設定 AI 保護

Standard、Premium 和 Enterprise (已淘汰) 服務級別

Security Command Center Enterprise 服務級別將於 2027 年 5 月 21 日停止服務。 如果貴機構使用 Enterprise 服務層級，系統會在 2027 年 5 月 21 日當天或之後，自動將貴機構移至 Premium 服務層級。如有任何問題，請洽詢您的帳戶代表或Google Cloud 銷售專家。

AI Protection 會監控模型、資料和 AI 相關基礎架構，協助您保護 AI 資產和工作流程。本指南說明如何設定 AI Protection。

AI Protection 功能會使用下列服務和功能。AI Protection 會自動啟用部分服務和功能，但您必須手動設定其他服務和功能。

• AI 探索服務
• 風險引擎建立的攻擊路徑模擬 (Premium 和 Enterprise (已淘汰) 服務層級)
• Cloud 稽核記錄
• Cloud Monitoring
• Compliance Manager
• Event Threat Detection (進階和企業版 (已淘汰) 服務層級)
• Agent Platform Threat Detection (Premium 和 Enterprise (已淘汰) 服務層級)
• Model Armor
• Notebook Security Scanner (預覽版)：在 Enterprise (已淘汰) 服務層級中，這項功能會自動啟用。
• Sensitive Data Protection (Premium 和 Enterprise (已淘汰) 服務層級)
• Agent Platform 安全漏洞評估，這項功能會在啟用 AI Protection (Premium 和 企業版 (已淘汰) 服務層級) 時自動啟用。

您必須為 AI 保護功能設定下列必要服務：

• AI Protection 適用的 Compliance Manager 架構
• Model Armor
• 應用程式中心 (Model Context Protocol (MCP) 伺服器目錄的必要條件)

如要進一步瞭解各項服務和功能，請參閱「AI Protection 中的偵測服務」。

事前準備

1. 取得機構或專案 ID。
2. 如要建立及授予角色，請確認您具備必要權限，例如 Identity and Access Management (IAM) 角色管理員 (roles/iam.roleAdmin) 和機構管理員 (roles/resourcemanager.organizationAdmin) 或專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin) 角色。詳情請參閱「IAM 角色和權限索引」。

必要的角色

完成「事前準備」一節中的步驟後，請按照下列其中一節的步驟，設定 AI Protection 功能存取權的必要角色：

• 預先定義的角色
• 自訂角色

預先定義的角色

如要取得設定 AI 保護功能及查看 AI 安全性資訊主頁資料所需的權限，請要求管理員授予您組織或專案的下列 IAM 角色：

• 設定 AI 保護功能並查看資訊主頁資料： 安全中心管理員 (roles/securitycenter.admin)
• 僅查看 AI 安全資訊主頁資料： 安全中心管理員檢視者 (roles/securitycenter.adminViewer)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

您可以使用下列 Google Cloud CLI 指令，將上述角色指派給使用者：

使用 gcloud CLI 指派角色

• 如要將安全中心管理員角色授予使用者，請執行下列指令：

  gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=user:USER_EMAIL_ID \
    --role=roles/securitycenter.admin
  

• 如要將安全中心管理員檢視者角色授予使用者，請執行下列指令：

  gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=user:USER_EMAIL_ID \
    --role=roles/securitycenter.adminViewer
  

  更改下列內容：

  • RESOURCE_TYPE：organizations 或 projects
  • RESOURCE_ID：組織或專案 ID
  • USER_EMAIL_ID：需要存取權的使用者電子郵件地址

自訂角色

為遵循最小權限原則，您可以建立自訂 IAM 角色，只授予檢視者或管理員存取權的必要權限。

本文說明如何建立及授予 AI 保護功能自訂角色。

設定檢視者存取權

檢視者存取權可讓使用者查看 AI Protection 資訊主頁和資料。如要設定檢視者存取權，請建立自訂 AIP Viewer 角色，然後將該角色授予使用者。

建立 AIP 檢視者自訂角色

建立自訂角色，其中包含 AI Protection 功能唯讀存取權所需的所有權限。

控制台

1. 前往 Google Cloud 控制台的「Roles」(角色) 頁面。

前往「Roles」(角色)

1. 按一下「建立角色」。
2. 在「Title」(名稱)欄位中，輸入 AIP Viewer。
3. 系統會自動填入「ID」欄位。你也可以選擇變更為「aip.viewer」。
4. 在「Description」(說明) 欄位輸入 Grants permissions required to view the AI Security dashboard and data。
5. 將「角色推出階段」設為「正式發布」。
6. 按一下「Add permissions」。

