ID 공급업체 구성

데이터 소스 액세스 제어를 적용하고 Gemini Enterprise에서 데이터를 보호하려면 ID 공급업체를 구성해야 합니다. 여기에는 ID 공급업체를 설정하고 데이터 소스의 권한을 관리하는 작업이 포함됩니다. Google은 ID 공급업체를 사용하여 검색을 수행하는 최종 사용자를 식별하고 결과로 반환되는 문서에 액세스할 수 있는지 확인합니다.

ID 공급업체 유형 선택

선택하는 ID 제공업체의 유형은 Gemini Enterprise 앱에 연결된 데이터 소스에 따라 다릅니다. Gemini Enterprise는 다음 옵션을 지원합니다.

ID 공급업체 유형 사용 시기
Google Identity Google ID는 Gemini Enterprise에 권장되는 ID 공급업체입니다.

Google 아이덴티티는 다음을 지원합니다.
  • 데이터 수집 또는 데이터 페더레이션을 사용하는 모든 퍼스트 파티 Google 데이터 소스 Google Workspace 데이터 소스에 연결할 때는 Google 아이덴티티를 사용해야 합니다.
  • 데이터 페더레이션을 사용하는 모든 서드 파티 데이터 소스: 사용자가 OAuth를 사용하여 서드 파티 서비스로 직접 인증합니다.
  • 데이터 수집을 사용하는 모든 서드 파티 데이터 소스(Microsoft Entra ID 및 직원 ID 제휴가 필요한 SharePoint, OneDrive, Outlook과 같은 Microsoft 365 데이터 소스 제외)
Google 아이덴티티를 구성하기 전에 조직에서 사용하는 고유 사용자 속성(일반적으로 사용자의 이메일)을 확인해야 합니다. 사용자에게 이메일 주소가 두 개 이상 있는 경우 이메일 별칭을 추가해야 합니다.
타사 ID 공급업체 Gemini Enterprise를 서드 파티 데이터 소스에만 연결하고 Microsoft Entra ID, Okta, AD FS와 같은 OIDC 또는 SAML 2.0을 지원하는 서드 파티 ID 공급업체를 이미 사용하는 경우 Google ID 또는 직원 ID 제휴를 사용할 수 있습니다. Google에서는 신규 설정에 Google 아이덴티티를 사용하는 것이 좋습니다. 이미 직원 ID 제휴를 사용 중인 기존 고객은 직원 ID 제휴를 계속 사용할 수 있습니다. 자세한 내용은 직원 ID 제휴를 참고하세요.

직원 ID 제휴를 구성하기 전에 조직에서 사용하는 고유한 사용자 속성을 확인하고 직원 ID 제휴에 매핑합니다.

Google Workspace 커넥터의 액세스 제어

Google Workspace 커넥터 (예: Google Workspace의 사용자 또는 Google 그룹)를 사용하여 엔터프라이즈 데이터 그라운딩 및 검색을 수행하면 Gemini Enterprise는 소스 시스템의 액세스 제어 목록 (ACL) 및 권한을 엄격하게 준수합니다.

핵심 원칙: 권한 에스컬레이션 없음

Gemini Enterprise와 상호작용하는 사용자는 소스 Google Workspace 애플리케이션에서 직접 액세스할 수 있는 정보에 대해서만 대답을 확인하고 근거를 제시할 수 있습니다. Gemini Enterprise는 소스 시스템 액세스 제어를 우회하거나 추가 권한을 부여하지 않습니다.

  • Google Workspace 사용자 (디렉터리): 검색 및 그라운딩 결과의 사용자 공개 상태는 조직의 디렉터리 공개 상태 설정을 따릅니다. 예를 들어 Google Workspace 디렉터리에서 사용자의 공개 상태가 자신의 부서 또는 조직 단위로 제한된 경우 Gemini Enterprise를 사용하여 해당 부서 내 동료만 찾을 수 있습니다. 제한된 부서의 직원 프로필은 볼 수 없습니다.

