使用 VPC Service Controls 保护应用的安全

为了妥善保护 Gemini Enterprise 应用并降低数据渗漏风险，您必须配置 VPC Service Controls 边界。使用 VPC Service Controls 和 Access Context Manager， 您可以保护 Gemini Enterprise 应用和 关联的企业数据，并控制对这些应用和数据的访问权限。

将 VPC Service Controls 与 Gemini Enterprise 搭配使用

如需使用 VPC Service Controls 保护 Gemini Enterprise 资源，请执行以下操作：

  1. 确保您已配置 VPC Service Controls 边界。您可以专门为 Gemini Enterprise 应用创建新边界，也可以使用包含相关资源的现有边界。

    如需了解服务边界，请参阅服务边界详情和配置。

  2. 将包含 Gemini Enterprise 应用的 Google Cloud 项目添加到 服务边界内的受保护资源列表中。

  3. 将以下 API 添加到边界的受限服务列表中：

    • Discovery Engine API：discoveryengine.googleapis.com

启用服务边界并将 Discovery Engine API 列为受限服务后，VPC Service Controls 会采取以下安全措施：

  • 无法再通过公共互联网访问 discoveryengine.googleapis.com API。

  • 阻止对 Gemini Enterprise 界面的访问，除非入站流量规则允许。

  • 系统会阻止您创建新的数据存储区（用于支持 Gemini Enterprise 操作）， 直到管理员将所需的数据源和出站 网域添加到相应的 受管组织政策限制中。 现有数据存储区（包括之前通过 Google 代表请求启用的任何数据存储区）将继续正常运行，无需执行任何其他操作。如需了解详情，请参阅 启用 VPC Service Controls 后创建数据存储区。

使用 Access Context Manager 限制公开访问权限

Gemini Enterprise 应用可供公共互联网公开访问。默认情况下，Gemini Enterprise 要求用户进行身份验证，并且需要授权才能访问。VPC Service Controls 和 Access Context Manager 提供了额外的控制措施，您可以使用这些控制措施来限制访问权限。

借助 Access Context Manager，您可以为 Google Cloud中的项目和资源定义基于属性的精细访问权限控制。为此，您必须定义 访问权限政策， 这是组织范围内的 访问权限级别 和服务边界容器。

访问权限级别说明了请求得以执行所需满足的要求。例如，您可以根据以下各项限制请求：

使用 VPC Service Controls 的参考架构。
使用 VPC Service Controls 保护 Gemini Enterprise 的参考架构。

在此参考架构中，公共 IP 子网访问权限级别用于构建 VPC Service Controls 访问权限政策。

如需使用 Access Context Manager 限制对 Gemini Enterprise 的访问权限，请按照 创建基本访问权限级别 中的说明创建基本访问权限级别。指定以下选项：

  1. 在使用以下模式创建条件部分，选择基本模式。

  2. 在访问权限级别标题字段中，输入 corp-public-block。

  3. 在条件部分的满足条件时返回中，选择 TRUE。

  4. 在 IP 子网部分，选择公共 IP。

  5. 在 IP 地址范围中，指定您的外部 IP 地址。

将 VPC Service Controls 应用于现有数据存储区

不支持对包含现有数据存储区的项目强制执行 VPC Service Controls 边界。

如需对现有数据存储区强制执行 VPC Service Controls，请执行以下操作：

  1. 删除数据存储区，然后重新创建。

    这样会应用服务控制措施，并允许流量正确流动。

启用 VPC Service Controls 后创建数据存储区

VPC Service Controls 的主要目的是通过为项目和资源创建安全服务边界来防止数据渗漏。新的数据存储区（用于支持 Gemini Enterprise 操作，例如发送电子邮件或创建 Jira 工单）是数据离开此边界的潜在路径，因此 VPC Service Controls 会阻止创建新的数据存储区，直到管理员通过受管组织政策限制明确允许创建为止。

如果您在包含 Gemini Enterprise 应用的 Google Cloud 项目上启用 VPC Service Controls，界面会阻止您创建新的数据存储区。 在启用边界之前创建的数据存储区（以及之前通过 Google 代表请求启用的任何服务）将继续正常运行；只有创建新数据存储区的操作会被限制。

如需允许管理员在边界内创建新的数据存储区，请执行以下操作：

  1. 将数据源添加到 限制数据连接器的允许数据源 受管组织政策限制中。将数据源添加到此限制会自动允许其常用基本网域（例如 graph.microsoft.com 和 api.atlassian.com）。

  2. 如果数据存储区需要贵组织独有的网域（例如 cymbal.atlassian.net 或 cymbal.com），请将这些网域添加到 限制数据连接器的出站网域 受管组织政策限制中。

如需大致了解这些限制，请参阅 受管政策限制。