Google は、組織のクラウド環境のセキュリティ、データの保護、業界の規制遵守に役立ちます。 Google Cloud全体のセキュリティに関する一般的な情報については、Google Cloud セキュリティの概要をご覧ください。
エンドユーザーのセキュリティ構成
Gemini Enterprise 内で Identity and Access Management（IAM）の設定を管理することは、セキュリティにとって非常に重要です。このセクションに記載されているリソースは、Gemini Enterprise の権限とアクセス制御を理解するのに役立ちます。
次の認証フレームワークがサポートされています。
Gemini Enterprise のデータ セキュリティ
脅威、侵害、なりすましからデータを保護することは重要です。Gemini Enterprise には、次のセキュリティ対策が施されています。
- Gemini Enterprise は VPC Service Controls と統合されています。
顧客管理の暗号鍵（CMEK）によるデフォルトのデータ暗号化。
Gemini Enterprise は、外部鍵マネージャー（EKM）またはハードウェア セキュリティ モジュール（HSM）もサポートしています。CMEK と EKM に適用される制限事項については、Gemini Enterprise の Cloud Key Management Service の制限事項をご覧ください。
Gemini Enterprise のコンプライアンス
データ コンプライアンスとは、個人情報や機密情報の取り扱いに関する法律や規制の要件を満たすことです。プライバシーと保護を確保するために、データの収集、保存、使用、セキュリティを管理します。
このセクションに記載されているリソースは、データの透明性とコンプライアンスを維持するのに役立つ情報を提供します。
- アクセスの透明性を有効にする
- 監査ロギング
- Gemini Enterprise のロケーション
- コンプライアンス管理とセキュリティ管理
- Gemini Enterprise は、ユーザーがリクエストしたデータを 60 日以内に削除します。詳細については、 Google Cloud上のデータの削除をご覧ください。
また、Gemini Enterprise は FedRAMP High に準拠しています。
Workforce Identity 連携とプール管理者
Workforce Identity 連携を使用してユーザーを認証する場合は、一部の管理者に IAM Workforce Identity プール管理者（roles/iam.workforcePoolAdmin）と IAM Workforce プール編集者（roles/iam.workforcePoolEditor）の IAM ロールを付与します。これらのロールには、他のユーザーになりすましてドキュメントにアクセスし、不正な操作を行うために使用される可能性のある強力な権限があります。
そのため、次のことをおすすめします。
これらの Workforce プールロールは、絶対に必要とする信頼できる管理者にのみ付与してください。
Privileged Access Manager を使用して、これらのロールの利用資格を設定し、使用状況を監査します。
必要な Google Cloud API
Gemini Enterprise の使用を開始するには、次の API を有効にする必要があります。
- Vertex AI API
- Gemini Enterprise（Discovery Engine）API
- Cloud Storage API
- Identity and Access Management API
Gemini Enterprise のスタートガイドについては、始める前にのセクションをご覧ください。
Gemini Enterprise（Discovery Engine）API を無効にするには、Gemini Enterprise をオフにするをご覧ください。
サードパーティ コネクタとパブリック エンドポイント
サードパーティ製コネクタは、Google のネットワーク外の公開エンドポイントとやり取りします。たとえば、データをポーリングするサードパーティの API のエンドポイントや、リアルタイム同期用の Webhook URL などです。VPC Service Controls は Google Cloud サービスを制御するように設計されているため、これらの外部の Google 以外のエンドポイントへのトラフィックを本質的にブロックしたり保護したりすることはありません。
Gemini Enterprise は、下り（外向き）トラフィックが粒度の細かい VPC ファイアウォール ルールで保護されていることを確認します。これにより、アウトバウンド接続は、提供する外部サービスの完全修飾ドメイン名（FQDN）のみに制限されます。