Konsep identitas agen

Gemini Cloud Assist beroperasi menggunakan dua mode identitas yang berbeda untuk mengelola izin dan audit. Mode yang digunakan bergantung pada cara tindakan dipicu: secara interaktif oleh pengguna atau secara proaktif oleh sistem.

Ringkasan mode identitas

Tabel berikut merangkum pemicu dan sumber izin untuk setiap mode:

Mode identitas Pemicu Sumber izin
Identitas pengguna akhir Permintaan chat dan interaktif Izin IAM pribadi Anda
Identitas agen Tugas latar belakang otonom Akun layanan khusus

Identitas pengguna akhir

Saat Anda berinteraksi dengan Gemini Cloud Assist melalui panel chat, layanan ini akan menggunakan identitas pengguna akhir Anda.

Dalam mode ini, Gemini Cloud Assist mewarisi izin yang ada untuk mengakses resource dan melakukan tindakan. Asisten tidak dapat melihat atau mengubah resource apa pun yang tidak memiliki izin untuk Anda akses sendiri. Semua tindakan yang mengubah status, yang dikenal sebagai mutasi resource, memerlukan izin eksplisit Anda. Tindakan yang dilakukan oleh Gemini Cloud Assist dicatat di Cloud Audit Logs dengan identitas Anda, seolah-olah Anda melakukan tindakan tersebut. Hal ini mencakup pengategorian tindakan berdasarkan jenis log Cloud Audit Logs yang relevan dan penghapusan tindakan dari log jika tindakan tersebut termasuk dalam jenis log yang tidak diaktifkan di Cloud Audit Logs.

Identitas agen

Saat Gemini Cloud Assist melakukan tugas latar belakang otonom—seperti menyelidiki pemberitahuan atau menganalisis anomali biaya—layanan ini menggunakan identitas agen khusus. Penyelidikan pemberitahuan proaktif tidak mendukung pemberitahuan berbasis log.

Identitas agen adalah principal IAM yang disediakan sistem dan unik untuk project Anda. Hal ini memungkinkan Gemini Cloud Assist berfungsi tanpa sesi pengguna aktif sekaligus mempertahankan batas keamanan yang ketat.

Tata kelola dan kontrol

Administrator mengelola identitas agen melalui mekanisme berikut:

  • Izin yang dapat dikonfigurasi: Tidak seperti identitas pengguna, administrator harus memberikan peran IAM secara eksplisit ke identitas agen.
  • Akses dalam cakupan: Secara default, agen dibatasi untuk membaca telemetri dan log saja. Agen tidak dapat mengakses data sensitif dalam database atau bucket penyimpanan kecuali jika diizinkan secara khusus.
  • Audit logging: Semua tindakan otonom dicatat dalam log audit sepenuhnya. Hasil proaktif ditandai sebagai Sistem yang dihasilkan di Google Cloud konsol untuk membedakannya dari tindakan yang dimulai pengguna. Mirip dengan tindakan yang dimulai pengguna, tindakan otonom dihapus dari log saat jenis log yang relevan tidak diaktifkan di Cloud Audit Logs.

Langkah berikutnya