Indicazioni per il deployment di Gemini for Government

Last reviewed 2026-09-24 UTC

Questo documento fornisce indicazioni tecniche per le agenzie federali e i dipartimenti del DoD degli Stati Uniti sull'implementazione e l'utilizzo di Gemini per la pubblica amministrazione in conformità ai requisiti FedRAMP High e DoD Impact Level 4 (IL4). Questo documento descrive quali servizi e funzionalità sono inclusi nei confini di autorizzazione e i passaggi per aiutarti a soddisfare i tuoi obblighi di conformità.

Gemini per la pubblica amministrazione utilizza Assured Workloads per soddisfare i requisiti di conformità. Devi eseguire il deployment di tutte le risorse di Gemini in Government all'interno di una cartella Assured Workloads configurata per il tuo regime di conformità specifico (FedRAMP High o IL4).

Dipendenze dei prodotti principali

Gemini per la Pubblica Amministrazione si basa su diversi serviziGoogle Cloud . La tabella seguente elenca lo stato di conformità di ogni servizio.

ServizioGoogle Cloud Stato FedRAMP High Stato IL4

Gemini Enterprise

Organizzazione Google Cloud

Organizzazione Google Cloud

AI generativa su Gemini Enterprise Agent Platform (in precedenza AI generativa su Vertex AI)

Organizzazione Google Cloud

Organizzazione Google Cloud

BigQuery

Organizzazione Google Cloud

Organizzazione Google Cloud

Cloud Storage

Organizzazione Google Cloud

Organizzazione Google Cloud

Looker (Google Cloud core)

Organizzazione Google Cloud

Inviata

Servizi e funzionalità autorizzati

La tabella seguente elenca i servizi e le funzionalità che puoi utilizzare all'interno di Gemini per la Pubblica Amministrazione per i deployment FedRAMP High e IL4.

Funzionalità FedRAMP High IL4

Completamento automatico

Organizzazione Google Cloud

Organizzazione Google Cloud

Controlli di pubblicazione

Organizzazione Google Cloud

Organizzazione Google Cloud

Datastore autorizzati come Cloud Storage e BigQuery

Organizzazione Google Cloud

Organizzazione Google Cloud

Grounding web per aziende

Organizzazione Google Cloud

Organizzazione Google Cloud

Caricamento di documenti da computer locali

Organizzazione Google Cloud

Organizzazione Google Cloud

Possibilità per gli utenti finali di selezionare i modelli

Organizzazione Google Cloud

Organizzazione Google Cloud

Memorizzazione dei dati nella cache in-memory

Organizzazione Google Cloud

Organizzazione Google Cloud

Agente Deep Research

Organizzazione Google Cloud

Revisione DISA

Creazione di agenti no-code utilizzando Agent Designer

Organizzazione Google Cloud

Revisione DISA

Galleria degli agenti

Organizzazione Google Cloud

Revisione DISA

Generazione di immagini con Nano Banana

Organizzazione Google Cloud

Revisione DISA

Gemini Notebook Enterprise (esclude overview audio, infografica, presentazione e overview video)

Organizzazione Google Cloud

Revisione DISA

Model Armor

Organizzazione Google Cloud

Revisione DISA

Connettori federati di Google Workspace (include Gmail, Google Drive e Google Calendar)

Organizzazione Google Cloud

Revisione DISA

Connettori federati di terze parti (come Microsoft Office 365 Government Community Cloud (GCC), Office GCC High e DoD e Salesforce)

Organizzazione Google Cloud

Revisione DISA

Canvas

Organizzazione Google Cloud

Revisione DISA

Progetti

Organizzazione Google Cloud

Revisione DISA

Skill

Organizzazione Google Cloud

Revisione DISA

Supporto del modello

Questa sezione descrive il supporto per i modelli Google e di terze parti.

Supporto dei modelli Google

Solo i modelli Google che supportano endpoint multiregionali degli Stati Uniti, inclusi i modelli Gemini con disponibilità generale, offrono impegni di residenza dei dati (DRZ) e possono supportare i requisiti FedRAMP High, DoD IL4, DOD IL5, ITAR e CJIS senza richiedere la configurazione di impostazioni aggiuntive.

Se hai bisogno di impegni DRZ, è tua responsabilità limitare l'accesso ai modelli Google che supportano solo endpoint globali. Per saperne di più su come limitare l'accesso a questi modelli, consulta Limita l'utilizzo degli endpoint.

