エンリッチメント タスクの前提条件を構成する

Knowledge Studio で拡充タスクを作成する前に、セキュリティ アーキテクチャとターゲット データソースに応じて、いくつかの基盤となるインフラストラクチャ コンポーネントを構成する必要があります。

このガイドでは、顧客管理のサービス アカウント、サードパーティの認証プロバイダ、Cloud Storage バケット、Cloud Logging ビューを構成する方法について説明します。

次の表に、前提条件の構成と、それらを構成する必要があるタイミングを示します。

構成機能 構成するタイミング
Google Cloud API 必須。拡充ワークフローを実行するには、基盤となる Google Cloud API を有効にする必要があります。
顧客管理のサービス アカウント ターゲット データセットに対する読み取りアクセスと書き込みアクセスを制限したいと考えています。
ユーザーの Identity and Access Management（IAM）ロール ワークフロー マネージャーとレビュー担当者に、メタデータの生成と承認の権限を付与する必要があります。
サードパーティの認証プロバイダ サードパーティのナレッジソース（Microsoft SharePoint、Atlassian Confluence、GitHub など）に接続している。
Cloud Storage バケット 非構造化ビジネス コンテキスト（PDF、Markdown、CSV など）と評価データセットを取り込んでいる。
評価データセット シードクエリとベンチマーク データセットを提供して、エージェントの精度を積極的に追跡したいと考えています。
自己学習用のエージェント トレース エンリッチメント エージェントが、ダウンストリームの Gemini Enterprise エージェントのインタラクションを自動的に分析するようにします。
データ プロファイリングとデータ分析情報 使用をおすすめします。頻繁に使用されるテーブルで統計プロファイルとベースライン AI 分析情報を生成して、拡充の品質を向上させたいと考えています。

始める前に

  1. Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、 アカウントを作成して、実際のシナリオで Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Dataplex, Data Lineage, BigQuery, Cloud Storage, and IAM Credentials APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Dataplex, Data Lineage, BigQuery, Cloud Storage, and IAM Credentials APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

    8.

必要な API の詳細

拡充タスクを構成して実行するために、有効な API は次の機能を実行します。

API 名 サービス ID エンリッチメント ワークフローでの目的
Dataplex API dataplex.googleapis.com プライマリ コントロール プレーン API。EnrichmentTask、EnrichmentRun、コンテキスト セット、変更リクエスト、EnrichmentChatService を管理します。
BigQuery API bigquery.googleapis.com テーブル スキーマのスキャン、SQL 実行履歴の取り込み、BigQuery エージェント分析トレース テーブルのクエリに必要です。
Cloud Storage API storage.googleapis.com 評価セットの取り込みと評価データセットのサンプルの管理に必要です。
IAM Service Account Credentials API iamcredentials.googleapis.com 実行エージェントを安全に認証し、タスク中に有効期間が短い認証情報（SLC）を付与するために必要です。

顧客管理のサービス アカウントを構成する

拡充タスクは、顧客管理のサービス アカウントを使用してオペレーションを実行します。これにより、ターゲット データセットに対する読み取りアクセスと書き込みアクセスを制限できます。

  1. サービス アカウントを作成します。

    サービス アカウントを作成するには、プロジェクト オーナー（roles/owner）または編集者（roles/editor）であるか、サービス アカウント管理者ロール（roles/iam.serviceAccountAdmin）が必要です。

    専用のサービス アカウントを使用すると、拡充オペレーションが分離され、他のワークロードに影響を与えることなく、これらのタスクに必要な特定の読み取り権限と書き込み権限のみを付与できます。

    サービス アカウントを作成するには、次の操作を行います。

    Google Cloud CLI

    サービス アカウントを作成するには、gcloud iam service-accounts create コマンドを使用します。

    後述のコマンドデータを使用する前に、次のように置き換えます。

    • SERVICE_ACCOUNT_NAME: サービス アカウントの名前

    次のコマンドを実行します。

    Linux、macOS、Cloud Shell

    gcloud iam service-accounts create SERVICE_ACCOUNT_NAME \
    --description="Service Account for Dataplex Knowledge Catalog enrichment agent execution" \
    --display-name="Knowledge Catalog enrichment agent SA"

    Windows（PowerShell）

    gcloud iam service-accounts create SERVICE_ACCOUNT_NAME `
    --description="Service Account for Dataplex Knowledge Catalog enrichment agent execution" `
    --display-name="Knowledge Catalog enrichment agent SA"

