Google ayuda a las organizaciones a proteger su entorno de nube, a proteger sus datos y a cumplir con las reglamentaciones del sector. Para obtener información general sobre la seguridad en todo Google Cloud, consulta la descripción general de la seguridad deGoogle Cloud .
Parámetros de configuración de seguridad para el usuario final
Administrar la configuración de Identity and Access Management (IAM) en Gemini Enterprise es fundamental para la seguridad. Los recursos que se indican en esta sección te ayudan a comprender los permisos y los controles de acceso en Gemini Enterprise:
- Identidad y permisos
- Configura identidades externas
- Autentícate en la API de Gemini Enterprise
- Control de acceso con IAM
Se admiten los siguientes frameworks de autenticación:
Seguridad de los datos de Gemini Enterprise
Es importante proteger tus datos de amenazas, violaciones de la seguridad y robo de identidad. Gemini Enterprise cuenta con las siguientes medidas de seguridad:
- Gemini Enterprise se integra en los Controles del servicio de VPC.
Encriptación de datos predeterminada con claves de encriptación administradas por el cliente (CMEK).
Gemini Enterprise también admite el administrador de claves externas (EKM) o el módulo de seguridad de hardware (HSM). Para obtener información sobre las limitaciones que se aplican a CMEK y EKM, consulta Limitaciones de Cloud Key Management Service en Gemini Enterprise.
Privacidad de los datos y entrenamiento de modelos
Gemini Enterprise no usa tus instrucciones, respuestas generadas ni datos empresariales conectados (ya sea que se hayan transferido o se haya accedido a ellos a través de la búsqueda federada) para entrenar los modelos de base de Google. Tus datos permanecen aislados dentro de tu proyecto de Google Cloud y no se comparten con otros clientes.
A diferencia de la aplicación web pública de Gemini para consumidores
(gemini.google.com), Gemini Enterprise opera según las condiciones de protección de datos empresariales de Google Cloud. Para obtener más información, consulta
Administración de datos de Gemini para Google Cloud.
Cumplimiento de Gemini Enterprise
El cumplimiento de los datos implica cumplir con los requisitos legales y normativos para el manejo de información personal y sensible. Rige la recopilación, el almacenamiento, el uso y la seguridad de los datos para garantizar la privacidad y la protección.
Los recursos que se indican en esta sección proporcionan información para ayudarte a mantener la transparencia y el cumplimiento de los datos:
- Habilitar transparencia de acceso
- Registros de auditoría
- Ubicaciones de Gemini Enterprise
- Certificaciones de cumplimiento y controles de seguridad
- Gemini Enterprise borra los datos solicitados por el usuario en un plazo de 60 días. Para obtener más información, consulta Eliminación de datos en Google Cloud.
Administradores de grupos y de la federación de identidades de personal
Si usas la federación de identidades de personal para autenticar a tus usuarios, otorgas los roles de IAM de administrador de grupos de Workforce Identity de IAM
(roles/iam.workforcePoolAdmin) y de editor de grupos de trabajadores de IAM
(roles/iam.workforcePoolEditor) a algunos de tus
administradores. Estos roles pueden modificar las asignaciones de atributos de los grupos de personal.
Los cambios incorrectos, ya sean intencionales o accidentales, corren el riesgo de habilitar la identidad temporal de usuarios, lo que puede generar acceso y acciones no autorizados a los documentos.
Por este motivo, te recomendamos lo siguiente:
Solo otorga estos roles de grupo de personal a los administradores de confianza que los necesiten de forma absoluta.
Usa Privileged Access Manager para configurar derechos para estos roles y auditar su uso.
Integra los registros de auditoría de la federación de identidades de personal en tu solución de supervisión de seguridad (por ejemplo, SIEM) para detectar con rapidez cualquier cambio en las asignaciones de atributos o los intentos de acceso no autorizado, y generar alertas al respecto.
APIs Google Cloud obligatorias
Para comenzar a usar Gemini Enterprise, se deben habilitar las siguientes APIs:
- API de Gemini Enterprise Agent Platform
- API de Discovery Engine
- API de Cloud Storage
- API de administración de identidades y accesos (IAM)
Para obtener más información sobre cómo comenzar a usar Gemini Enterprise, consulta la sección Antes de comenzar.
Para inhabilitar la API de Gemini Enterprise (Discovery Engine), consulta Desactiva Gemini Enterprise.
Conectores externos y endpoints públicos
Los conectores de terceros interactúan con extremos públicos fuera de la red de Google, por ejemplo, extremos para la API de un tercero para sondear datos o una URL de webhook para la sincronización en tiempo real. Debido a que los Controles del servicio de VPC están diseñados para controlar los servicios de Google Cloud , no bloquean ni protegen de forma inherente el tráfico a estos extremos externos que no son de Google.
Para mitigar este riesgo, Gemini Enterprise se asegura de que el tráfico de salida esté protegido por reglas de firewall de VPC detalladas, que restringen las conexiones salientes solo a los nombres de dominio completamente calificados (FQDN) del servicio externo que proporcionas.
Requisitos de comunicación de red
En esta sección, se describen los requisitos de comunicación de red para conectarse a Gemini Enterprise y usarlo.
Tráfico entrante (del usuario al servicio)
Todas las comunicaciones desde el navegador de un usuario a los extremos para el usuario de Gemini Enterprise (como console.cloud.google.com,
vertexaisearch.cloud.google.com y notebooklm.cloud.google.com),
los extremos de autenticación (como auth.cloud.google) y los extremos programáticos (como *.googleapis.com y *.clients6.google.com) se realizan a través de
HTTPS en el puerto TCP 443. Los firewalls de tu organización deben permitir las conexiones salientes
desde la red de tu usuario a estos extremos en este puerto. Para obtener una
lista completa de los dominios, consulta
Configura el acceso privado a la IU.
- Protocolo: HTTPS
- Puerto: TCP/443
- Dirección: Red del usuario (saliente) a Google Cloud (entrante)
Controles de red del lado del servicio
Gemini Enterprise es una oferta de software como servicio (SaaS) administrada por Google. Por lo tanto, no tienes acceso directo a la infraestructura de red subyacente. No puedes implementar controles de red personalizados, como reglas de firewall o parámetros de configuración de los Controles del servicio de VPC, directamente en el servicio. Google administra la seguridad y se adhiere a las prácticas de seguridad sólidas de Google Cloud.
Tráfico saliente (del servicio a otros extremos)
En ciertos flujos de trabajo de IA agéntica, como cuando se usan extensiones o fundamentación de datos empresariales, Gemini Enterprise (o los agentes alojados en Agent Runtime en Gemini Enterprise Agent Platform) puede iniciar conexiones de red salientes.
- Origen: Todo el tráfico saliente se origina en los rangos de direcciones IP internas de Google. Este tráfico no se origina en la infraestructura de red que controlas ni pasa por ella.
- Propósito: Este tráfico se usa para conectarse a APIs y fuentes de datos autorizadas (por ejemplo, APIs de Google Workspace y APIs públicas para extensiones) para cumplir con las solicitudes de los usuarios.
- Seguridad: Estas conexiones se realizan de forma segura a través de canales encriptados (HTTPS/TLS) y se rigen por las políticas de red de producción y seguridad interna de Google.