הגדרת VPC Service Controls ל-Gemini

‫VPC Service Controls עוזר להגן על מוצרי Gemini ב- Google Cloud על ידי בידוד משאבים בתוך מתחם אבטחה היקפית והפחתת הסיכונים לזליגת נתונים. הוספת מוצרים להיקף השירות מאפשרת לכם לנהל את התקשורת של ה-API רק דרך רשתות VPC מורשות ונקודות קצה מהימנות.

לפני שמתחילים

  1. מוודאים ש-Gemini Code Assist מוגדר בחשבון המשתמש ובפרויקט ב- Google Cloud.

  2. כדי להגדיר ולנהל את VPC Service Controls, צריך לוודא שיש לכם את התפקידים הנדרשים לניהול זהויות והרשאות גישה (IAM).

  3. מוודאים שיש לכם גבולות גזרה לשירות ברמת הארגון שאתם יכולים להשתמש בו כדי להגדיר את Gemini. אם אין לכם היקף שירות ברמה הזו, אתם יכולים ליצור אחד.

הוספת Gemini לגבולות גזרה לשירות

כדי להשתמש ב-VPC Service Controls עם Gemini, צריך להוסיף את Gemini לגבולות הגזרה לשירות ברמת הארגון. גבולות גזרה לשירות חייבים לכלול את כל השירותים שבהם אתם משתמשים עם Gemini ועם Google Cloud שירותים אחרים שאתם רוצים להגן עליהם.

כדי להוסיף את Gemini לגבולות גזרה לשירות, יש לבצע את השלבים הבאים:

  1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

    מעבר אל VPC Service Controls

  2. בוחרים את הארגון.

  3. בדף VPC Service Controls, לוחצים על השם של היקף האבטחה.

  4. לוחצים על הוספת משאבים ומבצעים את הפעולות הבאות:

    1. לכל פרויקט שבו הפעלתם את Gemini, בחלונית Add resources לוחצים על Add project ומבצעים את הפעולות הבאות:

    2. בתיבת הדו-שיח Add projects, בוחרים את הפרויקטים שרוצים להוסיף.

      אם אתם משתמשים ב-VPC משותף, הוסיפו את הפרויקט המארח ואת פרויקטי השירות לגבולות הגזרה לשירות.

    3. לוחצים על הוספת המשאבים שנבחרו. הפרויקטים שנוספו יופיעו בקטע Projects.

    4. לכל רשת VPC בפרויקטים, בחלונית Add resources, לוחצים על Add VPC network ומבצעים את הפעולות הבאות:

    5. ברשימת הפרויקטים, לוחצים על הפרויקט שמכיל את רשת ה-VPC.

    6. בתיבת הדו-שיח Add resources, מסמנים את התיבה של רשת ה-VPC.

    7. לוחצים על הוספת המשאבים שנבחרו. הרשת שנוספה מופיעה בקטע VPC networks.

  5. לוחצים על שירותים עם גישה מוגבלת ופועלים לפי השלבים הבאים:

    1. בחלונית Restricted Services, לוחצים על Add services.

    2. בתיבת הדו-שיח Specify services to restrict, בוחרים את Gemini for Google Cloud API ואת Gemini Code Assist API בתור השירותים שרוצים לאבטח בתוך ההיקף.

    3. אם אתם מתכננים להשתמש בעיגון בקוד של הארגון, בחרו גם באפשרות Developer Connect API. למידע נוסף על Developer Connect, קראו את הסקירה הכללית על Developer Connect.

      במאמר יצירת מדיניות ארגון בהתאמה אישית מוסבר איך משתמשים באילוצים בהתאמה אישית של שירות מדיניות הארגון כדי להגביל פעולות ספציפיות ב-developerconnect.googleapis.com/Connection וב-developerconnect.googleapis.com/GitRepositoryLink.

    1. לוחצים על Add n services, כאשר n הוא מספר השירותים שבחרתם בשלב הקודם.

  6. אופציונלי: אם המפתחים צריכים להשתמש ב-Gemini בתוך ההיקף מהפלאגין של Cloud Code בסביבות הפיתוח המשולבות (IDE) שלהם, צריך להגדיר את מדיניות הכניסה.

    כשמפעילים את VPC Service Controls ב-Gemini, נמנעת כל גישה מחוץ לגבולות הגזרה, כולל הפעלת תוספי Gemini Code Assist IDE ממכונות שלא נמצאות בגבולות הגזרה, כמו מחשבים ניידים של החברה. לכן, צריך לבצע את השלבים האלה אם רוצים להשתמש ב-Gemini עם הפלאגין Gemini Code Assist.

    1. לוחצים על Ingress policy (מדיניות כניסה).

    2. בחלונית Ingress rules, לוחצים על Add rule.

    3. בקטע From attributes of the לקוח API, מציינים את המקורות מחוץ למתחם שצריכים גישה. אפשר לציין פרויקטים, רמות גישה ורשתות VPC כמקורות.

