Configurer la protection de l'IA

AI Protection vous aide à sécuriser vos ressources et workflows d'IA en surveillant vos modèles, vos données et votre infrastructure liée à l'IA. Ce guide explique comment configurer la protection de l'IA.

Avant de commencer

  1. Obtenez l'ID de votre organisation.
  2. Pour créer et attribuer des rôles, assurez-vous de disposer des autorisations requises, comme les rôles Administrateur de rôle IAM (roles/iam.roleAdmin) et Administrateur de l'organisation (roles/resourcemanager.organizationAdmin). Pour en savoir plus, consultez l'index des rôles et autorisations IAM.

Rôles requis

Après avoir suivi les étapes de la section Avant de commencer, suivez les étapes de l'une des sections suivantes pour configurer les rôles requis pour accéder à la protection de l'IA :

Rôles personnalisés

Pour respecter le principe du moindre privilège, vous pouvez créer des rôles IAM personnalisés qui n'accordent que les autorisations nécessaires pour l'accès en tant que lecteur ou administrateur.

Ce document vous explique comment créer et attribuer des rôles personnalisés pour la protection de l'IA.

Configurer l'accès en lecture

L'accès Lecteur permet à un utilisateur d'afficher le tableau de bord et les données de la protection de l'IA. Pour configurer l'accès en lecture, vous devez créer un rôle AIP Viewer personnalisé, puis l'attribuer à un utilisateur.

Créer le rôle personnalisé "Lecteur AIP"

Créez un rôle personnalisé qui contient toutes les autorisations requises pour l'accès en lecture seule à la protection de l'IA.

Console

  1. Dans la console Google Cloud , accédez à la page Rôles.

Accéder à la page "Rôles"

  1. Cliquez sur Créer un rôle.
  2. Dans le champ Title (Titre), saisissez AIP Viewer.
  3. Le champ ID est renseigné automatiquement. Vous pouvez éventuellement le remplacer par aip.viewer.
  4. Dans le champ Description, saisissez Grants permissions required to view AIP dashboard and data.
  5. Définissez l'étape de lancement du rôle sur Disponibilité générale.
  6. Cliquez sur Ajouter des autorisations.

  7. Filtrez et sélectionnez chacune des autorisations suivantes :

    • cloudasset.assets.exportResource
    • cloudasset.assets.searchAllIamPolicies
    • cloudasset.assets.searchAllResources
    • cloudasset.assets.searchEnrichmentResourceOwners
    • cloudasset.othercloudconnections.get
    • cloudasset.othercloudconnections.list
    • cloudsecuritycompliance.controlComplianceSummaries.list
    • cloudsecuritycompliance.frameworkComplianceReports.get
    • dspm.locations.computeAggregation
    • dspm.locations.fetchLineageConnections
    • monitoring.timeSeries.list
    • resourcemanager.organizations.get
    • resourcemanager.projects.get
    • securitycentermanagement.securityCommandCenter.get
    • securitycenter.assets.group
    • securitycenter.assets.list
    • securitycenter.attackpaths.list
    • securitycenter.complianceReports.aggregate
    • securitycenter.findings.group
    • securitycenter.findings.list
    • securitycenter.issues.get
    • securitycenter.issues.group
    • securitycenter.issues.list
    • securitycenter.issues.listFilterValues
    • securitycenter.simulations.get
    • securitycenter.sources.get
    • securitycenter.sources.list
    • securitycenter.userinterfacemetadata.get
    • securitycenter.valuedresources.list

  8. Cliquez sur Ajouter.

  9. Cliquez sur Créer.

gcloud

  1. Dans un terminal, exécutez la commande gcloud suivante pour créer le rôle :
gcloud iam roles create aip.viewer \
    --organization=ORGANIZATION_ID \
    --title="AIP Viewer" \
    --description="Grants permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.exportResource,cloudasset.assets.searchAllIamPolicies,cloudasset.assets.searchAllResources,cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,cloudsecuritycompliance.controlComplianceSummaries.list,cloudsecuritycompliance.frameworkComplianceReports.get,dspm.locations.computeAggregation,dspm.locations.fetchLineageConnections,monitoring.timeSeries.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.issues.get,securitycenter.issues.group,securitycenter.issues.list,securitycenter.issues.listFilterValues,securitycenter.simulations.get,securitycenter.sources.get,securitycenter.sources.list,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

Remplacez ORGANIZATION_ID par l'ID de votre organisation.

Accorder l'accès en lecture à un utilisateur

Une fois le rôle personnalisé AIP Viewer créé, accordez-le aux utilisateurs qui ont besoin d'un accès en lecture seule.

