KI-Schutz konfigurieren

Dienststufen Standard, Premium und Enterprise (eingestellt)

Die Dienststufe Security Command Center Enterprise wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud -Vertriebsspezialisten.

AI Protection hilft Ihnen, Ihre KI-Assets und ‑Workflows zu schützen, indem Ihre Modelle, Daten und KI-bezogene Infrastruktur überwacht werden. Wenn Sie Bedrohungen und Sicherheitslücken in unterstützten Ressourcen erkennen möchten, konfigurieren Sie die erforderlichen Erkennungsdienste und Zugriffsrollen für AI Protection.

Erkennungsdienste

AI Protection verwendet die folgenden Dienste und Funktionen. AI Protection aktiviert einige Dienste und Funktionen automatisch, andere müssen Sie jedoch manuell konfigurieren.

• AI Discovery-Dienst
• Angriffspfadsimulationen, die von der Risk Engine erstellt wurden (Dienststufen „Premium“ und „Enterprise (eingestellt)“)
• Cloud-Audit-Logs
• Cloud Monitoring
• Compliance-Manager
• Event Threat Detection (Premium- und Enterprise-Dienststufen (eingestellt))
• Agent Platform-Bedrohungserkennung (Premium- und Enterprise-Dienststufen (eingestellt))
• Model Armor
• Notebook Security Scanner (Vorabversion), der automatisch in der Dienststufe „Enterprise (eingestellt)“ aktiviert wird.
• Sensitive Data Protection (Premium- und Enterprise-Dienststufen (eingestellt))
• Agent Platform Vulnerability Assessment, das automatisch für neue Aktivierungen von AI Protection (Premium- und Enterprise-Dienststufen (eingestellt)) aktiviert wird.

Sie müssen die folgenden erforderlichen Dienste für AI Protection konfigurieren:

• Compliance-Manager-Framework für AI Protection
• Model Armor
• App Hub (erforderlich für das MCP-Serverinventar (Model Context Protocol))

Weitere Informationen zu den einzelnen Diensten und Funktionen finden Sie unter Erkennungsdienste im KI-Schutz.

Hinweis

1. Rufen Sie Ihre Organisations- oder Projekt-ID ab.
2. Zum Erstellen und Zuweisen von Rollen benötigen Sie die erforderlichen Berechtigungen, z. B. die Rollen „Identity and Access Management (IAM) Role Administrator“ (roles/iam.roleAdmin) und „Organization Administrator“ (roles/resourcemanager.organizationAdmin) oder „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin). Weitere Informationen finden Sie im Index für IAM-Rollen und -Berechtigungen.

Erforderliche Rollen

Nachdem Sie die Schritte unter Vorbereitung ausgeführt haben, folgen Sie den Schritten in einem der folgenden Abschnitte, um die erforderlichen Rollen für den Zugriff auf AI Protection einzurichten:

• Vordefinierte Rollen
• Benutzerdefinierte Rollen

Vordefinierte Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation oder Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren von AI Protection und zum Aufrufen von Daten im AI Security-Dashboard benötigen:

• AI Protection konfigurieren und Dashboard-Daten ansehen: Security Center Admin (roles/securitycenter.admin)
• Nur Daten im Dashboard für KI-Sicherheit ansehen: Security Center Admin Viewer (roles/securitycenter.adminViewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Mit den folgenden Google Cloud CLI-Befehlen können Sie einem Nutzer die oben genannten Rollen zuweisen:

Rollen mit der gcloud CLI zuweisen

• Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center-Administrator“ zuzuweisen:

  gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=user:USER_EMAIL_ID \
    --role=roles/securitycenter.admin
  

• Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center Admin Viewer“ zuzuweisen:

  gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=user:USER_EMAIL_ID \
    --role=roles/securitycenter.adminViewer
  

  Ersetzen Sie Folgendes:

  • RESOURCE_TYPE: organizations oder projects
  • RESOURCE_ID: die numerische Organisations- oder Projekt-ID
  • USER_EMAIL_ID: die E-Mail-Adresse des Nutzers, der Zugriff benötigt

Benutzerdefinierte Rollen

Um das Prinzip der geringsten Berechtigung einzuhalten, können Sie benutzerdefinierte IAM-Rollen erstellen, die nur die erforderlichen Berechtigungen für den Betrachter- oder Administratorzugriff gewähren.

