Mengonfigurasi penyedia identitas

Untuk menerapkan kontrol akses sumber data dan mengamankan data di Gemini Enterprise, Anda harus mengonfigurasi penyedia identitas. Hal ini melibatkan penyiapan penyedia identitas dan pengelolaan izin untuk sumber data Anda. Google menggunakan penyedia identitas Anda untuk mengidentifikasi pengguna akhir yang melakukan penelusuran dan menentukan apakah mereka memiliki akses ke dokumen yang ditampilkan sebagai hasil.

Pilih jenis penyedia identitas Anda

Jenis penyedia identitas yang Anda pilih bergantung pada sumber data yang terhubung ke aplikasi Gemini Enterprise Anda. Gemini Enterprise mendukung opsi berikut:

Jenis penyedia identitas Kapan digunakan
Identitas Google Google Identity adalah penyedia identitas yang direkomendasikan untuk Gemini Enterprise.

Google Identity mendukung:
  • Semua sumber data Google pihak pertama yang menggunakan penyerapan data atau federasi data. Anda harus menggunakan Google Identity saat terhubung ke sumber data Google Workspace.
  • Semua sumber data pihak ketiga yang menggunakan federasi data, dengan pengguna melakukan autentikasi langsung ke layanan pihak ketiga menggunakan OAuth.
  • Semua sumber data pihak ketiga yang menggunakan penyerapan data, kecuali sumber data Microsoft 365, seperti SharePoint, OneDrive, atau Outlook, yang memerlukan Microsoft Entra ID dan Federasi Identitas Tenaga Kerja.
Sebelum mengonfigurasi Google Identity, tentukan atribut pengguna unik yang digunakan organisasi Anda, yang biasanya berupa email pengguna. Jika pengguna memiliki lebih dari satu alamat email, Anda harus menambahkan alias email.
Penyedia identitas pihak ketiga Jika Anda menghubungkan Gemini Enterprise hanya ke sumber data pihak ketiga dan Anda sudah menggunakan penyedia identitas pihak ketiga yang mendukung OIDC atau SAML 2.0, seperti Microsoft Entra ID, Okta, atau AD FS, Anda dapat menggunakan Google Identity atau Workforce Identity Federation. Google merekomendasikan penggunaan Google Identity untuk penyiapan baru. Pelanggan lama yang sudah menggunakan Workforce Identity Federation dapat memilih untuk tetap menggunakan Workforce Identity Federation. Untuk mengetahui informasi selengkapnya, lihat Workforce Identity Federation.

Sebelum mengonfigurasi Workforce Identity Federation, tentukan atribut pengguna unik yang digunakan organisasi Anda dan petakan ke Workforce Identity Federation.

Kontrol akses untuk konektor Google Workspace

Saat Anda menggunakan penelusuran dan perujukan data perusahaan dengan konektor Google Workspace (seperti Orang dari Google Workspace atau Grup Google), Gemini Enterprise secara ketat mematuhi daftar kontrol akses (ACL) dan izin sistem sumber.

Prinsip utama: Tidak ada eskalasi hak istimewa

Pengguna yang berinteraksi dengan Gemini Enterprise hanya dapat melihat dan merujuk respons pada informasi yang sudah diizinkan untuk diakses secara langsung di aplikasi Google Workspace sumber. Gemini Enterprise tidak pernah melewati kontrol akses sistem sumber atau memberikan izin tambahan.

  • Orang dari Google Workspace (Direktori): Visibilitas pengguna dalam penelusuran dan hasil perujukan mematuhi setelan visibilitas Direktori organisasi Anda. Misalnya, jika visibilitas pengguna di Direktori Google Workspace dibatasi hanya untuk departemen atau unit organisasi mereka sendiri, mereka hanya dapat menemukan rekan kerja dalam departemen tersebut menggunakan Gemini Enterprise. Mereka tidak dapat melihat profil karyawan di departemen yang dibatasi.

