Google עוזרת לארגונים לאבטח את סביבת הענן שלהם, להגן על הנתונים שלהם ולעמוד בתקנות בתחום. למידע כללי על אבטחה בכל Google Cloud, קראו את Google Cloud הסקירה הכללית על אבטחה.
הגדרות אבטחה למשתמשי קצה
כדי לשמור על האבטחה, חשוב לנהל את ההגדרות של ניהול הזהויות והרשאות הגישה (IAM) ב-Gemini Enterprise. המשאבים שמפורטים בקטע הזה יעזרו לכם להבין את ההרשאות ואת אמצעי בקרת הגישה ב-Gemini Enterprise:
אלה מסגרות האימות שנתמכות:
אבטחת מידע ב-Gemini Enterprise
חשוב להגן על הנתונים שלכם מפני איומים, פריצות וגניבת זהות. ב-Gemini Enterprise יש את אמצעי האבטחה הבאים:
- Gemini Enterprise משולב עם VPC Service Controls.
הצפנת נתונים כברירת מחדל באמצעות מפתחות הצפנה בניהול הלקוח (CMEK).
ב-Gemini Enterprise יש גם תמיכה במנהל מפתחות חיצוני (EKM) או במודול אבטחה לחומרה (HSM). מידע על המגבלות שחלות על CMEK ו-EKM זמין במאמר המגבלות של Cloud Key Management Service ב-Gemini Enterprise.
תאימות של Gemini Enterprise
תאימות נתונים כוללת עמידה בדרישות משפטיות ורגולטוריות לטיפול במידע אישי ורגיש. הוא מסדיר את איסוף הנתונים, האחסון, השימוש והאבטחה כדי להבטיח פרטיות והגנה.
המשאבים שמפורטים בקטע הזה מספקים מידע שיעזור לכם לשמור על שקיפות הנתונים ועל תאימות:
- הפעלת Access Transparency
- רישום ביומן ביקורת
- מיקומים ב-Gemini Enterprise
- אישורי תאימות ואמצעי בקרה לאבטחה
- Gemini Enterprise מוחק נתונים שהמשתמשים ביקשו למחוק תוך 60 יום. מידע נוסף זמין במאמר מחיקת נתונים ב- Google Cloud.
אדמינים של איחוד שירותי אימות הזהות של כוח העבודה ושל מאגרים
אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה כדי לאמת את המשתמשים, אתם צריכים להקצות לחלק מהאדמינים את התפקידים "אדמין של מאגר זהויות של כוח עבודה ב-IAM" (roles/iam.workforcePoolAdmin) ו"עריכת מאגר זהויות של כוח עבודה ב-IAM" (roles/iam.workforcePoolEditor). התפקידים האלה יכולים לשנות את מיפוי המאפיינים של מאגר הזהויות של כוח העבודה.
שינויים שגויים, בין אם הם מכוונים או מקריים, עלולים לאפשר התחזות למשתמש, מה שעלול להוביל לגישה לא מורשית למסמכים ולפעולות לא מורשות.
לכן, אנחנו ממליצים:
הקצו את התפקידים האלה במאגר כוח העבודה רק לאדמינים מהימנים שבאמת צריכים אותם.
אתם יכולים להשתמש ב-Privileged Access Manager כדי להגדיר הרשאות לתפקידים האלה ולבצע ביקורת על השימוש בהם.
כדי לזהות במהירות שינויים במיפוי המאפיינים או ניסיונות גישה לא מורשים ולקבל התראות לגביהם, שלבו את יומני הביקורת של איחוד שירותי אימות הזהות של כוח העבודה בפתרון הניטור לצורכי אבטחה (לדוגמה, SIEM).
ממשקי ה-API Google Cloud הנדרשים
כדי להתחיל להשתמש ב-Gemini Enterprise, צריך להפעיל את ממשקי ה-API הבאים:
- Gemini Enterprise Agent Platform API
- Discovery Engine API
- Cloud Storage API
- API של ניהול זהויות והרשאות גישה (IAM)
בקטע לפני שמתחילים מוסבר איך מתחילים לעבוד עם Gemini Enterprise.
