Par défaut, les utilisateurs accèdent aux interfaces Gemini Enterprise pour des fonctionnalités telles que les agents, l'assistant et Gemini Notebook Enterprise via l'Internet public. Pour répondre aux exigences de sécurité de votre organisation, vous pouvez établir un accès privé à l'UI à l'aide de solutions de mise en réseau hybrides telles que Cloud VPN ou Cloud Interconnect.
Pour configurer la connectivité privée à Gemini Enterprise, vous devez acheminer le trafic de l'APIGoogle Cloud via un point de terminaison Private Service Connect (PSC). Cela permet aux utilisateurs d'accéder aux interfaces Gemini Enterprise via une adresse IP interne de votre cloud privé virtuel (VPC), sans passer par l'Internet public.
Dans cette architecture de référence, les utilisateurs sur site ou multicloud se connectent à un point de terminaison PSC, qui permet d'accéder aux API Google via une adresse IP interne définie par l'utilisateur dans votre cloud privé virtuelGoogle Cloud . De plus, vous devez configurer votre DNS interne pour qu'il résolve les domaines Gemini Enterprise vers l'adresse IP du point de terminaison PSC.
Avant de commencer
Avant de configurer l'accès privé à l'interface utilisateur, assurez-vous de disposer des éléments suivants :
Un réseau Google Cloud cloud privé virtuel connecté à votre réseau sur site via Cloud Router, à l'aide de Cloud VPN ou de Cloud Interconnect.
Autorisations permettant de créer des points de terminaison Private Service Connect et de gérer les routes personnalisées Cloud Router.
Configurer Private Service Connect
Les adresses IP virtuelles (VIP) privées et restreintes utilisées pour l'accès privé à Google ne sont pas compatibles avec l'accès privé à l'interface utilisateur de Gemini Enterprise. Pour garantir un fonctionnement optimal, vous devez résoudre les domaines Gemini Enterprise vers un point de terminaison Private Service Connect configuré avec le bundle all-apis.
Créez un point de terminaison PSC dans le même cloud privé virtuel que le routeur Cloud Router utilisé pour la mise en réseau hybride.
Ciblez le bundle d'API Toutes les API Google. Ce bundle permet d'accéder à la plupart des API Google, y compris aux points de terminaison de service
*.googleapis.com. Le groupe d'API VPC-SC n'est pas compatible avec tous les domaines Gemini Enterprise.
Configurer le routage réseau
Le point de terminaison PSC utilise une adresse IP /32 qui ne provient pas d'un sous-réseau VPC standard et qui ne sera pas visible depuis les réseaux sur site ou multicloud. Vous devez configurer votre routeur Cloud Router pour annoncer l'adresse IP. Pour en savoir plus sur les exigences relatives aux adresses IP pour les points de terminaison Private Service Connect, consultez Exigences relatives aux adresses IP.
Identifiez l'adresse IP que vous avez attribuée à votre point de terminaison PSC.
Dans votre configuration Cloud Router, créez une route personnalisée pour l'adresse IP. Pour en savoir plus sur la spécification de routes annoncées personnalisées sur un routeur Cloud Router, consultez Annoncer des plages d'adresses personnalisées.
Mettez à jour les pare-feu sur site ou multicloud pour autoriser le trafic sortant vers l'adresse IP.
Mettre à jour les paramètres DNS
Enfin, mettez à jour vos paramètres DNS pour résoudre les domaines Gemini Enterprise à l'aide du point de terminaison PSC. Pour en savoir plus, consultez Créer des enregistrements DNS à l'aide de noms DNS par défaut.
Configurez les enregistrements DNS du réseau cloud ou sur site interne pour résoudre les domaines Gemini Enterprise suivants vers l'adresse IP interne du point de terminaison PSC :
content-discoveryengine.googleapis.comcontent-discoveryengine.mtls.googleapis.comcontent-eu-discoveryengine.googleapis.comcontent-eu-discoveryengine.mtls.googleapis.comcontent-global-discoveryengine.googleapis.comcontent-global-discoveryengine.mtls.googleapis.comcontent-us-discoveryengine.googleapis.comcontent-us-discoveryengine.mtls.googleapis.comcontent-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.comdiscoveryengine.googleapis.comdiscoveryengine.mtls.googleapis.comdiscoveryengine.clients6.google.comeu-discoveryengine.clients6.google.comus-discoveryengine.clients6.google.comeu-discoveryengine.googleapis.comeu-discoveryengine.mtls.googleapis.comglobal-discoveryengine.googleapis.comglobal-discoveryengine.mtls.googleapis.comus-discoveryengine.googleapis.comus-discoveryengine.mtls.googleapis.comvertexaisearch.cloud.google.comvertexaisearch.cloud.googlenotebooklm.cloud.google.comnotebooklm.cloud.googleauth.cloud.googlepayments.cloud.googleaccounts.googleapis.com
Si votre environnement nécessite des limites strictes de protection contre l'exfiltration de données, configurez le domaine
discoveryengine.googleapis.comsur l'adresse IP du bundle VPC-SC.
