Google は、組織のクラウド環境のセキュリティ、データの保護、業界の規制遵守を支援します。 Google Cloud全体のセキュリティに関する一般的な情報については、Google Cloud セキュリティの概要をご覧ください。
エンドユーザーのセキュリティ構成
Gemini Enterprise 内で Identity and Access Management（IAM）の設定を管理することは、セキュリティにとって非常に重要です。このセクションに記載されているリソースは、Gemini Enterprise の権限とアクセス制御を理解するのに役立ちます。
次の認証フレームワークがサポートされています。
Gemini Enterprise のデータ セキュリティ
脅威、侵害、なりすまし犯罪からデータを保護することは重要です。Gemini Enterprise には、次のセキュリティ対策が施されています。
- Gemini Enterprise は VPC Service Controls と統合されています。
顧客管理の暗号鍵（CMEK）によるデフォルトのデータ暗号化。
Gemini Enterprise は、外部鍵マネージャー（EKM）またはハードウェア セキュリティ モジュール（HSM）もサポートしています。CMEK と EKM に適用される制限事項については、Gemini Enterprise の Cloud Key Management Service の制限事項をご覧ください。
Gemini Enterprise のコンプライアンス
データ コンプライアンスとは、個人情報や機密情報の取り扱いに関する法律や規制の要件を満たすことです。プライバシーと保護を維持するため、データの収集、保存、使用、セキュリティを管理します。
このセクションに記載されているリソースは、データの透明性とコンプライアンスの維持に役立つ情報を提供します。
- アクセスの透明性を有効にする
- 監査ロギング
- Gemini Enterprise のロケーション
- コンプライアンス認定資格とセキュリティ管理
- Gemini Enterprise は、ユーザーからリクエストされたデータを 60 日以内に削除します。詳細については、 Google Cloud上のデータの削除をご覧ください。
Workforce Identity 連携とプール管理者
Workforce Identity 連携を使用してユーザーを認証する場合は、一部の管理者に IAM Workforce Identity プール管理者（roles/iam.workforcePoolAdmin）と IAM Workforce プール編集者（roles/iam.workforcePoolEditor）の IAM ロールを付与します。これらのロールは、Workforce プールの属性マッピングを変更できます。意図的か偶発的かにかかわらず、誤った変更を行うと、ユーザーのなりすましが可能になり、ドキュメントへの不正アクセスや不正な操作につながる可能性があります。
そのため、次のことをおすすめします。
これらの Workforce プールロールは、絶対に必要とする信頼できる管理者にのみ付与してください。
Privileged Access Manager を使用して、これらのロールの利用資格を設定し、使用状況を監査します。
Workforce Identity 連携の監査ログをセキュリティ モニタリング ソリューション（SIEM など）に統合して、属性マッピングの変更や不正アクセスの試みを迅速に検出してアラートを送信します。
必要な Google Cloud API
Gemini Enterprise の使用を開始するには、次の API を有効にする必要があります。
- Gemini Enterprise Agent Platform API
- Discovery Engine API
- Cloud Storage API
- Identity and Access Management（IAM）API
Gemini Enterprise のスタートガイドについては、始める前にのセクションをご覧ください。
Gemini Enterprise（Discovery Engine）API を無効にするには、Gemini Enterprise をオフにするをご覧ください。
サードパーティ コネクタとパブリック エンドポイント
サードパーティ コネクタは、Google のネットワーク外のパブリック エンドポイントとやり取りします。たとえば、データをポーリングするサードパーティの API のエンドポイントや、リアルタイム同期用の Webhook URL などです。VPC Service Controls は Google Cloud サービスを制御するように設計されているため、これらの外部の Google 以外のエンドポイントへのトラフィックを本質的にブロックしたり、保護することはありません。
Gemini Enterprise は、下り（外向き）トラフィックが粒度の細かい VPC ファイアウォール ルールで保護されていることを確認します。これにより、アウトバウンド接続は、提供する外部サービスの完全修飾ドメイン名（FQDN）のみに制限されます。
ネットワーク通信の要件
このセクションでは、Gemini Enterprise への接続と使用に関するネットワーク通信の要件について説明します。
インバウンド トラフィック（ユーザーからサービス）
ユーザーのブラウザから Gemini Enterprise のユーザー向けエンドポイント（console.cloud.google.com、vertexaisearch.cloud.google.com、notebooklm.cloud.google.com など）、認証エンドポイント（auth.cloud.google など）、プログラムによるエンドポイント（*.googleapis.com、*.clients6.google.com など）への通信はすべて、TCP ポート 443 で HTTPS を介して行われます。組織のファイアウォールでは、ユーザーのネットワークからこのポート上のこれらのエンドポイントへのアウトバウンド接続を許可する必要があります。ドメインの完全なリストについては、プライベート UI アクセスを構成するをご覧ください。
- プロトコル: HTTPS
- ポート: TCP/443
- 方向: ユーザーのネットワーク（アウトバウンド）から Google Cloud （インバウンド）
サービス側のネットワーク制御
Gemini Enterprise は、Google が管理する Software-as-a-Service（SaaS）サービスです。そのため、基盤となるネットワーク インフラストラクチャに直接アクセスすることはできません。ファイアウォール ルールや VPC Service Controls 構成などのカスタム ネットワーク制御をサービスに直接実装することはできません。セキュリティは Google によって管理され、Google Cloudの堅牢なセキュリティ プラクティスに準拠しています。
アウトバウンド トラフィック（サービスから他のエンドポイントへ）
拡張機能やエンタープライズ データのグラウンディングを使用する場合など、特定のエージェント型 AI ワークフローでは、Gemini Enterprise（または Gemini Enterprise Agent Platform の Agent Runtime でホストされているエージェント）がアウトバウンド ネットワーク接続を開始できます。
- 送信元: すべてのアウトバウンド トラフィックは、Google の内部 IP アドレス範囲から発信されます。このトラフィックは、管理対象のネットワーク インフラストラクチャから発信されたものではなく、そのインフラストラクチャを通過するものでもありません。
- 目的: このトラフィックは、承認済みの API とデータソース（Google Workspace API や拡張機能の公開 API など）に接続して、ユーザー リクエストを処理するために使用されます。
- セキュリティ: これらの接続は、暗号化されたチャネル（HTTPS/TLS）を介して安全に行われ、Google の内部セキュリティと本番環境ネットワーク ポリシーに則って管理されます。