הגדרת גישה פרטית לממשק המשתמש

כברירת מחדל, המשתמשים ניגשים לממשקים של Gemini Enterprise לתכונות כמו סוכנים, העוזר הדיגיטלי ו-Gemini Notebook Enterprise, דרך האינטרנט הציבורי. כדי לעמוד בדרישות האבטחה של הארגון, אתם יכולים להגדיר גישה פרטית לממשק המשתמש באמצעות פתרונות של רשתות היברידיות כמו Cloud VPN או Cloud Interconnect.

כדי להגדיר קישוריות פרטית ל-Gemini Enterprise, צריך לנתב את תעבורת הנתונים של ה-API שלGoogle Cloud דרך נקודת קצה (endpoint) של Private Service Connect ‏(PSC). כך המשתמשים יכולים לגשת לממשקי Gemini Enterprise דרך כתובת IP פנימית בענן הווירטואלי הפרטי (VPC), בלי להשתמש באינטרנט הציבורי.

ארכיטקטורה לדוגמה שמשתמשת ב-VPC Service Controls כדי לספק גישה פרטית לממשקי המשתמש של Gemini Enterprise.

בארכיטקטורה לדוגמה הזו, משתמשים מקומיים או משתמשים בסביבות מרובות עננים מתחברים לנקודת קצה (endpoint) של PSC, שמאפשרת גישה לממשקי Google API דרך כתובת IP פנימית שהוגדרה על ידי המשתמש ב-Google Cloud Virtual Private Cloud. בנוסף, צריך להגדיר את ה-DNS הפנימי כדי לפתור את הדומיינים של Gemini Enterprise לכתובת ה-IP של נקודת הקצה של ה-PSC.

לפני שמתחילים

לפני שמגדירים גישה פרטית לממשק המשתמש, צריך לוודא שיש לכם את הדברים הבאים:

• Google Cloud רשת ענן וירטואלי פרטי (VPC) שמחוברת לרשת המקומית באמצעות Cloud Router, דרך Cloud VPN או Cloud Interconnect.

• הרשאות ליצירת נקודות קצה (endpoint) של Private Service Connect ולניהול מסלולים בהתאמה אישית של Cloud Router.

הגדרת Private Service Connect

כתובות IP וירטואליות (VIP) פרטיות ומוגבלות שמשמשות לגישה פרטית ל-Google לא תומכות בגישה פרטית לממשק המשתמש של Gemini Enterprise. כדי להבטיח פונקציונליות מלאה, צריך לפתור את הדומיינים של Gemini Enterprise לנקודת קצה (endpoint) של Private Service Connect שמוגדרת עם החבילה all-apis.

1. יוצרים נקודת קצה חדשה של PSC באותו ענן וירטואלי פרטי (VPC) שבו נמצא ה-Cloud Router שמשמש לרשתות היברידיות.

2. מטרגטים את חבילת ה-API‏ All Google APIs. החבילה הזו מספקת גישה לרוב Google APIs, כולל נקודות קצה של שירות *.googleapis.com. חבילת ה-API של VPC-SC לא תומכת בכל הדומיינים של Gemini Enterprise.

הערה: תחום ה-DNS של Google APIs‏ (*.p.googleapis.com) נוצר באופן אוטומטי כשיוצרים נקודת קצה של PSC. עם זאת, ב-Gemini Enterprise אין תמיכה בשימוש באזור הזה מרשת מקומית או מרשת VPC.

הגדרת ניתוב ברשת

נקודת הקצה של PSC משתמשת בכתובת IP של /32 שלא מגיעה מרשת משנה רגילה של VPC, והיא לא תהיה גלויה מרשתות מקומיות או מרשתות מרובות עננים. צריך להגדיר את Cloud Router כך שיפרסם את כתובת ה-IP. מידע נוסף על הדרישות לגבי כתובות IP של נקודות קצה של Private Service Connect זמין במאמר דרישות לגבי כתובות IP.

1. מזהים את כתובת ה-IP שהקציתם לנקודת הקצה של ה-PSC.

2. בהגדרות של Cloud Router, יוצרים מסלול בהתאמה אישית לכתובת ה-IP. למידע נוסף על ציון נתיבים מותאמים אישית שפורסמו ב-Cloud Router, קראו את המאמר פרסום טווחי כתובות בהתאמה אישית.

3. מעדכנים את חומות האש המקומיות או מרובות העננים כדי לאפשר תעבורת נתונים יוצאת לכתובת ה-IP.

עדכון הגדרות ה-DNS

לבסוף, מעדכנים את הגדרות ה-DNS כדי לפתור את הדומיינים של Gemini Enterprise באמצעות נקודת הקצה של ה-PSC. למידע נוסף, קראו את המאמר יצירת רשומות DNS באמצעות שמות DNS שמוגדרים כברירת מחדל.

1. מגדירים רשומות DNS של רשת פנימית מקומית או בענן כדי להתאים את הדומיינים הבאים של Gemini Enterprise לכתובת ה-IP הפנימית של נקודת הקצה של ה-PSC:

   • content-discoveryengine.googleapis.com
   • content-discoveryengine.mtls.googleapis.com
   • content-eu-discoveryengine.googleapis.com
   • content-eu-discoveryengine.mtls.googleapis.com
   • content-global-discoveryengine.googleapis.com
   • content-global-discoveryengine.mtls.googleapis.com
   • content-us-discoveryengine.googleapis.com
   • content-us-discoveryengine.mtls.googleapis.com
   • content-webchannel-assistant-discoveryengine.googleapis.com
   • content-us-webchannel-assistant-discoveryengine.googleapis.com
   • content-eu-webchannel-assistant-discoveryengine.googleapis.com
   • discoveryengine.googleapis.com
   • discoveryengine.mtls.googleapis.com
   • discoveryengine.clients6.google.com
   • eu-discoveryengine.clients6.google.com
   • us-discoveryengine.clients6.google.com
   • eu-discoveryengine.googleapis.com
   • eu-discoveryengine.mtls.googleapis.com
   • global-discoveryengine.googleapis.com
   • global-discoveryengine.mtls.googleapis.com
   • us-discoveryengine.googleapis.com
   • us-discoveryengine.mtls.googleapis.com
   • vertexaisearch.cloud.google.com
   • vertexaisearch.cloud.google
   • notebooklm.cloud.google.com
   • notebooklm.cloud.google
   • auth.cloud.google
   • payments.cloud.google
   • accounts.googleapis.com