Console

  1. Dans la console Google Cloud , accédez à la page IAM.

Accéder à IAM

  1. Cliquez sur Accorder l'accès.
  2. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail de l'utilisateur.
  3. Dans le menu déroulant Sélectionner un rôle, recherchez et sélectionnez le rôle personnalisé Lecteur AIP.
  4. Cliquez sur Enregistrer.

gcloud

  1. Dans un terminal, exécutez la commande gcloud suivante :
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="organizations/ORGANIZATION_ID/roles/aip.viewer"

Remplacez les éléments suivants :

  • ORGANIZATION_ID : ID de votre organisation.
  • USER_EMAIL : adresse e-mail de l'utilisateur.

Configurer l'accès administrateur

L'accès administrateur permet à un utilisateur de gérer les fonctionnalités de protection de l'IA. Pour configurer l'accès administrateur, commencez par créer le rôle personnalisé AIP Essentials. Vous attribuez ensuite ce rôle et les rôles prédéfinis requis à un utilisateur.

Créer le rôle personnalisé "AIP Essentials"

Créez un rôle personnalisé qui contient les autorisations d'assistance essentielles requises pour la protection par IA.

Console

  1. Dans la console Google Cloud , accédez à la page Rôles.

Accéder à la page "Rôles"

  1. Cliquez sur Créer un rôle.
  2. Dans le champ Title (Titre), saisissez AIP Essentials.
  3. Le champ ID est renseigné automatiquement. Vous pouvez éventuellement le remplacer par aip.essentials.
  4. Dans le champ Description, saisissez Grants supporting permissions required to view AIP dashboard and data.
  5. Définissez l'étape de lancement du rôle sur Disponibilité générale.
  6. Cliquez sur Ajouter des autorisations.

  7. Filtrez et sélectionnez chacune des autorisations suivantes :

    • cloudasset.assets.searchEnrichmentResourceOwners
    • cloudasset.othercloudconnections.get
    • cloudasset.othercloudconnections.list
    • resourcemanager.organizations.get
    • resourcemanager.projects.get
    • securitycentermanagement.securityCommandCenter.get
    • securitycenter.assets.group
    • securitycenter.assets.list
    • securitycenter.attackpaths.list
    • securitycenter.complianceReports.aggregate
    • securitycenter.findings.group
    • securitycenter.findings.list
    • securitycenter.simulations.get
    • securitycenter.userinterfacemetadata.get
    • securitycenter.valuedresources.list

  8. Cliquez sur Ajouter.

  9. Cliquez sur Créer.

gcloud

  1. Dans un terminal, exécutez la commande gcloud suivante pour créer le rôle :
gcloud iam roles create aip.essentials \
    --organization=ORGANIZATION_ID \
    --title="AIP Essentials" \
    --description="Grants supporting permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.simulations.get,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

Remplacez ORGANIZATION_ID par l'ID de votre organisation.

Accorder un accès administrateur à un utilisateur

Une fois le rôle personnalisé AIP Essentials créé, attribuez-le aux utilisateurs qui ont besoin d'un accès administrateur, en plus des rôles prédéfinis requis.

Console

  1. Dans la console Google Cloud , accédez à la page IAM.

Accéder à IAM

  1. Cliquez sur Accorder l'accès.
  2. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail de l'utilisateur.
  3. Dans le menu déroulant Sélectionner un rôle, recherchez et ajoutez chacun des rôles suivants :
    • DSPM Admin (roles/dspm.admin)
    • Model Armor Admin (roles/modelarmor.admin)
    • Model Armor Floor Settings Admin (roles/modelarmor.floorSettingsAdmin)
    • Cloud Security Compliance Admin (roles/cloudsecuritycompliance.admin)
    • Security Center Findings Viewer (roles/securityCenter.findingsViewer)
    • Monitoring Viewer (roles/monitoring.viewer)
    • Cloud Asset Viewer (roles/cloudasset.viewer)
    • Le rôle personnalisé AIP Essentials que vous avez créé.
  4. Cliquez sur Enregistrer.

gcloud

  1. Dans un terminal, exécutez les commandes suivantes, une pour chaque rôle :
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="roles/dspm.admin"

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.admin"

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.floorSettingsAdmin"

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudsecuritycompliance.admin"

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="roles/securityCenter.findingsViewer"

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="roles/monitoring.viewer"

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudasset.viewer"

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:USER_EMAIL" \
    --role="organizations/ORGANIZATION_ID/roles/aip.essentials"

Remplacez les éléments suivants :

  • ORGANIZATION_ID : ID de votre organisation.
  • USER_EMAIL : adresse e-mail de l'utilisateur.