    Windows（cmd.exe）

    gcloud iam service-accounts create SERVICE_ACCOUNT_NAME ^
    --description="Service Account for Dataplex Knowledge Catalog enrichment agent execution" ^
    --display-name="Knowledge Catalog enrichment agent SA"

    REST

    リクエストのデータを使用する前に、次のように置き換えます。

    • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
    • TARGET_PROJECT_ID: 実際の Google Cloud プロジェクト ID

    HTTP メソッドと URL: 

    POST https://iam.googleapis.com/v1/projects/TARGET_PROJECT_ID/serviceAccounts

    リクエストの本文（JSON）: 

    {
   "accountId": "SERVICE_ACCOUNT_NAME",
   "serviceAccount": {
    "displayName": "Knowledge Catalog enrichment agent SA",
    "description": "Service Account for Dataplex Knowledge Catalog enrichment agent execution"
   }
  }

    リクエストを送信するには、次のいずれかのオプションを展開します。

    成功したことを示すステータス コード（2xx）と空のレスポンスが返されます。

  2. ターゲット スコープの実行サービス アカウントに、必要なリソースレベルの IAM ロールを付与します。

    • Dataplex Catalog 編集者（roles/dataplex.catalogEditor）と Dataplex Catalog 閲覧者（roles/dataplex.catalogViewer）: エージェントがカタログ メタデータを検査し、ステージングされた作業エントリを作成して、承認された拡充を手動で公開できるようにします。
    • （省略可） Dataplex ワークフロー承認者（roles/dataplex.workflowApprover）: タスクで自動公開を有効にする場合にのみ必要です。エージェントが独自のメタデータ変更リクエストを自動的に承認して公開できるようにします。
    • BigQuery データ閲覧者（roles/bigquery.dataViewer）: エージェントがテーブル スキーマ、列メタデータ、エージェント分析トレース テーブルを読み取れるようにします。

    注: 次のコードサンプルでは、設定を簡単にするために、これらのロールをプロジェクト レベルで付与しています。本番環境システムでは、特定のターゲット データセットのリソースレベルでこれらのロールを安全に付与することを強くおすすめします。

    これらの標準ロールを付与する手順は次のとおりです。

    プロジェクトに IAM ポリシー バインディングを追加するには、gcloud projects add-iam-policy-binding コマンドを使用します。

    後述のコマンドデータを使用する前に、次のように置き換えます。

    • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
    • TARGET_PROJECT_ID: 実際の Google Cloud プロジェクト ID

    次のコマンドを実行します。

    Linux、macOS、Cloud Shell

    gcloud projects add-iam-policy-binding TARGET_PROJECT_ID \
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/dataplex.catalogEditor"

gcloud projects add-iam-policy-binding TARGET_PROJECT_ID \
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/bigquery.dataViewer"

    Windows（PowerShell）

    gcloud projects add-iam-policy-binding TARGET_PROJECT_ID `
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" `
    --role="roles/dataplex.catalogEditor"

gcloud projects add-iam-policy-binding TARGET_PROJECT_ID `
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" `
    --role="roles/bigquery.dataViewer"

    Windows（cmd.exe）

    gcloud projects add-iam-policy-binding TARGET_PROJECT_ID ^
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" ^
    --role="roles/dataplex.catalogEditor"

gcloud projects add-iam-policy-binding TARGET_PROJECT_ID ^
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" ^
    --role="roles/bigquery.dataViewer"

  3. ユーザーにサービス アカウント ユーザーロール（roles/iam.serviceAccountUser）を付与して、サービス アカウントの権限を借用する権限を付与します。

    コンソールで拡充タスクを作成するユーザーには、このサービス アカウントを指定してタスクに接続できるように、この権限が必要です。

    ユーザーにサービス アカウント ユーザーのロールを付与する手順は次のとおりです。

    サービス アカウントに IAM ポリシー バインディングを追加するには、gcloud iam service-accounts add-iam-policy-binding コマンドを使用します。

    後述のコマンドデータを使用する前に、次のように置き換えます。

    • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
    • TARGET_PROJECT_ID: 実際の Google Cloud プロジェクト ID
    • USER_EMAIL: ユーザーのメールアドレス