  • Google Grup: Penemuan konten dan perujukan mematuhi setelan akses dan keanggotaan grup. Pengguna hanya dapat menelusuri dan melihat konten dari Google Grup yang ia ikuti dan yang ia izinkan untuk dilihat. Non-anggota tidak dapat menemukan atau melihat diskusi dari grup pribadi melalui Gemini Enterprise.

Tempat mengelola izin

Anda tidak mengonfigurasi setelan kontrol akses dan setelan visibilitas di setelan konektor Gemini Enterprise di konsol Google Cloud . Sebagai gantinya, administrator Google Workspace mengonfigurasi setelan izin, keanggotaan, dan visibilitas di sistem sumber:

  • Visibilitas profil pengguna: Administrator Google Workspace mengonfigurasi visibilitas profil pengguna di konsol Google Admin. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan berbagi direktori.

  • Akses dan keanggotaan grup: Administrator Google Workspace mengonfigurasi akses dan keanggotaan grup di Google Grup atau konsol Google Admin. Untuk mengetahui informasi selengkapnya, lihat artikel Menyiapkan dan mengelola grup.

Workforce Identity Federation untuk penyedia identitas pihak ketiga

Bagian ini menjelaskan cara mengonfigurasi Workforce Identity Federation untuk penyedia identitas pihak ketiga. Secara opsional, Anda dapat memverifikasi apakah penyiapan Workforce Identity Federation berfungsi seperti yang diharapkan.

Mengonfigurasi Workforce Identity Federation

Untuk mengetahui detail tentang cara mengonfigurasi Workforce Identity Federation dengan konektor identitas pihak ketiga, lihat referensi berikut:

Penyedia identitas Resource
Entra ID
Okta
OIDC atau SAML 2.0

Mengonfigurasi pemetaan atribut

Pemetaan atribut membantu Anda menghubungkan informasi identitas pihak ketiga dengan Google menggunakan Workforce Identity Federation.

Saat mengonfigurasi pemetaan atribut di Workforce Identity Federation, pertimbangkan hal berikut:

  • Atribut google.subject digunakan untuk pemetaan atribut, penetapan lisensi, dan berbagi notebook. Sebaiknya petakan google.subject ke alamat email pengguna dalam huruf kecil, karena penetapan lisensi peka huruf besar/kecil.

  • Jika organisasi Anda memiliki lebih dari satu ID unik, petakan atribut organisasi unik ini menggunakan atribut attribute.as_user_identifier_number between 1 and 50.

    Misalnya, jika organisasi Anda menggunakan email dan nama utama sebagai ID pengguna di berbagai aplikasi, dan nama utama ditetapkan sebagai preferred_username di penyedia identitas pihak ketiga, Anda dapat memetakannya ke Gemini Enterprise menggunakan pemetaan atribut Workforce Identity Federation (misalnya, attribute.as_user_identifier_1=assertion.preferred_username).

Contoh berikut menunjukkan pemetaan atribut yang diperlukan untuk penyedia identitas umum. Anda dapat menambahkan lebih banyak pemetaan atribut untuk mendukung ID unik tambahan, seperti yang dijelaskan sebelumnya.

  • Entra ID dengan protokol OIDC
    Contoh ini menggunakan email untuk mengidentifikasi pengguna secara unik.

    google.subject=assertion.email.lowerAscii()
google.groups=assertion.groups
google.display_name=assertion.given_name

  • Entra ID dengan protokol SAML
    Contoh ini menggunakan email untuk mengidentifikasi pengguna secara unik.

    google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress'][0].lowerAscii()
google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
google.display_name=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname'][0]

  • Okta dengan protokol OIDC
    Contoh ini menggunakan email untuk mengidentifikasi pengguna secara unik.

    google.subject=assertion.email.lowerAscii()
google.groups=assertion.groups

  • Okta dengan protokol SAML
    Contoh ini menggunakan pernyataan subjek JWT untuk mengidentifikasi pengguna secara unik.