Rôles prédéfinis

Pour obtenir les autorisations nécessaires pour configurer la protection de l'IA et afficher les données du tableau de bord, demandez à votre administrateur de vous accorder les rôles IAM suivants sur votre organisation :

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Les commandes Google Cloud CLI suivantes peuvent être utilisées pour attribuer les rôles précédents à un utilisateur :

Attribuer des rôles à l'aide de la gcloud CLI

  • Pour attribuer le rôle Administrateur du centre de sécurité à un utilisateur, exécutez la commande suivante :

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.admin

  • Pour attribuer le rôle Lecteur administrateur du centre de sécurité à un utilisateur, exécutez la commande suivante :

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.adminViewer

    Remplacez les éléments suivants :

    • ORGANIZATION_ID : ID numérique d'organisation
    • USER_EMAIL_ID : adresse e-mail de l'utilisateur qui demande l'accès

Régions où le service est disponible

Pour obtenir la liste des régions dans lesquelles la protection de l'IA est disponible, consultez Points de terminaison régionaux.

Accès pour les comptes de service

Assurez-vous que les règles d'administration n'empêchent pas l'utilisation des comptes de service mentionnés dans les sections suivantes.

Configurer la protection de l'IA

Pour activer la protection de l'IA au niveau de l'organisation, procédez comme suit :

Premium

  1. Si vous n'avez pas activé Security Command Center dans votre organisation, activez Security Command Center Premium.
  2. Après avoir activé le niveau de service Premium de Security Command Center, configurez la protection de l'IA en accédant à Paramètres > Gérer les paramètres sur la fiche "Protection par IA".

    Accéder aux paramètres de protection de l'IA

  3. Activez la découverte des ressources que vous souhaitez protéger avec la protection de l'IA.
  4. Consultez votre tableau de bord sur la sécurité de l'IA en accédant à Aperçu des risques > Sécurité de l'IA.

Entreprise

  1. Si vous n'avez pas activé Security Command Center dans votre organisation, cliquez sur Activer Security Command Center Enterprise.
  2. Après avoir activé le niveau de service Enterprise de Security Command Center, configurez la protection de l'IA en suivant les instructions du guide de configuration de SCC.

    Accéder au guide de configuration

    1. Développez le panneau récapitulatif Examiner les fonctionnalités de sécurité.
    2. Dans le panneau Protection par IA, cliquez sur Configurer.
    3. Suivez les instructions pour vérifier si les services requis et dépendants pour AI Protection sont configurés. Pour comprendre ce qui est automatiquement activé et ce qui nécessite une configuration supplémentaire, consultez Activer et configurer les services Google Cloud.
  3. Activez la découverte des ressources que vous souhaitez protéger avec la protection de l'IA.

Configurer les services Google Cloud pour la protection de l'IA

Après avoir activé les niveaux de service Premium et Enterprise, configurez des servicesGoogle Cloud supplémentaires pour utiliser toutes les fonctionnalités d'AI Protection.

Les services suivants sont automatiquement activés pour les deux niveaux, sauf indication contraire :

  • Agent Platform Threat Detection (aperçu)
  • Service Discovery AI
  • Simulations de chemins d'attaque
  • Cloud Audit Logs
  • Cloud Monitoring
  • Compliance Manager
  • Event Threat Detection
  • Data Security Posture Management
  • Notebook Security Scanner (aperçu), activé automatiquement pour le niveau de service Enterprise.
  • Sensitive Data Protection
  • Agent Platform Vulnerability Assessment (bêta), automatiquement activé pour les nouvelles activations de protection de l'IA.

Les services suivants sont requis pour la protection de l'IA :

Certains de ces services nécessitent une configuration supplémentaire, comme indiqué dans les sections suivantes.

Configurer le service AI Discovery

Le service AI Discovery est automatiquement activé lors de l'intégration à Security Command Center Enterprise. Le rôle IAM Lecteur Monitoring (roles/monitoring.viewer) est fourni, mais vérifiez qu'il est appliqué au compte de service de l'organisation Security Command Center Enterprise.

  1. Dans la console Google Cloud , accédez à la page IAM.

    Accéder à IAM

  2. Cliquez sur Accorder l'accès.

  3. Dans le champ Nouveaux comptes principaux, saisissez le compte de service de l'organisation Security Command Center Enterprise. Le compte de service utilise le format service-org-ORG_ID@security-center-api.gserviceaccount.com. Remplacez ORG_ID par l'ID de votre organisation.

  4. Dans le champ Sélectionner un rôle, sélectionnez Lecteur Monitoring.

  5. Cliquez sur Enregistrer.

Configurer les contrôles cloud DSPM avancés

Configurez DSPM avec des contrôles cloud avancés pour l'accès aux données, leur flux et leur protection. Pour en savoir plus, consultez Déployer des contrôles cloud avancés pour la sécurité des données.

