Protege tu app con los Controles del servicio de VPC

Para proteger correctamente una app de Gemini Enterprise y mitigar el riesgo de robo de datos, debes configurar un perímetro de Controles del servicio de VPC. Con los Controles del servicio de VPC y Access Context Manager, puedes proteger y controlar el acceso a tu app de Gemini Enterprise y a los datos empresariales conectados.

Nota: Cuando usas los Controles del servicio de VPC con Gemini Enterprise, se bloquea la creación de nuevos almacenes de datos hasta que un administrador agregue las fuentes de datos y los dominios de salida requeridos a las restricciones correspondientes de la política de la organización administrada. Los almacenes de datos existentes, incluidos los que se habilitaron previamente a través de un representante de Google, seguirán funcionando sin necesidad de realizar ninguna acción adicional. Para obtener más información, consulta Crea almacenes de datos después de habilitar los Controles del servicio de VPC.

Configura los Controles del servicio de VPC con Gemini Enterprise

Para proteger tus recursos de Gemini Enterprise con los Controles del servicio de VPC, haz lo siguiente:

1. Asegúrate de tener configurado un perímetro de Controles del servicio de VPC. Puedes crear un perímetro nuevo específicamente para tu app de Gemini Enterprise o usar uno existente que contenga recursos relacionados.

   Para obtener información sobre los perímetros de servicio, consulta Configuración y detalles del perímetro de servicio.

2. Agrega el proyecto Google Cloud que contiene tu app de Gemini Enterprise a la lista de recursos protegidos dentro del perímetro de servicio.

3. Agrega las siguientes APIs a la lista de servicios restringidos del perímetro:

   • API de Discovery Engine: discoveryengine.googleapis.com

Sugerencia: Te recomendamos que uses el modo de ejecución de prueba para probar tu perímetro de servicio antes de aplicarlo.

Después de habilitar el perímetro de servicio y de que la API de Discovery Engine aparezca como un servicio restringido, los Controles del servicio de VPC implementan las siguientes medidas de seguridad:

• Ya no se puede acceder a la API de discoveryengine.googleapis.com desde Internet pública.

• Se bloquea el acceso a la interfaz de usuario de Gemini Enterprise, excepto cuando lo permiten las reglas de entrada.

• La creación de almacenes de datos nuevos (que respaldan las acciones de Gemini Enterprise) se bloquea hasta que un administrador agregue las fuentes de datos y los dominios de salida necesarios a las restricciones de políticas de la organización administradas correspondientes. Los almacenes de datos existentes, incluidos los que se habilitaron previamente a través de una solicitud a un representante de Google, seguirán funcionando sin necesidad de realizar ninguna acción adicional. Para obtener más información, consulta Crea almacenes de datos después de habilitar los Controles del servicio de VPC.

Restringe el acceso público con Access Context Manager

Las aplicaciones de Gemini Enterprise son accesibles públicamente a través de Internet. De forma predeterminada, Gemini Enterprise requiere que los usuarios se autentiquen y autoricen el acceso. Los Controles del servicio de VPC y Access Context Manager proporcionan controles adicionales que puedes usar para restringir el acceso.

Con Access Context Manager, puedes definir un control de acceso detallado basado en atributos para proyectos y recursos en Google Cloud. Para ello, debes definir una política de acceso, que es un contenedor en toda la organización para los niveles de acceso y los perímetros de servicio.

Los niveles de acceso describen los requisitos que se deben cumplir para que se respete una solicitud. Por ejemplo, puedes restringir las solicitudes según lo siguiente:

• Tipo de dispositivo y sistema operativo (requiere una licencia de Chrome Enterprise Premium)
• Dirección IP
• Identidad de usuario

Arquitectura de referencia que usa los Controles del servicio de VPC para proteger Gemini Enterprise.

En esta arquitectura de referencia, se usa un nivel de acceso de subred con IP pública para compilar la política de acceso de los Controles del servicio de VPC.

Para restringir el acceso a Gemini Enterprise con Access Context Manager, sigue las instrucciones que se encuentran en Crea un nivel de acceso básico para crear un nivel de acceso básico. Especifica las siguientes opciones:

1. En Crear condiciones en, elige Modo básico.

2. En el campo Título del nivel de acceso ingresa corp-public-block.

3. En la sección Condiciones, para Cuando se cumpla la condición, devolver, selecciona VERDADERO.

4. En Subredes de IP, selecciona IP pública.

5. Para el rango de direcciones IP, especifica tu dirección IP externa.

Aplica los Controles del servicio de VPC a los almacenes de datos existentes

No se admite la aplicación de un perímetro de Controles del servicio de VPC en un proyecto con almacenes de datos existentes.

Para aplicar los Controles del servicio de VPC en un almacén de datos existente, haz lo siguiente:

1. Borra y, luego, vuelve a crear el almacén de datos.

   Esto aplica los controles de servicio y permite que el tráfico fluya correctamente.

Crea almacenes de datos después de habilitar los Controles del servicio de VPC

El objetivo principal de los Controles del servicio de VPC es evitar el robo de datos mediante la creación de un perímetro de servicio seguro alrededor de tus proyectos y recursos. Los nuevos almacenes de datos (que respaldan las acciones de Gemini Enterprise, como enviar un correo electrónico o crear un ticket de Jira) son posibles rutas para que los datos salgan de este perímetro, por lo que los Controles del servicio de VPC bloquean la creación de nuevos almacenes de datos hasta que un administrador los permita explícitamente a través de restricciones de políticas de la organización administradas.

Cuando habilitas los Controles del servicio de VPC en un proyecto Google Cloud que contiene una app de Gemini Enterprise, la IU te impide crear nuevos almacenes de datos. Los almacenes de datos creados antes de que se habilitara el perímetro, y los servicios que se habilitaron previamente a solicitud a través de un representante de Google, siguen funcionando. Solo se restringe la creación de almacenes de datos nuevos.

Para permitir que los administradores creen un almacén de datos nuevo dentro del perímetro, haz lo siguiente:

1. Agrega la fuente de datos a la restricción de la política de organización administrada Restringir las fuentes de datos permitidas para los conectores de datos. Si agregas una fuente de datos a esta restricción, se permiten automáticamente sus dominios esenciales conocidos (por ejemplo, graph.microsoft.com y api.atlassian.com).

2. Si el almacén de datos necesita dominios exclusivos de tu organización (por ejemplo, cymbal.atlassian.net o cymbal.com), agrega esos dominios a la restricción de la política de organización administrada Restrict egress domains for data connectors.

Para obtener una descripción general de estas restricciones, consulta Restricciones de políticas administradas.