Google unterstützt Unternehmen beim Schutz ihrer Cloud-Umgebung und Daten sowie beim Einhalten von Branchenvorschriften. Allgemeine Informationen zur Sicherheit überall in Google Cloudfinden Sie unter Sicherheit inGoogle Cloud – Übersicht.
Sicherheitskonfigurationen für Endnutzer
Die Verwaltung Ihrer IAM-Einstellungen (Identity and Access Management) in Gemini Enterprise ist entscheidend für die Sicherheit. Die in diesem Abschnitt aufgeführten Ressourcen helfen Ihnen beim Nachvollziehen von Berechtigungen und Zugriffssteuerungen in Gemini Enterprise:
- Identität und Berechtigungen
- Externe Identitäten einrichten
- Authentifizierung für die Gemini Enterprise API
- Zugriffssteuerung mit IAM
Die folgenden Authentifizierungsframeworks werden unterstützt:
Datensicherheit bei Gemini Enterprise
Es ist wichtig, Ihre Daten vor Bedrohungen, Datenschutzverletzungen und Identitätsdiebstahl zu schützen. Für Gemini Enterprise gelten diese Sicherheitsmaßnahmen:
- Gemini Enterprise ist in VPC Service Controls eingebunden.
Standardmäßige Datenverschlüsselung mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK)
Gemini Enterprise unterstützt auch externe Schlüsselverwalter (External Key Manager, EKM) oder Hardware-Sicherheitschip (Hardware Security Module, HSM). Weitere Informationen zu den Einschränkungen, die für CMEK und EKM gelten, finden Sie unter Einschränkungen des Cloud Key Management Service in Gemini Enterprise.
Compliance bei Gemini Enterprise
Die Daten-Compliance dient der Erfüllung der rechtlichen und behördlichen Anforderungen für den Umgang mit personenbezogenen und vertraulichen Daten. Dadurch wird die Erhebung, Speicherung, Nutzung und Sicherheit von Daten geregelt, um so für Vertraulichkeit und Schutz zu sorgen.
Die in diesem Abschnitt aufgeführten Ressourcen enthalten Informationen helfen Ihnen beim Aufrechterhalten von Datentransparenz und Compliance:
- Access Transparency aktivieren
- Audit-Logging
- Gemini Enterprise-Standorte
- Compliance-Zertifizierungen und Sicherheitskontrollen
- Von Nutzern angeforderte Daten werden in Gemini Enterprise innerhalb von 60 Tagen gelöscht. Weitere Informationen finden Sie unter Datenlöschung in Google Cloud.
Mitarbeiteridentitätsföderation und Pool-Administratoren
Wenn Sie die Mitarbeiteridentitätsföderation zur Authentifizierung Ihrer Nutzer verwenden, weisen Sie einigen Ihrer Administratoren die IAM-Rollen „IAM Workforce Identity Pool Admin“ (roles/iam.workforcePoolAdmin) und „IAM Workforce Pool Editor“ (roles/iam.workforcePoolEditor) zu. Mit diesen Rollen können Attributzuordnungen für Personalpools geändert werden.
Falsche Änderungen, ob absichtlich oder versehentlich, können dazu führen, dass die Identität von Nutzern angenommen wird, was zu unbefugtem Zugriff auf Dokumente und unbefugten Aktionen führen kann.
Deshalb empfehlen wir Folgendes:
Weisen Sie diese Mitarbeiterpoolrollen nur vertrauenswürdigen Administratoren zu, die sie unbedingt benötigen.
Mit Privileged Access Manager können Sie Berechtigungen für diese Rollen einrichten und ihre Nutzung prüfen.
Integrieren Sie Audit-Logs der Workforce Identity-Föderation in Ihre Sicherheitsmonitoring-Lösung (z. B. SIEM), um Änderungen an Attributzuordnungen oder unbefugte Zugriffsversuche schnell zu erkennen und entsprechende Benachrichtigungen zu erhalten.
Erforderliche Google Cloud APIs
Damit Sie Gemini Enterprise nutzen können, müssen die folgenden APIs aktiviert sein:
- Gemini Enterprise Agent Platform API
- Discovery Engine API
- Cloud Storage API
- API für Identitäts- und Zugriffsverwaltung (IAM)
Weitere Informationen zu den ersten Schritten mit Gemini Enterprise finden Sie im Abschnitt Vorbereitung.