Lorsque vous créez un framework personnalisé qui s'applique aux charges de travail d'IA, incluez les contrôles cloud suivants :

  • Gouvernance des accès aux données : limitez l'accès aux données sensibles à des comptes principaux spécifiques, tels que des utilisateurs ou des groupes. Vous spécifiez les comptes principaux autorisés à l'aide de la syntaxe des identifiants de compte principal IAM v2. Par exemple, vous pouvez créer une règle pour autoriser uniquement les membres de gdpr-processing-team@example.com à accéder à des ressources spécifiques.
  • Gouvernance du flux de données : limitez le flux de données à des régions spécifiques. Par exemple, vous pouvez créer une règle pour autoriser l'accès aux données uniquement depuis les États-Unis ou l'UE. Vous spécifiez les codes pays autorisés à l'aide du projet CLDR (Common Locale Data Repository) Unicode.
  • Protection des données (avec CMEK) : identifiez les ressources créées sans clés de chiffrement gérées par le client (CMEK) et recevez des recommandations. Par exemple, vous pouvez créer une règle pour détecter les ressources créées sans CMEK pour storage.googleapis.com et bigquery.googleapis.com. Cette règle détecte les composants non chiffrés, mais ne les empêche pas d'être créés.

Configurez Model Armor

  1. Activez le service modelarmor.googleapis.com pour chaque projet qui utilise l'activité d'IA générative. Pour en savoir plus, consultez Premiers pas avec Model Armor.
  2. Configurez les paramètres suivants pour définir les paramètres de sécurité des requêtes et des réponses des grands modèles de langage (LLM) :
    • Modèles Model Armor : créez un modèle Model Armor. Ces modèles définissent les types de risques à détecter, tels que les données sensibles, les injections de requêtes et la détection de jailbreak. Ils définissent également les seuils minimaux pour ces filtres.
    • Filtres : Model Armor utilise différents filtres pour identifier les risques, y compris la détection des URL malveillantes, la détection de l'injection de prompts et du jailbreaking, et la protection des données sensibles.
    • Paramètres de plancher : configurez les paramètres de plancher au niveau du projet pour établir une protection par défaut pour tous les modèles Gemini.

Configurer Notebook Security Scanner

  1. Niveau de service Premium : activez le service Notebook Security Scanner pour votre organisation. Pour en savoir plus, consultez Activer Notebook Security Scanner.
  2. Attribuez le rôle Lecteur Dataform (roles/dataform.viewer) à notebook-security-scanner-prod@system.gserviceaccount.com dans tous les projets contenant des Notebooks.

Configurer la protection des données sensibles

Activez l'API dlp.googleapis.com pour votre projet et configurez Sensitive Data Protection pour analyser les données sensibles.

  1. Activez l'API Data Loss Prevention.

    Rôles requis pour activer les API

    Pour activer les API, vous avez besoin du rôle IAM Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin), qui contient l'autorisation serviceusage.services.enable. Découvrez comment attribuer des rôles.

    Activer l'API

  2. Attribuez les rôles DLP Reader et DLP Data Profiles Admin aux utilisateurs d'AI Protection.

  3. Configurez Sensitive Data Protection pour analyser les données sensibles.

Configurer l'évaluation des failles de la plate-forme d'agents

L'évaluation de la vulnérabilité d'Agent Platform identifie les failles logicielles (CVE) dans les charges de travail agentiques déployées avec Gemini Enterprise Agent Platform. Pour les nouvelles activations d'AI Protection, l'évaluation des failles de sécurité d'Agent Platform est activée par défaut.

Si vous êtes déjà client, vous pouvez activer l'analyseur sur la page Paramètres de protection de l'IA, qui n'est disponible que dans la vue au niveau de l'organisation.

  1. Dans la console Google Cloud , accédez à Paramètres > Gérer les paramètres sur la carte "protection de l'IA".

    Accéder aux paramètres de protection de l'IA

  2. Dans la section Évaluation des failles pour la plate-forme de l'agent, cliquez sur Gérer les paramètres.

  3. Activez le service pour votre organisation.

Configurer App Hub pour l'inventaire des serveurs MCP

Pour afficher les serveurs MCP (Model Context Protocol) dans le tableau de bord AI Security, vous devez activer l'API {app_hub_api} (apphub.googleapis.com) dans chaque projet qui héberge des serveurs MCP.

Pour en savoir plus, consultez Configurer App Hub.

Facultatif : Configurer des ressources à forte valeur ajoutée supplémentaires

Pour créer une configuration de valeur de ressource, suivez les étapes décrites dans Créer une configuration de valeur de ressource.

Définir le champ d'application des ressources agentiques

Pour limiter la configuration de la valeur de ressource aux ressources agentiques, telles que les agents ou les serveurs MCP (Model Context Protocol), sélectionnez un type de ressource agentique dans le menu Sélectionner un type de ressource (par exemple, aiplatform.googleapis.com/ReasoningEngine) ou spécifiez des libellés ou des tags qui identifient les ressources agentiques de votre organisation.

Lors de la prochaine simulation de chemins d'attaque, l'ensemble de ressources à forte valeur sera couvert et des chemins d'attaque seront générés.

Étapes suivantes