  • Google 그룹스: 콘텐츠 검색 및 그라운딩은 그룹 회원 및 액세스 설정을 준수합니다. 사용자는 자신이 회원으로 속해 있고 볼 권한이 있는 Google 그룹스의 콘텐츠만 검색하고 볼 수 있습니다. 비회원은 Gemini Enterprise를 통해 비공개 그룹의 토론을 검색하거나 볼 수 없습니다.

권한 관리 위치

Google Cloud 콘솔의 Gemini Enterprise 커넥터 설정에서 액세스 제어 및 공개 상태 설정을 구성하지 않습니다. 대신 Google Workspace 관리자가 소스 시스템에서 권한, 멤버십, 공개 상태 설정을 구성합니다.

  • 사용자 프로필 공개 상태: Google Workspace 관리자는 Google 관리 콘솔에서 사용자 프로필 공개 상태를 구성합니다. 자세한 내용은 디렉터리 공유 설정을 참고하세요.

  • 그룹 액세스 및 멤버십: Google Workspace 관리자는 Google 그룹스 또는 Google 관리 콘솔에서 그룹 액세스 및 멤버십을 구성합니다. 자세한 내용은 그룹 설정 및 관리를 참고하세요.

서드 파티 ID 공급업체의 직원 ID 제휴

이 섹션에서는 서드 파티 ID 공급업체에 직원 ID 제휴를 구성하는 방법을 설명합니다. 필요에 따라 직원 ID 제휴 설정이 예상대로 작동하는지 확인할 수 있습니다.

직원 ID 제휴 구성

서드 파티 ID 커넥터로 직원 ID 제휴를 구성하는 방법에 관한 자세한 내용은 다음 리소스를 참고하세요.

ID 공급업체 리소스
Entra ID
Okta
OIDC 또는 SAML 2.0

속성 매핑 구성

속성 매핑을 사용하면 직원 ID 제휴를 통해 서드 파티 ID 정보를 Google에 연결할 수 있습니다.

직원 ID 제휴에서 속성 매핑을 구성할 때는 다음 사항을 고려하세요.

  • google.subject 속성은 속성 매핑, 라이선스 할당, 노트북 공유에 사용됩니다. 라이선스 할당은 대소문자를 구분하므로 google.subject를 사용자의 이메일 주소에 소문자로 매핑하는 것이 좋습니다.

  • 조직에 고유 식별자가 두 개 이상 있는 경우 attribute.as_user_identifier_number between 1 and 50 속성을 사용하여 이러한 고유 조직 속성을 매핑합니다.

    예를 들어 조직에서 여러 애플리케이션에 걸쳐 이메일과 주 구성원 이름을 모두 사용자 식별자로 사용하고 주 구성원 이름이 서드 파티 ID 공급업체에서 preferred_username으로 설정된 경우 직원 ID 제휴 속성 매핑(예: attribute.as_user_identifier_1=assertion.preferred_username)을 사용하여 Gemini Enterprise에 매핑할 수 있습니다.

다음 예에서는 일반적인 ID 공급업체에 필요한 속성 매핑을 보여줍니다. 앞서 설명한 대로 속성 매핑을 더 추가하여 고유 식별자를 추가로 지원할 수 있습니다.

  • OIDC 프로토콜을 사용하는 Entra ID
    이 예에서는 이메일을 사용하여 사용자를 고유하게 식별합니다.

    google.subject=assertion.email.lowerAscii()
google.groups=assertion.groups
google.display_name=assertion.given_name

  • SAML 프로토콜을 사용하는 Entra ID
    이 예에서는 이메일을 사용하여 사용자를 고유하게 식별합니다.

    google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress'][0].lowerAscii()
google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
google.display_name=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname'][0]

  • OIDC 프로토콜을 사용하는 Okta
    이 예에서는 이메일을 사용하여 사용자를 고유하게 식별합니다.

    google.subject=assertion.email.lowerAscii()
google.groups=assertion.groups

  • SAML 프로토콜을 사용하는 Okta
    이 예에서는 JWT의 주체 어설션을 사용하여 사용자를 고유하게 식별합니다.

    google.subject=assertion.subject.lowerAscii()
google.groups=assertion.attributes['groups']

선택사항: 직원 ID 제휴 설정 확인

직원 ID 제휴 감사 로깅 기능을 사용하여 로그인 성공 여부와 올바른 속성 매핑을 확인하려면 다음 단계를 따르세요.