2. אם הסביבה שלכם דורשת גבולות מחמירים להגנה מפני זליגת נתונים, הגדירו את הדומיין discoveryengine.googleapis.com לכתובת ה-IP של חבילת VPC-SC.

הגדרת שרתי proxy, חומות אש ובדיקת TLS

אם המשתמשים שלכם ניגשים ל-Gemini Enterprise דרך שרת proxy ארגוני, שער אינטרנט מאובטח או חומת אש, אתם צריכים להגדיר את המכשירים האלה כך שהם לא יחסמו את התנועה ב-Gemini Enterprise, לא יאגרו אותה במאגר נתונים זמני ולא יגרמו להפסקת זמן קצוב לתפוגה. הדרישות האלה חלות גם אם המשתמשים מתחברים דרך האינטרנט הציבורי וגם אם הם מתחברים דרך נקודת קצה (endpoint) של Private Service Connect.

אם לא מגדירים את המכשירים האלה בצורה נכונה, יכול להיות שהמשתמשים ייתקלו בבעיות הבאות:

• העוזר האישי נשאר במצב Thinking...‎ ואז מציג את כל התשובה בבת אחת, במקום להציג את התשובה תוך כדי שהיא נוצרת.
• הבקשות נכשלות באופן עקבי אחרי משך זמן קבוע, כמו 20, 30 או 60 שניות, עם שגיאות כמו HTTP 499 או HTTP 504.
• אפליקציית האינטרנט פועלת ברשתות מסוימות, כמו רשת ביתית, אבל לא ברשת הארגונית.

כדי למנוע את הבעיות האלה:

1. מאפשרים תנועת HTTPS יוצאת ביציאה 443 לכל הדומיינים של Gemini Enterprise שרשומים בקטע עדכון הגדרות ה-DNS. צריך לאשר את הדומיינים global,‏ us ו-eu גם אם האפליקציה משתמשת במיקום אחד, כי אפליקציית האינטרנט יכולה לקרוא ליותר מנקודת קצה אחת.

2. צריך להחריג את הדומיינים הבאים של סטרימינג מבדיקת TLS ‏ (SSL) ומאגירת תגובות או מסריקת תוכן. ‫Assistant מעבירה את התשובות שלה בסטרימינג דרך החיבורים האלה, ומכשירים שמעכבים את התשובה עד שהיא מוכנה גורמים לעיכובים ולזמן קצוב לתפוגה.

   • content-discoveryengine.googleapis.com
   • content-us-discoveryengine.googleapis.com
   • content-eu-discoveryengine.googleapis.com
   • content-webchannel-assistant-discoveryengine.googleapis.com
   • content-us-webchannel-assistant-discoveryengine.googleapis.com
   • content-eu-webchannel-assistant-discoveryengine.googleapis.com
   • discoveryengine.clients6.google.com
   • us-discoveryengine.clients6.google.com
   • eu-discoveryengine.clients6.google.com

3. מגדירים את הזמן הקצוב לתפוגה של חוסר פעילות וקריאה בשרתי proxy, במאזני עומסים ובחומות אש בנתיב הבקשה ל-300 שניות לפחות. בקשות מורכבות, כמו בקשות שמשתמשות בכמה מחברים או נציגים, יכולות להימשך כמה דקות.

4. אם אתם קוראים ל-Gemini Enterprise API מהאפליקציות שלכם, הגדירו את זמן הקצוב לתפוגה של בקשת הלקוח ל-300 שניות לפחות והשתמשו בשיטות סטרימינג כשהן זמינות.

אבטחת האפליקציה באמצעות VPC Service Controls

כדי לשפר את האבטחה, אתם יכולים להטמיע את VPC Service Controls‏ (VPC-SC) ולמנוע זליגת מידע משירותים מנוהלים כמו Gemini Enterprise ו-BigQuery. בניגוד לניהול זהויות והרשאות גישה (IAM), שקובע מי יכול לגשת לנתונים, אמצעי הבקרה של VPC-SC קובעים מאיפה אפשר לגשת לנתונים ולהעביר אותם.

אם אתם שוקלים להשתמש בגישה הזו, חשוב לזכור את הדברים הבאים:

• השימוש ב-VPC Service Controls הוא אופציונלי, אבל מומלץ להשתמש בו כדי לחסום גישה ציבורית לשירותי Google שנחשפים דרך googleapis.com.

• בין היתר, שירותים (כמו discoveryengine.googleapis.com) שנוספים להיקף של VPC-SC חסומים לכל גישה ציבורית, כולל גישה דרך מסוף Google Cloud .

• כדי לאפשר גישה לשירותים מוגנים בתוך היקף VPC-SC, האדמינים צריכים לאפשר במפורש תעבורת נתונים נכנסת (ingress) באמצעות כללי תעבורת נתונים נכנסת של VPC-SC או להגדיר רמות גישה באמצעות Access Context Manager.

מידע נוסף על אבטחת אפליקציית Gemini Enterprise באמצעות VPC-SC ו-Access Context Manager זמין במאמר אבטחת האפליקציה באמצעות VPC Service Controls.