Weitere Informationen zum Deaktivieren der Gemini Enterprise (Discovery Engine) API finden Sie unter Gemini Enterprise deaktivieren.
Drittanbieter-Connectors und öffentliche Endpunkte
Drittanbieter-Connectors interagieren mit öffentlichen Endpunkten außerhalb des Google-Netzwerks, z. B. Endpunkten für die API eines Drittanbieters zum Abrufen von Daten oder einer Webhook-URL für die Echtzeitsynchronisierung. Da VPC Service Controls für die Steuerung der Dienste von Google Cloud konzipiert sind, wird der Traffic zu diesen externen Endpunkten, die nicht von Google stammen, nicht automatisch blockiert oder gesichert.
Zur Risikominimierung sorgt Gemini Enterprise dafür, dass Ihr ausgehender Traffic durch detaillierte VPC-Firewallregeln geschützt wird, die ausgehende Verbindungen auf die von Ihnen angegebenen voll qualifizierten Domainnamen (Fully Qualified Domain Names, FQDNs) des externen Dienstes beschränken.
Anforderungen an die Netzwerkkommunikation
In diesem Abschnitt werden die Anforderungen an die Netzwerkkommunikation für die Verbindung mit Gemini Enterprise und die Nutzung von Gemini Enterprise beschrieben.
Eingehender Traffic (Nutzer zu Dienst)
Die gesamte Kommunikation vom Browser eines Nutzers zu den für Nutzer sichtbaren Endpunkten von Gemini Enterprise (z. B. console.cloud.google.com, vertexaisearch.cloud.google.com und notebooklm.cloud.google.com), Authentifizierungsendpunkten (z. B. auth.cloud.google) und programmatischen Endpunkten (z. B. *.googleapis.com und *.clients6.google.com) erfolgt über HTTPS auf TCP-Port 443. Die Firewalls Ihrer Organisation müssen ausgehende Verbindungen vom Netzwerk Ihrer Nutzer zu diesen Endpunkten an diesem Port zulassen. Eine vollständige Liste der Domains finden Sie unter Privaten UI-Zugriff konfigurieren.
- Protokoll: HTTPS
- Port: TCP/443
- Richtung: Netzwerk des Nutzers (ausgehend) zu Google Cloud (eingehend)
Dienstseitige Netzwerksteuerung
Gemini Enterprise ist ein von Google verwaltetes Software-as-a-Service-Angebot (SaaS). Daher haben Sie keinen direkten Zugriff auf die zugrunde liegende Netzwerkinfrastruktur. Sie können benutzerdefinierte Netzwerksteuerungen wie Firewallregeln oder VPC Service Controls-Konfigurationen nicht direkt im Dienst implementieren. Die Sicherheit wird von Google verwaltet und entspricht den robusten Sicherheitspraktiken vonGoogle Cloud.
Ausgehender Traffic (Dienst zu anderen Endpunkten)
In bestimmten agentischen KI-Workflows, z. B. bei der Verwendung von Erweiterungen oder der Fundierung mit Unternehmensdaten, kann Gemini Enterprise (oder KI-Agenten, die auf der Agent Runtime auf der Gemini Enterprise Agent Platform gehostet werden) ausgehende Netzwerkverbindungen initiieren.
- Ursprung: Der gesamte ausgehende Traffic stammt aus den internen IP-Adressbereichen von Google. Dieser Traffic stammt nicht aus der von Ihnen kontrollierten Netzwerkinfrastruktur und wird auch nicht über diese übertragen.
- Zweck: Dieser Traffic wird verwendet, um eine Verbindung zu autorisierten APIs und Datenquellen (z. B. Google Workspace APIs und öffentliche APIs für Erweiterungen) herzustellen, um Nutzeranfragen zu erfüllen.
- Sicherheit: Diese Verbindungen werden sicher über verschlüsselte Kanäle (HTTPS/TLS) hergestellt und unterliegen den internen Sicherheits- und Produktionsnetzwerkrichtlinien von Google.