    次のコマンドを実行します。

    Linux、macOS、Cloud Shell

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com \
    --member="user:USER_EMAIL@domain.com" \
    --role="roles/iam.serviceAccountUser"

    Windows（PowerShell）

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com `
    --member="user:USER_EMAIL@domain.com" `
    --role="roles/iam.serviceAccountUser"

    Windows（cmd.exe）

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com ^
    --member="user:USER_EMAIL@domain.com" ^
    --role="roles/iam.serviceAccountUser"

  4. 内部 Knowledge Catalog サービス エージェントにサービス アカウント トークンサービス アカウント トークン作成者ロール（roles/iam.serviceAccountTokenCreator）を付与して、このサービス アカウントの権限を借用できるようにします。

    これにより、基盤となる Knowledge Catalog サービスは、この専用サービス アカウントの ID と制限付きの権限を想定して、バックグラウンド エンリッチメント オペレーションを実行できます。

    エージェントがサービス アカウントの ID を引き受けることを認可する手順は次のとおりです。

    サービス アカウントに IAM ポリシー バインディングを追加するには、gcloud iam service-accounts add-iam-policy-binding コマンドを使用します。

    後述のコマンドデータを使用する前に、次のように置き換えます。

    • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
    • TARGET_PROJECT_ID: 実際の Google Cloud プロジェクト ID
    • TARGET_PROJECT_NUMBER: Google Cloud プロジェクト番号

    次のコマンドを実行します。

    Linux、macOS、Cloud Shell

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com \
    --member="serviceAccount:service-TARGET_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com" \
    --role="roles/iam.serviceAccountTokenCreator"

    Windows（PowerShell）

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com `
    --member="serviceAccount:service-TARGET_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com" `
    --role="roles/iam.serviceAccountTokenCreator"

    Windows（cmd.exe）

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com ^
    --member="serviceAccount:service-TARGET_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com" ^
    --role="roles/iam.serviceAccountTokenCreator"

ユーザーに必要な IAM ロールを付与する

チームが拡充ワークフローを管理し、AI 生成の提案を確認できるようにするには、ユーザーに適切な IAM ロールを付与します。これらのロールを付与する方法については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

タスクを作成、構成、モニタリングするワークフロー マネージャー（データ スチュワードなど）には、次のロールが必要です。

  • Dataplex DataScan 編集者（roles/dataplex.dataScanEditor）または Dataplex 編集者（roles/dataplex.editor）: ユーザーは、拡充タスクの作成、変更、トリガー、キャンセルを行うことができます。
  • 顧客管理のサービス アカウントに対するサービス アカウント ユーザー（roles/iam.serviceAccountUser）: サービス アカウントをタスクの実行 ID として接続するために必要です。

AI 生成のメタデータ提案を検査、承認、カタログに公開する変更レビュー担当者（ドメイン オーナーや分野の専門家など）には、次のロールが必要です。

  • Dataplex Catalog 編集者（roles/dataplex.catalogEditor）と Dataplex Catalog 閲覧者（roles/dataplex.catalogViewer）: 変更リクエストを開き、提案の差分を並べて検査し、説明をインラインで編集するために必要です。
  • Dataplex ワークフロー承認者（roles/dataplex.workflowApprover）: 変更リクエストを承認してライブカタログに公開するために必要です。
  • Dataplex DataScan 閲覧者（roles/dataplex.dataScanViewer）または Dataplex 閲覧者（roles/dataplex.viewer）: 提案ごとの信頼スコア、テスト失敗の診断、ダウンストリーム評価スコアカードを確認するために必要です。

サードパーティの認証プロバイダを構成する

拡充エージェントをサードパーティのナレッジソース（Microsoft SharePoint、Atlassian Confluence、GitHub など）に接続する場合は、 Google Cloudのアカウント管理サービスを使用して認証プロバイダを構成する必要があります。

Agent Identity は、プロジェクト内のサードパーティ トークンを暗号化する安全なセキュリティ認証情報マネージャーとして機能します。これにより、人間のオペレーターがタスクの実行中に未加工のクライアント シークレットを処理する必要がなくなります。

