Por padrão, os usuários acessam as interfaces do Gemini Enterprise para recursos como agentes, o Google Assistente e o Gemini Notebook Enterprise pela Internet pública. Para atender aos requisitos de segurança da organização, é possível estabelecer acesso particular UI usando soluções de rede híbrida, como o Cloud VPN ou o Cloud Interconnect.
Para configurar a conectividade particular ao Gemini Enterprise, é necessário encaminhar Google Cloud o tráfego da API por um endpoint do Private Service Connect (PSC) . Isso permite que os usuários acessem as interfaces do Gemini Enterprise por um endereço IP interno na nuvem privada virtual (VPC, na sigla em inglês), evitando a Internet pública.
Nessa arquitetura de referência, os usuários locais ou multicloud se conectam a um endpoint do PSC, que permite o acesso às APIs do Google por um endereço IP interno definido pelo usuário na Google Cloud nuvem privada virtual. Além disso, é necessário configurar o DNS interno para resolver os domínios do Gemini Enterprise no endereço IP do endpoint do PSC.
Antes de começar
Antes de configurar o acesso particular UI, verifique se você tem o seguinte:
Uma Google Cloud rede de nuvem privada virtual conectada à rede local pelo Cloud Router, usando o Cloud VPN ou o Cloud Interconnect.
Permissões para criar endpoints do Private Service Connect e gerenciar rotas personalizadas do Cloud Router.
Configure o Private Service Connect
Os endereços IP virtuais (VIPs) particulares e restritos usados para o Acesso Privado do Google não oferecem suporte ao acesso particular à interface do Gemini Enterprise. Para garantir a funcionalidade completa, é necessário resolver os domínios do Gemini Enterprise em um endpoint do Private Service Connect configurado com o pacote all-apis.
Crie um endpoint do PSC na mesma nuvem privada virtual que o Cloud Router usado para redes híbridas.
Segmente o pacote de APIs Todas as APIs do Google. Esse pacote fornece acesso à maioria das APIs do Google, incluindo endpoints de serviço
*.googleapis.com. O pacote de APIs VPC-SC não oferece suporte a todos os domínios do Gemini Enterprise.
Configurar o roteamento de rede
O endpoint do PSC usa um endereço IP /32 que não se origina de uma sub-rede VPC padrão e não fica visível em redes locais ou multicloud. É necessário configurar o Cloud Router para anunciar o endereço IP. Para mais
informações sobre os requisitos de endereço IP para endpoints do Private Service Connect, consulte
Requisitos de endereço IP.
Identifique o endereço IP atribuído ao endpoint do PSC.
Na configuração do Cloud Router, crie uma rota personalizada para o endereço IP. Para mais informações sobre como especificar rotas divulgadas personalizadas em um Cloud Router, consulte Anunciar intervalos de endereços personalizados.
Atualize os firewalls locais ou multicloud para permitir o tráfego de saída para o endereço IP.
Atualizar as configurações de DNS
Por fim, atualize as configurações de DNS para resolver os domínios do Gemini Enterprise usando o endpoint do PSC. Para mais informações, consulte Criar registros DNS usando nomes DNS padrão.
Configure os registros DNS de rede local ou de nuvem internos para resolver os seguintes domínios do Gemini Enterprise no endereço IP interno do endpoint do PSC:
content-discoveryengine.googleapis.comcontent-discoveryengine.mtls.googleapis.comcontent-eu-discoveryengine.googleapis.comcontent-eu-discoveryengine.mtls.googleapis.comcontent-global-discoveryengine.googleapis.comcontent-global-discoveryengine.mtls.googleapis.comcontent-us-discoveryengine.googleapis.comcontent-us-discoveryengine.mtls.googleapis.comcontent-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.comdiscoveryengine.googleapis.comdiscoveryengine.mtls.googleapis.comdiscoveryengine.clients6.google.comeu-discoveryengine.clients6.google.comus-discoveryengine.clients6.google.comeu-discoveryengine.googleapis.comeu-discoveryengine.mtls.googleapis.comglobal-discoveryengine.googleapis.comglobal-discoveryengine.mtls.googleapis.comus-discoveryengine.googleapis.comus-discoveryengine.mtls.googleapis.comvertexaisearch.cloud.google.comvertexaisearch.cloud.googlenotebooklm.cloud.google.comnotebooklm.cloud.googleauth.cloud.googlepayments.cloud.googleaccounts.googleapis.com
Se o ambiente exigir limites de proteção de exfiltração de dados rigorosos, configure o domínio
discoveryengine.googleapis.compara o endereço IP do pacote VPC-SC.
