Par défaut, les utilisateurs accèdent aux interfaces Gemini Enterprise pour des fonctionnalités telles que les agents, l'assistant et Gemini Notebook Enterprise via l'Internet public. Pour répondre aux exigences de sécurité de l'organisation, vous pouvez établir un accès privé à l'interface utilisateur à l'aide de solutions de mise en réseau hybride telles que Cloud VPN ou Cloud Interconnect.
Pour configurer une connectivité privée à Gemini Enterprise, vous devez acheminer Google Cloud le trafic de l'API via un point de terminaison Private Service Connect (PSC) . Les utilisateurs peuvent ainsi accéder aux interfaces Gemini Enterprise via une adresse IP interne de votre cloud privé virtuel (VPC), en évitant l'Internet public.
Dans cette architecture de référence, les utilisateurs sur site ou multicloud se connectent à un point de terminaison PSC, ce qui permet d'accéder aux Google APIs via une adresse IP interne définie par l'utilisateur dans votre Google Cloud cloud privé virtuel. De plus, vous devez configurer votre DNS interne pour résoudre les domaines Gemini Enterprise en l'adresse IP du point de terminaison PSC.
Avant de commencer
Avant de configurer l'accès privé à l'interface utilisateur, assurez-vous de disposer des éléments suivants :
Un réseau Google Cloud cloud privé virtuel connecté à votre réseau sur site via Cloud Router, à l'aide de Cloud VPN ou Cloud Interconnect.
Les autorisations nécessaires pour créer des points de terminaison Private Service Connect et gérer les routes personnalisées Cloud Router.
Configurer Private Service Connect
Les adresses IP virtuelles (VIP) privées et restreintes utilisées pour l'accès privé à Google ne sont pas compatibles avec l'accès privé à l'interface utilisateur de Gemini Enterprise. Pour garantir une fonctionnalité complète, vous devez résoudre les domaines Gemini Enterprise en un point de terminaison Private Service Connect configuré avec le groupe all-apis.
Créez un point de terminaison PSC dans le même cloud privé virtuel que le routeur Cloud Router utilisé pour la mise en réseau hybride.
Ciblez le groupe d'API Toutes les API Google. Ce groupe permet d'accéder à la plupart des API Google, y compris aux points de terminaison de service
*.googleapis.com. Le groupe d'API VPC-SC n'est pas compatible avec tous les domaines Gemini Enterprise.
Configurer le routage réseau
Le point de terminaison PSC utilise une adresse IP /32 qui ne provient pas d'un sous-réseau VPC standard et n'est pas visible depuis les réseaux sur site ou multicloud. Vous devez configurer votre routeur Cloud Router pour annoncer l'adresse IP. Pour en savoir plus sur les exigences concernant les adresses IP pour les points de terminaison Private Service Connect, consultez la section
Exigences concernant les adresses IP.
Identifiez l'adresse IP que vous avez attribuée à votre point de terminaison PSC.
Dans la configuration de votre routeur Cloud Router, créez une route personnalisée pour l'adresse IP. Pour en savoir plus sur la spécification de routes annoncées personnalisées sur un routeur Cloud Router, consultez la section Annoncer des plages d'adresses personnalisées.
Mettez à jour les pare-feu sur site ou multicloud pour autoriser le trafic sortant vers l'adresse IP.
Mettre à jour les paramètres DNS
Enfin, mettez à jour vos paramètres DNS pour résoudre les domaines Gemini Enterprise à l'aide du point de terminaison PSC. Pour en savoir plus, consultez la section Créer des enregistrements DNS à l'aide de noms DNS par défaut.
