Panoramica della sicurezza di Gemini Enterprise

Google aiuta le organizzazioni a proteggere il proprio ambiente cloud, i propri dati e a rispettare le normative del settore. Per informazioni generali sulla sicurezza in tutto Google Cloud, consulta la panoramica sulla sicurezza diGoogle Cloud .

Configurazioni di sicurezza per gli utenti finali

La gestione delle impostazioni di Identity and Access Management (IAM) all'interno di Gemini Enterprise è fondamentale per la sicurezza. Le risorse elencate in questa sezione ti aiutano a comprendere le autorizzazioni e i controlli degli accessi in Gemini Enterprise:

Sono supportati i seguenti framework di autenticazione:

Sicurezza dei dati di Gemini Enterprise

Proteggere i tuoi dati da minacce, violazioni e furti d'identità è importante. Gemini Enterprise adotta le seguenti misure di sicurezza:

Conformità di Gemini Enterprise

La conformità dei dati implica il rispetto dei requisiti legali e normativi per la gestione delle informazioni personali e sensibili. Regola la raccolta dei dati, l'archiviazione, l'utilizzo e la sicurezza per garantire la privacy e la protezione.

Le risorse elencate in questa sezione forniscono informazioni per aiutarti a mantenere la trasparenza e la conformità dei dati:

Amministratori della federazione delle identità per la forza lavoro e dei pool

Se utilizzi la federazione delle identità per la forza lavoro per autenticare gli utenti, concedi i ruoli IAM Amministratore pool Workload Identity IAM (roles/iam.workforcePoolAdmin) e Editor pool di forza lavoro IAM (roles/iam.workforcePoolEditor) ad alcuni dei tuoi amministratori. Questi ruoli possono modificare i mapping degli attributi del pool di forza lavoro. Le modifiche errate, intenzionali o accidentali, rischiano di consentire l'impersonificazione di un utente, il che può portare ad azioni e accessi ai documenti non autorizzati.

Per questo motivo, ti consigliamo di:

  • Concedi questi ruoli del pool di forza lavoro solo agli amministratori attendibili che ne hanno assolutamente bisogno.

  • Utilizza Privileged Access Manager per configurare i diritti per questi ruoli e per controllarne l'utilizzo.

  • Integra gli audit log della federazione delle identità per la forza lavoro nella tua soluzione di monitoraggio della sicurezza (ad esempio, SIEM) per rilevare rapidamente eventuali modifiche alle mappature degli attributi o tentativi di accesso non autorizzati e ricevere avvisi.

API Google Cloud obbligatorie

Per iniziare a utilizzare Gemini Enterprise, devi abilitare le seguenti API:

  • API Gemini Enterprise Agent Platform
  • API Discovery Engine
  • API Cloud Storage
  • API Identity and Access Management (IAM)

Per saperne di più su come iniziare a utilizzare Gemini Enterprise, consulta la sezione Prima di iniziare.

Per disattivare l'API Gemini Enterprise (Discovery Engine), consulta Disattiva Gemini Enterprise.

Connettori di terze parti ed endpoint pubblici

I connettori di terze parti interagiscono con endpoint pubblici esterni alla rete di Google, ad esempio endpoint per l'API di una terza parte per il polling dei dati o un URL webhook per la sincronizzazione in tempo reale. Poiché i Controlli di servizio VPC sono progettati per gestire i servizi Google Cloud , non bloccano né proteggono intrinsecamente il traffico verso questi endpoint esterni non Google.

Per mitigare questo problema, Gemini Enterprise si assicura che il traffico in uscita sia protetto da regole firewall VPC granulari, che limitano le connessioni in uscita solo ai nomi di dominio completi (FQDN) del servizio esterno che fornisci.

Requisiti di comunicazione di rete

Questa sezione descrive i requisiti di comunicazione di rete per la connessione e l'utilizzo di Gemini Enterprise.

Traffico in entrata (da utente a servizio)

Tutte le comunicazioni dal browser di un utente agli endpoint rivolti agli utenti di Gemini Enterprise (come console.cloud.google.com, vertexaisearch.cloud.google.com e notebooklm.cloud.google.com), agli endpoint di autenticazione (come auth.cloud.google) e agli endpoint programmatici (come *.googleapis.com e *.clients6.google.com) avvengono tramite HTTPS sulla porta TCP 443. I firewall della tua organizzazione devono consentire le connessioni in uscita dalla rete dell'utente a questi endpoint su questa porta. Per un elenco completo dei domini, consulta Configura l'accesso privato alla UI.

  • Protocollo: HTTPS
  • Porta: TCP/443
  • Direzione: dalla rete dell'utente (in uscita) a Google Cloud (in entrata)

Controlli di rete lato servizio

Gemini Enterprise è un'offerta Software as a Service (SaaS) gestita da Google. Di conseguenza, non hai accesso diretto all'infrastruttura di rete sottostante. Non puoi implementare controlli di rete personalizzati, come regole firewall o configurazioni dei Controlli di servizio VPC, direttamente sul servizio. La sicurezza è gestita da Google, nel rispetto delle solide pratiche di sicurezza diGoogle Cloud.

Traffico in uscita (dal servizio ad altri endpoint)

In alcuni workflow di AI agentica, ad esempio quando si utilizzano estensioni o il grounding dei dati aziendali, Gemini Enterprise (o gli agenti ospitati su Agent Runtime su Gemini Enterprise Agent Platform) può avviare connessioni di rete in uscita.

  • Origine: tutto il traffico in uscita proviene dagli intervalli di indirizzi IP interni di Google. Questo traffico non ha origine né transita attraverso l'infrastruttura di rete che controlli.
  • Scopo: questo traffico viene utilizzato per connettersi ad API e origini dati autorizzate (ad esempio, API Google Workspace e API pubbliche per le estensioni) per soddisfare le richieste degli utenti.
  • Sicurezza: queste connessioni vengono effettuate in modo sicuro tramite canali crittografati (HTTPS/TLS) e sono regolate dalle policy interne di Google relative alla sicurezza e alle policy di rete di produzione.