Supporto di modelli di terze parti

Google Cloud è responsabile del mantenimento delle autorizzazioni per la sua infrastruttura di distribuzione e i container personalizzati, in modo che tu possa eseguire il deployment di modelli di terze parti per FedRAMP High e DoD IL4 e IL5.

Sebbene Google non convalidi lo stato di conformità dei deployment di modelli di terze parti o l'utilizzo di questi modelli di terze parti, puoi utilizzare i servizi autorizzati (come l'AI generativa su Gemini Enterprise Agent Platform e Gemini Enterprise Agent Platform Inference: Batch and Online) per interagire con più di 200 modelli linguistici di grandi dimensioni (LLM) proprietari, di terze parti e open source disponibili in Model Garden. È tua responsabilità assicurarti che i modelli di terze parti siano sottoposti a deployment, configurati e protetti in conformità ai requisiti di conformità FedRAMP e DoD IL4 e IL5. Per saperne di più, consulta Panoramica dei modelli di cui è stato eseguito il deployment autonomo e Controlla l'accesso ai modelli di Model Garden.

Supporto dei connettori

I connettori recuperano i dati da Google o da origini dati di terze parti in Gemini Enterprise. I due tipi di connettori disponibili sono i connettori federati e i connettori di importazione.

I connettori federati recuperano i dati da origini dati Google o di terze parti supportate. Quando un utente esegue una query, Gemini Enterprise unisce la richiesta all'origine dati connessa, recupera i risultati corrispondenti in tempo reale e li restituisce nella risposta alla query. I dati dell'origine dati connessa non vengono conservati nell'indice di Gemini Enterprise.

I connettori di importazione copiano e indicizzano i dati dal sistema di origine inGoogle Cloud. Quando un utente esegue una query, Gemini Enterprise recupera i risultati da questo indice persistente per fornire la risposta. I dati importati rimangono nell'indice finché non vengono rimossi o aggiornati esplicitamente.

Puoi attivare e configurare i connettori dalla console di Gemini Enterprise. Per limitare le origini dati e le destinazioni in uscita consentite, puoi utilizzare i vincoli delle policy dell'organizzazione.

Assistenza per i connettori di terze parti

I connettori federati di terze parti (disponibili in GA o Anteprima pubblica) rientrano nell'ambito dell'autorizzazione FedRAMP High di Google. L'autorizzazione IL5 per i connettori federati che utilizzano Gemini Enterprise è in attesa.

Supporto dei connettori Google

Il connettore federato di Google per Google Workspace (che include Gmail, Google Drive e Google Calendar) rientra nell'ambito dell'autorizzazione FedRAMP High di Google. L'autorizzazione IL5 è in attesa.

Inoltre, puoi utilizzare i seguenti connettori di importazione di Google per rispettare i requisiti FedRAMP High e IL5:

Per garantire la conformità, crea una connessione che utilizzi endpoint regionali e che si trovi all'interno della stessa organizzazione e dello stesso confine dei Controlli di servizio VPC.

Per saperne di più sui connettori, consulta Introduzione ai connettori e ai datastore.

Funzionalità non autorizzate che devi disattivare manualmente

I seguenti servizi e funzionalità non sono autorizzati per FedRAMP High o IL4. Tuttavia, non sono bloccati dai pacchetti di controllo di Assured Workloads e sono disponibili nel tuo progetto. Nell'ambito dell'analisi del rischio, potresti dover valutare l'utilizzo del servizio in relazione ai dati sensibili e ai controlli di mitigazione a tua disposizione. In base alla tua valutazione, potresti dover disattivare manualmente le funzionalità di questo elenco nella configurazione dell'app Gemini Enterprise.

Agenti e gallerie
Grounding
Funzionalità generative
Funzionalità relative a utenti, sessioni e UI
Altre caratteristiche

Per saperne di più sulla memorizzazione nella cache durevole, consulta Gemini Enterprise Agent Platform e conservazione dei dati pari a zero.

Funzionalità non autorizzate che non puoi disattivare

I seguenti servizi e funzionalità sono disponibili nel pacchetto di controlli Assured Workloads. Non puoi disattivarli. Se utilizzi queste funzionalità, ti consigliamo di eseguire un'analisi del rischio adeguata prima di concedere l'autorizzazione per assicurarti che l'utilizzo del servizio sia appropriato per il tuo deployment FedRAMP High o IL4. Ad esempio, puoi valutare l'utilizzo dei servizi in relazione alla sensibilità dei dati. Puoi anche valutare se sono disponibili controlli di mitigazione basati sulla crittografia dei dati per stabilire il controllo esclusivo sull'accesso ai dati.