In diesem Dokument wird beschrieben, wie Sie benutzerdefinierte Rollen für AI Protection erstellen und zuweisen.

Betrachterzugriff konfigurieren

Mit dem Lesezugriff kann ein Nutzer das AI Protection-Dashboard und die Daten aufrufen. Wenn Sie den Lesezugriff konfigurieren möchten, erstellen Sie eine benutzerdefinierte AIP Viewer-Rolle und weisen diese Rolle dann einem Nutzer zu.

Benutzerdefinierte Rolle „AIP Viewer“ erstellen

Erstellen Sie eine benutzerdefinierte Rolle, die alle Berechtigungen enthält, die für den Lesezugriff auf AI Protection erforderlich sind.

Console

1. Rufen Sie in der Google Cloud Console die Seite Rollen auf.

Zu Rollen

1. Klicken Sie auf Rolle erstellen.
2. Geben Sie im Feld Titel AIP Viewer ein.
3. Das Feld ID wird automatisch ausgefüllt. Sie können ihn optional in aip.viewer ändern.
4. Geben Sie im Feld Beschreibung den Text Grants permissions required to view the AI Security dashboard and data ein.
5. Legen Sie die Rollenstartphase auf Allgemeine Verfügbarkeit fest.
6. Klicken Sie auf Berechtigungen hinzufügen.

7. Filtern Sie nach den folgenden Berechtigungen und wählen Sie sie aus:

   • Asset-Erkennung und Cloud-Verbindungen (cloudasset.*):
     • cloudasset.assets.exportResource
     • cloudasset.assets.searchAllIamPolicies
     • cloudasset.assets.searchAllResources
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • Compliance-Zusammenfassungen (cloudsecuritycompliance.*):
     • cloudsecuritycompliance.controlComplianceSummaries.list
     • cloudsecuritycompliance.frameworkComplianceReports.get
   • Monitoring (monitoring.*):
     • monitoring.timeSeries.list
   • Ressourcenverwaltung (resourcemanager.*):
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center-Verwaltung (securitycentermanagement.*):
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center-Betrachter (securitycenter.*):
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.issues.get
     • securitycenter.issues.group
     • securitycenter.issues.list
     • securitycenter.issues.listFilterValues
     • securitycenter.simulations.get
     • securitycenter.sources.get
     • securitycenter.sources.list
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. Klicken Sie auf Hinzufügen.

9. Klicken Sie auf Erstellen.

gcloud

1. Führen Sie in einem Terminal den folgenden gcloud-Befehl aus, um die Rolle zu erstellen:

gcloud iam roles create aip.viewer \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Viewer" \
    --description="Grants permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.exportResource,cloudasset.assets.searchAllIamPolicies,cloudasset.assets.searchAllResources,cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,cloudsecuritycompliance.controlComplianceSummaries.list,cloudsecuritycompliance.frameworkComplianceReports.get,monitoring.timeSeries.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.issues.get,securitycenter.issues.group,securitycenter.issues.list,securitycenter.issues.listFilterValues,securitycenter.simulations.get,securitycenter.sources.get,securitycenter.sources.list,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organization oder project.
• RESOURCE_ID: die numerische Organisations-ID oder die Projekt-ID. #### Einem Nutzer Lesezugriff gewähren

Nachdem Sie die benutzerdefinierte Rolle AIP Viewer erstellt haben, weisen Sie sie Nutzern zu, die Lesezugriff benötigen.

Console

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

IAM aufrufen

1. Klicken Sie auf Zugriff gewähren.
2. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Nutzers ein.
3. Suchen Sie im Drop-down-Menü Rolle auswählen nach der benutzerdefinierten Rolle AIP Viewer und wählen Sie sie aus.
4. Klicken Sie auf Speichern.

gcloud

1. Führen Sie in einem Terminal den folgenden gcloud-Befehl aus:

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.viewer"

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organizations oder projects.
• RESOURCE_ID: Ihre Organisations- oder Projekt-ID.
• USER_EMAIL: Die E-Mail-Adresse des Nutzers.

