設定 AI 保護

Premium 和 Enterprise (已淘汰) 服務層級

Security Command Center Enterprise 服務層級將於 2027 年 5 月 21 日停止服務。 如果貴機構使用 Enterprise 服務層級，系統會在 2027 年 5 月 21 日當天或之後，自動將貴機構移至 Premium 服務層級。如有任何問題，請洽詢您的帳戶代表或Google Cloud 銷售專家。

AI Protection 會監控模型、資料和 AI 相關基礎架構，協助您保護 AI 資產和工作流程。本指南說明如何設定 AI Protection。

事前準備

1. 取得機構或專案 ID。
2. 如要建立及授予角色，請確認您具備必要權限，例如 Identity and Access Management (IAM) 角色管理員 (roles/iam.roleAdmin) 和機構管理員 (roles/resourcemanager.organizationAdmin) 或專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin) 角色。詳情請參閱「IAM 角色和權限索引」。

必要的角色

完成「事前準備」一節中的步驟後，請按照下列其中一節的步驟，設定 AI Protection 功能存取權的必要角色：

• 預先定義的角色
• 自訂角色

預先定義的角色

如要取得設定 AI 保護功能及查看資訊主頁資料所需的權限，請要求管理員授予您組織的下列 IAM 角色：

• 設定 AI 保護功能並查看資訊主頁資料： 安全中心管理員 (roles/securitycenter.admin)
• 僅查看資訊主頁資料： 安全中心管理員檢視者 (roles/securitycenter.adminViewer)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

您可以使用下列 Google Cloud CLI 指令，將上述角色指派給使用者：

使用 gcloud CLI 指派角色

• 如要將安全中心管理員角色授予使用者，請執行下列指令：

  gcloud organizations add-iam-policy-binding ORGANIZATION_ID
    --member=user:USER_EMAIL_ID
    --role=roles/securitycenter.admin
  

• 如要將安全中心管理員檢視者角色授予使用者，請執行下列指令：

  gcloud organizations add-iam-policy-binding ORGANIZATION_ID
    --member=user:USER_EMAIL_ID
    --role=roles/securitycenter.adminViewer
  

  更改下列內容：

  • ORGANIZATION_ID：組織的數字 ID
  • USER_EMAIL_ID：需要存取權的使用者電子郵件地址

自訂角色

為遵循最小權限原則，您可以建立自訂 IAM 角色，只授予檢視者或管理員存取權的必要權限。

本文說明如何建立及授予 AI 保護功能自訂角色。

設定檢視者存取權

檢視者存取權可讓使用者查看 AI Protection 資訊主頁和資料。如要設定檢視者存取權，請建立自訂 AIP Viewer 角色，然後將該角色授予使用者。

建立 AIP 檢視者自訂角色

建立自訂角色，其中包含 AI Protection 功能唯讀存取權所需的所有權限。

控制台

1. 前往 Google Cloud 控制台的「Roles」(角色) 頁面。

前往「Roles」(角色)

1. 按一下「建立角色」。
2. 在「Title」(名稱)欄位中，輸入 AIP Viewer。
3. 系統會自動填入「ID」欄位。你也可以選擇變更為「aip.viewer」。
4. 在「Description」(說明) 欄位輸入 Grants permissions required to view AIP dashboard and data。
5. 將「角色推出階段」設為「正式發布」。
6. 按一下「Add permissions」。

7. 篩選並選取下列各項權限：

   • 資產探索和雲端連線 (cloudasset.*)：
     • cloudasset.assets.exportResource
     • cloudasset.assets.searchAllIamPolicies
     • cloudasset.assets.searchAllResources
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • 法規遵循摘要 (cloudsecuritycompliance.*)：
     • cloudsecuritycompliance.controlComplianceSummaries.list
     • cloudsecuritycompliance.frameworkComplianceReports.get
   • 監控 (monitoring.*)：
     • monitoring.timeSeries.list
   • 資源管理 (resourcemanager.*)：
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center 管理 (securitycentermanagement.*)：
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center 檢視者 (securitycenter.*)：
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.issues.get
     • securitycenter.issues.group
     • securitycenter.issues.list
     • securitycenter.issues.listFilterValues
     • securitycenter.simulations.get
     • securitycenter.sources.get
     • securitycenter.sources.list
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. 按一下「新增」。

