Model Armor in Gemini Enterprise aktivieren

In diesem Dokument wird beschrieben, wie Sie Model Armor für Gemini Enterprise aktivieren. Model Armor ist ein Google Cloud Dienst, der die Sicherheit Ihrer KI-Anwendungen verbessert, indem er die Prompts und Antworten des Gemini Enterprise-Assistenten proaktiv prüft. So können Sie sich vor verschiedenen Risiken schützen und für einen verantwortungsvollen Umgang mit KI sorgen. Model Armor wird in allen Gemini Enterprise-Versionen ohne zusätzliche Kosten unterstützt.

Hinweis :Wenn Sie Model Armor in Gemini Enterprise aktivieren, kann sich die Latenz erhöhen.

Die Reaktion von Model Armor auf potenzielle Probleme in Nutzeranfragen oder Antworten des Gemini Enterprise-Assistenten richtet sich nach dem Erzwingungstyp der Vorlage. Weitere Informationen finden Sie unter Durchsetzungstyp definieren.

• Wenn der Erzwingungstyp Prüfen und blockieren ist, blockiert Gemini Enterprise die Anfrage und zeigt eine Fehlermeldung an. Dies ist der Standarddurchsetzungstyp, wenn Sie eine Model Armor-Vorlage über die Console erstellen.

• Wenn der Erzwingungstyp Nur prüfen ist, werden Anfragen oder Antworten von Gemini Enterprise nicht blockiert.

Wenn der Model Armor-Prüfdienst nicht verfügbar ist, können Sie Gemini Enterprise so konfigurieren, dass es sich auf eine der folgenden Arten verhält:

Modus	Beschreibung
Nutzerinteraktionen zulassen	In diesem Modus können Anfragen und Antworten in Gemini Enterprise ohne proaktive Überprüfung durchlaufen, wenn der Model Armor-Überprüfungsdienst nicht verfügbar ist. So wird eine kontinuierliche Kommunikation mit dem Endnutzer sichergestellt. Dies kann jedoch gelegentlich dazu führen, dass ungeprüfte Nachrichten angezeigt oder Antworten auf ungeprüfte Anfragen gegeben werden.
Alle Nutzerinteraktionen blockieren	Wenn der Model Armor-Prüfdienst in diesem Modus nicht verfügbar ist, blockiert Gemini Enterprise alle Anfragen und Antworten, auch legitime.

Hinweise

• Prüfen Sie, ob Ihnen und dem Gemini Enterprise-Dienstkonto die erforderlichen Rollen zugewiesen sind:

  • Um Model Armor in Gemini Enterprise zu aktivieren, benötigen Sie die Rolle Discovery Engine-Administrator (roles/discoveryengine.admin).

  • Zum Erstellen der Model Armor-Vorlagen benötigen Sie die Rolle Model Armor Admin (roles/modelarmor.admin).

  • Zum Aufrufen der Model Armor APIs benötigen Sie die Rolle Model Armor User (roles/modelarmor.user).

  Hinweis :Informationen zum Zuweisen mehrerer IAM-Rollen zu einem Dienstkonto finden Sie unter Mehrere IAM-Rollen über die Google Cloud Console zuweisen oder widerrufen.

• Sie müssen eine Gemini Enterprise-App erstellt haben. Informationen zum Erstellen einer App finden Sie unter App erstellen.

Model Armor-Vorlage erstellen

Sie können dieselbe Model Armor-Vorlage für Nutzer-Prompts und Antworten des Assistenten erstellen und verwenden oder zwei separate Model Armor-Vorlagen erstellen. Weitere Informationen finden Sie unter Model Armor-Vorlage erstellen.

Berücksichtigen Sie beim Erstellen einer Model Armor-Vorlage für Gemini Enterprise-Apps die folgenden Konfigurationen:

• Wählen Sie im Feld Regionen die Option Mehrere Regionen aus. In der folgenden Tabelle sehen Sie, wie Sie Model Armor-Vorlagenregionen Gemini Enterprise-App-Regionen zuordnen:

  Hinweis :Nachdem eine Model Armor-Vorlage und eine Gemini Enterprise-App erstellt wurden, können die Regionen nicht mehr geändert werden.