  1. 데이터 액세스 활동의 Security Token Service API에 대한 감사 로그를 사용 설정합니다.

    1. Google Cloud 콘솔에서 감사 로그 페이지로 이동합니다.

      감사 로그로 이동

      검색창을 사용하여 이 페이지를 찾은 경우 부제목이 IAM 및 관리자인 결과를 선택합니다.

    2. 기존 Google Cloud 프로젝트, 폴더 또는 조직을 선택합니다.
    3. 데이터 액세스 감사 로그를 사용 설정합니다.
      1. 감사 로그를 사용 설정하는 방법에 관한 자세한 단계는 Logging 문서를 참고하세요.
      2. 보안 토큰 서비스 API의 경우 관리자 읽기 감사 로그 유형을 선택합니다. 자세한 내용은 직원 ID 제휴 로그 예시를 참고하세요.

  2. 직원 풀에서 상세 로깅을 사용 설정합니다. Microsoft Entra ID의 직원 ID 제휴 확장 그룹 기능은 자세한 감사 로깅 정보를 생성하지 않습니다.

    1. 직원 ID 풀 페이지로 이동합니다.

      직원 ID 풀로 이동

    2. 테이블에서 풀을 선택합니다.

    3. 상세 감사 로깅 사용 설정 전환 버튼을 클릭하여 사용 위치로 전환합니다.

    4. 풀 저장을 클릭합니다.

  3. 제공업체 섹션에서 제공업체의 로그인 URL을 클릭하고 직원 풀 사용자로 Google Cloud 콘솔에 로그인합니다.

  4. 로그인할 때 생성된 감사 로그를 확인합니다.

    1. 직원 ID 풀 페이지로 이동합니다.

      직원 ID 풀로 이동

    2. 테이블에서 로그인한 풀을 선택합니다.

    3. 로그 옆에 있는 보기를 클릭합니다.

    4. 감사 로그 페이지의 쿼리에서 protoPayload.resourceName 필터를 지웁니다.

    5. 쿼리 실행을 클릭합니다.

  5. 감사 로그에서 로그인 타임스탬프와 일치하는 google.identity.sts.SecurityTokenService.WebSignIn 메서드가 있는 항목을 확인합니다.

  6. 로그의 metadata.mapped_attributes 필드가 서드 파티 ID 공급업체의 직원 ID 제휴를 구성할 때 사용한 속성과 일치하는지 확인합니다.

    예를 들면 다음과 같습니다.

    "metadata": {
  "mapped_attributes": {
    "attributes.as_user_identifier_1": "alex@admin.altostrat.com"
    "google.subject": "alex@altostrat.com"
    "google.groups": "[123abc-456d, efg-h789-ijk]"
  }
},

제한사항

커넥터를 사용해 데이터 소스를 연결하여 데이터 스토어를 만들 때 다음 제한사항이 적용됩니다.

  • 문서당 3,000명의 독자가 허용됩니다. 각 주 구성원은 그룹 또는 개별 사용자일 수 있으며 독자로 간주됩니다.

  • Gemini Enterprise에서 지원하는 위치당 하나의 ID 공급업체 유형을 선택할 수 있습니다.

  • ID 공급업체 유형 또는 직원 풀을 변경하여 ID 공급업체 설정을 업데이트하면 기존 데이터 스토어가 새 설정으로 자동 업데이트되지 않습니다. 새 ID 설정을 적용하려면 이러한 데이터 스토어를 삭제하고 다시 만들어야 합니다.

  • 데이터 소스를 액세스 제어됨 상태로 설정하려면 데이터 스토어를 만들 때 이 설정을 선택해야 합니다. 기존 데이터 스토어의 경우 이 설정을 사용 또는 사용 중지할 수 없습니다.

  • 서드 파티 액세스 제어를 사용하는 검색 앱의 UI 결과를 미리보려면 제휴 콘솔에 로그인하거나 웹 앱을 사용해야 합니다. 앱 미리보기를 참고하세요.

ID 공급업체에 연결

다음 섹션에서는Google Cloud 콘솔을 사용하여 ID 공급업체에 연결하는 방법을 설명합니다.