9. 點選「建立」。

gcloud

1. 在終端機中執行下列 gcloud 指令，建立角色：

gcloud iam roles create aip.viewer \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Viewer" \
    --description="Grants permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.exportResource,cloudasset.assets.searchAllIamPolicies,cloudasset.assets.searchAllResources,cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,cloudsecuritycompliance.controlComplianceSummaries.list,cloudsecuritycompliance.frameworkComplianceReports.get,monitoring.timeSeries.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.issues.get,securitycenter.issues.group,securitycenter.issues.list,securitycenter.issues.listFilterValues,securitycenter.simulations.get,securitycenter.sources.get,securitycenter.sources.list,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

更改下列內容：

• RESOURCE_TYPE：organization 或 project。
• RESOURCE_ID：組織 ID (數字) 或專案 ID。

授予使用者檢視權限

建立 AIP Viewer 自訂角色後，請將該角色授予需要檢視者存取權的使用者。

控制台

1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

前往「IAM」(身分與存取權管理) 頁面

1. 點選「授予存取權」。
2. 在「New principals」(新增主體) 欄位中，輸入使用者的電子郵件地址。
3. 在「Select a role」(請選擇角色) 下拉式選單中，搜尋並選取「AIP Viewer」(AIP 檢視者) 自訂角色。
4. 按一下 [儲存]。

gcloud

1. 在終端機中執行下列 gcloud 指令：

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.viewer"

更改下列內容：

• RESOURCE_TYPE：organizations 或 projects。
• RESOURCE_ID： 您的機構或專案 ID。
• USER_EMAIL：使用者的電子郵件地址。

設定管理員存取權

管理員存取權可讓使用者管理 AI 防護功能。 如要設定管理員存取權，請先建立AIP Essentials自訂角色。然後將該角色和必要的預先定義角色授予使用者。

建立 AIP Essentials 自訂角色

建立自訂角色，並加入 AI Protection 功能所需的必要支援權限。

控制台

1. 前往 Google Cloud 控制台的「Roles」(角色) 頁面。

前往「Roles」(角色)

1. 按一下「建立角色」。
2. 在「Title」(名稱)欄位中，輸入 AIP Essentials。
3. 系統會自動填入「ID」欄位。你也可以選擇變更為「aip.essentials」。
4. 在「Description」(說明) 欄位輸入 Grants supporting permissions required to view AIP dashboard and data。
5. 將「角色推出階段」設為「正式發布」。
6. 按一下「Add permissions」。

7. 篩選並選取下列各項權限：

   • 資產探索和雲端連線 (cloudasset.*)：
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • 資源管理 (resourcemanager.*)：
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center 管理 (securitycentermanagement.*)：
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center 檢視者 (securitycenter.*)：
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.simulations.get
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. 按一下「新增」。

9. 點選「建立」。

gcloud

1. 在終端機中執行下列 gcloud 指令，建立角色：

gcloud iam roles create aip.essentials \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Essentials" \
    --description="Grants supporting permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.simulations.get,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

更改下列內容：

• RESOURCE_TYPE：organization 或 project。
• RESOURCE_ID：您的機構或專案 ID。

將管理員存取權授予使用者

建立AIP Essentials自訂角色後，請將該角色和必要的預先定義角色授予需要管理員存取權的使用者。

控制台

1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

前往「IAM」(身分與存取權管理) 頁面

1. 點選「授予存取權」。
2. 在「New principals」(新增主體) 欄位中，輸入使用者的電子郵件地址。
3. 在「Select a role」(選取角色) 下拉式選單中，搜尋並新增下列每個角色：
   • Model Armor Admin (roles/modelarmor.admin)
   • Model Armor Floor Settings Admin (roles/modelarmor.floorSettingsAdmin)
   • Cloud Security Compliance Admin (roles/cloudsecuritycompliance.admin)
   • Security Center Findings Viewer (roles/securityCenter.findingsViewer)
   • Monitoring Viewer (roles/monitoring.viewer)
   • Cloud Asset Viewer (roles/cloudasset.viewer)
   • 您建立的自訂 AIP Essentials 角色。
4. 按一下 [儲存]。

gcloud

1. 在終端機中，針對每個角色執行下列指令：

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.floorSettingsAdmin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudsecuritycompliance.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/securityCenter.findingsViewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/monitoring.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudasset.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.essentials"