    google.subject=assertion.subject.lowerAscii()
google.groups=assertion.attributes['groups']

Opsional: Verifikasi penyiapan Workforce Identity Federation

Untuk memverifikasi keberhasilan login dan pemetaan atribut yang benar menggunakan fitur logging audit Workforce Identity Federation, lakukan hal berikut:

  1. Aktifkan log audit untuk Security Token Service API aktivitas Akses Data.

    1. Di konsol Google Cloud , buka halaman Audit Logs:

      Buka Log Audit

      Jika Anda menggunakan kotak penelusuran untuk menemukan halaman ini, pilih hasil yang subjudulnya adalah IAM & Admin.

    2. Pilih organisasi, folder, atau project Google Cloud yang sudah ada.
    3. Aktifkan log audit Akses Data.
      1. Lihat dokumentasi Logging untuk mengetahui langkah-langkah mendetail tentang cara Mengaktifkan log audit.
      2. Untuk Security Token Service API, pilih jenis log audit Admin Read. Untuk mengetahui informasi selengkapnya, lihat Contoh log untuk Workforce Identity Federation.

  2. Aktifkan logging mendetail di workforce pool Anda. Fitur grup yang diperluas untuk Workforce Identity Federation untuk Microsoft Entra ID tidak menghasilkan informasi log audit yang mendetail.

    1. Buka halaman Workforce Identity Pools:

      Buka Workforce Identity Pools

    2. Pada tabel, pilih pool.

    3. Klik tombol Aktifkan logging audit mendetail ke posisi aktif.

    4. Klik Simpan Pool.

  3. Di bagian Penyedia, klik URL login untuk penyedia Anda, lalu login ke konsol Google Cloud sebagai pengguna pool workforce.

  4. Lihat log audit yang dibuat saat Anda login.

    1. Buka halaman Workforce Identity Pools:

      Buka Workforce Identity Pools

    2. Pada tabel, pilih pool yang Anda gunakan untuk login.

    3. Klik Lihat di samping Log.

    4. Di halaman log audit, hapus filter protoPayload.resourceName dari kueri.

    5. Klik Run query.

  5. Periksa log audit untuk menemukan entri dengan metode google.identity.sts.SecurityTokenService.WebSignIn yang cocok dengan stempel waktu login.

  6. Pastikan kolom metadata.mapped_attributes dalam log cocok dengan atribut yang Anda gunakan saat mengonfigurasi Workforce Identity Federation untuk penyedia identitas pihak ketiga.

    Contoh:

    "metadata": {
  "mapped_attributes": {
    "attributes.as_user_identifier_1": "alex@admin.altostrat.com"
    "google.subject": "alex@altostrat.com"
    "google.groups": "[123abc-456d, efg-h789-ijk]"
  }
},

Batasan

Saat menghubungkan sumber data menggunakan konektor untuk membuat penyimpanan data, batasan berikut berlaku:

  • Maksimal 3.000 pembaca per dokumen. Setiap akun utama dihitung sebagai pembaca, dengan akun utama dapat berupa grup atau pengguna individu.

  • Anda dapat memilih satu jenis penyedia identitas per lokasi yang didukung di Gemini Enterprise.

  • Jika setelan penyedia identitas diperbarui dengan mengubah jenis penyedia identitas atau pool tenaga kerja, penyimpanan data yang ada tidak akan otomatis diperbarui ke setelan baru. Anda harus menghapus dan membuat ulang penyimpanan data ini untuk menerapkan setelan identitas baru.

  • Untuk menetapkan sumber data sebagai dikontrol akses, Anda harus memilih setelan ini selama pembuatan penyimpanan data. Anda tidak dapat mengaktifkan atau menonaktifkan setelan ini untuk penyimpanan data yang ada.

  • Untuk melihat pratinjau hasil UI untuk aplikasi penelusuran yang menggunakan kontrol akses pihak ketiga, Anda harus login ke konsol federasi atau menggunakan aplikasi web. Lihat Melihat pratinjau aplikasi Anda.

