Gemini Enterprise 安全概览

Google 可帮助组织保护云环境、保护数据以及遵守行业法规。如需大致了解 Google Cloud的所有方面的安全性，请参阅Google Cloud 安全概览。

最终用户安全配置

在 Gemini Enterprise 中管理 Identity and Access Management (IAM) 设置对于安全性至关重要。 本部分列出的资源可帮助您了解 Gemini Enterprise 中的权限和访问权限控制：

• 身份和权限
• 设置外部身份
• 向 Gemini Enterprise API 进行身份验证
• 使用 IAM 进行访问权限控制

支持以下身份验证框架：

• 员工身份联合

  注意：使用第三方连接器向 Gemini Enterprise 发送数据时，我们建议使用员工身份联合 (WIF)。

• Google 身份

• 工作负载身份联合

Gemini Enterprise 数据安全

保护您的数据免受威胁、泄露和身份盗用的侵害非常重要。 Gemini Enterprise 采取以下安全措施：

• Gemini Enterprise 与 VPC Service Controls 集成。

• 使用客户管理的加密密钥 (CMEK) 进行默认数据加密。

  Gemini Enterprise 还支持外部密钥管理器 (EKM) 或硬件安全模块 (HSM)。如需了解适用于 CMEK 和 EKM 的限制，请参阅 Gemini Enterprise 中 Cloud Key Management Service 的限制。

Gemini Enterprise 合规性

数据合规性是指在处理个人信息和敏感信息时，满足法律和法规要求。它负责管理数据的收集、存储、使用和安全，以确保隐私和保护。

本部分列出的资源提供了相关信息，可帮助您保持数据透明度和合规性：

• 启用 Access Transparency
• 审核日志记录
• Gemini Enterprise 位置
• 合规性认证和安全控制措施
• Gemini Enterprise 会在 60 天内删除用户请求的数据。如需了解详情，请参阅 Google Cloud上的数据删除。

员工身份联合和身份池管理员

如果您使用员工身份联合来对用户进行身份验证，则需要向部分管理员授予 IAM Workforce Identity Pool Admin (roles/iam.workforcePoolAdmin) 和 IAM Workforce Pool Editor (roles/iam.workforcePoolEditor) IAM 角色。这些角色可以修改员工池属性映射。 不正确的更改（无论是故意还是意外）都可能导致用户模拟，从而导致未经授权的文档访问和操作。

因此，我们建议您执行以下操作：

• 仅向绝对需要这些员工池角色的受信任管理员授予这些角色。

• 使用 Privileged Access Manager 为这些角色设置使用权并审核其使用情况。

• 将员工身份联合审核日志集成到您的安全监控解决方案（例如 SIEM）中，以便快速检测属性映射的任何更改或未经授权的访问尝试并发出提醒。

必需的 Google Cloud API

如需开始使用 Gemini Enterprise，您必须启用以下 API：

• Gemini Enterprise Agent Platform API
• Discovery Engine API
• Cloud Storage API
• Identity and Access Management (IAM) API

如需详细了解如何开始使用 Gemini Enterprise，请参阅准备工作部分。

如需停用 Gemini Enterprise (Discovery Engine) API，请参阅关闭 Gemini Enterprise。

第三方连接器和公共端点

第三方连接器可与 Google 网络之外的公共端点进行交互；例如，用于轮询数据的第三方 API 的端点或用于实时同步的 webhook 网址。由于 VPC Service Controls 旨在管控 Google Cloud 服务，因此它们本身不会阻止或保护流向这些外部非 Google 端点的流量。

为缓解此风险，Gemini Enterprise 会确保您的出站流量受到精细 VPC 防火墙规则的保护，这些规则会将出站连接仅限于您提供的外部服务的完全限定域名 (FQDN)。

网络通信要求

本部分概述了连接和使用 Gemini Enterprise 的网络通信要求。

入站流量（用户到服务）

从用户浏览器到 Gemini Enterprise 面向用户的端点（例如 console.cloud.google.com、vertexaisearch.cloud.google.com 和 notebooklm.cloud.google.com）、身份验证端点（例如 auth.cloud.google）和程序化端点（例如 *.googleapis.com 和 *.clients6.google.com）的所有通信都通过 TCP 端口 443 上的 HTTPS 进行。贵组织的防火墙必须允许从用户网络到此端口上的这些端点的出站连接。如需查看网域的完整列表，请参阅配置专用界面访问权限。

• 协议：HTTPS
• 端口：TCP/443
• 方向：从用户网络（出站）到 Google Cloud （入站）

服务侧网络控制

Gemini Enterprise 是 Google 管理的软件即服务 (SaaS) 产品。因此，您无法直接访问底层网络基础设施。您无法直接在服务上实现自定义网络控制，例如防火墙规则或 VPC Service Controls 配置。安全性由 Google 管理，遵循Google Cloud的强大安全实践。

出站流量（从服务到其他端点）

在某些智能体 AI 工作流中，例如使用扩展程序或企业数据接地时，Gemini Enterprise（或托管在 Gemini Enterprise Agent Platform 上的 Agent Runtime 中的智能体）可以发起出站网络连接。

• 来源：所有出站流量都源自 Google 的内部 IP 地址范围。此流量并非源自您控制的网络基础设施，也不会通过该基础设施传输。
• 用途：此流量用于连接到已获授权的 API 和数据源（例如 Google Workspace API 和扩展程序的公共 API），以满足用户请求。
• 安全性：这些连接通过加密通道 (HTTPS/TLS) 安全地建立，并受 Google 内部安全和生产网络政策的约束。