Google은 조직에서 클라우드 환경을 보호하고 데이터를 보호하며 업계 규정을 준수하는 데 도움이 됩니다. 모든 Google Cloud의 보안에 대한 일반적인 정보는 Google Cloud 보안 개요를 참조하세요.
최종 사용자 보안 구성
Gemini Enterprise 내에서 Identity and Access Management (IAM) 설정을 관리하는 것은 보안에 매우 중요합니다. 이 섹션에 나열된 리소스는 Gemini Enterprise의 권한 및 액세스 제어를 이해하는 데 도움이 됩니다.
지원되는 인증 프레임워크는 다음과 같습니다.
Gemini Enterprise 데이터 보안
위협, 정보 유출, 신원 도용으로부터 데이터를 보호하는 것은 중요합니다. Gemini Enterprise에는 다음과 같은 보안 조치가 마련되어 있습니다.
- Gemini Enterprise는 VPC 서비스 제어와 통합됩니다.
고객 관리 암호화 키 (CMEK)를 사용한 기본 데이터 암호화
Gemini Enterprise는 외부 키 관리자 (EKM) 또는 하드웨어 보안 모듈 (HSM)도 지원합니다. CMEK 및 EKM에 적용되는 제한사항에 대한 자세한 내용은 Gemini Enterprise의 Cloud Key Management Service 제한사항을 참조하세요.
Gemini Enterprise 규정 준수
데이터 규정 준수에는 개인 정보 및 민감한 정보를 처리하기 위한 법률 및 규제 요구사항을 충족하는 것이 포함됩니다. 개인 정보 보호 및 보호를 보장하기 위해 데이터 수집, 저장, 사용, 보안을 관리합니다.
이 섹션에 나열된 리소스는 데이터 투명성과 규정 준수를 유지하는 데 도움이 되는 정보를 제공합니다.
- 액세스 투명성 사용 설정
- 감사 로깅
- Gemini Enterprise 위치
- 규정 준수 인증 및 보안 제어
- Gemini Enterprise는 사용자가 요청한 데이터를 60일 이내에 삭제합니다. 자세한 내용은 Google Cloud에서 데이터 삭제를 참조하세요.
직원 ID 제휴 및 풀 관리자
직원 ID 제휴를 사용하여 사용자를 인증하는 경우 일부 관리자에게 IAM 직원 ID 풀 관리자(roles/iam.workforcePoolAdmin) 및 IAM 직원 풀 편집자(roles/iam.workforcePoolEditor) IAM 역할을 부여합니다. 이러한 역할은 직원 풀 속성 매핑을 수정할 수 있습니다.
의도적이든 우발적이든 잘못된 변경은 사용자 가장을 허용하여 승인되지 않은 문서 액세스 및 작업으로 이어질 수 있습니다.
따라서 다음을 권장합니다.
이러한 직원 풀 역할은 반드시 필요한 신뢰할 수 있는 관리자에게만 부여하세요.
Privileged Access Manager를 사용하여 이러한 역할의 사용 권한을 설정하고 사용을 감사합니다.
직원 ID 제휴 감사 로그를 보안 모니터링 솔루션 (예: SIEM)에 통합하여 속성 매핑 변경 또는 무단 액세스 시도를 신속하게 감지하고 알립니다.
필수 Google Cloud API
Gemini Enterprise를 사용하려면 다음 API를 사용 설정해야 합니다.
- Gemini Enterprise Agent Platform API
- Discovery Engine API
- Cloud Storage API
- Identity and Access Management(IAM) API
Gemini Enterprise를 시작하는 방법에 대한 자세한 내용은 시작하기 전에 섹션을 참조하세요.
Gemini Enterprise (Discovery Engine) API를 사용 중지하려면 Gemini Enterprise 사용 중지를 참고하세요.
서드 파티 커넥터 및 공개 엔드포인트
서드 파티 커넥터는 Google 네트워크 외부의 공개 엔드포인트와 상호작용합니다. 예를 들어 데이터 폴링을 위한 서드 파티 API의 엔드포인트 또는 실시간 동기화를 위한 웹훅 URL이 있습니다. VPC 서비스 제어는 Google Cloud 서비스를 제어하도록 설계되었으므로 이러한 외부 비Google 엔드포인트에 대한 트래픽을 기본적으로 차단하거나 보호하지 않습니다.
이를 완화하기 위해 Gemini Enterprise는 이그레스 트래픽이 세분화된 VPC 방화벽 규칙으로 보호되도록 합니다. 이 규칙은 아웃바운드 연결을 제공하는 외부 서비스의 정규화된 도메인 이름 (FQDN)으로만 제한합니다.
네트워크 통신 요구사항
이 섹션에서는 Gemini Enterprise에 연결하고 사용하는 데 필요한 네트워크 통신 요구사항을 간략히 설명합니다.
인바운드 트래픽 (사용자에서 서비스로)
사용자 브라우저에서 Gemini Enterprise 사용자 대상 엔드포인트 (예: console.cloud.google.com, vertexaisearch.cloud.google.com, notebooklm.cloud.google.com), 인증 엔드포인트 (예: auth.cloud.google), 프로그래매틱 엔드포인트 (예: *.googleapis.com, *.clients6.google.com)로의 모든 통신은 TCP 포트 443에서 HTTPS를 통해 이루어집니다. 조직의 방화벽은 사용자의 네트워크에서 이 포트의 엔드포인트로의 아웃바운드 연결을 허용해야 합니다. 전체 도메인 목록은 비공개 UI 액세스 구성을 참조하세요.
- 프로토콜: HTTPS
- 포트: TCP/443
- 방향: 사용자 네트워크 (아웃바운드)에서 Google Cloud (인바운드)
서비스 측 네트워크 제어
Gemini Enterprise는 Google에서 관리하는 Software as a Service(SaaS) 제품입니다. 따라서 기본 네트워크 인프라에 직접 액세스할 수 없습니다. 방화벽 규칙 또는 VPC 서비스 제어 구성과 같은 커스텀 네트워크 제어를 서비스에 직접 구현할 수 없습니다. 보안은 Google에서 관리하며Google Cloud의 강력한 보안 관행을 준수합니다.
아웃바운드 트래픽 (다른 엔드포인트로의 서비스)
확장 프로그램 또는 엔터프라이즈 데이터 그라운딩을 사용하는 경우와 같은 특정 에이전트 AI 워크플로에서 Gemini Enterprise (또는 Gemini Enterprise Agent Platform의 Agent Runtime에서 호스팅되는 에이전트)는 아웃바운드 네트워크 연결을 시작할 수 있습니다.
- 출발지: 모든 아웃바운드 트래픽은 Google의 내부 IP 주소 범위에서 시작됩니다. 이 트래픽은 사용자가 제어하는 네트워크 인프라에서 시작되거나 이를 통해 전송되지 않습니다.
- 목적: 이 트래픽은 승인된 API 및 데이터 소스(예: Google Workspace API 및 확장 프로그램용 공개 API)에 연결하여 사용자 요청을 처리하는 데 사용됩니다.
- 보안: 이러한 연결은 암호화된 채널(HTTPS/TLS)을 통해 안전하게 이루어지며 Google의 내부 보안 및 프로덕션 네트워크 정책에 의거하여 관리됩니다.