エージェント ID のコンセプト

Gemini Cloud Assist は、権限と監査を管理するために 2 つの異なる ID モードを使用して動作します。使用されるモードは、アクションがユーザーによってインタラクティブにトリガーされるか、システムによってプロアクティブにトリガーされるかによって異なります。

ID モードの概要

次の表に、各モードのトリガーと権限ソースをまとめます。

ID モード トリガー 権限のソース
エンドユーザー ID チャットとインタラクティブ リクエスト 個人の IAM 権限
エージェント ID 自律的なバックグラウンド タスク 専用のサービス アカウント

エンドユーザー ID

チャット パネルを介して Gemini Cloud Assist を操作すると、サービスはエンドユーザーの ID を使用します。

このモードでは、Gemini Cloud Assist は、リソースにアクセスしてアクションを実行するための既存の権限を継承します。アシスタントは、ユーザー自身がアクセス権を持っていないリソースを表示または変更することはできません。リソースの変更と呼ばれる状態変更アクションには、明示的な同意が必要です。Gemini Cloud Assist が実行したアクションは、ユーザーがアクションを実行したかのように、ユーザーの ID で Cloud Audit Logs に記録されます。これには、関連する Cloud Audit Logs のログタイプにアクションを分類することや、Cloud Audit Logs で有効になっていないログタイプにアクションが属している場合に、ログからアクションを省略することが含まれます。

エージェント ID

Gemini Cloud Assist が アラートの調査や費用の異常の分析などの自律的なバックグラウンド タスクを実行する場合、専用のエージェント ID を使用します。アラートの事前調査では、ログベースのアラートはサポートされていません。

エージェント ID は、プロジェクトに固有のシステム プロビジョニングされた IAM プリンシパルです。これにより、Gemini Cloud Assist は厳格なセキュリティ境界を維持しながら、アクティブなユーザー セッションなしで機能できます。

ガバナンスと制御

管理者は、次のメカニズムを使用してエージェント ID を管理します。

  • 構成可能な権限: ユーザー ID とは異なり、管理者はエージェント ID に IAM ロールを明示的に付与する必要があります。
  • スコープ指定アクセス: デフォルトでは、エージェントは読み取り専用のテレメトリーとログに制限されています。データベースやストレージ バケット内のセンシティブ データには、明示的に承認されない限りアクセスできません。
  • 監査ロギング: すべての自律アクションは完全に監査ログに記録されます。プロアクティブな結果は、ユーザーが開始したアクションと区別するために、 Google Cloud コンソールで [System] 生成としてタグ付けされます。ユーザーが開始したアクションと同様に、関連するログタイプが Cloud Audit Logs で有効になっていない場合、自律型アクションはログから除外されます。

次のステップ