Google 協助組織保護雲端環境和資料，並遵守產業法規。如需 Google Cloud各項服務的安全性一般資訊，請參閱「Google Cloud 安全性總覽」。
使用者安全性設定
在 Gemini Enterprise 中管理 Identity and Access Management (IAM) 設定，對安全性至關重要。本節列出的資源可協助您瞭解 Gemini Enterprise 的權限和存取控管機制：
支援下列驗證架構：
Gemini Enterprise 資料安全性
保護資料免受威脅、侵害和身分遭盜用，至關重要。Gemini Enterprise 採取下列安全措施：
- Gemini Enterprise 已與 VPC Service Controls 整合。
預設資料加密功能，採用客戶自行管理的加密金鑰 (CMEK)。
Gemini Enterprise 也支援外部金鑰管理工具 (EKM) 或硬體安全模組 (HSM)。如要瞭解 CMEK 和 EKM 的限制，請參閱「Gemini Enterprise 的 Cloud Key Management Service 限制」。
Gemini Enterprise 法規遵循
資料法規遵循是指遵守處理個人和私密資訊的法律和法規要求。控管資料收集、儲存、使用和安全性，確保隱私和保護。
本節列出的資源提供相關資訊，協助您維持資料透明度並遵守法規：
- 啟用資料存取透明化控管機制
- 稽核記錄
- Gemini Enterprise 位置
- 法規遵循認證和安全控管措施
- Gemini Enterprise 會在 60 天內刪除使用者要求刪除的資料。詳情請參閱「 Google Cloud的資料刪除」。
員工身分聯盟和集區管理員
如果您使用員工身分聯盟驗證使用者，請將 IAM 員工身分集區管理員 (roles/iam.workforcePoolAdmin) 和 IAM 員工集區編輯者 (roles/iam.workforcePoolEditor) IAM 角色授予部分管理員。這些角色可以修改工作團隊集區屬性對應。無論是刻意或意外，不正確的變更可能會啟用使用者身分模擬功能，導致未經授權的文件存取和動作。
因此，建議您採取下列做法：
請務必只將這些工作團隊集區角色授予絕對需要這些角色的信任管理員。
使用 Privileged Access Manager 設定這些角色的授權，並稽核其使用情形。
將員工身分聯盟稽核記錄整合至安全監控解決方案 (例如 SIEM)，以便快速偵測屬性對應變更或未經授權的存取嘗試，並發出警示。
必要 Google Cloud API
如要開始使用 Gemini Enterprise，請啟用下列 API：
- Gemini Enterprise Agent Platform API
- Discovery Engine API
- Cloud Storage API
- Identity and Access Management (IAM) API
如要進一步瞭解如何開始使用 Gemini Enterprise，請參閱「事前準備」一節。
如要停用 Gemini Enterprise (Discovery Engine) API，請參閱「停用 Gemini Enterprise」。
第三方連接器和公開端點
第三方連接器會與 Google 網路外的公開端點互動，例如第三方 API 的端點 (用於輪詢資料)，或 Webhook 網址 (用於即時同步)。由於 VPC Service Controls 是設計用來控管 Google Cloud 服務，因此不會主動封鎖或保護傳送至這些外部非 Google 端點的流量。
為降低風險，Gemini Enterprise 會確保輸出流量受到精細的虛擬私有雲防火牆規則保護，僅限連至您提供的外部服務完整網域名稱 (FQDN)。
網路通訊需求
本節概述連線及使用 Gemini Enterprise 的網路通訊需求。
傳入流量 (使用者到服務)
從使用者瀏覽器到 Gemini Enterprise 面向使用者端點 (例如 console.cloud.google.com、vertexaisearch.cloud.google.com 和 notebooklm.cloud.google.com)、驗證端點 (例如 auth.cloud.google) 和程式輔助端點 (例如 *.googleapis.com 和 *.clients6.google.com) 的所有通訊，都會透過 TCP 通訊埠 443 上的 HTTPS 進行。貴組織的防火牆必須允許從使用者網路連出至這個通訊埠上的端點。如需完整的網域清單，請參閱「設定私人 UI 存取權」。
- 通訊協定：HTTPS
- 通訊埠：TCP/443
- 方向：從使用者網路 (傳出) 到 Google Cloud (傳入)
服務端網路控制項
Gemini Enterprise 是 Google 代管的軟體式服務 (SaaS) 產品。因此，您無法直接存取基礎網路基礎架構。您無法直接在服務上實作自訂網路控制項，例如防火牆規則或 VPC Service Controls 設定。安全性由 Google 管理，遵循Google Cloud的強大安全措施。
傳出流量 (從服務傳至其他端點)
在某些代理式 AI 工作流程中，例如使用擴充功能或企業資料建立基準時，Gemini Enterprise (或託管於 Gemini Enterprise Agent Platform 的 Agent Runtime 上的代理) 可能會啟動傳出網路連線。
- 來源：所有外傳流量都來自 Google 的內部 IP 位址範圍。這類流量並非來自您控管的網路基礎架構，也不會經過該基礎架構。
- 用途：這類流量用於連線至授權的 API 和資料來源 (例如 Google Workspace API 和擴充功能的公開 API)，以滿足使用者要求。
- 安全性：這些連線是透過加密通道 (HTTPS/TLS) 安全建立，並受 Google 內部安全性和正式環境網路政策規範。