Per impostazione predefinita, gli utenti accedono alle interfacce di Gemini Enterprise per funzionalità come agenti, l'assistente e Gemini Notebook Enterprise tramite la rete internet pubblica. Per soddisfare i requisiti di sicurezza dell'organizzazione, puoi stabilire l'accesso privato all'interfaccia utente utilizzando soluzioni di networking ibrido come Cloud VPN o Cloud Interconnect.
Per configurare la connettività privata a Gemini Enterprise, devi instradare Google Cloud il traffico API tramite un endpoint Private Service Connect (PSC) . In questo modo, gli utenti possono accedere alle interfacce di Gemini Enterprise tramite un indirizzo IP interno all'interno del tuo Virtual Private Cloud (VPC), evitando la rete internet pubblica.
In questa architettura di riferimento, gli utenti on-premise o multi-cloud si connettono a un endpoint PSC, che consente l'accesso alle API di Google tramite un indirizzo IP interno definito dall'utente all'interno del tuo Google Cloud Virtual Private Cloud. Inoltre, devi configurare il DNS interno per risolvere i domini di Gemini Enterprise nell'indirizzo IP dell'endpoint PSC.
Prima di iniziare
Prima di configurare l'accesso privato all'interfaccia utente, assicurati di avere:
Una rete Google Cloud Virtual Private Cloud connessa alla tua rete on-premise tramite router Cloud, utilizzando Cloud VPN o Cloud Interconnect.
Autorizzazioni per creare endpoint Private Service Connect e gestire le route personalizzate di router Cloud.
Configurazione di Private Service Connect
Gli indirizzi IP virtuali (VIP) privati e limitati utilizzati per l'accesso privato Google non supportano l'accesso privato all'interfaccia utente di Gemini Enterprise. Per garantire la piena funzionalità, devi risolvere i domini di Gemini Enterprise in un endpoint Private Service Connect configurato con il bundle all-apis.
Crea un nuovo endpoint PSC nello stesso Virtual Private Cloud del router Cloud utilizzato per il networking ibrido.
Seleziona il bundle API Tutte le API di Google. Questo bundle fornisce l'accesso alla maggior parte delle API di Google, inclusi gli endpoint di servizio
*.googleapis.com. Il bundle API VPC-SC non supporta tutti i domini di Gemini Enterprise.
Configurazione del routing di rete
L'endpoint PSC utilizza un indirizzo IP /32 che non proviene da una subnet VPC standard e non sarà visibile dalle reti on-premise o multi-cloud. Devi configurare router Cloud per annunciare l'indirizzo IP. Per saperne di più sui requisiti dell'indirizzo IP per gli endpoint Private Service Connect, consulta
Requisiti dell'indirizzo IP.
Identifica l'indirizzo IP che hai assegnato all'endpoint PSC.
Nella configurazione del router Cloud, crea una route personalizzata per l'indirizzo IP. Per saperne di più sulla specifica delle route annunciate personalizzate in un router Cloud, consulta Annuncia intervalli di indirizzi personalizzati.
Aggiorna i firewall on-premise o multi-cloud per consentire il traffico in uscita verso l'indirizzo IP.
Aggiornamento delle impostazioni DNS
Infine, aggiorna le impostazioni DNS per risolvere i domini di Gemini Enterprise utilizzando l'endpoint PSC. Per saperne di più, consulta Creare record DNS utilizzando i nomi DNS predefiniti.
Configura i record DNS della rete on-premise o cloud interna per risolvere i seguenti domini di Gemini Enterprise nell'indirizzo IP interno dell'endpoint PSC:
content-discoveryengine.googleapis.comcontent-discoveryengine.mtls.googleapis.comcontent-eu-discoveryengine.googleapis.comcontent-eu-discoveryengine.mtls.googleapis.comcontent-global-discoveryengine.googleapis.comcontent-global-discoveryengine.mtls.googleapis.comcontent-us-discoveryengine.googleapis.comcontent-us-discoveryengine.mtls.googleapis.comcontent-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.comdiscoveryengine.googleapis.comdiscoveryengine.mtls.googleapis.comdiscoveryengine.clients6.google.comeu-discoveryengine.clients6.google.comus-discoveryengine.clients6.google.comeu-discoveryengine.googleapis.comeu-discoveryengine.mtls.googleapis.comglobal-discoveryengine.googleapis.comglobal-discoveryengine.mtls.googleapis.comus-discoveryengine.googleapis.comus-discoveryengine.mtls.googleapis.comvertexaisearch.cloud.google.comvertexaisearch.cloud.googlenotebooklm.cloud.google.comnotebooklm.cloud.googleauth.cloud.googlepayments.cloud.googleaccounts.googleapis.com
Se il tuo ambiente richiede limiti di protezione rigorosi per esfiltrazione di dati, configura il dominio
discoveryengine.googleapis.comnell'indirizzo IP del bundle VPC-SC.
