Cette page présente les contraintes de règles d'administration gérées et leurs interactions.
Dépendances d'application des règles
L'application des contraintes de règles d'administration gérées pour les datastores dépend de plusieurs facteurs : le type de source de données que vous configurez, si votre projet est protégé par VPC Service Controls et si votre projet est inclus dans le paramètre enforcedProjects.
| Règle ou service associé | Description |
|---|---|
| Restreindre les sources de données autorisées pour les connecteurs de données |
Si vous autorisez une source de données, telle que Google Drive ou Gmail, dans la contrainte de règle d'administration gérée Limiter les sources de données autorisées pour les connecteurs de données, la contrainte autorise automatiquement les connexions à ses noms de domaine complets connus. Cette autorisation signifie que vous n'avez pas besoin de définir ces domaines dans la contrainte de règle gérée Limiter les domaines de sortie pour les connecteurs de données. Pour les projets où la règle est appliquée (projets pour lesquels VPCSC est activé ou projets listés dans enforcedProjects), vous devez utiliser la règle Limiter les domaines de sortie pour les connecteurs de données afin d'autoriser explicitement les FQDN nécessaires pour les sources de données tierces où les FQDN ne sont pas automatiquement autorisés.
|
| Restreindre les domaines de sortie pour les connecteurs de données |
Pour les projets où la règle est appliquée (projets pour lesquels VPCSC est activé ou projets listés dans enforcedProjects), cette contrainte de règle d'administration gérée vous permet de spécifier les noms de domaine complets (FQDN) autorisés lors de l'ajout d'un data store.
|
| Ignorer la règle d'administration pour les datastores MCP personnalisés |
Cette contrainte de règle d'administration gérée détermine si les sources de données MCP (Model Context Protocol) personnalisées peuvent être utilisées. Avant de pouvoir créer un data store MCP personnalisé, vous devez désactiver la contrainte gérée Disable custom MCP server connector
for Gemini Enterprise
pour activer le MCP personnalisé.
|
| VPC Service Controls |
Les périmètres VPC Service Controls peuvent protéger votre projet. Pour en savoir plus, consultez Utiliser VPC Service Controls.
L'application de cette contrainte dépend également de la protection de votre projet par un périmètre VPC Service Controls (VPCSC). Pour en savoir plus, consultez Interaction et application de VPCSC. |
Interaction et application de VPC-SC
Le comportement d'application de cette contrainte dépend de l'état VPCSC de votre projet et de son inclusion ou non dans le paramètre enforcedProjects de la contrainte de règle d'administration, comme résumé dans le tableau suivant :
| État VPCSC | Projet inclus dans enforcedProjects |
allowedEgressFqdns mesure d'application |
allowedDataSources mesure d'application |
|---|---|---|---|
| Activé | Oui | Le provisionnement est bloqué si les domaines requis ne sont pas listés. | Le provisionnement est bloqué si la source de données n'est pas listée. |
| Activé | Non | Le provisionnement est bloqué si les domaines requis ne sont pas listés. | Le provisionnement est bloqué si la source de données n'est pas listée. |
| Désactivée | Oui | Le provisionnement est bloqué si les domaines requis ne sont pas listés. | Le provisionnement est bloqué si la source de données n'est pas listée. |
| Désactivée | Non | Le provisionnement est autorisé même si les domaines ne sont pas listés. | Le provisionnement est autorisé même si la source de données n'est pas listée. |
Exemples de cas de figure
Pour comprendre comment ces règles interagissent, examinez les exemples suivants.
Autoriser Google Drive avec la protection VPC-SC
Vous souhaitez autoriser les utilisateurs à créer un data store Google Drive.
| Configuration |
|---|
| Le projet est protégé par un périmètre VPC Service Controls, et l'état de VPCSC est Activé. |
| Exigence |
Pour créer le data store, vous devez ajouter google_drive à la règle Limiter les sources de données autorisées pour les connecteurs de données. |
| Pourquoi |
| Le système autorise la connexion et autorise automatiquement les noms de domaine complets connus pour Google Drive. Vous n'avez pas besoin de mettre à jour la règle Limiter les domaines de sortie pour les connecteurs de données. |
Autoriser un serveur MCP personnalisé avec la protection VPCSC
Vous souhaitez autoriser les utilisateurs à créer un data store MCP personnalisé qui se connecte à "api.cymbal.com".
| Configuration |
|---|
| Le projet est protégé par un périmètre VPC Service Controls (état VPCSC : Activé). |
| Exigence |
Pour créer le data store et l'autoriser à se connecter à api.cymbal.com, vous devez :
|
| Pourquoi |
| Lorsque VPC Service Controls est activé, les règles sont appliquées automatiquement. Le MCP personnalisé nécessite que vous autorisiez explicitement les noms de domaine complets. |
Source de données tierce (Jira) sans protection VPCSC
Une organisation souhaite autoriser les utilisateurs à créer un data store pour une source de données tierce, Jira, dans un projet qui n'est pas soumis à l'application des règles.
| Configuration |
|---|
Le projet n'est pas protégé par un périmètre VPC Service Controls et n'est pas listé dans enforcedProjects. |
| Exigence |
| Aucune mise à jour n'est requise pour les règles d'administration. |
| Pourquoi |
| Étant donné que l'application standard est désactivée, vous n'avez pas besoin d'autoriser explicitement la source de données ou ses noms de domaine complets. |