Google aide les organisations à sécuriser leur environnement cloud, à protéger leurs données et à se conformer aux réglementations du secteur. Pour obtenir des informations générales sur la sécurité dans l'ensemble de Google Cloud, consultez la présentation de la sécuritéGoogle Cloud .
Configurations de sécurité pour les utilisateurs finaux
La gestion de vos paramètres IAM (Identity and Access Management) dans Gemini Enterprise est essentielle pour la sécurité. Les ressources listées dans cette section vous aident à comprendre les autorisations et les contrôles d'accès dans Gemini Enterprise :
- Identité et autorisations
- Configurer des identités externes
- S'authentifier auprès de l'API Gemini Enterprise
- Contrôle des accès avec IAM
Les frameworks d'authentification suivants sont compatibles :
Sécurité des données Gemini Enterprise
Il est important de protéger vos données contre les menaces, les violations et le vol d'identité. Gemini Enterprise a mis en place les mesures de sécurité suivantes :
- Gemini Enterprise est intégré à VPC Service Controls.
Chiffrement des données par défaut avec des clés de chiffrement gérées par le client (CMEK).
Gemini Enterprise est également compatible avec un gestionnaire de clés externe (EKM) ou un module de sécurité matérielle (HSM). Pour en savoir plus sur les limites qui s'appliquent aux CMEK et à EKM, consultez Limites de Cloud Key Management Service dans Gemini Enterprise.
Conformité de Gemini Enterprise
La conformité des données implique de respecter les exigences légales et réglementaires concernant le traitement des informations personnelles et sensibles. Elle régit la collecte, le stockage, l'utilisation et la sécurité des données pour garantir leur confidentialité et leur protection.
Les ressources listées dans cette section fournissent des informations pour vous aider à maintenir la transparence et la conformité des données :
- Activer Access Transparency
- Journaux d'audit
- Emplacements Gemini Enterprise
- Certifications de conformité et contrôles de sécurité
- Gemini Enterprise supprime les données demandées par l'utilisateur dans un délai de 60 jours. Pour en savoir plus, consultez Suppression des données sur Google Cloud.
Administrateurs de pools et de la fédération des identités des employés
Si vous utilisez la fédération des identités des employés pour authentifier vos utilisateurs, vous devez attribuer les rôles IAM d'administrateur de pool d'identités des employés (roles/iam.workforcePoolAdmin) et d'éditeur de pool d'employés (roles/iam.workforcePoolEditor) à certains de vos administrateurs. Ces rôles peuvent modifier les mappages d'attributs des pools d'employés.
Des modifications incorrectes, qu'elles soient intentionnelles ou accidentelles, risquent de permettre l'emprunt d'identité, ce qui peut entraîner un accès non autorisé aux documents et des actions non autorisées.
Pour cette raison, nous vous recommandons de suivre les conseils suivants :
N'attribuez ces rôles de pool d'employés qu'aux administrateurs de confiance qui en ont absolument besoin.
Utilisez Privileged Access Manager pour configurer les droits d'accès pour ces rôles et auditer leur utilisation.
Intégrez les journaux d'audit de Workforce Identity Federation à votre solution de surveillance de la sécurité (par exemple, SIEM) pour détecter rapidement toute modification des mappages d'attributs ou toute tentative d'accès non autorisée, et envoyer des alertes.
API Google Cloud requises
Pour commencer à utiliser Gemini Enterprise, vous devez activer les API suivantes :
- API Gemini Enterprise Agent Platform
- API Discovery Engine
- API Cloud Storage
- API IAM (Identity and Access Management)
Pour en savoir plus sur les premiers pas avec Gemini Enterprise, consultez la section Avant de commencer.
Pour désactiver l'API Gemini Enterprise (Discovery Engine), consultez Désactiver Gemini Enterprise.
Connecteurs tiers et points de terminaison publics
Les connecteurs tiers interagissent avec des points de terminaison publics en dehors du réseau de Google, par exemple des points de terminaison pour l'API d'un tiers pour l'interrogation de données ou une URL de webhook pour la synchronisation en temps réel. Comme VPC Service Controls est conçu pour régir les services Google Cloud , il ne bloque ni ne sécurise intrinsèquement le trafic vers ces points de terminaison externes non Google.
Pour limiter ce risque, Gemini Enterprise s'assure que votre trafic de sortie est sécurisé par des règles de pare-feu VPC précises, qui limitent les connexions sortantes aux seuls noms de domaine complets (FQDN) du service externe que vous fournissez.
Exigences de communication réseau
Cette section décrit les exigences de communication réseau pour se connecter à Gemini Enterprise et l'utiliser.
Trafic entrant (de l'utilisateur au service)
Toutes les communications entre le navigateur d'un utilisateur et les points de terminaison visibles par l'utilisateur de Gemini Enterprise (tels que console.cloud.google.com, vertexaisearch.cloud.google.com et notebooklm.cloud.google.com), les points de terminaison d'authentification (tels que auth.cloud.google) et les points de terminaison programmatiques (tels que *.googleapis.com et *.clients6.google.com) s'effectuent via HTTPS sur le port TCP 443. Les pare-feu de votre organisation doivent autoriser les connexions sortantes du réseau de votre utilisateur vers ces points de terminaison sur ce port. Pour obtenir la liste complète des domaines, consultez Configurer l'accès privé à l'interface utilisateur.
- Protocole : HTTPS
- Port : TCP/443
- Direction : réseau de l'utilisateur (sortant) vers Google Cloud (entrant)
Contrôles réseau côté service
Gemini Enterprise est une offre Software as a Service (SaaS) gérée par Google. Par conséquent, vous n'avez pas d'accès direct à l'infrastructure réseau sous-jacente. Vous ne pouvez pas implémenter de contrôles réseau personnalisés, tels que des règles de pare-feu ou des configurations VPC Service Controls, directement sur le service. La sécurité est gérée par Google, conformément aux pratiques de sécurité rigoureuses deGoogle Cloud.
Trafic sortant (du service vers d'autres points de terminaison)
Dans certains workflows d'IA agentique, par exemple lorsque vous utilisez des extensions ou l'ancrage de données d'entreprise, Gemini Enterprise (ou les agents hébergés sur Agent Runtime sur Gemini Enterprise Agent Platform) peut initier des connexions réseau sortantes.
- Origine : tout le trafic sortant provient des plages d'adresses IP internes de Google. Ce trafic ne provient pas de l'infrastructure réseau que vous contrôlez et ne transite pas par celle-ci.
- Objectif : ce trafic est utilisé pour se connecter aux API et aux sources de données autorisées (par exemple, les API Google Workspace et les API publiques pour les extensions) afin de répondre aux demandes des utilisateurs.
- Sécurité : ces connexions sont établies de manière sécurisée via des canaux chiffrés (HTTPS/TLS) et sont régies par les règles de sécurité interne et les règles de réseau de production de Google.