本页面介绍了 Gemini Enterprise 中 Data Cloud 连接器 支持的安全和合规性控制措施，并说明了在项目受 VPC Service Controls 边界保护时如何配置组织 政策。
支持的安全和合规性控制措施
Data Cloud 连接器在 Gemini Enterprise 中支持以下企业安全和合规性控制措施：
- 数据驻留 (DRZ)：当您使用联合查询模式时，您的客户
数据将保留在已存储的位置，不会移动。连接器会就地查询您的数据，并将结果返回给 Gemini Enterprise 应用所在位置的智能体。如果启用了写入操作，智能体还可以根据用户的 Identity and Access Management 权限，就地修改底层数据源中的数据。
Gemini Enterprise 支持数据驻留在
us和eu多区域中。如需了解详情，请参阅 Gemini Enterprise 位置。 - 客户管理的加密密钥 (CMEK)：当您使用联合查询 模式时，您的底层数据将保留在连接的数据源中，您可以在该服务中 直接配置 CMEK。在 Gemini Enterprise 中，您可以使用 Cloud Key Management Service 中管理的加密密钥来保护静态数据，包括返回给智能体并存储在对话、连接器配置和最终用户凭据中的查询结果。如需了解详情，请参阅 客户管理的加密密钥。
- VPC Service Controls：您可以在 VPC Service Controls 服务边界内保护 Gemini Enterprise 应用和 Data Cloud 连接器，以帮助 降低数据渗漏风险。启用 VPC Service Controls 后，您还必须 在组织政策中允许 Data Cloud 连接器 ID，如 在 组织政策中允许 Data Cloud 连接器中所述。 如需了解有关边界设置的一般说明，请参阅 使用 VPC Service Controls。
在组织政策中允许 Data Cloud 连接器
如果您的项目受 VPC Service Controls 边界保护，或者明确包含在组织政策的 enforcedProjects 参数中，Gemini
Enterprise 会强制执行 Google 管理的 constraints/discoveryengine.managed.allowedDataSources
组织政策限制条件。除非连接器的内部标识符明确列在政策的 allowedDataSources 参数中，否则此限制条件会阻止创建数据存储区。
如需允许 Data Cloud 连接器，请将相应的连接器标识符添加到 allowedDataSources 参数：
bigquery_mcp：允许 BigQuery 联合数据连接器。spanner：允许 Spanner 联合数据连接器。cloudsql：允许 Cloud SQL 联合数据连接器。alloydb：允许 AlloyDB for PostgreSQL 联合数据连接器。
如需详细了解托管式限制以及在 控制台 Google Cloud 中配置组织政策的分步说明，请参阅以下 资源：