시작하기 전에

ID 공급업체를 연결하기 전에 다음을 수행합니다.

  • 관리자에게 권한을 부여합니다.

  • 직원 ID 제휴를 사용하여 서드 파티 ID 공급업체를 연결하는 경우 직원 ID 제휴를 구성합니다.

ID 공급업체 연결

Gemini Enterprise의 ID 공급업체를 지정하고 데이터 소스 액세스 제어를 사용 설정하려면 다음 단계를 따르세요.

  1. Google Cloud 콘솔에서 Gemini Enterprise 페이지로 이동합니다.

    Gemini Enterprise

  2. 설정 > 인증을 클릭합니다.

  3. 업데이트할 위치에 대해 ID 공급업체 추가를 클릭합니다.

  4. ID 공급업체 추가를 클릭하고 ID 공급업체 유형을 선택합니다.
    서드 파티 ID를 선택하는 경우 데이터 소스에 적용되는 직원 풀도 선택해야 합니다.

  5. 변경사항 저장을 클릭합니다.

사용자에게 권한 부여

사용자가 앱에 액세스하고, 앱을 관리하고, 앱을 공유하려면 Gemini Enterprise 사용자 (roles/discoveryengine.agentspaceUser) 역할이 필요합니다.

ID 공급업체 유형 설명
Google Identity
  • Google ID를 사용하는 경우 앱을 사용하는 모든 직원을 포함하는 Google 그룹을 만드는 것이 좋습니다.
  • Google Workspace 관리자는 조직의 모든 사용자를 하나의 그룹에 추가하기의 단계에 따라 조직의 모든 사용자를 Google 그룹에 포함할 수 있습니다.
  • 사용자에게 Gemini Enterprise 사용자 (roles/discoveryengine.agentspaceUser) 역할을 부여합니다. 역할 추가에 대한 자세한 내용은 사용자에게 권한 부여를 참고하세요.
타사 ID 공급업체
  • 사용자 및 IAM 정책의 직원 풀 사용자에게 Gemini Enterprise 사용자 (roles/discoveryengine.agentspaceUser) 역할을 부여합니다. 역할 추가에 대한 자세한 내용은 사용자에게 권한 부여를 참고하세요.
  • Google에서는 서드 파티 ID에 대해 그룹 클레임을 구성할 것을 권장합니다.

ID 공급업체 설정 변경이 인그레스 커넥터에 미치는 영향

ID 공급업체 또는 직원 ID 제휴 풀과 같은 ID 설정을 변경하면 데이터 수집을 사용하는 기존 데이터 스토어가 자동으로 업데이트되지 않습니다. 새 ID 설정을 적용하려면 영향을 받는 데이터 스토어를 삭제하고 다시 만들어야 합니다.

다음 표에는 데이터 스토어를 다시 만들어야 하는 ID 설정 변경사항이 요약되어 있습니다.

유형 변경 데이터 스토어 재생성이 필요함
Google ID와 서드 파티 ID 공급업체 간 전환 예
새 직원 ID 제휴 풀로 완전히 변경 예
현재 ID 공급업체 내에서 속성 매핑 수정 아니요
동일한 직원 ID 제휴 풀 내에서 새 제공업체로 전환합니다. 예를 들어 Okta 대신 Entra를 사용합니다. 아니요

사용자 ID 변경사항

Gemini Enterprise는 사용자의 채팅 기록, 노트북, 사용자가 만든 에이전트를 사용자의 기본 식별자와 연결합니다. 직원 ID 제휴를 사용하는 경우 주 구성원 식별자에는 속성 매핑에서 google.subject에 할당하는 값이 포함됩니다. 예를 들면 다음과 같습니다.

principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE

주제 값 변경의 영향

google.subject에 매핑된 값이 사용자에게 변경되면 Gemini Enterprise는 사용자를 신규 사용자로 취급합니다. 예를 들어 Microsoft Entra ID에서 사용자의 사용자 기본 이름 (UPN) 또는 이메일 주소가 변경되고 속성 매핑에서 해당 속성을 사용하는 경우에 발생합니다. 주 구성원 식별자는 대소문자를 구분하므로 대소문자를 변경하는 것도 변경입니다.