Configurazione di proxy, firewall e ispezione TLS
Se gli utenti accedono a Gemini Enterprise tramite un proxy aziendale, un gateway web sicuro o un firewall, configura questi dispositivi in modo che non blocchino, memorizzino nel buffer o scadano il traffico di Gemini Enterprise. Questi requisiti si applicano indipendentemente dal fatto che gli utenti si connettano tramite la rete internet pubblica o tramite un endpoint Private Service Connect.
Se non configuri correttamente questi dispositivi, gli utenti potrebbero riscontrare i seguenti sintomi:
- L'assistente rimane nello stato Sto pensando... e poi mostra l'intera risposta contemporaneamente, anziché trasmetterla in streaming durante la generazione.
- Le richieste non vanno a buon fine in modo coerente dopo una durata fissa, ad esempio 20, 30 o 60 secondi, con errori come
HTTP 499oHTTP 504. - L'app web funziona su alcune reti, ad esempio una rete domestica, ma non sulla rete aziendale.
Per evitare questi problemi:
Consenti il traffico HTTPS in uscita sulla porta
443a tutti i domini di Gemini Enterprise elencati in Aggiorna le impostazioni DNS. Consenti i dominiglobal,usedeuanche se la tua app utilizza una singola località, perché l'app web può chiamare più di uno di questi endpoint.Escludi i seguenti domini di streaming dall'ispezione TLS (SSL) e dalla memorizzazione nel buffer delle risposte o dalla scansione dei contenuti. L'assistente trasmette le risposte in streaming su queste connessioni e i dispositivi che conservano la risposta fino al completamento causano ritardi e timeout.
content-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.com
Imposta i timeout di inattività e di lettura su proxy, bilanciatori del carico e firewall nel percorso della richiesta su almeno 300 secondi. Le richieste complesse, ad esempio quelle che utilizzano più connettori o agenti, possono richiedere diversi minuti per essere completate.
Se chiami l'API Gemini Enterprise dalle tue applicazioni, imposta il timeout della richiesta client su almeno 300 secondi e utilizza i metodi di streaming, se disponibili.
Informazioni sulla protezione dell'app con i Controlli di servizio VPC
Per una sicurezza avanzata, puoi implementare i Controlli di servizio VPC (VPC-SC) per impedire l'esfiltrazione dei dati da servizi gestiti come Gemini Enterprise e BigQuery. A differenza di Identity and Access Management, che controlla chi può accedere ai dati, i Controlli di servizio VPC controllano dove è possibile accedere e spostare i dati.
Se stai valutando questo approccio, tieni presente quanto segue:
Sebbene sia facoltativo, l'utilizzo dei Controlli di servizio VPC è una best practice per bloccare l'accesso pubblico ai servizi Google esposti tramite
googleapis.com.Tra le altre implicazioni, i servizi (come
discoveryengine.googleapis.com) aggiunti a un perimetro VPC-SC vengono bloccati per tutti gli accessi pubblici, incluso l'accesso tramite la Google Cloud console.Per consentire l'accesso ai servizi protetti all'interno di un perimetro VPC-SC, gli amministratori devono consentire esplicitamente l'ingresso utilizzando le regole di ingresso VPC-SC o definendo i livelli di accesso utilizzando Gestore contesto accesso.
Per saperne di più sulla protezione dell'app Gemini Enterprise utilizzando VPC-SC e Gestore contesto accesso, consulta Proteggere l'app con i Controlli di servizio VPC.