必要なトークンを生成し、特定の外部プラットフォームの認証プロバイダを構成する手順ガイドについては、拡充タスクの外部コネクタを構成するをご覧ください。

認証プロバイダの IAM 権限を設定する

アクティブな実行中に、エンリッチメント エージェントが認証プロバイダの認証情報を動的に安全に取得できるようにするには、マネージド Knowledge Catalog サービス エージェント（service-<var>PROJECT_NUMBER</var>@gcp-sa-dataplex.iam.gserviceaccount.com）にエージェント ID 管理者（roles/agentidentity.admin）ロールを付与する必要があります。このロールは、認証プロバイダのリソースレベルまたはプロジェクト レベルで付与できます。

また、Google Cloud コンソールで認証プロバイダをタスクに接続する人間のユーザーには、認証プロバイダに対する agentidentity.authProviders.get 権限（エージェント ID 閲覧者（roles/agentidentity.viewer）に含まれる）が必要です。

Cloud Storage バケットを準備する

Cloud Storage は、ナレッジ拡充ワークフローの主要なファイルベースのステージング、コンテキスト取り込み、アーティファクト エクスポート レイヤとして機能します。

1 つ以上の入力バケットからファイルを取り込むようにエージェントを構成して、企業のドメイン知識に基づいて推論をグラウンディングできます。サポートされているコンテキスト タイプは次のとおりです。

  • ドメイン ドキュメントとデータ辞書: テーブル定義、ビジネス用語集、標準作業手順（SOP）、データ パイプライン アーキテクチャ、列命名ガイドラインを含む Markdown、書式なしテキスト、PDF、HTML、CSV ファイル。

  • 評価データセット: シードクエリとホールドアウト検証クエリセットを格納する JSONL ファイルまたは CSV ファイル。詳細については、評価データセットをフォーマットするをご覧ください。

  • 参照 SQL と変換スクリプト: 保存された SQL スクリプト、dbt モデル定義、または ETL 変換ロジック。テーブル結合パターンとビジネス計算に関するコンテキスト シグナルを提供します。

構成すると、エンリッチメント エージェントは、構造化されたバンドルをエクスポートし、アーティファクトを出力バケットに実行することもできます。サポートされている出力アーティファクトは次のとおりです。

  • 詳細な評価レポート: クエリごとの精度デルタ、テスト失敗の診断、信頼度分布の指標を示す包括的なスコアカード。

拡充エージェントがバケット外で動作できるように、実行サービス アカウントに必要な権限があることを確認します。

  • エージェントがステージ ドキュメントと構成ファイルを読み取ることができるように、入力バケットにオブジェクト閲覧者のロール（roles/storage.objectViewer）を付与します。
  • （省略可）エージェントが実行アーティファクトと検証ログを保存するようにする場合は、出力バケットにオブジェクト作成者のロール（roles/storage.objectCreator）を付与します。

サービス アカウントに Cloud Storage バケットへのアクセス権を付与する手順は次のとおりです。

ストレージ バケットに IAM ポリシー バインディングを追加するには、gcloud storage buckets add-iam-policy-binding コマンドを使用します。

後述のコマンドデータを使用する前に、次のように置き換えます。

  • CUSTOMER_BUCKET: Cloud Storage バケットの名前
  • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
  • TARGET_PROJECT_ID: 実際の Google Cloud プロジェクト ID

次のコマンドを実行します。

Linux、macOS、Cloud Shell

gcloud storage buckets add-iam-policy-binding gs://CUSTOMER_BUCKET \
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/storage.objectViewer"

Windows（PowerShell）

gcloud storage buckets add-iam-policy-binding gs://CUSTOMER_BUCKET `
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" `
    --role="roles/storage.objectViewer"

Windows（cmd.exe）

gcloud storage buckets add-iam-policy-binding gs://CUSTOMER_BUCKET ^
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" ^
    --role="roles/storage.objectViewer"

評価データセットをフォーマットする

拡充ワークフローでは、例がなくても情報を自動的に抽出できます。ただし、評価データセットを提供すると、エージェントは自身をテストして精度を向上させることができます。

次の 2 種類のデータセットを指定できます。

  • キュレーション セット: ユーザーの質問のサンプルと、想定される SQL クエリのリスト。エージェントは、このリストを使用して、より適切な表の要約を練習して作成します。

  • 評価セット: エージェントのパフォーマンスを評価するために使用される質問の個別のリスト。エージェントのパフォーマンスが低い場合、この評価セットにより、パフォーマンスの低い更新がカタログに公開されるのを防ぐことができます。