변경 후에는 다음 사항이 적용됩니다.

  • 사용자는 이전 주 구성원 식별자와 연결된 채팅 기록, 노트북 또는 에이전트에 액세스할 수 없습니다.
  • Gemini Enterprise는 이전 보안 주체 식별자에서 새 보안 주체 식별자로 데이터를 이전하지 않습니다.
  • 이전 주 구성원 식별자에 부여된 라이선스 및 IAM 역할은 새 주 구성원 식별자에 적용되지 않습니다.

제목 값 변경 준비

주제 값 변경의 영향을 줄이려면 다음을 수행하세요.

  • ID 공급자에서 사용자의 UPN 또는 이메일 주소를 변경하기 전에 사용자에게 알리고 보관하려는 비공개 에이전트 또는 노트북을 공유하도록 요청하세요.
  • 새 주 구성원 식별자에 Gemini Enterprise 라이선스를 할당하고 필요한 역할을 부여합니다. 자세한 내용은 사용자에게 권한 부여를 참고하세요.
  • 사용자가 다른 사용자와 공유한 에이전트의 소유권을 새 주 구성원 식별자로 이전합니다. 공유되지 않은 에이전트의 소유권은 이전할 수 없습니다.

인증 오류 문제 해결

사용자가 Gemini Enterprise에 액세스할 때 인증 사용자 인증 정보가 유효하지 않다고 보고하는 HTTP 401 오류가 표시되면 다음을 확인하세요.

기본 확인

  • 브라우저 상태: 사용자에게 브라우저 캐시와 쿠키를 지우거나 시크릿 모드 또는 시크릿 브라우징 창에서 로그인하도록 요청합니다.
  • 로그인한 계정: 사용자가 ID 공급자 구성에서 예상하는 계정으로 로그인해야 합니다. 직원 ID 제휴를 사용하는 경우 사용자의 ID가 속성 매핑과 일치해야 합니다.
  • 기기 시계: 네트워크 시간 프로토콜 (NTP)을 사용하여 기기 시계가 동기화되어 있는지 확인합니다. 기기의 시간 드리프트로 인해 인증이 실패할 수 있습니다.

네트워크 및 ID 공급업체 정책

  • 프록시 및 방화벽: TLS 트래픽을 검사하는 프록시, 방화벽 또는 보안 웹 게이트웨이는 Authorization 헤더를 삭제하거나 변경할 수 있습니다. 이러한 기기가 Google 도메인에 대한 요청을 수정하지 않는지 확인하세요.
  • ID 공급업체 액세스 정책: Microsoft Entra ID의 조건부 액세스 정책과 같은 ID 공급업체의 액세스 정책이 기기 규정 준수, IP 주소 범위 또는 위치로 인해 로그인을 차단하는지 확인합니다.
  • 컨텍스트 인식 액세스: 조직에서 Google Cloud 또는 Google Workspace와 함께 컨텍스트 인식 액세스를 사용하는 경우 IP 기반 액세스 수준이 Gemini Enterprise가 사용자를 대신하여 수행하는 요청을 차단하는지 확인합니다. 이러한 요청은 사용자의 네트워크가 아닌 Google 서버에서 시작되므로 회사 IP 범위와 일치하지 않습니다. Gemini Enterprise에서 사용하는 OAuth 2.0 클라이언트 ID를 IP 기반 액세스 수준과 OR 조건으로 결합하는 액세스 수준을 추가합니다. 거부된 요청은 조직의 contextawareaccess.googleapis.com 감사 로그에 표시됩니다.
  • DNS 변환: DNS 리졸버가 *.google.com 및 *.googleapis.com을 비롯한 Google 도메인을 올바르게 변환하는지 확인합니다.

진단 정보 수집

오류가 계속되면 오류를 재현하는 동안 HAR (HTTP Archive) 파일과 브라우저 콘솔 로그를 캡처한 다음 Cloud Customer Care에 문의하세요. HAR 파일에는 쿠키, 토큰과 같은 민감한 정보가 포함될 수 있습니다.

다음 단계