Proteggere l'app con i Controlli di servizio VPC

Per proteggere correttamente un'app Gemini Enterprise e mitigare il rischio di esfiltrazione di dati, devi configurare un perimetro dei Controlli di servizio VPC. Utilizzando i controlli di servizio VPC e il gestore contesto accesso, puoi proteggere e controllare l'accesso alla tua app Gemini Enterprise e ai dati aziendali connessi.

Configura i Controlli di servizio VPC con Gemini Enterprise

Per proteggere le risorse Gemini Enterprise utilizzando i Controlli di servizio VPC:

  1. Assicurati di aver configurato un perimetro dei Controlli di servizio VPC. Puoi creare un nuovo perimetro appositamente per la tua app Gemini Enterprise oppure utilizzare un perimetro esistente che contenga risorse correlate.

    Per informazioni sui perimetri di servizio, consulta Dettagli e configurazione dei perimetri di servizio.

  2. Aggiungi il progetto Google Cloud che contiene l'app Gemini Enterprise all'elenco delle risorse protette all'interno del perimetro di servizio.

  3. Aggiungi le seguenti API all'elenco dei servizi limitati per il perimetro:

    • API Discovery Engine: discoveryengine.googleapis.com

Dopo l'attivazione del perimetro di servizio e l'inserimento dell'API Discovery Engine come servizio con limitazioni, Controlli di servizio VPC adotta le seguenti misure di sicurezza:

  • Non è più possibile accedere all'API discoveryengine.googleapis.com da internet pubblico.

  • L'accesso all'interfaccia utente di Gemini Enterprise è bloccato, tranne nei casi consentiti dalle regole in entrata.

  • La creazione di nuovi datastore (che supportano le azioni di Gemini Enterprise) è bloccata finché un amministratore non aggiunge le origini dati e i domini in uscita richiesti ai vincoli dei criteri dell'organizzazione gestiti corrispondenti. I datastore esistenti, inclusi quelli precedentemente attivati su richiesta tramite un rappresentante di Google, continuano a funzionare senza ulteriori azioni. Per saperne di più, consulta Crea datastore dopo aver attivato i Controlli di servizio VPC.

Limitare l'accesso pubblico utilizzando Gestore contesto accesso

Le applicazioni Gemini Enterprise sono rese accessibili pubblicamente a internet. Per impostazione predefinita, Gemini Enterprise richiede l'autenticazione e l'autorizzazione per l'accesso. I Controlli di servizio VPC e Gestore contesto accesso forniscono controlli aggiuntivi che puoi utilizzare per limitare l'accesso.

Utilizzando Gestore contesto accesso, puoi definire un controllo dell'accesso granulare e basato sugli attributi per progetti e risorse in Google Cloud. Per farlo, devi definire una policy di accesso, ovvero un contenitore a livello di organizzazione per i livelli di accesso e i perimetri di servizio.

I livelli di accesso descrivono i requisiti che devono essere soddisfatti affinché una richiesta venga accettata. Ad esempio, puoi limitare le richieste in base a quanto segue:

Architettura di riferimento che utilizza i Controlli di servizio VPC.
Architettura di riferimento che utilizza i Controlli di servizio VPC per proteggere Gemini Enterprise.

In questa architettura di riferimento, viene utilizzato un livello di accesso alla subnet IP pubblico per creare la policy di accesso dei Controlli di servizio VPC.

Per controllare l'accesso a Gemini Enterprise utilizzando Gestore contesto accesso, segui le istruzioni riportate in Creazione di un livello di accesso di base per creare un livello di accesso di base. Specifica le seguenti opzioni:

  1. Per Crea condizioni in, scegli Modalità di base.

  2. Nel campo Titolo livello di accesso, inserisci corp-public-block.

  3. Nella sezione Condizioni, per Se la condizione è soddisfatta, restituisci, seleziona TRUE.

  4. Per Subnet IP, seleziona IP pubblico.

  5. Per l'intervallo di indirizzi IP, specifica l'indirizzo IP esterno.

Applica i Controlli di servizio VPC ai datastore esistenti

L'applicazione di un perimetro di Controlli di servizio VPC a un progetto con datastore esistenti non è supportata.

Per applicare i Controlli di servizio VPC a un datastore esistente:

  1. Elimina e ricrea il datastore.

    In questo modo vengono applicati i controlli del servizio e il traffico può fluire correttamente.

Crea datastore dopo aver abilitato i Controlli di servizio VPC

L'obiettivo principale dei Controlli di servizio VPC è impedire l'esfiltrazione di dati creando un perimetro di servizio sicuro intorno ai tuoi progetti e alle tue risorse. I nuovi datastore (che supportano le azioni di Gemini Enterprise, come l'invio di un'email o la creazione di un ticket Jira) sono potenziali percorsi per l'uscita dei dati da questo perimetro, quindi i Controlli di servizio VPC bloccano la creazione di nuovi datastore finché un amministratore non li autorizza esplicitamente tramite i vincoli dei criteri dell'organizzazione gestiti.

Quando abiliti i Controlli di servizio VPC in un progetto Google Cloud contenente un'app Gemini Enterprise, l'interfaccia utente ti impedisce di creare nuovi datastore. I datastore creati prima dell'attivazione del perimetro e tutti i servizi precedentemente attivati su richiesta tramite un rappresentante di Google continuano a funzionare; solo la creazione di nuovi datastore è limitata.

Per consentire agli amministratori di creare un nuovo datastore all'interno del perimetro:

  1. Aggiungi l'origine dati al vincolo dei criteri dell'organizzazione gestita Limita le origini dati consentite per i connettori di dati. L'aggiunta di un'origine dati a questo vincolo consente automaticamente i suoi domini essenziali noti (ad esempio, graph.microsoft.com e api.atlassian.com).

  2. Se il datastore ha bisogno di domini univoci per la tua organizzazione (ad esempio, cymbal.atlassian.net o cymbal.com), aggiungili al vincolo dei criteri dell'organizzazione gestiti Limitare i domini di uscita per i connettori dati.

Per una panoramica di questi vincoli, consulta Vincoli delle policy gestite.