כדי להשבית את Gemini Enterprise (Discovery Engine) API, קראו את המאמר השבתת Gemini Enterprise.
מחברים של צד שלישי ונקודות קצה ציבוריות
מחברים של צד שלישי יוצרים אינטראקציה עם נקודות קצה ציבוריות מחוץ לרשת של Google. לדוגמה, נקודות קצה של API של צד שלישי לדגימת נתונים או webhook URL לסנכרון בזמן אמת. מכיוון ש-VPC Service Controls נועד לנהל את שירותי Google Cloud , הוא לא חוסם או מאבטח באופן מובנה את התנועה לנקודות הקצה החיצוניות האלה, שהן לא של Google.
כדי לצמצם את הסיכון, Gemini Enterprise מוודא שתעבורת הנתונים היוצאת מאובטחת באמצעות כללים מפורטים של חומת אש של VPC, שמגבילים את החיבורים היוצאים רק לשמות הדומיינים שמוגדרים במלואם (FQDN) של השירות החיצוני שאתם מספקים.
דרישות לתקשורת ברשת
בקטע הזה מפורטות הדרישות לתקשורת ברשת כדי להתחבר ל-Gemini Enterprise ולהשתמש בו.
תנועה נכנסת (מהמשתמש לשירות)
כל התקשורת מהדפדפן של המשתמש לנקודות הקצה (endpoint) של Gemini Enterprise שגלויות למשתמשים (כמו console.cloud.google.com, vertexaisearch.cloud.google.com ו-notebooklm.cloud.google.com), לנקודות הקצה לאימות (כמו auth.cloud.google) ולנקודות הקצה הפרוגרמטיות (כמו *.googleapis.com ו-*.clients6.google.com) מתבצעת דרך HTTPS ביציאת TCP 443. חומות האש של הארגון צריכות לאפשר חיבורים יוצאים מהרשת של המשתמשים לנקודות הקצה האלה ביציאה הזו. כאן תוכלו לקרוא איך מגדירים גישה פרטית לממשק המשתמש, וגם למצוא רשימה מלאה של הדומיינים.
- פרוטוקול: HTTPS
- יציאה: TCP/443
- כיוון: הרשת של המשתמש (יוצא) אל Google Cloud (נכנס)
אמצעי בקרה על הרשת בצד השירות
Gemini Enterprise היא תוכנה כשירות (SaaS) שמנוהלת על ידי Google. לכן אין לכם גישה ישירה לתשתית הרשת הבסיסית. אי אפשר להטמיע אמצעי בקרה מותאמים אישית ברשת, כמו כללי חומת אש או הגדרות של VPC Service Controls, ישירות בשירות. האבטחה מנוהלת על ידי Google, בהתאם לשיטות האבטחה המחמירות שלGoogle Cloud.
תנועה יוצאת (מהשירות לנקודות קצה אחרות)
בתהליכי עבודה מסוימים של AI אקטיבי, כמו שימוש בתוספים או עיגון נתונים ארגוניים, Gemini Enterprise (או סוכנים שמתארחים ב-Agent Runtime בפלטפורמת הסוכנים של Gemini Enterprise) יכול ליזום חיבורים לרשתות יוצאות.
- מקור: כל התנועה היוצאת מגיעה מטווחים של כתובות IP פנימיות של Google. תעבורת הנתונים הזו לא מגיעה מתשתית הרשת שבשליטתכם ולא עוברת דרכה.
- מטרה: התנועה הזו משמשת לחיבור לממשקי API ולמקורות נתונים מורשים (לדוגמה, ממשקי API של Google Workspace וממשקי API ציבוריים לתוספים) כדי למלא את בקשות המשתמשים.
- אבטחה: החיבורים האלה מתבצעים באופן מאובטח דרך ערוצים מוצפנים (HTTPS/TLS), והם כפופים למדיניות האבטחה הפנימית ולמדיניות רשת הייצור של Google.