Analytics e funzionalità dipendenti
Connettori dati e datastore
  • DatastoreGoogle Cloud come Cloud SQL e Firestore
Funzionalità relative a utenti, sessioni e UI
Altre caratteristiche

Esegui il deployment dell'ambiente

Segui questi passaggi per ricevere assistenza nel deployment di un ambiente che soddisfi i tuoi obblighi di conformità:

  1. Esegui il deployment di Assured Workloads:
    1. Crea una cartella Assured Workloads che utilizzi Data Boundary per FedRAMP High o Data Boundary per IL4.
    2. Crea il tuo progetto Google Cloud all'interno di questa cartella.
    3. Verifica che tutti gli utenti e i service account dispongano delle autorizzazioni di Identity and Access Management (IAM) richieste.
  2. Configura la tua rete FedRAMP High o IL4. Per saperne di più, consulta Configura la rete per FedRAMP e DoD suGoogle Cloud.
    1. Crea un'app Gemini Enterprise. Seleziona Multi-regione degli Stati Uniti come località. La policy di residenza dei dati di Assured Workloads applica questa opzione.

  3. Connettiti a un'origine dati di Google che si trova nella cartella Assured Workloads. I datastore autorizzati per FedRAMP High e IL4 sono i bucket Cloud Storage e i set di dati BigQuery.

  4. Configura le funzionalità di conformità autorizzate.

  5. Disattiva le funzionalità non autorizzate descritte nella sezione Funzionalità non autorizzate che devi disattivare manualmente.

  6. Forma il tuo personale affinché non utilizzi funzionalità non autorizzate che non puoi disattivare.

Disattiva le funzionalità non autorizzate

Completa le attività in questa sezione per disattivare le funzionalità non autorizzate che puoi disattivare manualmente.

Completa questa attività per ogni app di cui esegui il deployment in Gemini Enterprise.

Assicurati di disporre di uno dei seguenti ruoli:

  • Discovery Engine Admin (roles/discoveryengine.admin)
  • Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)

  • Un ruolo personalizzato con l'autorizzazione discoveryengine.engines.update

Console

  1. Nella console Google Cloud , vai alla pagina App Gemini Enterprise.

Vai ad App

  1. Seleziona l'app.
  2. Nel menu di navigazione, fai clic su Configurazioni e poi seleziona la scheda Gestione delle funzionalità.
  3. Disattiva Abilita la galleria dei prompt.
  4. Fai clic su Salva.

REST

Per aggiornare la mappa di controllo delle funzionalità della tua app, utilizza il metodo engines.patch sull'endpoint API discoveryengine.googleapis.com.

Imposta la chiave prompt-gallery su FEATURE_STATE_OFF nella configurazionefeatures del motore.

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

  • PROJECT_ID: l'ID del progetto
  • APP_ID: l'ID della tua app

Metodo HTTP e URL: 

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

Corpo JSON della richiesta: 

{
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

Disattiva il grounding con Google Maps Platform

Per disattivare il grounding con Google Maps Platform per tutte le richieste, puoi disabilitare l'API Maps Grounding (mapsgrounding.googleapis.com) utilizzando uno dei seguenti metodi:

  • Nella pagina API e servizi della console, individua l'API Map Grounding (mapsgrounding.googleapis.com) e seleziona Disabilita API. Per saperne di più, consulta Abilita e disabilita i servizi.

  • In Google Cloud CLI, esegui:

    gcloud services disable mapsgrounding.googleapis.com

Per disattivare il grounding con la Ricerca Google per tutte le richieste, imposta il vincolo booleano della policy dell'organizzazione constraints/vertexai.disableGenAIGoogleSearchGrounding su true a livello della cartella Assured Workloads. Per saperne di più, consulta Aggiornamento delle policy con regole booleane.

Disattiva il grounding utilizzando i caricamenti su Google Drive (solo IL4)

Questa sezione si applica solo ai clienti DoD IL4.