Administratorzugriff konfigurieren

Mit Administratorzugriff kann ein Nutzer die Funktionen von AI Protection verwalten. Zum Konfigurieren des Administratorzugriffs erstellen Sie zuerst die benutzerdefinierte Rolle AIP Essentials. Anschließend weisen Sie einem Nutzer diese Rolle und die erforderlichen vordefinierten Rollen zu.

Benutzerdefinierte AIP Essentials-Rolle erstellen

Erstellen Sie eine benutzerdefinierte Rolle, die die erforderlichen unterstützenden Berechtigungen für AI Protection enthält.

Console

1. Rufen Sie in der Google Cloud Console die Seite Rollen auf.

Zu Rollen

1. Klicken Sie auf Rolle erstellen.
2. Geben Sie im Feld Titel AIP Essentials ein.
3. Das Feld ID wird automatisch ausgefüllt. Sie können ihn optional in aip.essentials ändern.
4. Geben Sie im Feld Beschreibung den Text Grants supporting permissions required to view AIP dashboard and data ein.
5. Legen Sie die Rollenstartphase auf Allgemeine Verfügbarkeit fest.
6. Klicken Sie auf Berechtigungen hinzufügen.

7. Filtern Sie nach den folgenden Berechtigungen und wählen Sie sie aus:

   • Asset-Erkennung und Cloud-Verbindungen (cloudasset.*):
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • Ressourcenverwaltung (resourcemanager.*):
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center-Verwaltung (securitycentermanagement.*):
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center-Betrachter (securitycenter.*):
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.simulations.get
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. Klicken Sie auf Hinzufügen.

9. Klicken Sie auf Erstellen.

gcloud

1. Führen Sie in einem Terminal den folgenden gcloud-Befehl aus, um die Rolle zu erstellen:

gcloud iam roles create aip.essentials \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Essentials" \
    --description="Grants supporting permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.simulations.get,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organization oder project.
• RESOURCE_ID: Ihre Organisations- oder Projekt-ID.

Einem Nutzer Administratorzugriff gewähren

Nachdem Sie die benutzerdefinierte Rolle AIP Essentials erstellt haben, weisen Sie sie zusammen mit den erforderlichen vordefinierten Rollen Nutzern zu, die Administratorzugriff benötigen.

Console

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

IAM aufrufen

1. Klicken Sie auf Zugriff gewähren.
2. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Nutzers ein.
3. Suchen Sie im Drop-down-Menü Rolle auswählen nach den folgenden Rollen und fügen Sie sie hinzu:
   • Model Armor Admin (roles/modelarmor.admin)
   • Model Armor Floor Settings Admin (roles/modelarmor.floorSettingsAdmin)
   • Cloud Security Compliance Admin (roles/cloudsecuritycompliance.admin)
   • Security Center Findings Viewer (roles/securityCenter.findingsViewer)
   • Monitoring Viewer (roles/monitoring.viewer)
   • Cloud Asset Viewer (roles/cloudasset.viewer)
   • Die von Ihnen erstellte benutzerdefinierte Rolle AIP Essentials.
4. Klicken Sie auf Speichern.

gcloud

1. Führen Sie in einem Terminal die folgenden Befehle aus, einen für jede Rolle:

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.floorSettingsAdmin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudsecuritycompliance.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/securityCenter.findingsViewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/monitoring.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudasset.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.essentials"

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organizations oder projects.
• RESOURCE_ID: Ihre Organisations- oder Projekt-ID.
• USER_EMAIL: Die E-Mail-Adresse des Nutzers.

Unterstützte Regionen

Eine Liste der Regionen, in denen AI Protection unterstützt wird, finden Sie unter Regionale Endpunkte.

Zugriff für Dienstkonten

Achten Sie darauf, dass Organisationsrichtlinien keine der in den folgenden Abschnitten erwähnten Dienstkonten blockieren.

KI-Schutz einrichten

Der KI-Schutz ist für neue Security Command Center-Aktivierungen standardmäßig aktiviert. Wenn Sie jedoch eine Security Command Center-Stufe aktiviert haben, bevor AI Protection verfügbar war, müssen Sie die Funktion manuell aktivieren.