Configurer les proxys, les pare-feu et l'inspection TLS
Si vos utilisateurs accèdent à Gemini Enterprise via un proxy d'entreprise, une passerelle Web sécurisée ou un pare-feu, configurez ces appareils de sorte qu'ils ne bloquent pas, ne mettent pas en mémoire tampon ni n'interrompent le trafic Gemini Enterprise. Ces exigences s'appliquent, que les utilisateurs se connectent via l'Internet public ou via un point de terminaison Private Service Connect.
Si vous ne configurez pas correctement ces appareils, les utilisateurs peuvent rencontrer les problèmes suivants :
- L'assistant reste à l'état Réflexion…, puis affiche l'intégralité de la réponse en une seule fois, au lieu de la diffuser en streaming au fur et à mesure qu'elle est générée.
- Les requêtes échouent systématiquement après une durée fixe, par exemple 20, 30 ou 60 secondes, avec des erreurs telles que
HTTP 499ouHTTP 504. - L'application Web fonctionne sur certains réseaux, comme un réseau domestique, mais pas sur le réseau d'entreprise.
Pour éviter ces problèmes, procédez comme suit :
Autorisez le trafic HTTPS sortant sur le port
443vers tous les domaines Gemini Enterprise listés dans Mettre à jour les paramètres DNS. Autorisez les domainesglobal,useteumême si votre application n'utilise qu'un seul emplacement, car l'application Web peut appeler plusieurs de ces points de terminaison.Excluez les domaines de streaming suivants de l'inspection TLS (SSL), de la mise en mémoire tampon des réponses ou de l'analyse du contenu. L'assistant diffuse ses réponses via ces connexions, et les appareils qui retiennent la réponse jusqu'à ce qu'elle soit complète entraînent des retards et des délais d'expiration.
content-discoveryengine.googleapis.comcontent-us-discoveryengine.googleapis.comcontent-eu-discoveryengine.googleapis.comcontent-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.comdiscoveryengine.clients6.google.comus-discoveryengine.clients6.google.comeu-discoveryengine.clients6.google.com
Définissez les délais d'inactivité et de lecture sur les proxys, les équilibreurs de charge et les pare-feu du chemin de requête sur au moins 300 secondes. Les requêtes complexes, telles que celles qui utilisent plusieurs connecteurs ou agents, peuvent prendre plusieurs minutes.
Si vous appelez l'API Gemini Enterprise depuis vos propres applications, définissez le délai avant expiration de la requête client sur au moins 300 secondes et utilisez des méthodes de streaming lorsqu'elles sont disponibles.
À propos de la sécurisation de votre application avec VPC Service Controls
Pour une sécurité avancée, vous pouvez implémenter VPC Service Controls (VPC-SC) afin d'empêcher l'exfiltration de données à partir de services gérés tels que Gemini Enterprise et BigQuery. Contrairement à Identity and Access Management, qui contrôle qui peut accéder aux données, les contrôles VPC-SC déterminent où les données sont accessibles et déplacées.
Si vous envisagez cette approche, tenez compte des points suivants :
Bien que facultatif, l'utilisation de VPC Service Controls est une bonne pratique pour bloquer l'accès public aux services Google exposés via
googleapis.com.Entre autres implications, les services (tels que
discoveryengine.googleapis.com) ajoutés à un périmètre VPC-SC sont bloqués pour tout accès public, y compris l'accès via la console Google Cloud .Pour autoriser l'accès aux services protégés dans un périmètre VPC-SC, les administrateurs doivent explicitement autoriser l'entrée à l'aide de règles d'entrée VPC-SC ou en définissant des niveaux d'accès à l'aide d'Access Context Manager.
Pour en savoir plus sur la sécurisation de votre application Gemini Enterprise à l'aide de VPC-SC et d'Access Context Manager, consultez Sécuriser votre application avec VPC Service Controls.