Il grounding con Google Drive è attivo solo quando colleghi un datastore Google Drive alla tua app. Per disattivare il grounding con i caricamenti su Google Drive, completa i seguenti passaggi:

  • Assicurati che non siano configurati datastore di Google Drive nelle tue app Gemini Enterprise. Se un'app è già collegata a un datastore di Google Drive, rimuovila dalle impostazioni dell'app nella console o elimina il datastore utilizzando il metodo dataStores.delete nell'API Discovery Engine.

  • Disattiva le funzionalità di condivisione dei dati di Workspace nella Console di amministrazione Google o disattiva Funzionalità intelligenti e personalizzazione in Google Workspace per impedire al connettore di accedere ai documenti degli utenti in Google Drive.

Disattiva il grounding utilizzando i caricamenti di Microsoft OneDrive (solo IL4)

Questa sezione si applica solo ai clienti DoD IL4.

Il grounding con Microsoft OneDrive è abilitato solo quando colleghi un datastore Microsoft OneDrive alla tua app. Per disabilitare il grounding con i caricamenti di Microsoft OneDrive, completa i seguenti passaggi:

  • Assicurati che non siano configurati datastore di Microsoft OneDrive nelle tue app Gemini Enterprise. Se un'app è già connessa a un datastore Microsoft OneDrive, rimuovila dalle impostazioni dell'app nella console o elimina il datastore utilizzando il metodo dataStores.delete nell'API Discovery Engine.
  • Per bloccare l'accesso del connettore, revoca le credenziali o elimina l'ID client e le credenziali dell'applicazione OAuth 2.0 registrata in Microsoft Entra ID (Azure AD) utilizzato per la connettività di Microsoft OneDrive.

Disattiva Imagen e Veo

Per disattivare la generazione di immagini con Imagen e la generazione di video con Veo, procedi nel seguente modo:

  • Imposta il vincolo dell'elenco delle policy dell'organizzazione constraints/vertexai.allowedModels o constraints/vertexai.allowedGenAIModels a livello di cartella o organizzazione per rifiutare i modelli imagen e veo (ad esempio publishers/google/models/imagen-4.0-ultra-generate-001) o per consentire solo i modelli approvati. Per saperne di più, consulta Controlla l'accesso ai modelli di Model Garden.

  • Per limitare l'accesso alle previsioni sui modelli Imagen o Veo, configura una policy di negazione IAM che neghi l'autorizzazione IAM aiplatform.endpoints.predict sul percorso della risorsa per il modello. Il percorso della risorsa del modello è projects/PROJECT_ID/locations/LOCATION/publishers/google/models/MODEL_NAME.

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del progetto
    • LOCATION: la località dell'app
    • MODEL_NAME: il nome del modello da consentire o negare

Disattiva gli eventi utente per le app Gemini Enterprise

Gli eventi utente vengono inviati dai tracker di eventi lato client o importati collettivamente. Per disattivare la raccolta di eventi utente, completa una delle seguenti operazioni:

  • Quando configuri il widget Ricerca per la tua applicazione, disattiva il logging degli eventi impostando la proprietà disableUserEventsCollection su true all'interno dello spazio dei nomi di configurazione uiSettings. Ad esempio:

    "uiSettings": {
"disableUserEventsCollection": true
}

  • Non chiamare gli endpoint di inserimento degli eventi (in particolare il metodo userEvents.collect e il metodo userEvents.write) e assicurati che gli script dei pixel di ricerca (come v1beta_event.js) non siano attivi sulle pagine client.

  • Aggiorna l'impostazione a livello di applicazione come segue:

    1. Nella console Google Cloud , vai alla pagina App Gemini Enterprise.

    Vai ad App

    1. Seleziona l'app.
    2. Nel menu di navigazione, fai clic su Configurazioni.
    3. Disattiva Abilita raccolta di eventi utente.
    4. Fai clic su Salva.

Disattiva la personalizzazione e la memoria in Gemini Enterprise

Completa questa attività per ogni app di cui esegui il deployment in Gemini Enterprise.

Assicurati di disporre di uno dei seguenti ruoli:

  • Discovery Engine Admin (roles/discoveryengine.admin)
  • Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)

  • Un ruolo personalizzato con l'autorizzazione discoveryengine.engines.update

Console

Per istruzioni, vedi Disattiva la personalizzazione e la memoria.

REST

Per aggiornare la mappa di controllo delle funzionalità della tua app, utilizza il metodo engines.patch sull'endpoint API discoveryengine.googleapis.com.

Imposta le chiavi personalization-memory e personalization-suggested-highlights su FEATURE_STATE_OFF nella configurazione features del motore.