7. 篩選並選取下列各項權限：

   • 資產探索和雲端連線 (cloudasset.*)：
     • cloudasset.assets.exportResource
     • cloudasset.assets.searchAllIamPolicies
     • cloudasset.assets.searchAllResources
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • 法規遵循摘要 (cloudsecuritycompliance.*)：
     • cloudsecuritycompliance.controlComplianceSummaries.list
     • cloudsecuritycompliance.frameworkComplianceReports.get
   • 監控 (monitoring.*)：
     • monitoring.timeSeries.list
   • 資源管理 (resourcemanager.*)：
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center 管理 (securitycentermanagement.*)：
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center 檢視者 (securitycenter.*)：
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.issues.get
     • securitycenter.issues.group
     • securitycenter.issues.list
     • securitycenter.issues.listFilterValues
     • securitycenter.simulations.get
     • securitycenter.sources.get
     • securitycenter.sources.list
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. 按一下「新增」。

9. 點選「建立」。

gcloud

1. 在終端機中執行下列 gcloud 指令，建立角色：

gcloud iam roles create aip.viewer \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Viewer" \
    --description="Grants permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.exportResource,cloudasset.assets.searchAllIamPolicies,cloudasset.assets.searchAllResources,cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,cloudsecuritycompliance.controlComplianceSummaries.list,cloudsecuritycompliance.frameworkComplianceReports.get,monitoring.timeSeries.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.issues.get,securitycenter.issues.group,securitycenter.issues.list,securitycenter.issues.listFilterValues,securitycenter.simulations.get,securitycenter.sources.get,securitycenter.sources.list,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

更改下列內容：

• RESOURCE_TYPE：organization 或 project。
• RESOURCE_ID：組織 ID 或專案 ID。#### 將檢視權限授予使用者

建立 AIP Viewer 自訂角色後，請將該角色授予需要檢視者存取權的使用者。

控制台

1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

前往「IAM」(身分與存取權管理) 頁面

1. 點選「授予存取權」。
2. 在「New principals」(新增主體) 欄位中，輸入使用者的電子郵件地址。
3. 在「Select a role」(請選擇角色) 下拉式選單中，搜尋並選取「AIP Viewer」(AIP 檢視者) 自訂角色。
4. 按一下 [儲存]。

gcloud

1. 在終端機中執行下列 gcloud 指令：

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.viewer"

更改下列內容：

• RESOURCE_TYPE：organizations 或 projects。
• RESOURCE_ID： 您的機構或專案 ID。
• USER_EMAIL：使用者的電子郵件地址。

設定管理員存取權

管理員存取權可讓使用者管理 AI 防護功能。 如要設定管理員存取權，請先建立AIP Essentials自訂角色。然後將該角色和必要的預先定義角色授予使用者。

建立 AIP Essentials 自訂角色

建立自訂角色，並加入 AI Protection 功能所需的必要支援權限。

控制台

1. 前往 Google Cloud 控制台的「Roles」(角色) 頁面。

前往「Roles」(角色)

1. 按一下「建立角色」。
2. 在「Title」(名稱)欄位中，輸入 AIP Essentials。
3. 系統會自動填入「ID」欄位。你也可以選擇變更為「aip.essentials」。
4. 在「Description」(說明) 欄位輸入 Grants supporting permissions required to view AIP dashboard and data。
5. 將「角色推出階段」設為「正式發布」。
6. 按一下「Add permissions」。

7. 篩選並選取下列各項權限：

   • 資產探索和雲端連線 (cloudasset.*)：
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • 資源管理 (resourcemanager.*)：
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center 管理 (securitycentermanagement.*)：
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center 檢視者 (securitycenter.*)：
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.simulations.get
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. 按一下「新增」。

9. 點選「建立」。

gcloud

1. 在終端機中執行下列 gcloud 指令，建立角色：

gcloud iam roles create aip.essentials \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Essentials" \
    --description="Grants supporting permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.simulations.get,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