更改下列內容：

• RESOURCE_TYPE：organizations 或 projects。
• RESOURCE_ID：您的機構或專案 ID。
• USER_EMAIL：使用者的電子郵件地址。

支援的地區

如要查看支援 AI Protection 的區域清單，請參閱「區域端點」。

服務帳戶的存取權

請確認機構政策不會封鎖下列章節中提及的任何服務帳戶。

設定 AI Protection

如要在機構或專案層級啟用 AI Protection，請完成下列步驟：

Premium

1. 如果您尚未在機構或專案中啟用 Security Command Center，請參閱「啟用 Security Command Center Premium」。
2. 啟用 Security Command Center Premium 服務層級後，請前往「設定」>「管理設定」，設定 AI Protection。

   前往 AI 保護設定

3. 啟用探索功能，找出要透過 AI Protection 保護的資源。
4. 如要查看 AI 安全性資訊主頁，請依序前往「風險總覽」>「AI 安全性」。

注意： 完成新手上路程序後，如果重要服務遭到停用，資訊主頁會提供特定服務的操作說明，以及設定服務的位置。詳情請參閱「為 AI Protection 設定 Google Cloud 服務」一文。

注意： 設定所有必要服務後，AI 安全性資訊主頁可能需要一段時間，才會顯示 AI 資產的資料。

企業版

1. 如果尚未在機構或專案中啟用 Security Command Center，請啟用 Security Command Center Enterprise。
2. 啟用 Security Command Center Enterprise 服務層級後，請按照 SCC 設定指南中的指引設定 AI Protection 功能。

   前往設定指南

   1. 展開「查看安全功能」摘要面板。
   2. 在「AI 保護」面板中，按一下「設定」。
   3. 按照指示檢查 AI Protection 功能所需的服務和相關服務是否已啟用並正確設定。詳情請參閱「設定 AI 保護機制適用的服務」。Google Cloud

設定 AI 保護服務 Google Cloud

啟用 Premium 和 Enterprise (已淘汰) 服務層級後，請設定其他Google Cloud 服務，充分運用 AI Protection 的功能。

除非另有說明，否則系統會自動啟用下列服務：

• AI 探索服務
• 攻擊路徑模擬
• Cloud 稽核記錄
• Cloud Monitoring
• Compliance Manager
• Event Threat Detection
• Agent Platform Threat Detection (預先發布版)
• Model Armor
• Notebook Security Scanner (預覽版)，會為 Enterprise (已淘汰) 服務層級自動啟用。
• Sensitive Data Protection
• Agent Platform 安全漏洞評估 (預先發布版)：啟用 AI Protection 功能時，系統會自動啟用這項評估。

AI Protection 需要下列服務：

• 透過 Compliance Manager 取得 AI 保護架構
• Model Armor
• 應用程式中心 (Model Context Protocol (MCP) 伺服器清單的必要條件) (預覽版)

部分服務需要額外設定，詳情請參閱下列各節。

設定 AI 探索服務

系統會在您開始使用 Security Command Center Enterprise 時，自動啟用 AI Discovery 服務。系統會提供「Monitoring 檢視者」(roles/monitoring.viewer) IAM 角色，但請確認該角色已套用至 Security Command Center Enterprise 組織服務帳戶。

這項工作需要的權限

必須擁有下列權限「或」IAM 角色，才能執行這項工作。

角色

• roles/monitoring.viewer

1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

   前往「IAM」(身分與存取權管理) 頁面

2. 點選「授予存取權」。

3. 在「新增主體」欄位中，輸入 Security Command Center Enterprise 機構或專案服務帳戶。服務帳戶使用 [e-mail] 或 [e-mail] 格式。將 ORG_ID 替換為機構 ID，或將 PROJECT_NUMBER 替換為專案編號。

