישות של VPC Service Controls, צריך לוודא שלסביבת הפיתוח המשולבת או לתחנת העבודה שבהם אתם משתמשים אין גישה אל https://www.google.com/tools/feedback/mobile דרך מדיניות חומת האש.

  • ‫Cloud Workstations. אם אתם משתמשים ב-Cloud Workstations, אתם צריכים לפעול לפי ההוראות שבמאמר הגדרת VPC Service Controls ואשכולות פרטיים.

המאמרים הבאים