  Gemini Enterprise-App – mehrere Regionen	Model Armor – multiregional
  Global	USA (mehrere Regionen in den USA) EU (mehrere Regionen in der Europäischen Union)
  USA (mehrere Regionen in den USA)	USA (mehrere Regionen in den USA)
  EU (mehrere Regionen in der Europäischen Union)	EU (mehrere Regionen in der Europäischen Union)

• Google empfiehlt nicht, die Cloud-Protokollierung in der Model Armor-Vorlage für Gemini Enterprise-Apps zu konfigurieren. Durch diese Konfiguration können vertrauliche Daten für Nutzer mit der IAM-Rolle „Betrachter privater Logs“ (roles/logging.privateLogViewer) offengelegt werden. Verwenden Sie stattdessen eine der folgenden Optionen:

  • Wenn Sie die Daten protokollieren müssen, die über die Model Armor-Vorlage laufen, können Sie Logs an einen sicheren Speicher wie BigQuery weiterleiten, der strengere Zugriffskontrollen bietet. Weitere Informationen finden Sie unter Logs an unterstützte Ziele weiterleiten.

  • Sie können Audit-Logs für den Datenzugriff konfigurieren, um die von Model Armor generierten Ergebnisse der Anfrage- und Antwortprüfung zu analysieren und Berichte dazu zu erstellen. Weitere Informationen finden Sie unter Audit-Logs konfigurieren.

Gemini Enterprise-App mit den Model Armor-Vorlagen konfigurieren

In den folgenden Schritten wird beschrieben, wie Sie die Model Armor-Vorlagen Ihrer Gemini Enterprise-App hinzufügen.

Console

1. Rufen Sie in der Google Cloud Console die Seite „Gemini Enterprise“ auf.

   Gemini Enterprise

2. Klicken Sie auf den Namen der App, die Sie konfigurieren möchten.

3. Klicken Sie auf Konfigurationen > Assistant.

4. Klicken Sie auf Model Armor aktivieren, um Model Armor zu aktivieren.

5. Geben Sie für Model Armor-Vorlage für Nutzer-Prompts und Model Armor-Vorlagen für Antwortausgaben den Ressourcennamen der von Ihnen erstellten Model Armor-Vorlagen ein.

   Hinweis :Wenn Sie den Ressourcennamen abrufen möchten, folgen Sie der Anleitung unter Model Armor-Vorlage ansehen und kopieren Sie den Wert Ressourcenname.

6. Wenn Sie Nutzerinteraktionen bei Model Armor-Verarbeitungsfehlern blockieren möchten, stellen Sie den Schalter Nutzerinteraktionen bei Model Armor-Verarbeitungsfehlern zulassen auf „Aus“. Weitere Informationen finden Sie unter Zwei von Gemini Enterprise unterstützte Modi, wenn Model Armor nicht verfügbar ist.

7. Klicken Sie auf Save and publish (Speichern und veröffentlichen).

REST

Führen Sie den folgenden Befehl aus, um die Model Armor-Vorlagen Ihrer Gemini Enterprise-App hinzuzufügen :

Wichtiger Begriff:In Gemini Enterprise kann der Begriff App im Zusammenhang mit APIs synonym mit dem Begriff Engine verwendet werden. Eine Gemini Enterprise-Engine ist eine generische Suchmaschine, bei der das Feld app_type auf APP_TYPE_INTRANET festgelegt ist.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID/assistants/default_assistant?update_mask=customerPolicy" \
-d '{
  "customerPolicy": {
    "modelArmorConfig": {
      "userPromptTemplate": "QUERY_PROMPT_TEMPLATE",
      "responseTemplate": "RESPONSE_PROMPT_TEMPLATE",
      "failureMode": "FAIL_MODE"
    }
  }
}'

Ersetzen Sie Folgendes:

• PROJECT_ID: die Projekt-ID.
• ENDPOINT_LOCATION: Die multiregionale Einstellung für Ihre API-Anfrage. Weisen Sie einen der folgenden Werte zu:
  • us- für die multiregionale Option „USA“
  • eu- für die EU-Multiregion
  • global- für den globalen Standort
  Weitere Informationen finden Sie unter Multi-Region für Ihren Datenspeicher angeben.
• LOCATION: die Multiregion Ihres Datenspeichers: global, us oder eu
• APP_ID: die ID der App, die Sie konfigurieren möchten.
• QUERY_PROMPT_TEMPLATE: der Ressourcennamen der von Ihnen erstellten Model Armor-Vorlagen.
  Wenn Sie den Ressourcennamen abrufen möchten, folgen Sie der Anleitung unter Model Armor-Vorlage ansehen und kopieren Sie den Wert Ressourcenname.
• RESPONSE_PROMPT_TEMPLATE: der Ressourcennamen der von Ihnen erstellten Model Armor-Vorlagen.
• FAIL_MODE: Der Betriebsmodus, wenn Model Armor nicht verfügbar ist: FAIL_CLOSED oder FAIL_OPEN.
  Wenn FAIL_MODE nicht definiert ist, ist FAIL_CLOSE der Standardmodus, in dem alle Interaktionen mit dem Gemini Enterprise-Assistenten blockiert werden, wenn es zu Model Armor-Verarbeitungsfehlern kommt. Weitere Informationen finden Sie unter Zwei von Gemini Enterprise unterstützte Modi, wenn Model Armor nicht verfügbar ist.