更改下列內容：

• RESOURCE_TYPE：organization 或 project。
• RESOURCE_ID：您的機構或專案 ID。

將管理員存取權授予使用者

建立AIP Essentials自訂角色後，請將該角色和必要的預先定義角色授予需要管理員存取權的使用者。

控制台

1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

前往「IAM」(身分與存取權管理) 頁面

1. 點選「授予存取權」。
2. 在「New principals」(新增主體) 欄位中，輸入使用者的電子郵件地址。
3. 在「Select a role」(選取角色) 下拉式選單中，搜尋並新增下列每個角色：
   • Model Armor Admin (roles/modelarmor.admin)
   • Model Armor Floor Settings Admin (roles/modelarmor.floorSettingsAdmin)
   • Cloud Security Compliance Admin (roles/cloudsecuritycompliance.admin)
   • Security Center Findings Viewer (roles/securityCenter.findingsViewer)
   • Monitoring Viewer (roles/monitoring.viewer)
   • Cloud Asset Viewer (roles/cloudasset.viewer)
   • 您建立的自訂 AIP Essentials 角色。
4. 按一下 [儲存]。

gcloud

1. 在終端機中，針對每個角色執行下列指令：

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.floorSettingsAdmin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudsecuritycompliance.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/securityCenter.findingsViewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/monitoring.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudasset.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.essentials"

更改下列內容：

• RESOURCE_TYPE：organizations 或 projects。
• RESOURCE_ID：您的機構或專案 ID。
• USER_EMAIL：使用者的電子郵件地址。

支援的地區

如要查看支援 AI Protection 的區域清單，請參閱「區域端點」。

服務帳戶的存取權

請確認機構政策不會封鎖下列章節中提及的任何服務帳戶。

設定 AI Protection

根據預設，新啟用的 Security Command Center 會啟用 AI Protection。不過，如果您在 AI Protection 功能推出前啟用了任何 Security Command Center 層級，則必須手動啟用這項功能。

如要在機構或專案層級啟用 AI Protection，請完成下列步驟：

標準

1. 如果組織或專案未啟用 Security Command Center，請啟用 Security Command Center Standard。
2. 如要查看 AI 安全性資訊主頁，請依序前往「風險總覽」>「AI 安全性」。

Premium

1. 如果您尚未在機構或專案中啟用 Security Command Center，請參閱啟用 Security Command Center Premium 的操作說明。
2. 如果先前已啟用 Premium，請依序前往「設定」>「管理設定」，啟用 AI Protection。

   前往 AI 保護設定

3. 如要探索想保護的 AI 資源，請啟用機密資料探索。
4. 如要查看 AI 安全性資訊主頁，請依序前往「風險總覽」>「AI 安全性」。

完成新手上路程序後，如果重要服務遭到停用，資訊主頁會提供特定服務的相關說明，以及設定服務的位置。詳情請參閱「設定 AI Protection 的 Google Cloud 服務」。

設定所有必要服務後，AI 安全性資訊主頁可能需要一段時間，才會顯示 AI 資產的資料。

企業版

1. 如果尚未在貴機構啟用 Security Command Center，請按照操作說明啟用 Security Command Center Enterprise。
2. 請按照 SCC 設定指南中的指引設定 AI Protection 功能，並驗證相關服務。

   前往設定指南

   1. 展開「查看安全功能」摘要面板。
   2. 在「AI 保護」面板中，按一下「設定」。
   3. 按照指示檢查 AI Protection 功能所需的服務和相關服務是否已啟用並正確設定。詳情請參閱「設定Google Cloud AI 保護機制適用的服務」。

3. 如要探索要保護的 AI 資源，請啟用探索功能：

   • 如果已開啟設定指南：

     1. 展開「資料安全性」面板。
     2. 在「機密資料探索」資訊卡中，按一下「設定」，然後按照指示操作。

   • 如果尚未開啟設定指南，請按照下列步驟操作：

     1. 前往控制台的「Enable discovery」(啟用探索) 頁面：

        前往「啟用探索功能」

     2. 按照操作說明在機構中啟用探索功能並使用預設設定。

啟用及設定所有必要服務後，AI 安全性資訊主頁可能需要一段時間，才能反映 AI 資產的資料。

手動設定服務

啟用 AI Protection 後，請完成下列各節，手動設定功能。

設定 AI 探索服務

Security Command Center 會在 Security Command Center Enterprise 上線期間，自動啟用 AI 探索服務。確認「Monitoring 檢視者」(roles/monitoring.viewer) IAM 角色已授予 Security Command Center Enterprise 機構或專案服務帳戶。