または、1 つの統合データセットを指定することもできます。拡充サービスは、データをキュレーション セットと評価セットに自動的に分割します。

データセット スキーマの要件

評価データセットは JSONL ファイル形式で、Cloud Storage に保存する必要があります。ファイルの各行には、自然言語の質問と、想定されるグラウンド トゥルース SQL クエリをペアにして含める必要があります。

ファイルが Gemini Enterprise Agent Platform で規定されている評価データセット スキーマと一致していることを確認します。次の表に、使用できる形式のフィールドを示します。

フィールド名 タイプ 説明
display_name STRING 省略可。評価リクエストの識別子または名前。
evaluation_request.prompt.text STRING 自然言語の質問またはユーザー プロンプト。
evaluation_request.golden_response.candidate STRING ゴールデン レスポンスを識別します。golden に設定します。
evaluation_request.golden_response.text STRING 質問に回答する、検証済みの SQL クエリ（グラウンド トゥルース）。スコアラーは、データに対してこの SQL を実行します。

次のスニペットは、有効な .jsonl 評価ファイルを示しています。

{"display_name": "revenue-2026", "evaluation_request": {"prompt": {"text": "What is total revenue for customer C100 in 2026?"}, "golden_response": {"candidate": "golden", "text": "SELECT SUM(amount) FROM `project.dataset.orders` WHERE customer_id = 'C100' AND EXTRACT(YEAR FROM order_date) = 2026;"}}}
{"display_name": "monthly-subscribers", "evaluation_request": {"prompt": {"text": "List active subscribers on monthly billing"}, "golden_response": {"candidate": "golden", "text": "SELECT user_id, email FROM `project.dataset.subscriptions` WHERE status = 'ACTIVE' AND plan_type = 'MONTHLY';"}}}

高品質の評価データセットを作成するための詳細なガイダンスについては、 Gemini Enterprise Agent Platform のドキュメントをご覧ください。

自己学習用のエージェント トレースを構成する

エンリッチメント エージェントがダウンストリームの Gemini Enterprise エージェントのインタラクション（またはカスタム Gemini Enterprise Agent Platform アプリケーション）を自動的に分析できるようにするには、必要に応じて、アプリケーションのインタラクション トレースへの読み取りアクセス権を付与します。

これらのトレースを取り込むことで、エージェントは軌跡マイニングを実行できます。エージェントは、コンテキストの欠落が原因でダウンストリーム エージェントが苦労した場所を検出し、頻繁に寄せられるユーザーの質問を影響の大きいクエリクラスにクラスタ化して、それらのギャップを解決するために必要な正確なテーブルの概要、列のセマンティクス、ビジネス用語集の用語を自動的にキュレートします。

エンタープライズ アーキテクチャに応じて、次の 2 つの設定方法のいずれかを選択します。

  • スコープ付きログビューを使用した直接ロギング: アプリケーションのテレメトリーのみに制限されたログビューを作成して、最小権限の読み取りアクセス権を付与します。Recommended.
  • BigQuery エージェント分析: 組織がインタラクション ログを BigQuery ログシンクにネイティブにルーティングする場合は、エクスポートされた BigQuery データセットへの読み取りアクセス権を付与します。

スコープ付きログビューを使用した直接ロギング（推奨）

アプリケーションでインタラクション ロギングが有効になっている場合、実行ログは Logging に直接ストリーミングされます。最小権限の原則に従うには、特定のアプリケーションに制限された専用のログビューを作成し、そのビューに対する読み取りアクセス権のみを実行サービス アカウントに付与します。

  1. ログを分離するために、スコープ付きログビューを作成します。これにより、エンリッチメント サービスは、構成された特定のアプリケーションからのみテレメトリーを読み取り（たとえば、resource.type="aiplatform.googleapis.com/Agent" でフィルタリング）、より広範な Cloud ログへの不正アクセスを防ぎます。

    gcloud CLI

    スコープ付きログビューを作成するには、gcloud logging views create コマンドを使用します。

    後述のコマンドデータを使用する前に、次のように置き換えます。

    • LOG_VIEW_NAME: ログビューの名前
    • YOUR_GEMINI_ENTERPRISE_APP_ID: Gemini Enterprise アプリケーション ID

    次のコマンドを実行します。

    Linux、macOS、Cloud Shell

    gcloud logging views create LOG_VIEW_NAME \
    --location=global \
    --bucket=_Default \
    --log-filter='resource.type="aiplatform.googleapis.com/Agent" AND resource.labels.agent_id="YOUR_GEMINI_ENTERPRISE_APP_ID"'