Beispielbefehl und -ergebnis

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: my-project-123" \
"https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/collections/default_collection/engines/my-app/assistants/default_assistant?update_mask=customer_policy" \
-d '{
  "customer_policy": {
    "modelArmorConfig": {
      "user_prompt_template": "projects/my-project-123/locations/us/templates/123456789",
      "response_template": "projects/my-project-123/locations/us/templates/123456789",
      "failure_mode": "FAIL_OPEN"
    }
  }
}'

{
  "name": "projects/my-project-123/locations/us/collections/default_collection/engines/my-app/assistants/default_assistant",
  "displayName": "Default Assistant",
  "webGroundingType": "WEB_GROUNDING_TYPE_GOOGLE_SEARCH",
  "googleSearchGroundingEnabled": true,
  "customerPolicy": {
    "modelArmorConfig": {
      "userPromptTemplate": "projects/my-project-123/locations/us/templates/123456789",
      "responseTemplate": "projects/my-project-123/locations/us/templates/123456789",
      "failureMode": "FAIL_OPEN"
    }
  }
}

Prüfen, ob die Model Armor-Vorlage aktiviert ist

Nachdem Sie die Model Armor-Vorlage konfiguriert haben, testen Sie, ob Ihre Gemini Enterprise-App Nutzer-Prompts und Antworten des Gemini Enterprise-Assistenten proaktiv prüft und blockiert. Dabei werden die in den Model Armor-Filtern festgelegten Konfidenzniveaus berücksichtigt.

Wenn die Model Armor-Vorlage so konfiguriert ist, dass Anfragen, die gegen die Richtlinie verstoßen, überprüft und blockiert werden, wird die folgende Meldung zum Richtlinienverstoß angezeigt:

Console

Sie sehen beispielsweise die Meldung zum Richtlinienverstoß:

Meldung zum Verstoß gegen die Model Armor-Richtlinie

REST

Eine JSON-Antwort mit Folgendem:

answer.state = SKIPPED
answer.assist_skipped_reasons: [CUSTOMER_POLICY_VIOLATION]

Model Armor-Vorlagen aus einer Gemini Enterprise-App entfernen

Wenn Sie die Model Armor-Vorlagen aus einer Gemini Enterprise-App entfernen möchten, verwenden Sie dieGoogle Cloud -Konsole oder die REST API.

Console

So entfernen Sie die Model Armor-Vorlagen aus Ihrer Gemini Enterprise-App:

1. Rufen Sie in der Google Cloud Console die Seite „Gemini Enterprise“ auf.

   Gemini Enterprise

2. Klicken Sie auf den Namen der App, die Sie konfigurieren möchten.

3. Klicken Sie auf Konfigurationen > Assistant.

4. Wenn Sie Model Armor deaktivieren möchten, klicken Sie auf die Ein/Aus-Schaltfläche Model Armor aktivieren, um sie auf „Aus“ zu setzen.

5. Klicken Sie auf Save and publish (Speichern und veröffentlichen).

REST

Führen Sie den folgenden Befehl aus, um die Model Armor-Vorlagen aus Ihrer Gemini Enterprise-App zu entfernen:

Wichtiger Begriff:In Gemini Enterprise kann der Begriff App im Zusammenhang mit APIs synonym mit dem Begriff Engine verwendet werden. Eine Gemini Enterprise-Engine ist eine generische Suchmaschine, bei der das Feld app_type auf APP_TYPE_INTRANET festgelegt ist.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID/assistants/default_assistant?update_mask=customerPolicy" \
-d '{
  "customerPolicy": {
    "modelArmorConfig": {
    }
  }
}'

Ersetzen Sie Folgendes:

• PROJECT_ID: die Projekt-ID.
• PROJECT_NUMBER: Die Nummer Ihres Google Cloud -Projekts
• ENDPOINT_LOCATION: Die multiregionale Einstellung für Ihre API-Anfrage. Weisen Sie einen der folgenden Werte zu:
  • us- für die multiregionale Option „USA“
  • eu- für die EU-Multiregion
  • global- für den globalen Standort
  Weitere Informationen finden Sie unter Multi-Region für Ihren Datenspeicher angeben.
• LOCATION: Die Multiregion Ihres Datenspeichers: global, us oder eu.
• APP_ID: die ID der App, die Sie konfigurieren möchten.

