Um eine Gemini Enterprise-Anwendung richtig zu schützen und das Risiko einer Daten-Exfiltration zu minimieren, müssen Sie einen VPC Service Controls-Perimeter konfigurieren. Mit VPC Service Controls und Access Context Manager, können Sie den Zugriff auf Ihre Gemini Enterprise App und die verbundenen Unternehmensdaten schützen und steuern.
VPC Service Controls mit Gemini Enterprise einrichten
So schützen Sie Ihre Gemini Enterprise-Ressourcen mit VPC Service Controls:
Prüfen Sie, ob ein VPC Service Controls-Perimeter konfiguriert ist. Sie können einen neuen Perimeter speziell für Ihre Gemini Enterprise-Anwendung erstellen oder einen vorhandenen Perimeter verwenden, in dem sich zugehörige Ressourcen befinden.
Weitere Informationen zu Dienstperimetern finden Sie unter Informationen zu Dienstperimetern und deren Konfiguration.
Fügen Sie das Google Cloud Projekt, das Ihre Gemini Enterprise-Anwendung enthält, der Liste der geschützten Ressourcen im Dienstperimeter hinzu.
Fügen Sie die folgenden APIs der Liste der eingeschränkten Dienste für den Perimeter hinzu:
- Discovery Engine API:
discoveryengine.googleapis.com
- Discovery Engine API:
Nachdem der Dienstperimeter aktiviert wurde und die Discovery Engine API als eingeschränkter Dienst aufgeführt ist, werden durch VPC Service Controls die folgenden Sicherheitsmaßnahmen ergriffen:
Auf die
discoveryengine.googleapis.comAPI kann nicht mehr über das öffentliche Internet zugegriffen werden.Der Zugriff auf die Gemini Enterprise-Benutzeroberfläche ist blockiert, sofern er nicht durch Regeln für eingehenden Traffic zugelassen wird.
Das Erstellen neuer Datenspeicher, die Gemini Enterprise-Aktionenunterstützen, ist blockiert, bis ein Administrator die erforderlichen Datenquellen und ausgehenden Traffic zu den entsprechenden verwalteten Einschränkungen für Organisationsrichtlinienhinzufügt. Vorhandene Datenspeicher, einschließlich aller, die zuvor auf Anfrage von einem Google-Mitarbeiter aktiviert wurden, funktionieren ohne weitere Maßnahmen. Weitere Informationen finden Sie unter Datenspeicher nach dem Aktivieren von VPC Service Controls erstellen.
Öffentlichen Zugriff mit Access Context Manager einschränken
Gemini Enterprise-Anwendungen werden öffentlich im Internet zugänglich gemacht. Standardmäßig müssen sich Nutzer bei Gemini Enterprise authentifizieren und der Zugriff muss autorisiert werden. VPC Service Controls und Access Context Manager bieten zusätzliche Steuerelemente, mit denen Sie den Zugriff kontrollieren können.
Mit Access Context Manager können Sie eine differenzierte, attributbasierte Zugriffssteuerung für Projekte und Ressourcen in Google Clouddefinieren. Dazu müssen Sie eine Zugriffsrichtlinie definieren. Dies ist ein organisationsweiter Container für Zugriffsebenen und Dienstperimeter.
Zugriffsebenen beschreiben die Anforderungen, die erfüllt sein müssen, damit eine Anfrage berücksichtigt wird. Sie können Anfragen beispielsweise anhand der folgenden Kriterien einschränken:
- Gerätetyp und Betriebssystem (erfordert eine Chrome Enterprise Premium-Lizenz)
- IP-Adresse
- Nutzeridentität
In dieser Referenzarchitektur wird eine Zugriffsebene für öffentliche IP-Subnetze verwendet, um die VPC Service Controls-Zugriffsrichtlinie zu erstellen.
Wenn Sie den Zugriff auf Gemini Enterprise mit Access Context Manager kontrollieren möchten, folgen Sie der Anleitung unter Einfache Zugriffsebene erstellen. Geben Sie die folgenden Optionen an:
Wählen Sie unter Bedingungen erstellen in die Option Standardmodus aus.
Geben Sie in das Feld Titel der Zugriffsebene
corp-public-blockein.Wählen Sie im Abschnitt Bedingungen für Bei erfüllter Bedingung Folgendes zurückgeben die Option WAHR aus.
Wählen Sie für IP-Subnetzwerke die Option Öffentliche IP aus.
Geben Sie für den IP-Adressbereich Ihre externe IP-Adresse an.
VPC Service Controls auf vorhandene Datenspeicher anwenden
Das Erzwingen eines VPC Service Controls-Perimeters für ein Projekt mit vorhandenen Datenspeichern wird nicht unterstützt.
So erzwingen Sie VPC Service Controls für einen vorhandenen Datenspeicher:
Löschen Sie den Datenspeicher und erstellen Sie ihn dann neu.
Dadurch werden die Dienststeuerungen angewendet und der Traffic kann korrekt fließen.
Datenspeicher nach dem Aktivieren von VPC Service Controls erstellen
VPC Service Controls soll in erster Linie Daten-Exfiltration verhindern, indem ein sicherer Dienstperimeter für Ihre Projekte und Ressourcen erstellt wird. Neue Datenspeicher, die Gemini Enterprise-Aktionen unterstützen, z. B. das Senden einer E‑Mail oder das Erstellen eines Jira-Tickets, sind potenzielle Wege, über die Daten diesen Perimeter verlassen können. Daher blockiert VPC Service Controls das Erstellen neuer Datenspeicher, bis ein Administrator sie explizit über verwaltete Einschränkungen für Organisationsrichtlinien zulässt.
Wenn Sie VPC Service Controls für ein Google Cloud Projekt aktivieren, das eine Gemini Enterprise App enthält, können Sie in der Benutzeroberfläche keine neuen Datenspeicher erstellen. Datenspeicher, die vor dem Aktivieren des Perimeters erstellt wurden, und alle Dienste, die zuvor auf Anfrage von einem Google-Mitarbeiter aktiviert wurden, funktionieren weiterhin. Nur das Erstellen neuer Datenspeicher ist eingeschränkt.
So können Administratoren einen neuen Datenspeicher innerhalb des Perimeters erstellen:
Fügen Sie die Datenquelle der verwalteten Einschränkung für Organisationsrichtlinien **Zulässige Datenquellen für Daten-Connectors einschränken** hinzu. Wenn Sie dieser Einschränkung eine Datenquelle hinzufügen, werden automatisch die bekannten wichtigen Domains zugelassen, z. B.
graph.microsoft.comundapi.atlassian.com.Wenn der Datenspeicher Domains benötigt, die für Ihre Organisation eindeutig sind, z. B.
cymbal.atlassian.netodercymbal.com, fügen Sie diese Domains der verwalteten Einschränkung für Organisationsrichtlinien **Ausgangsdomains für Datenverbindungen einschränken** hinzu.
Eine Übersicht über diese Einschränkungen finden Sie unter Verwaltete Einschränkungen für Organisationsrichtlinien.