為妥善保護 Gemini Enterprise 應用程式，並降低資料竊取風險，您必須設定 VPC Service Controls perimeter。您可以使用 VPC Service Controls 和 Access Context Manager，保護及控管 Gemini Enterprise 應用程式和連結的企業資料。
設定 Gemini Enterprise 適用的 VPC Service Controls
如要使用 VPC Service Controls 保護 Gemini Enterprise 資源，請按照下列步驟操作：
請確認您已設定 VPC Service Controls 範圍。您可以專為 Gemini Enterprise 應用程式建立新的 perimeter，或使用包含相關資源的現有 perimeter。
如要瞭解 service perimeter，請參閱「service perimeter 詳細資料和設定」。
將含有 Gemini Enterprise 應用程式的 Google Cloud 專案，新增至 service perimeter 內的受保護資源清單。
將下列 API 新增至 perimeter 的受限制服務清單：
- Discovery Engine API：
discoveryengine.googleapis.com
- Discovery Engine API：
啟用服務範圍並將 Discovery Engine API 列為受限服務後，VPC Service Controls 會採取下列安全措施：
無法再透過公開網際網路存取
discoveryengine.googleapis.comAPI。除非輸入規則允許，否則 Gemini Enterprise 使用者介面的存取權會遭到封鎖。
管理員必須先將必要的資料來源和輸出網域，新增至對應的代管組織政策限制，才能建立新的資料儲存庫 (用於支援 Gemini Enterprise 動作)。現有的資料儲存庫 (包括先前透過 Google 代表要求啟用的資料儲存庫) 會繼續運作，您不需採取任何行動。詳情請參閱「啟用 VPC Service Controls 後建立資料儲存庫」。
使用 Access Context Manager 限制公開存取權
Gemini Enterprise 應用程式會公開發布至網際網路。根據預設，Gemini Enterprise 會要求使用者驗證身分，並取得授權才能存取。VPC Service Controls 和 Access Context Manager 提供額外的控制項，可用於控管存取權。
您可以使用 Access Context Manager，依據屬性為 Google Cloud中的專案和資源定義精細的存取控管機制。如要這麼做，您必須定義存取權政策，這是組織範圍的容器，用於存放存取層級和 service perimeter。
存取層級會描述要求必須符合的規定，舉例來說，您可以根據下列條件限制要求：
- 裝置類型和作業系統 (需要 Chrome Enterprise Premium 授權)
- IP 位址
- 使用者身分
在本參考架構中，公開 IP 子網路存取層級用於建構 VPC Service Controls 存取政策。
如要使用 Access Context Manager 控管 Gemini Enterprise 的存取權，請按照「建立基本存取層級」中的操作說明，建立基本存取層級。指定下列選項：
在「Create conditions in」(使用以下模式建立條件：) 中，選擇「Basic mode」(基本模式)。
在「Access level title」(存取層級標題) 欄位中輸入
corp-public-block。在「條件」部分，為「符合條件時，傳回以下值：」選取「TRUE」。
在「IP Subnetworks」(IP 子網路) 中，選取「Public IP」(公開 IP)。
在 IP 位址範圍中，指定外部 IP 位址。
將 VPC Service Controls 套用至現有的資料儲存庫
不支援對已有資料儲存庫的專案強制執行 VPC Service Controls 範圍。
如要對現有資料儲存庫強制執行 VPC Service Controls，請按照下列步驟操作：
刪除並重新建立資料儲存庫。
這樣一來，系統就會套用服務控制項，並正確傳送流量。
啟用 VPC Service Controls 後建立資料儲存庫
VPC Service Controls 的主要目標是為專案和資源建立安全 service perimeter，防止資料遭竊。新的資料儲存庫 (支援 Gemini Enterprise 動作，例如傳送電子郵件或建立 Jira 票證) 是資料離開這個 perimeter 的潛在路徑，因此 VPC Service Controls 會封鎖建立新的資料儲存庫，直到管理員透過受管理的組織政策限制明確允許。
在含有 Google Cloud Gemini Enterprise 應用程式的專案中啟用 VPC Service Controls 時，使用者介面會禁止您建立新的資料儲存庫。啟用安全範圍前建立的資料儲存庫，以及先前透過 Google 代表要求啟用的任何服務，都會繼續運作，只有建立新資料儲存庫會受到限制。
如要允許管理員在 perimeter 內建立新的資料儲存庫，請按照下列步驟操作：
將資料來源新增至限制資料連接器允許的資料來源代管組織政策限制。將資料來源新增至這項限制，會自動允許其知名的必要網域 (例如
graph.microsoft.com和api.atlassian.com)。如果資料儲存庫需要貴機構專屬的網域 (例如
cymbal.atlassian.net或cymbal.com)，請將這些網域新增至「Restrict egress domains for data connectors」(限制資料連接器外送網域) 受管理組織政策限制。
如要瞭解這些限制，請參閱「代管政策限制」。