Menghubungkan ke penyedia identitas Anda

Bagian berikut menjelaskan cara terhubung ke penyedia identitas Anda menggunakan konsolGoogle Cloud .

Sebelum memulai

Sebelum menghubungkan penyedia identitas, lakukan hal berikut:

  • Memberikan izin kepada admin.

  • Jika Anda menghubungkan penyedia identitas pihak ketiga menggunakan Workforce Identity Federation, konfigurasi Workforce Identity Federation.

Menghubungkan penyedia identitas

Untuk menentukan penyedia identitas bagi Gemini Enterprise dan mengaktifkan kontrol akses sumber data, ikuti langkah-langkah berikut:

  1. Di konsol Google Cloud , buka halaman Gemini Enterprise.

    Gemini Enterprise

  2. Klik Setelan > Autentikasi.

  3. Klik Tambahkan penyedia identitas untuk lokasi yang ingin Anda perbarui.

  4. Klik Tambahkan penyedia identitas, lalu pilih jenis penyedia identitas Anda.
    Jika Anda memilih Identitas pihak ketiga, Anda juga perlu memilih kumpulan tenaga kerja yang berlaku untuk sumber data Anda.

  5. Klik Simpan perubahan.

Memberikan izin kepada pengguna

Pengguna memerlukan peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser) untuk mengakses, mengelola, dan membagikan aplikasi.

Jenis penyedia identitas Deskripsi
Identitas Google
  • Jika Anda menggunakan Google Identity, Google merekomendasikan pembuatan Grup Google yang mencakup semua karyawan yang menggunakan aplikasi.
  • Jika Anda adalah administrator Google Workspace, Anda dapat menyertakan semua pengguna di organisasi ke grup Google dengan mengikuti langkah-langkah di Menambahkan semua pengguna organisasi Anda ke grup.
  • Beri pengguna peran Pengguna Gemini Enterprise (roles/discoveryengine.agentspaceUser). Untuk mengetahui informasi selengkapnya tentang cara menambahkan peran, lihat Memberikan izin kepada pengguna.
Penyedia identitas pihak ketiga

Dampak perubahan setelan penyedia identitas pada konektor penyerapan

Saat Anda mengubah setelan identitas, seperti penyedia identitas atau kumpulan Workforce Identity Federation, penyimpanan data yang ada yang menggunakan penyerapan data tidak akan otomatis diperbarui. Untuk menerapkan setelan identitas baru, Anda harus menghapus dan membuat ulang penyimpanan data yang terpengaruh.

Tabel berikut merangkum perubahan setelan identitas yang memerlukan pembuatan ulang penyimpanan data:

Jenis perubahan Memerlukan pembuatan ulang penyimpanan data
Beralih antara Google Identity dan penyedia identitas Pihak ketiga Ya
Berubah sepenuhnya ke kumpulan Workforce Identity Federation yang baru Ya
Mengedit pemetaan atribut dalam penyedia identitas saat ini Tidak
Beralih ke penyedia baru dalam pool Workforce Identity Federation yang sama. Misalnya, menggunakan Entra, bukan Okta. Tidak

Perubahan identitas pengguna

Gemini Enterprise mengaitkan histori percakapan, notebook, dan agen yang dibuat pengguna dengan ID utama pengguna. Jika Anda menggunakan Workforce Identity Federation, ID prinsipal mencakup nilai yang ditetapkan pemetaan atribut Anda ke google.subject. Contoh:

principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE

Dampak perubahan nilai subjek

Jika nilai yang dipetakan ke google.subject berubah untuk pengguna, maka Gemini Enterprise akan memperlakukan pengguna tersebut sebagai pengguna baru. Misalnya, hal ini terjadi saat nama pokok pengguna (UPN) atau alamat email pengguna berubah di Microsoft Entra ID dan pemetaan atribut Anda menggunakan atribut tersebut. ID utama peka huruf besar/kecil, sehingga perubahan huruf besar/kecil juga merupakan perubahan.