這項工作需要的權限

必須擁有下列權限「或」IAM 角色，才能執行這項工作。

角色

• roles/monitoring.viewer

1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

   前往「IAM」(身分與存取權管理) 頁面

2. 點選「授予存取權」。

3. 在「新增主體」欄位中，輸入 Security Command Center Enterprise 機構或專案服務帳戶。服務帳戶採用 [e-mail] 或 [e-mail] 格式。將 ORG_ID 替換為組織 ID，或將 PROJECT_NUMBER 替換為專案編號。

4. 在「Select a role」(選取角色) 欄位中，選取「Monitoring Viewer」(監控檢視者)。

5. 按一下 [儲存]。

設定 Model Armor

1. 為使用生成式 AI 活動的每個專案啟用 modelarmor.googleapis.com 服務。詳情請參閱「開始使用 Model Armor」。
2. 設定下列選項，定義大型語言模型 (LLM) 提示和回覆的安全設定：
   • Model Armor 範本：建立 Model Armor 範本。這些範本會定義要偵測的風險類型，例如敏感資料、提示詞注入和越獄偵測。並為這些篩選條件定義最低門檻。
   • 篩選器：Model Armor 會使用各種篩選器識別風險，包括偵測惡意網址、提示詞注入和越獄，以及保護私密/機密資料。
   • 底限設定：設定專案層級的底限設定，為所有 Gemini 模型建立預設保護措施。

注意： 如果您未在機構或專案中設定 Model Armor，或未建立範本，AI 安全性資訊主頁中的 Model Armor 小工具就不會顯示任何資料。

設定 Notebook Security Scanner

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

這項工作需要的權限

必須擁有下列權限「或」IAM 角色，才能執行這項工作。

角色

• Dataform Viewer

1. 進階服務層級：為機構或專案啟用 Notebook Security Scanner 服務。詳情請參閱「啟用 Notebook Security Scanner」。
2. 在包含 Notebook 的所有專案中，將 Dataform 檢視者角色 (roles/dataform.viewer) 授予 [e-mail]。

設定 Sensitive Data Protection

為專案啟用 dlp.googleapis.com API，並設定 Sensitive Data Protection 掃描機密資料。

這項工作需要的權限

必須擁有下列權限「或」IAM 角色，才能執行這項工作。

角色

• DLP Reader
• DLP Data Profiles Admin

1. 啟用 Data Loss Prevention API。

   啟用 API 時所需的角色

   如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用情形管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

   啟用 API

2. 將 DLP Reader 和 DLP Data Profiles Admin 角色授予 AI 保護功能使用者。

3. 設定 Sensitive Data Protection 掃描私密/機密資料。

設定 Agent Platform 安全漏洞評估

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

Agent Platform Vulnerability Assessment 會找出使用 Gemini Enterprise Agent Platform 部署的代理工作負載中的軟體安全漏洞 (CVE)。啟用 AI Protection 時，系統預設會啟用 Agent Platform 安全漏洞評估。

如果您是現有客戶，可以在「AI Protection 設定」頁面啟用掃描器，但只有在機構或專案檢視畫面中才能使用。

1. 在 Google Cloud 控制台中，依序前往「設定」>「AI 保護」資訊卡上的「管理設定」。

   前往 AI 保護設定

2. 在「Agent Platform 安全漏洞評估」部分，按一下「管理設定」。

3. 為機構或專案啟用服務。

注意： 如果貴機構或專案未啟用 Agent Platform Vulnerability Assessment，AI 安全性資訊主頁會顯示通知。

設定 App Hub 中的 MCP 伺服器廣告空間

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

如要在 AI 安全性資訊主頁中查看 Model Context Protocol (MCP) 伺服器，您必須在每個代管 MCP 伺服器的專案中啟用 App Hub API (apphub.googleapis.com)。

詳情請參閱「設定 App Hub」。

選用：設定其他高價值資源

如要建立資源值設定，請按照「建立資源值設定」一文中的步驟操作。

限定代理資源範圍

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

如要將資源價值設定範圍限定為代理資源 (例如代理或 Model Context Protocol (MCP) 伺服器)，請從「Select resource type」(選取資源類型) 選單中選取代理資源類型 (例如 aiplatform.googleapis.com/ReasoningEngine)，或指定標籤，識別組織或專案中的代理資源。

下次執行攻擊路徑模擬時，系統會涵蓋高價值資源集並產生攻擊路徑。

後續步驟

• 進一步瞭解 AI Protection
• 查看 AI 安全性
• 使用資訊主頁資料評估風險
• 瞭解資料落地設定的影響
• 設定 Model Armor
• 瞭解 Agent Platform Threat Detection