使用 VPC Service Controls 保护应用的安全

为了妥善保护 Gemini Enterprise 应用并降低数据渗漏风险，您必须配置 VPC Service Controls 边界。使用 VPC Service Controls 和 Access Context Manager，您可以保护 Gemini Enterprise 应用和关联的企业数据，并控制对这些应用和数据的访问权限。

注意： 将 VPC Service Controls 与 Gemini Enterprise 搭配使用时，您将无法创建新的数据存储区，直到管理员将所需的数据源和出站流量网域添加到相应的代管式组织政策限制条件中。现有数据存储区（包括之前通过 Google 代表请求启用的任何数据存储区）无需任何进一步操作即可继续运行。如需了解详情，请参阅启用 VPC Service Controls 后创建数据存储区。

使用 Gemini Enterprise 设置 VPC Service Controls

如需使用 VPC Service Controls 保护 Gemini Enterprise 资源，请执行以下操作：

1. 确保您已配置 VPC Service Controls 边界。您可以专门为 Gemini Enterprise 应用创建新的边界，也可以使用包含相关资源的现有边界。

   如需了解服务边界，请参阅服务边界详情和配置。

2. 将包含 Gemini Enterprise 应用的 Google Cloud 项目添加到服务边界内的受保护资源列表中。

3. 将以下 API 添加到边界的受限服务列表中：

   • Discovery Engine API：discoveryengine.googleapis.com

提示：我们建议您先使用试运行模式测试服务边界，然后再强制执行。

启用服务边界并将 Discovery Engine API 列为受限服务后，VPC Service Controls 会实施以下安全措施：

• 无法再通过公共互联网访问 discoveryengine.googleapis.com API。

• 阻止对 Gemini Enterprise 界面的访问，除非入站流量规则允许。

• 在管理员将所需的数据源和出站流量网域添加到相应的受管理组织政策限制条件之前，系统会阻止创建新的数据存储区（为 Gemini Enterprise 操作提供支持）。现有数据存储区（包括之前通过 Google 代表请求启用的任何数据存储区）无需任何进一步操作即可继续运行。如需了解详情，请参阅启用 VPC Service Controls 后创建数据存储区。

使用 Access Context Manager 限制公开访问

Gemini Enterprise 应用可供公共互联网公开访问。默认情况下，Gemini Enterprise 要求用户进行身份验证，并要求获得访问授权。VPC Service Controls 和 Access Context Manager 提供了可用于控制访问权限的其他控制措施。

借助 Access Context Manager，您可以为 Google Cloud中的项目和资源定义基于属性的精细访问权限控制。为此，您必须定义访问权限政策，这是组织范围内的访问权限级别和服务边界容器。

访问权限级别说明了请求得以执行所需满足的要求。例如，您可以根据以下各项限制请求：

• 设备类型和操作系统（需要 Chrome 企业进阶版许可）
• IP 地址
• 用户身份

使用 VPC Service Controls 保护 Gemini Enterprise 的参考架构。

在此参考架构中，公共 IP 子网访问权限级别用于构建 VPC Service Controls 访问权限政策。

如需使用 Access Context Manager 限制对 Gemini Enterprise 的访问，请按照创建基本访问权限级别中的说明创建基本访问权限级别。指定以下选项：

1. 在使用以下模式创建条件部分，选择基本模式。

2. 在访问权限级别标题字段中，输入 corp-public-block。

3. 在条件部分的满足条件时返回中，选择 TRUE。

4. 在 IP 子网部分，选择公共 IP。

5. 在 IP 地址范围中，指定您的外部 IP 地址。

对现有数据存储区应用 VPC Service Controls

不支持对具有现有数据存储区的项目强制执行 VPC Service Controls 边界。

如需对现有数据存储区强制执行 VPC Service Controls，请执行以下操作：

1. 删除数据存储区，然后重新创建。

   这样可以应用服务控制，并让流量正确流动。

启用 VPC Service Controls 后创建数据存储区

VPC Service Controls 的主要目的是通过为项目和资源创建安全服务边界来防止数据渗漏。新数据存储区（支持 Gemini Enterprise 操作，例如发送邮件或创建 Jira 工单）是数据离开此边界的潜在路径，因此 VPC Service Controls 会阻止创建新数据存储区，直到管理员通过托管式组织政策限制条件明确允许创建。

如果您在包含 Gemini Enterprise 应用的 Google Cloud 项目上启用 VPC Service Controls，界面会阻止您创建新的数据存储区。在启用边界之前创建的数据存储区以及之前通过 Google 代表请求启用的任何服务都会继续运行；只有创建新数据存储区会受到限制。

如需允许管理员在边界内创建新的数据存储区，请执行以下操作：

1. 将数据源添加到限制数据连接器允许的数据源托管式组织政策限制条件。向此限制条件添加数据源会自动允许其常用的基本网域（例如 graph.microsoft.com 和 api.atlassian.com）。

2. 如果数据存储区需要贵组织独有的网域（例如 cymbal.atlassian.net 或 cymbal.com），请将这些网域添加到限制数据连接器的出站流量网域托管式组织政策限制条件中。

如需简要了解这些限制条件，请参阅代管式政策限制条件。