Configurez les enregistrements DNS du réseau sur site ou cloud interne pour résoudre les domaines Gemini Enterprise suivants en l'adresse IP interne du point de terminaison PSC :
content-discoveryengine.googleapis.comcontent-discoveryengine.mtls.googleapis.comcontent-eu-discoveryengine.googleapis.comcontent-eu-discoveryengine.mtls.googleapis.comcontent-global-discoveryengine.googleapis.comcontent-global-discoveryengine.mtls.googleapis.comcontent-us-discoveryengine.googleapis.comcontent-us-discoveryengine.mtls.googleapis.comcontent-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.comdiscoveryengine.googleapis.comdiscoveryengine.mtls.googleapis.comdiscoveryengine.clients6.google.comeu-discoveryengine.clients6.google.comus-discoveryengine.clients6.google.comeu-discoveryengine.googleapis.comeu-discoveryengine.mtls.googleapis.comglobal-discoveryengine.googleapis.comglobal-discoveryengine.mtls.googleapis.comus-discoveryengine.googleapis.comus-discoveryengine.mtls.googleapis.comvertexaisearch.cloud.google.comvertexaisearch.cloud.googlenotebooklm.cloud.google.comnotebooklm.cloud.googleauth.cloud.googlepayments.cloud.googleaccounts.googleapis.com
Si votre environnement nécessite des limites de protection strictes contre l'exfiltration de données, configurez le domaine
discoveryengine.googleapis.comsur l'adresse IP du groupe VPC-SC.
Configurer les proxys, les pare-feu et l'inspection TLS
Si vos utilisateurs accèdent à Gemini Enterprise via un proxy d'entreprise, une passerelle Web sécurisée ou un pare-feu, configurez ces appareils pour qu'ils ne bloquent pas, ne mettent pas en mémoire tampon ni n'expirent le trafic Gemini Enterprise. Ces exigences s'appliquent que les utilisateurs se connectent via l'Internet public ou via un point de terminaison Private Service Connect.
Si vous ne configurez pas correctement ces appareils, les utilisateurs peuvent rencontrer les problèmes suivants :
- L'assistant reste à l'état Réflexion en cours... , puis affiche la réponse complète en une seule fois, au lieu de la diffuser en streaming au fur et à mesure de sa génération.
- Les requêtes échouent systématiquement après une durée fixe, par exemple 20, 30 ou 60 secondes, avec des erreurs telles que
HTTP 499ouHTTP 504. - L'application Web fonctionne sur certains réseaux, comme un réseau domestique, mais pas sur le réseau d'entreprise.
Pour éviter ces problèmes, procédez comme suit :
Autorisez le trafic HTTPS sortant sur le port
443vers tous les domaines Gemini Enterprise listés dans Mettre à jour les paramètres DNS. Autorisez les domainesglobal,useteu, même si votre application utilise un seul emplacement, car l'application Web peut appeler plusieurs de ces points de terminaison.Excluez les domaines de streaming suivants de l'inspection TLS (SSL) et de la mise en mémoire tampon des réponses ou de l'analyse du contenu. L'assistant diffuse ses réponses en streaming sur ces connexions, et les appareils qui conservent la réponse jusqu'à ce qu'elle soit complète entraînent des retards et des délais d'expiration.
content-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.com
Définissez les délais d'inactivité et de lecture sur les proxys, les équilibreurs de charge et les pare-feu du chemin de requête sur au moins 300 secondes. Les requêtes complexes, telles que celles qui utilisent plusieurs connecteurs ou agents, peuvent prendre plusieurs minutes.
Si vous appelez l'API Gemini Enterprise à partir de vos propres applications, définissez le délai d'expiration de la requête client sur au moins 300 secondes et utilisez des méthodes de streaming lorsque cela est possible.
À propos de la sécurisation de votre application avec VPC Service Controls
Pour une sécurité avancée, vous pouvez implémenter VPC Service Controls (VPC-SC) afin d'empêcher l'exfiltration de données à partir de services gérés tels que Gemini Enterprise et BigQuery. Contrairement à Identity and Access Management, qui contrôle qui peut accéder aux données, VPC-SC contrôle où les données peuvent être consultées et déplacées.
Si vous envisagez cette approche, gardez les points suivants à l'esprit :
Bien que facultatif, l'utilisation de VPC Service Controls est une bonne pratique pour bloquer l'accès public aux services Google exposés via
googleapis.com.Entre autres implications, les services (tels que
discoveryengine.googleapis.com) qui sont ajoutés à un périmètre VPC-SC sont bloqués pour tout accès public, y compris l'accès via la Google Cloud console.Pour autoriser l'accès aux services protégés dans un périmètre VPC-SC, les administrateurs doivent explicitement autoriser l'entrée à l'aide de règles d'entrée VPC-SC ou en définissant des niveaux d'accès à l'aide d'Access Context Manager.
Pour en savoir plus sur la sécurisation de votre application Gemini Enterprise à l'aide de VPC-SC et d'Access Context Manager, consultez la section Sécuriser votre application avec VPC Service Controls.