Proteger seu app com o VPC Service Controls

Para proteger adequadamente um app Gemini Enterprise e reduzir o risco de exfiltração de dados, configure um perímetro do VPC Service Controls. Usando o VPC Service Controls e o Access Context Manager, é possível proteger e controlar o acesso ao app Gemini Enterprise e aos dados empresariais conectados.

Configurar o VPC Service Controls com o Gemini Enterprise

Para proteger seus recursos do Gemini Enterprise usando o VPC Service Controls, faça o seguinte:

  1. Verifique se você tem um perímetro do VPC Service Controls configurado. Você pode criar um novo perímetro especificamente para o app Gemini Enterprise ou usar um perímetro atual que abrigue recursos relacionados.

    Para informações sobre perímetros de serviço, consulte Detalhes e configuração do perímetro de serviço.

  2. Adicione o projeto Google Cloud que contém seu app Gemini Enterprise à lista de recursos protegidos no perímetro de serviço.

  3. Adicione as seguintes APIs à lista de serviços restritos do perímetro:

    • API Discovery Engine: discoveryengine.googleapis.com

Depois que o perímetro de serviço é ativado e a API Discovery Engine é listada como um serviço restrito, o VPC Service Controls implementa as seguintes medidas de segurança:

  • Não é mais possível acessar a API discoveryengine.googleapis.com pela Internet pública.

  • O acesso à interface do usuário do Gemini Enterprise é bloqueado, exceto quando permitido pelas regras de entrada.

  • A criação de novos repositórios de dados (que oferecem suporte às ações do Gemini Enterprise) fica bloqueada até que um administrador adicione as fontes de dados e os domínios de saída necessários às restrições de política da organização gerenciada correspondentes. Os repositórios de dados atuais, incluindo os que foram ativados por solicitação por um representante do Google, continuam funcionando sem mais ações. Para mais informações, consulte Criar repositórios de dados depois de ativar o VPC Service Controls.

Restringir o acesso público usando o Access Context Manager

Os aplicativos do Gemini Enterprise são disponibilizados publicamente na Internet. Por padrão, o Gemini Enterprise exige que os usuários façam autenticação e autorização para acesso. O VPC Service Controls e o Access Context Manager oferecem controles adicionais que podem ser usados para limitar o acesso.

Com o Access Context Manager, é possível definir um controle de acesso refinado e baseado em atributos para projetos e recursos em Google Cloud. Para isso, defina uma política de acesso, que é um contêiner de toda a organização para níveis de acesso e perímetros de serviço.

Os níveis de acesso descrevem os requisitos que precisam ser atendidos para que uma solicitação seja atendida. Por exemplo, é possível restringir solicitações com base no seguinte:

  • Tipo de dispositivo e sistema operacional (requer uma licença do Chrome Enterprise Premium)
  • Endereço IP
  • Identidade do usuário
Arquitetura de referência usando o VPC Service Controls.
Arquitetura de referência que usa o VPC Service Controls para proteger o Gemini Enterprise.

Nesta arquitetura de referência, um nível de acesso de sub-rede IP pública é usado para criar a política de acesso do VPC Service Controls.

Para restringir o acesso ao Gemini Enterprise usando o Access Context Manager, siga as instruções em Como criar um nível de acesso básico. Especifique as seguintes opções:

  1. Em Criar condições em, escolha Modo básico.

  2. No campo Título do nível de acesso, insira corp-public-block.

  3. Na seção Condições, em Se a condição for atendida, retorne, selecione TRUE.

  4. Em Sub-redes de IP, selecione IP público.

  5. Para o intervalo de endereços IP, especifique seu endereço IP externo.

Aplicar o VPC Service Controls aos repositórios de dados atuais

Não é possível aplicar um perímetro do VPC Service Controls a um projeto com repositórios de dados atuais.

Para aplicar o VPC Service Controls a um repositório de dados atual:

  1. Exclua e recrie o repositório de dados.

    Isso aplica os controles de serviço e permite que o tráfego flua corretamente.

Criar repositórios de dados depois de ativar o VPC Service Controls

O objetivo principal do VPC Service Controls é evitar a exfiltração de dados criando um perímetro de serviço seguro em torno dos seus projetos e recursos. Novos repositórios de dados (que apoiam ações do Gemini Enterprise, como enviar um e-mail ou criar um tíquete do Jira) são caminhos potenciais para que os dados saiam desse perímetro. Por isso, o VPC Service Controls bloqueia a criação de novos repositórios até que um administrador os permita explicitamente por meio de restrições gerenciadas da política da organização.

Quando você ativa o VPC Service Controls em um projeto do Google Cloud que contém um app Gemini Enterprise, a UI impede a criação de novos repositórios de dados. Os repositórios de dados criados antes da ativação do perímetro e os serviços que foram ativados por solicitação por um representante do Google continuam funcionando. Apenas a criação de novos repositórios é restrita.

Para permitir que os administradores criem um novo repositório de dados dentro do perímetro:

  1. Adicione a fonte de dados à restrição de política da organização gerenciada Restringir fontes de dados permitidas para conectores de dados. Adicionar uma fonte de dados a essa restrição permite automaticamente os domínios essenciais conhecidos dela (por exemplo, graph.microsoft.com e api.atlassian.com).

  2. Se o repositório de dados precisar de domínios exclusivos da sua organização (por exemplo, cymbal.atlassian.net ou cymbal.com), adicione esses domínios à restrição de política da organização gerenciada Restringir domínios de saída para conectores de dados.

Para uma visão geral dessas restrições, consulte Restrições de política gerenciada.