Setelah perubahan, hal berikut berlaku:

  • Pengguna tidak dapat mengakses histori chat, notebook, atau agen yang dikaitkan dengan ID utama sebelumnya.
  • Gemini Enterprise tidak memigrasikan data dari ID utama sebelumnya ke ID utama baru.
  • Lisensi dan peran IAM yang diberikan ke ID akun utama sebelumnya tidak berlaku untuk ID akun utama baru.

Mempersiapkan perubahan nilai subjek

Untuk mengurangi dampak perubahan nilai subjek, lakukan hal berikut:

  • Sebelum Anda mengubah UPN atau alamat email pengguna di penyedia identitas Anda, beri tahu pengguna dan minta mereka untuk membagikan agen pribadi atau notebook yang ingin mereka simpan.
  • Tetapkan lisensi Gemini Enterprise ke ID akun utama baru, dan berikan peran yang diperlukan kepadanya. Untuk mengetahui informasi selengkapnya, lihat Memberikan izin kepada pengguna.
  • Mentransfer kepemilikan agen yang dibagikan pengguna kepada orang lain ke ID prinsipal baru. Anda tidak dapat mentransfer kepemilikan agen yang tidak dibagikan.

Memecahkan masalah error autentikasi

Jika pengguna mendapatkan error HTTP 401 yang melaporkan kredensial autentikasi tidak valid saat mereka mengakses Gemini Enterprise, periksa hal berikut.

Pemeriksaan dasar

  • Status browser: Minta pengguna untuk menghapus cache dan cookie browser, atau login dari jendela penjelajahan rahasia atau samaran.
  • Akun yang login: Pastikan pengguna login dengan akun yang diharapkan oleh konfigurasi penyedia identitas Anda. Jika Anda menggunakan Workforce Identity Federation, identitas pengguna harus cocok dengan pemetaan atribut Anda.
  • Waktu perangkat: Pastikan waktu perangkat disinkronkan, misalnya, dengan menggunakan Protokol Waktu Jaringan (NTP). Perbedaan waktu pada perangkat dapat menyebabkan autentikasi gagal.

Kebijakan penyedia identitas dan jaringan

  • Proxy dan firewall: Proxy, firewall, atau gateway web aman yang memeriksa traffic TLS dapat menghapus atau mengubah header Authorization. Pastikan bahwa perangkat ini tidak mengubah permintaan ke domain Google.
  • Kebijakan akses penyedia identitas: Periksa apakah kebijakan akses di penyedia identitas Anda, seperti kebijakan Conditional Access di Microsoft Entra ID, memblokir login karena kepatuhan perangkat, rentang alamat IP, atau lokasi.
  • Akses Kontekstual: Jika organisasi Anda menggunakan Akses Kontekstual dengan Google Cloud atau Google Workspace, periksa apakah tingkat akses berbasis IP memblokir permintaan yang dibuat Gemini Enterprise atas nama pengguna. Permintaan ini berasal dari server Google, bukan dari jaringan pengguna, sehingga tidak cocok dengan rentang IP perusahaan. Tambahkan tingkat akses yang mengizinkan ID klien OAuth 2.0 yang digunakan oleh Gemini Enterprise, yang digabungkan dengan tingkat akses berbasis IP sebagai kondisi OR. Permintaan yang ditolak akan muncul di log audit organisasi Anda untuk contextawareaccess.googleapis.com.
  • Resolusi DNS: Pastikan DNS resolver Anda dengan benar me-resolve domain Google, termasuk *.google.com dan *.googleapis.com.

Mengumpulkan informasi diagnostik

Jika error tetap berlanjut, ambil file HAR (HTTP Archive) dan log konsol browser saat Anda mereproduksi error, lalu hubungi Cloud Customer Care. File HAR dapat berisi informasi sensitif, seperti cookie dan token.

Apa langkah selanjutnya?