Beispielbefehl und -ergebnis

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: my-project-123" \
"https://discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/global/collections/default_collection/engines/my-app/assistants/default_assistant?update_mask=customerPolicy" \
-d '{
  "customerPolicy": {
    "modelArmorConfig": {
    }
  }
}'

{
  "name": "projects/my-project-123/locations/global/collections/default_collection/engines/my-app/assistants/default_assistant",
  "displayName": "Default Assistant",
  "webGroundingType": "WEB_GROUNDING_TYPE_GOOGLE_SEARCH",
  "googleSearchGroundingEnabled": true,
  "customerPolicy": {
    "modelArmorConfig": {}
  },
  "generationConfig": {
    "systemInstruction": {}
  }
}

Audit-Logs konfigurieren

Model Armor kann Audit-Logs für den Datenzugriff schreiben, mit denen Sie die von Model Armor generierten Ergebnisse der Anfrage- und Antwortprüfung analysieren und Berichte dazu erstellen können. Diese Logs enthalten nicht die Nutzeranfragen oder Antworten des Gemini Enterprise-Assistenten und können daher für Berichte und Analysen verwendet werden. Weitere Informationen finden Sie unter Audit-Logging für Model Armor.

Für den Zugriff auf diese Logs benötigen Sie die IAM-Rolle Betrachter privater Logs (roles/logging.privateLogViewer).

Audit-Logs zum Datenzugriff aktivieren

So aktivieren Sie die Audit-Logs zum Datenzugriff:

1. Rufen Sie in der Google Cloud Console die Seite IAM & Verwaltung > Audit-Logs auf.

2. Wählen Sie die Model Armor API aus.

3. Wählen Sie im Abschnitt Berechtigungstyp den Berechtigungstyp Daten lesen aus.

4. Klicken Sie auf Speichern.

Audit-Logs zum Datenzugriff prüfen

So untersuchen Sie die Audit-Logs zum Datenzugriff:

1. Rufen Sie in der Google Cloud Console den Log-Explorer auf.

2. Suchen Sie in den Logs nach den folgenden Methodennamen:

   • methodName: "google.cloud.modelarmor.v1.ModelArmor.SanitizeUserPrompt" um die geprüften Nutzeranfragen aufzurufen.

   • google.cloud.modelarmor.v1.ModelArmor.SanitizeModelResponse um die geprüften Antworten anzusehen.

Überlegungen bei der Verwendung von Model Armor

Beachten Sie bei der Verwendung von Model Armor mit Gemini Enterprise Folgendes:

Tokens	Die Tokenlimits für Gemini Enterprise-Apps, die Model Armor verwenden, werden durch die spezifischen Filter bestimmt, die in Model Armor konfiguriert sind. Ausführliche Informationen zu diesen Limits finden Sie in der Model Armor-Dokumentation unter Anwendbare Token-Limits.
Service Level Agreement	Für Gemini Enterprise gilt ein Service Level Agreement. Wenn Gemini Enterprise für die Verwendung von Model Armor konfiguriert ist, werden blockierte Anfragen nicht als SLA-Verstöße gezählt, unabhängig davon, ob der Modus fail-open oder fail-closed verwendet wird.
Compliance	Sowohl Gemini Enterprise als auch Model Armor bieten verschiedene Compliance-Zertifizierungen. Bei gemeinsamer Verwendung sind die effektiven Compliance-Zertifizierungen die gemeinsame Teilmenge beider Produkte. Google empfiehlt, die Compliance-Zertifizierungen für beide Produkte zu prüfen, um sicherzustellen, dass sie Ihren behördlichen Anforderungen entsprechen.
Dokumentenprüfung	Wenn eine Model Armor-Vorlage so konfiguriert ist, dass Nutzeranfragen geprüft werden, werden die in der Anfrage enthaltenen Dokumente geprüft. Die Überprüfung erfolgt, wenn Sie dem Antrag ein Dokument hinzufügen. Wenn ein Dokument gegen die Richtlinien in der konfigurierten Vorlage verstößt, wird es verworfen und nicht in die Anfrage aufgenommen. Eine Liste der unterstützten Dokumenttypen finden Sie unter Dokumentprüfung.