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

  • PROJECT_ID: l'ID del progetto
  • APP_ID: l'ID della tua app

Metodo HTTP e URL: 

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

Corpo JSON della richiesta: 

{
  "features": {
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

Disattiva il Knowledge Graph privato

Per disattivare il Knowledge Graph privato, puoi utilizzare la console o l'API.

Assicurati di disporre di uno dei seguenti ruoli:

  • Discovery Engine Admin (roles/discoveryengine.admin)
  • Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)

  • Un ruolo personalizzato con l'autorizzazione discoveryengine.engines.update

Console

Per le istruzioni, consulta Gestisci la configurazione del Knowledge Graph.

REST

Per aggiornare la configurazione dell'app, utilizza il metodo engines.patch sull'endpoint API discoveryengine.googleapis.com.

Imposta enablePrivateKnowledgeGraph e enableCloudKnowledgeGraph su false all'interno del parametro knowledgeGraphConfig.

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

  • PROJECT_ID: l'ID del progetto
  • APP_ID: l'ID della tua app

Metodo HTTP e URL: 

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig

Corpo JSON della richiesta: 

{
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

Disattiva Model Armor (solo IL4)

Questa sezione si applica solo ai clienti DoD IL4.

Per disattivare Model Armor per gli ambienti DOD IL4, rimuovi i relativi modelli dalle tue app e poi disabilita l'API.

Per rimuovere i template, consulta Rimuovi i template di Model Armor da un'app Gemini Enterprise.

Per disabilitare l'API Model Armor (modelarmor.googleapis.com), utilizza uno dei seguenti metodi:

  • Nella pagina API e servizi della console, individua l'API Model Armor (modelarmor.googleapis.com) e seleziona Disabilita API. Per saperne di più, consulta Abilita e disabilita i servizi.

  • In Google Cloud CLI, esegui:

    gcloud services disable modelarmor.googleapis.com

Disattiva la memorizzazione nella cache durevole

Per disattivare la memorizzazione nella cache durevole, consulta Disattiva la memorizzazione nella cache durevole.

Disattiva Gemini Notebook Enterprise (solo IL4 e IL5)

Questa sezione si applica solo ai clienti DoD IL4 e IL5.

Completa questa attività per ogni app di cui esegui il deployment in Gemini Enterprise.

Assicurati di disporre di uno dei seguenti ruoli:

  • Discovery Engine Admin (roles/discoveryengine.admin)
  • Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)

  • Un ruolo personalizzato con l'autorizzazione discoveryengine.engines.update

Console

  1. Nella console Google Cloud , vai alla pagina App Gemini Enterprise.

Vai ad App

  1. Seleziona l'app.
  2. Nel menu di navigazione, fai clic su Configurazioni e poi seleziona la scheda Gestione delle funzionalità.
  3. Disattiva Notebook.
  4. Fai clic su Salva.

REST

Per aggiornare la mappa di controllo delle funzionalità della tua app, utilizza il metodo engines.patch sull'endpoint API discoveryengine.googleapis.com. Imposta la chiave notebook-lm su FEATURE_STATE_OFF nella configurazione di features del tuo motore.

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

  • PROJECT_ID: l'ID del progetto
  • APP_ID: l'ID della tua app

Metodo HTTP e URL: 

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

Corpo JSON della richiesta: 

{
  "features": {
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

Rimuovi l'accesso a Gemini Notebook Enterprise autonomo

Per rimuovere l'accesso a Gemini Notebook Enterprise autonomo (https://notebooklm.cloud.google.com/), revoca i seguenti ruoli IAM a tutti gli utenti e i gruppi:

  • Cloud NotebookLM User (roles/discoveryengine.notebookLmUser)
  • Cloud NotebookLM Admin (roles/discoveryengine.notebookLmOwner)

Per istruzioni sulla revoca dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Facoltativamente, se la tua organizzazione ha acquistato un abbonamento autonomo separato a Gemini Notebook Enterprise (anziché un abbonamento a Gemini Enterprise), disattiva il rinnovo automatico:

  1. Nella console Google Cloud , vai alla pagina Gemini Enterprise > Gestisci abbonamenti.

    Vai a Gemini Enterprise

  2. Fai clic sul nome del tuo abbonamento autonomo.

  3. Fai clic su Modifica.

  4. Deseleziona la casella di controllo Rinnovo automatico abbonamento.

  5. Fai clic su Invia.