    Windows（PowerShell）

    gcloud logging views create LOG_VIEW_NAME `
    --location=global `
    --bucket=_Default `
    --log-filter='resource.type="aiplatform.googleapis.com/Agent" AND resource.labels.agent_id="YOUR_GEMINI_ENTERPRISE_APP_ID"'

    Windows（cmd.exe）

    gcloud logging views create LOG_VIEW_NAME ^
    --location=global ^
    --bucket=_Default ^
    --log-filter='resource.type="aiplatform.googleapis.com/Agent" AND resource.labels.agent_id="YOUR_GEMINI_ENTERPRISE_APP_ID"'

    REST

    リクエストのデータを使用する前に、次のように置き換えます。

    • LOG_VIEW_NAME: ログビューの名前
    • TARGET_PROJECT_ID: 実際の Google Cloud プロジェクト ID
    • YOUR_GEMINI_ENTERPRISE_APP_ID: Gemini Enterprise アプリケーション ID

    HTTP メソッドと URL:

    POST https://logging.googleapis.com/v2/projects/TARGET_PROJECT_ID/locations/global/buckets/_Default/views?viewId=LOG_VIEW_NAME

    リクエストの本文（JSON）: 

    {
 "filter": "resource.type=\"aiplatform.googleapis.com/Agent\" AND resource.labels.agent_id=\"YOUR_GEMINI_ENTERPRISE_APP_ID\""
}

    リクエストを送信するには、次のいずれかのオプションを展開します。

    成功したことを示すステータス コード（2xx）と空のレスポンスが返されます。

  2. ログビューを作成したら、実行サービス アカウントに読み取りアクセス権を付与します。これにより、エンリッチメント ジョブは、自己学習期間で必要なアプリケーション テレメトリーを pull できます。

    ログビューに IAM ポリシー バインディングを追加するには、gcloud logging views add-iam-policy-binding コマンドを使用します。

    後述のコマンドデータを使用する前に、次のように置き換えます。

    • LOG_VIEW_NAME: ログビューの名前
    • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
    • TARGET_PROJECT_ID: 実際の Google Cloud プロジェクト ID

    次のコマンドを実行します。

    Linux、macOS、Cloud Shell

    gcloud logging views add-iam-policy-binding LOG_VIEW_NAME \
    --location=global \
    --bucket=_Default \
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/logging.viewAccessor"

    Windows（PowerShell）

    gcloud logging views add-iam-policy-binding LOG_VIEW_NAME `
    --location=global `
    --bucket=_Default `
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" `
    --role="roles/logging.viewAccessor"

    Windows（cmd.exe）

    gcloud logging views add-iam-policy-binding LOG_VIEW_NAME ^
    --location=global ^
    --bucket=_Default ^
    --member="serviceAccount:SERVICE_ACCOUNT_NAME@TARGET_PROJECT_ID.iam.gserviceaccount.com" ^
    --role="roles/logging.viewAccessor"

詳細については、ログバケットのログビューを構成するをご覧ください。

BigQuery エージェント分析

組織が Logging ログシンクを使用してインタラクション ログを BigQuery にストリーミングしている場合、または BigQuery エージェント分析テーブルに直接書き込んでいる場合は、代わりにデータセットへのアクセス権を付与できます。

インタラクション ログが指定された BigQuery データセットにストリーミングされるように構成されていることを確認し、実行サービス アカウントにその特定のデータセットに対する BigQuery データ閲覧者のロール（roles/bigquery.dataViewer）が付与されていることを確認します。これにより、エージェントはエクスポートされたテレメトリーを BigQuery から直接読み取ることができます。

ログのエクスポートの詳細については、サポートされている宛先にログを転送するをご覧ください。

データ プロファイリングとデータ分析情報を有効にする

拡充タスクを実行する前に、頻繁に使用するターゲット テーブルでデータ プロファイリングと AI データ分析情報を有効にすることをおすすめします。データ プロファイリングでは、一般的な値、データ分布、null 数などの統計特性が提供されます。一方、データ分析情報では、ベースライン テーブルの説明とサンプルクエリが生成されます。これらのシグナルを提供すると、拡充エージェントがより正確なメタデータ提案を生成できます。

次のステップ