Configurar proxies, firewalls e inspeção de TLS
Se os usuários acessarem o Gemini Enterprise por um proxy corporativo, gateway da Web seguro ou firewall, configure esses dispositivos para que eles não bloqueiem, armazenem em buffer ou excedam o tempo limite do tráfego do Gemini Enterprise. Esses requisitos se aplicam se os usuários se conectarem pela Internet pública ou por um endpoint do Private Service Connect.
Se você não configurar esses dispositivos corretamente, os usuários poderão encontrar os seguintes sintomas:
- O Google Assistente permanece no estado Pensando… e mostra a resposta inteira de uma vez, em vez de transmiti-la à medida que ela é gerada.
- As solicitações falham consistentemente após uma duração fixa, como 20, 30 ou 60 segundos, com erros como
HTTP 499ouHTTP 504. - O app da Web funciona em algumas redes, como uma rede doméstica, mas não na rede corporativa.
Para evitar esses problemas, faça o seguinte:
Permita o tráfego HTTPS de saída na porta
443para todos os domínios do Gemini Enterprise listados em Atualizar as configurações de DNS. Permita os domíniosglobal,useeu, mesmo que o app use um único local, porque o app da Web pode chamar mais de um desses endpoints.Exclua os seguintes domínios de streaming da inspeção de TLS (SSL) e do buffer de resposta ou da verificação de conteúdo. O Google Assistente transmite as respostas por essas conexões, e os dispositivos que mantêm a resposta até que ela seja concluída causam atrasos e tempos limite.
content-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.com
Defina os tempos limite de inatividade e leitura em proxies, balanceadores de carga e firewalls no caminho da solicitação para pelo menos 300 segundos. Solicitações complexas, como aquelas que usam vários conectores ou agentes, podem levar vários minutos para serem concluídas.
Se você chamar a API Gemini Enterprise dos seus próprios aplicativos, defina o tempo limite da solicitação do cliente para pelo menos 300 segundos e use métodos de streaming quando disponíveis.
Sobre como proteger seu app com o VPC Service Controls
Para segurança avançada, é possível implementar o VPC Service Controls (VPC-SC) para evitar a exfiltração de dados de serviços gerenciados, como o Gemini Enterprise e o BigQuery. Ao contrário do Identity and Access Management, que controla quem pode acessar os dados, o VPC-SC controla onde os dados podem ser acessados e movidos.
Se você estiver considerando essa abordagem, tenha em mente o seguinte:
Embora seja opcional, o uso do VPC Service Controls é uma prática recomendada para bloquear o acesso público aos serviços do Google expostos por
googleapis.com.Entre outras implicações, os serviços (como
discoveryengine.googleapis.com) que são adicionados a um perímetro do VPC-SC são bloqueados para todo o acesso público, incluindo o acesso pelo Google Cloud console.Para permitir o acesso a serviços protegidos em um perímetro do VPC-SC, os administradores precisam permitir explicitamente a entrada usando regras de entrada do VPC-SC ou definindo níveis de acesso usando o Access Context Manager.
Para mais informações sobre como proteger seu app Gemini Enterprise usando o VPC-SC e o Access Context Manager, consulte Proteger seu app com o VPC Service Controls.