Tools und Kontrollvariablen für Inferenz

Dieses Dokument enthält die Best Practices und Richtlinien für die Gemini Enterprise Agent Platform, wenn Arbeitslasten auf Google Cloudausgeführt werden.

Zugriffsmodus für Agent Platform Workbench-Notebooks und ‑Instanzen definieren

Google-Einstellungs-ID VAI-CO-4.1
Implementierung Erforderlich
Beschreibung

Mit dieser Listeneinschränkung werden die zulässigen Zugriffsmodi für Notebooks und Instanzen in Agent Platform Workbench definiert. Über die Zulassungs- oder Sperrliste können mit dem service-account-Modus mehrere Nutzer oder mit dem single-user-Modus ein einzelner Nutzer angegeben werden.
Entsprechende Produkte
  • Gemini Enterprise Agent Platform Workbench
  • Organisationsrichtliniendienst
Pfad constraints/ainotebooks.accessMode
Operator Ist
Wert
  • service-account
  • single-user
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Dateidownloads auf Agent Platform Workbench-Instanzen deaktivieren

Google-Einstellungs-ID VAI-CO-4.2
Implementierung Erforderlich
Beschreibung

Die boolesche Einschränkung ainotebooks.disableFileDownloads verhindert, dass Sie Gemini Enterprise Agent Platform Workbench-Instanzen mit aktivierter Option zum Herunterladen von Dateien erstellen. Standardmäßig können Sie die Option zum Herunterladen von Dateien in jeder beliebigen Agent Platform Workbench-Instanz aktivieren.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Agent Platform Workbench
Pfad constraints/ainotebooks.disableFileDownloads
Operator Ist
Wert

True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Root-Zugriff auf von Nutzern verwalteten Agent Platform Workbench-Notebooks und ‑Instanzen deaktivieren

Google-Einstellungs-ID VAI-CO-4.3
Implementierung Erforderlich
Beschreibung

Die boolesche Einschränkung ainotebooks.disableRootAccess verhindert, dass Sie von Nutzern verwaltete Gemini Enterprise Agent Platform Workbench-Notebooks und ‑Instanzen mit aktiviertem Root-Zugriff erstellen. Standardmäßig kann der Root-Zugriff auf von Nutzern verwalteten Agent Platform Workbench-Notebooks und ‑Instanzen aktiviert sein.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Agent Platform Workbench
Pfad constraints/ainotebooks.disableRootAccess
Operator Ist
Wert

True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Terminal auf Agent Platform Workbench-Instanzen deaktivieren

Google-Einstellungs-ID VAI-CO-4.4
Implementierung Erforderlich
Beschreibung

Die boolesche Einschränkung ainotebooks.disableTerminal verhindert, dass Sie Gemini Enterprise Agent Platform Workbench-Instanzen mit aktiviertem Terminal erstellen. Standardmäßig können Sie das Terminal auf Agent Platform Workbench-Instanzen aktivieren.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Agent Platform Workbench
Pfad constraints/ainotebooks.disableTerminal
Operator Ist
Wert

True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Umgebungsoptionen auf Agent Platform Workbench-Notebooks und ‑Instanzen einschränken

Google-Einstellungs-ID VAI-CO-4.5
Implementierung Erforderlich
Beschreibung

Mit der Listeneinschränkung ainotebooks.environmentOptions werden die VM‑ und Container-Image-Optionen definiert, die Sie beim Erstellen von Gemini Enterprise Agent Platform Workbench-Notebooks und ‑Instanzen auswählen können. Sie müssen die Optionen, die Sie zulassen oder ablehnen möchten, explizit angeben.

Das erwartete Format für VM-Instanzen ist: ainotebooks-vm/PROJECT_ID/IMAGE_TYPE/CONSTRAINED_VALUE. Ersetzen Sie IMAGE_TYPE durch image-family oder image-name.

Beispiel:

ainotebooks-vm/deeplearning-platform-release/image-family/pytorch-1-4-cpu ainotebooks-vm/deeplearning-platform-release/image-name/pytorch-latest-cpu-20200615

Das erwartete Format für Container-Images ist: ainotebooks-container/CONTAINER_REPOSITORY:TAG

Beispiel:

ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:latest ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:m48
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Agent Platform Workbench
Pfad constraints/ainotebooks.environmentOptions
Operator Ist
Typ Liste
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Automatische geplante Upgrades auf von Nutzern verwalteten Agent Platform Workbench-Notebooks und ‑Instanzen erzwingen

Google-Einstellungs-ID VAI-CO-4.6
Implementierung Erforderlich
Beschreibung

Die boolesche Einschränkung ainotebooks.requireAutoUpgradeSchedule verhindert, dass Sie von Nutzern verwaltete Gemini Enterprise Agent Platform Workbench-Notebooks und ‑Instanzen ohne Zeitplan für automatische Upgrades erstellen.

Mit dem Metadaten-Flag notebook-upgrade-schedule können Sie einen Cron-Zeitplan für die automatischen Upgrades definieren. Beispiel:

--metadata=notebook-upgrade-schedule="00 19 * * MON"
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Agent Platform Workbench
Pfad constraints/ainotebooks.requireAutoUpgradeSchedule
Operator Ist
Wert

True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • MA-2
  • MA-3
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Öffentlichen Zugriff auf neue Agent Platform Workbench-Notebooks und ‑Instanzen einschränken

Google-Einstellungs-ID VAI-CO-4.7
Implementierung Erforderlich
Beschreibung

Diese boolesche Einschränkung schränkt den Zugriff von öffentlichen IP-Adressen auf Gemini Enterprise Agent Platform Workbench-Notebooks und ‑Instanzen ein. Standardmäßig kann über öffentliche IP-Adressen auf Agent Platform Workbench-Notebooks und ‑Instanzen zugegriffen werden.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Agent Platform Workbench
Pfad constraints/ainotebooks.restrictPublicIp
Operator ist
Wert

True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-3.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4

VPC-Netzwerke auf Agent Platform Workbench-Instanzen einschränken

Google-Einstellungs-ID VAI-CO-4.8
Implementierung Erforderlich
Beschreibung

Die Listenbeschränkung ainotebooks.restrictVpcNetworks definiert die VPC-Netzwerke, die ein Nutzer beim Erstellen von Gemini Enterprise Agent Platform Workbench-Instanzen auswählen kann. Standardmäßig kann eine Agent Platform Workbench-Instanz in jedem VPC-Netzwerk erstellt werden.

Verwenden Sie eines der folgenden Formate, um eine Zulassungs- oder Ablehnungsliste von Netzwerken zu definieren:

  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/global/networks/NETWORK_NAME
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Agent Platform Workbench
Pfad constraints/ainotebooks.restrictVpcNetworks
Operator ist
Typ Liste
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Zugehörige CRI-Profilkontrollen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-3.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4

Nächste Schritte