使用 VPC Service Controls 保護應用程式

如要妥善保護 Gemini Enterprise 應用程式，並降低資料竊取風險，請務必設定 VPC Service Controls perimeter。使用 VPC Service Controls 和 Access Context Manager，您可以保護及控管 Gemini Enterprise 應用程式和連結的企業資料存取權。

使用 Gemini Enterprise 設定 VPC Service Controls

如要使用 VPC Service Controls 保護 Gemini Enterprise 資源，請按照下列步驟操作：

  1. 確認您已設定 VPC Service Controls 範圍。您可以專為 Gemini Enterprise 應用程式建立新的安全防護範圍，也可以使用現有的安全防護範圍，其中包含相關資源。

    如要瞭解 service perimeter，請參閱「Service perimeter 詳細資料和設定」。

  2. 將包含 Gemini Enterprise 應用程式的 Google Cloud 專案，新增至服務範圍內的受保護資源清單。

  3. 將下列 API 新增至 perimeter 的受限服務清單：

    • Discovery Engine API：discoveryengine.googleapis.com

啟用服務範圍並將 Discovery Engine API 列為受限服務後，VPC Service Controls 會採取下列安全措施：

  • 您無法再透過公開網際網路存取 discoveryengine.googleapis.com API。

  • 系統會封鎖 Gemini Enterprise 使用者介面存取權，但輸入規則允許的情況除外。

  • 管理員將必要資料來源和輸出網域新增至對應的受管理機構政策限制後，才能建立新的資料儲存庫 (支援 Gemini Enterprise 動作)。現有的資料儲存區 (包括先前透過 Google 代表要求啟用的資料儲存區) 會繼續運作，無須採取任何進一步行動。詳情請參閱「啟用 VPC Service Controls 後建立資料儲存庫」。

使用 Access Context Manager 限制公開存取權

Gemini Enterprise 應用程式可供公眾網際網路存取。根據預設，Gemini Enterprise 會要求使用者驗證身分，並授權存取權。VPC Service Controls 和 Access Context Manager 提供額外的控管機制，可用於限制存取權。

您可以使用 Access Context Manager，依據屬性為 Google Cloud中的專案和資源定義精細的存取控管機制。如要這麼做，您必須定義存取權政策，這是機構層級的容器，用於存放存取層級和服務範圍。

存取層級會描述要求必須符合的規定，舉例來說，您可以根據下列條件限制要求：

使用 VPC Service Controls 的參考架構。
參考架構：使用 VPC Service Controls 保護 Gemini Enterprise。

在本參考架構中，公開 IP 子網路存取層級用於建構 VPC Service Controls 存取政策。

如要使用 Access Context Manager 控管 Gemini Enterprise 的存取權，請按照「建立基本存取層級」中的操作說明建立基本存取層級。指定下列選項：

  1. 在「Create conditions in」(使用以下模式建立條件：) 中，選擇「Basic mode」(基本模式)。

  2. 在「Access level title」(存取層級標題) 欄位中輸入 corp-public-block。

  3. 在「條件」部分，為「符合條件時，傳回以下值：」選取「TRUE」。

  4. 在「IP Subnetworks」(IP 子網路) 中，選取「Public IP」(公開 IP)。

  5. 在 IP 位址範圍中，指定外部 IP 位址。

將 VPC Service Controls 套用至現有資料儲存庫

系統不支援對含有現有資料儲存區的專案強制執行 VPC Service Controls 周邊範圍。

如要對現有資料儲存庫強制執行 VPC Service Controls，請按照下列步驟操作：

  1. 刪除資料儲存庫，然後重新建立。

    這樣一來，系統就會套用服務控制項，並讓流量正常流動。

啟用 VPC Service Controls 後建立資料儲存庫

VPC Service Controls 的主要目標是為專案和資源建立安全服務範圍，防止資料遭竊。新的資料儲存庫 (支援 Gemini Enterprise 動作，例如傳送電子郵件或建立 Jira 支援單) 可能會導致資料離開這個 perimeter，因此 VPC Service Controls 會封鎖新資料儲存庫的建立作業，直到管理員透過受管理的機構政策限制明確允許為止。

在含有 Gemini Enterprise 應用程式的專案 Google Cloud 中啟用 VPC Service Controls 時，使用者介面會禁止您建立新的資料存放區。 啟用安全範圍前建立的資料儲存庫，以及先前透過 Google 代表要求啟用的任何服務，都會繼續運作，只有建立新資料儲存庫會受到限制。

如要允許管理員在周邊內建立新的資料儲存庫，請按照下列步驟操作：

  1. 將資料來源新增至「限制資料連接器可用的資料來源」受管理組織政策限制條件。將資料來源新增至這項限制後，系統會自動允許其已知的必要網域 (例如 graph.microsoft.com 和 api.atlassian.com)。

  2. 如果資料儲存庫需要貴機構專屬的網域 (例如 cymbal.atlassian.net 或 cymbal.com)，請將這些網域新增至「限制資料連接器輸出網域」受管理組織政策限制條件。

如要瞭解這些限制，請參閱「代管政策限制」。