4. 在「Select a role」(選取角色) 欄位中，選取「Monitoring Viewer」(監控檢視者)。

5. 按一下 [儲存]。

設定 Model Armor

1. 為使用生成式 AI 活動的每個專案啟用 modelarmor.googleapis.com 服務。詳情請參閱「開始使用 Model Armor」。
2. 設定下列選項，定義大型語言模型 (LLM) 提示和回覆的安全設定：
   • Model Armor 範本：建立 Model Armor 範本。這些範本會定義要偵測的風險類型，例如敏感資料、提示注入和越獄偵測。並為這些篩選條件定義最低門檻。
   • 篩選器：Model Armor 會使用各種篩選器識別風險，包括偵測惡意網址、提示詞注入和越獄，以及保護私密/機密資料。
   • 底限設定：設定專案層級的底限設定，為所有 Gemini 模型建立預設保護措施。

注意： 如果未針對機構或專案中的任何專案設定 Model Armor，或未建立範本，AI 安全性資訊主頁中的 Model Armor 小工具就不會顯示任何資料。

設定 Notebook Security Scanner

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

這項工作需要的權限

必須擁有下列權限「或」IAM 角色，才能執行這項工作。

角色

• Dataform Viewer

1. 進階服務層級：為機構或專案啟用 Notebook Security Scanner 服務。詳情請參閱「啟用 Notebook Security Scanner」。
2. 在包含 Notebook 的所有專案中，將 Dataform 檢視者角色 (roles/dataform.viewer) 授予 [e-mail]。

設定 Sensitive Data Protection

為專案啟用 dlp.googleapis.com API，並設定 Sensitive Data Protection 掃描機密資料。

這項工作需要的權限

必須擁有下列權限「或」IAM 角色，才能執行這項工作。

角色

• DLP Reader
• DLP Data Profiles Admin

1. 啟用 Data Loss Prevention API。

   啟用 API 時所需的角色

   如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用情形管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

   啟用 API

2. 將 DLP Reader 和 DLP Data Profiles Admin 角色授予 AI 保護功能使用者。

3. 設定 Sensitive Data Protection 掃描私密/機密資料。

設定 Agent Platform 安全漏洞評估

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

Agent Platform 安全漏洞評估會找出使用 Gemini Enterprise Agent Platform 部署的代理功能工作負載中的軟體安全漏洞 (CVE)。啟用 AI Protection 時，系統預設會啟用 Agent Platform 安全漏洞評估。

如果是現有客戶，您可以在「AI Protection 設定」頁面啟用掃描器，但該頁面僅適用於機構層級檢視畫面。

1. 在 Google Cloud 控制台中，依序前往「設定」>「AI 保護」資訊卡上的「管理設定」。

   前往 AI 保護設定

2. 在「Agent Platform 安全漏洞評估」部分，按一下「管理設定」。

3. 為機構或專案啟用服務。

注意： 如果貴機構未啟用 Agent Platform 漏洞評估功能，AI 安全性資訊主頁就會顯示通知。

設定 App Hub 中的 MCP 伺服器廣告空間

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

如要在 AI 安全性資訊主頁中查看 Model Context Protocol (MCP) 伺服器，您必須在每個代管 MCP 伺服器的專案中啟用 {app_hub_api} (apphub.googleapis.com)。

詳情請參閱「設定 App Hub」。

選用：設定其他高價值資源

如要建立資源值設定，請按照「建立資源值設定」一文中的步驟操作。

範圍代理型資源

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

如要將資源價值設定範圍限定為代理功能資源 (例如代理或 Model Context Protocol (MCP) 伺服器)，請從「選取資源類型」選單中選取代理功能資源類型 (例如 aiplatform.googleapis.com/ReasoningEngine)，或指定標籤或標記，識別組織或專案中的代理功能資源。

下次執行攻擊路徑模擬時，系統會涵蓋高價值資源集並產生攻擊路徑。

後續步驟

• AI 保護措施總覽
• 查看 AI 安全性
• 瞭解資料落地設定的影響
• 設定 Model Armor
• 瞭解 Agent Platform Threat Detection