Visão geral da segurança do Gemini Enterprise

O Google ajuda as organizações a proteger o ambiente de nuvem e os dados, além de obedecer às regulamentações do setor. Para informações gerais sobre segurança em todo o Google Cloud, consulte a visão geral de segurança doGoogle Cloud .

Configurações de segurança do usuário final

Gerenciar as configurações do Identity and Access Management (IAM) no Gemini Enterprise é crucial para a segurança. Os recursos listados nesta seção ajudam você a entender as permissões e os controles de acesso no Gemini Enterprise:

Os seguintes frameworks de autenticação são compatíveis:

Segurança de dados do Gemini Enterprise

É importante proteger seus dados contra ameaças, violações e roubo de identidade. O Gemini Enterprise conta com as seguintes medidas de segurança:

Conformidade do Gemini Enterprise

A conformidade de dados envolve o cumprimento de requisitos legais e regulatórios para o tratamento de informações pessoais e sensíveis. Ela rege a coleta de dados, o armazenamento, o uso e a segurança para garantir a privacidade e a proteção.

Os recursos listados nesta seção fornecem informações para ajudar você a manter a transparência e a conformidade dos dados:

Administradores de pool e federação de identidade de colaboradores

Se você usa a federação de identidade de colaboradores para autenticar seus usuários, conceda os papéis do IAM de administrador de pool de identidades de colaboradores do IAM (roles/iam.workforcePoolAdmin) e editor de pool de colaboradores do IAM (roles/iam.workforcePoolEditor) a alguns dos seus administradores. Esses papéis podem modificar os mapeamentos de atributos do pool de colaboradores. Mudanças incorretas, sejam intencionais ou acidentais, podem permitir a falsificação de identidade do usuário, o que pode levar a acessos e ações não autorizados em documentos.

Por isso, recomendamos o seguinte:

  • Conceda esses papéis de pool de colaboradores apenas a administradores confiáveis que realmente precisem deles.

  • Use o Privileged Access Manager para configurar direitos para esses papéis e auditar o uso deles.

  • Integre os registros de auditoria da federação de identidade de colaboradores à sua solução de monitoramento de segurança (por exemplo, SIEM) para detectar e alertar rapidamente sobre mudanças nos mapeamentos de atributos ou tentativas de acesso não autorizado.

APIs Google Cloud obrigatórias

Para começar a usar o Gemini Enterprise, as seguintes APIs precisam estar ativadas:

  • API Gemini Enterprise Agent Platform
  • API Discovery Engine
  • API Cloud Storage
  • API Identity and Access Manager (IAM)

Para mais informações sobre como começar a usar o Gemini Enterprise, consulte a seção Antes de começar.

Para desativar a API Gemini Enterprise (Discovery Engine), consulte Desativar o Gemini Enterprise.

Conectores de terceiros e endpoints públicos

Os conectores de terceiros interagem com endpoints públicos fora da rede do Google. Por exemplo, endpoints para a API de terceiros para dados de pesquisa ou um URL do webhook para sincronização em tempo real. Como o VPC Service Controls foi projetado para controlar os serviços do Google Cloud , ele não bloqueia nem protege o tráfego para esses endpoints externos que não são do Google.

Para mitigar esse risco, o Gemini Enterprise garante que o tráfego de saída seja protegido por regras granulares de firewall da VPC, que restringem as conexões de saída apenas aos nomes de domínio totalmente qualificados (FQDNs) do serviço externo que você fornece.

Requisitos de comunicação de rede

Nesta seção, descrevemos os requisitos de comunicação de rede para se conectar ao Gemini Enterprise e usá-lo.

Tráfego de entrada (usuário para serviço)

Toda a comunicação do navegador de um usuário com os endpoints voltados ao usuário do Gemini Enterprise (como console.cloud.google.com, vertexaisearch.cloud.google.com e notebooklm.cloud.google.com), os endpoints de autenticação (como auth.cloud.google) e os endpoints programáticos (como *.googleapis.com e *.clients6.google.com) ocorre por HTTPS na porta TCP 443. Os firewalls da sua organização precisam permitir conexões de saída da rede do usuário para esses endpoints nessa porta. Para uma lista completa de domínios, consulte Configurar o acesso privado à interface.

  • Protocolo: HTTPS
  • Porta: TCP/443
  • Direção: da rede do usuário (saída) para o Google Cloud (entrada)

Controles de rede do lado do serviço

O Gemini Enterprise é uma oferta de software como serviço (SaaS) gerenciada pelo Google. Por isso, você não tem acesso direto à infraestrutura de rede subjacente. Não é possível implementar controles de rede personalizados, como regras de firewall ou configurações do VPC Service Controls, diretamente no serviço. A segurança é gerenciada pelo Google, de acordo com as práticas de segurança robustas do Google Cloud.

Tráfego de saída (serviço para outros endpoints)

Em determinados fluxos de trabalho de IA agêntica, como ao usar extensões ou embasamento de dados empresariais, o Gemini Enterprise (ou agentes hospedados no Agent Runtime na Gemini Enterprise Agent Platform) pode iniciar conexões de rede de saída.

  • Origem: todo o tráfego de saída se origina dos intervalos de endereços IP internos do Google. Esse tráfego não se origina nem passa pela infraestrutura de rede que você controla.
  • Finalidade: esse tráfego é usado para se conectar a APIs e fontes de dados autorizadas (por exemplo, APIs do Google Workspace e APIs públicas para extensões) para atender às solicitações dos usuários.
  • Segurança: essas conexões são feitas de forma segura por canais criptografados (HTTPS/TLS) e são regidas pelas políticas internas de segurança e rede de produção do Google.