    4. בקטע To attributes of Google Cloud resources/services, מציינים את שם השירות של Gemini ושל Gemini Code Assist API.

    רשימה של מאפייני כללי תעבורה נכנסת זמינה במאמר חומר עזר בנושא כללי תעבורה נכנסת.

  7. אופציונלי: אם בארגון שלכם משתמשים ב-Access Context Manager ואתם רוצים לתת למפתחים גישה למשאבים מוגנים מחוץ להיקף, צריך להגדיר רמות גישה:

    1. לוחצים על רמות גישה.

    2. בחלונית Ingress Policy: Access Levels (מדיניות כניסה: רמות גישה), בוחרים בשדה Choose Access Level (בחירת רמת גישה).

    3. מסמנים את התיבות של רמות הגישה שרוצים להחיל על גבולות האבטחה.

  8. לוחצים על Save.

אחרי שמבצעים את השלבים האלה, VPC Service Controls בודק את כל הקריאות ל-Gemini for Google Cloud API כדי לוודא שהן מגיעות מאותו היקף.

הגדרת רשתות VPC

צריך להגדיר את רשתות ה-VPC כך שהבקשות שנשלחות לכתובת ה-IP הווירטואלית הרגילה googleapis.com ינותבו אוטומטית לטווח כתובות ה-IP הווירטואליות (VIP) המוגבל, 199.36.153.4/30 (restricted.googleapis.com), שבו פועל שירות Gemini. אתם לא צריכים לשנות את ההגדרות בתוספים של Gemini Code Assist ל-IDE.

לכל רשת VPC בפרויקט, פועלים לפי השלבים הבאים כדי לחסום תנועה יוצאת, למעט תנועה לטווח ה-VIP המוגבל:

  1. מפעילים את הגישה הפרטית ל-Google ברשתות המשנה שמארחות את משאבי רשת ה-VPC.

  2. מגדירים כללים של חומת אש כדי למנוע יציאה של נתונים מרשת ה-VPC.

    1. יוצרים כלל דחייה של תעבורת נתונים יוצאת שחוסם את כל תעבורת הנתונים היוצאת.
    1. יוצרים כלל שמאפשר תעבורת נתונים יוצאת (egress) אל 199.36.153.4/30 ביציאת TCP‏ 443. מוודאים שכלל היציאה (egress) מסוג allow מוגדר עם עדיפות גבוהה יותר מכלל היציאה מסוג deny שיצרתם זה עתה. כך תתאפשר יציאה רק לטווח ה-VIP המוגבל.

  3. יצירה של מדיניות תגובה ב-Cloud DNS.

  4. יוצרים כלל למדיניות התגובה כדי לפתור את *.googleapis.com ל-restricted.googleapis.com עם הערכים הבאים:

    • שם DNS: ‏*.googleapis.com.

    • נתונים מחנויות מקומיות: restricted.googleapis.com.

    • סוג הרשומה: A

    • TTL: ‏300

    • נתוני RR: ‏199.36.153.4|199.36.153.5|199.36.153.6|199.36.153.7

    טווח כתובות ה-IP של restricted.googleapis.com הוא 199.36.153.4/30.

אחרי שתשלימו את השלבים האלה, הבקשות שמגיעות מתוך רשת ה-VPC לא יוכלו לצאת ממנה, וכך תימנע תעבורת נתונים יוצאת (egress) אל מחוץ לגבולות הגזרה לשירות. הבקשות האלה יכולות להגיע רק לממשקי API ולשירותים של Google שבודקים את VPC Service Controls, וכך למנוע חילוץ נתונים דרך ממשקי Google API.

הגדרות נוספות

בהתאם למוצרי Google Cloud שאתם משתמשים בהם עם Gemini, חשוב לשים לב לנקודות הבאות:

  • מכונות לקוח שמחוברות להיקף. מכונות שנמצאות בתוך ההיקף של VPC Service Controls יכולות לגשת לכל ממשקי Gemini. אפשר גם להרחיב את ההיקף ל-Cloud VPN או ל-Cloud Interconnect מורשים מרשת חיצונית.

  • מכונות לקוח מחוץ להיקף. אם יש לכם מכונות לקוח מחוץ לגבולות הגזרה לשירות, אתם יכולים לתת גישה מבוקרת לשירות Gemini המוגבל.

  • Gemini Code Assist. כדי לעמוד בדרישות של VPC Service Controls, צריך לוודא שלסביבת הפיתוח המשולבת או לתחנת העבודה שבהם אתם משתמשים אין גישה אל https://www.google.com/tools/feedback/mobile דרך מדיניות חומת האש.

  • ‫Cloud Workstations. אם אתם משתמשים ב-Cloud Workstations, פעלו לפי ההוראות במאמר הגדרת VPC Service Controls ואשכולות פרטיים.

המאמרים הבאים