So aktivieren Sie den KI-Schutz auf Organisations- oder Projektebene:

Standard

1. Wenn Security Command Center in Ihrer Organisation oder Ihrem Projekt nicht aktiviert ist, aktivieren Sie Security Command Center Standard.
2. Rufen Sie das Dashboard für KI-Sicherheit auf, indem Sie zu Risikoübersicht > KI-Sicherheit gehen.

Premium

1. Wenn Sie Security Command Center in Ihrer Organisation oder Ihrem Projekt noch nicht aktiviert haben, finden Sie eine Anleitung unter Security Command Center Premium aktivieren.
2. Wenn Sie Premium bereits aktiviert haben, können Sie den KI-Schutz aktivieren, indem Sie auf der Karte „KI-Schutz“ die Einstellungen > Einstellungen verwalten aufrufen.

   Zu den Einstellungen für den KI-Schutz

3. Wenn Sie die KI-Ressourcen ermitteln möchten, die Sie schützen möchten, aktivieren Sie die Erkennung sensibler Daten.
4. Rufen Sie das Dashboard für KI-Sicherheit auf, indem Sie zu Risikoübersicht > KI-Sicherheit gehen.

Wenn nach Abschluss des Onboardings ein kritischer Dienst deaktiviert ist, finden Sie im Dashboard eine Anleitung für den jeweiligen Dienst und Informationen dazu, wo Sie ihn konfigurieren können. Weitere Informationen finden Sie unter Google Cloud -Dienste für AI Protection konfigurieren.

Nachdem alle erforderlichen Dienste konfiguriert wurden, kann es einige Zeit dauern, bis die Daten aus Ihren KI-Assets im AI Security-Dashboard angezeigt werden.

Enterprise

1. Wenn Sie Security Command Center in Ihrer Organisation noch nicht aktiviert haben, folgen Sie der Anleitung zum Aktivieren von Security Command Center Enterprise.
2. Richten Sie AI Protection ein und prüfen Sie abhängige Dienste anhand der Anleitung im SCC-Einrichtungsleitfaden.

   Zum Einrichtungsleitfaden

   1. Maximieren Sie den Bereich Sicherheitsfunktionen prüfen.
   2. Klicken Sie im Bereich KI-Schutz auf Einrichten.
   3. Folgen Sie der Anleitung, um zu prüfen, ob die erforderlichen und abhängigen Dienste für AI Protection aktiviert und richtig konfiguriert sind. Weitere Informationen finden Sie unter Google Cloud -Dienste für AI Protection konfigurieren.

3. Aktivieren Sie die Erkennung, um die KI-Ressourcen zu finden, die Sie schützen möchten:

   • Wenn Sie die Einrichtungsanleitung geöffnet haben:

     1. Maximieren Sie den Bereich Datensicherheit.
     2. Klicken Sie auf der Karte Erkennung sensibler Daten auf Einrichten und folgen Sie der Anleitung.

   • Wenn die Einrichtungsanleitung nicht geöffnet ist:

     1. Rufen Sie in der Console die Seite Erkennung aktivieren auf:

        Zu „Erkennung aktivieren“

     2. Folgen Sie der Anleitung unter Discovery mit Standardeinstellungen in einer Organisation aktivieren.

Nachdem alle erforderlichen Dienste aktiviert und konfiguriert wurden, kann es einige Zeit dauern, bis die Daten aus Ihren KI-Assets im Dashboard für KI-Sicherheit angezeigt werden.

Dienste manuell konfigurieren

Nachdem Sie den KI-Schutz aktiviert haben, führen Sie die folgenden Abschnitte aus, um Funktionen manuell zu konfigurieren.

AI Discovery-Dienst konfigurieren

Das Security Command Center aktiviert den AI Discovery-Dienst automatisch im Rahmen des Onboardings für Security Command Center Enterprise. Prüfen Sie, ob dem Dienstkonto der Security Command Center Enterprise-Organisation oder des Security Command Center Enterprise-Projekts die IAM-Rolle „Monitoring-Betrachter“ (roles/monitoring.viewer) zugewiesen ist.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Rollen

• roles/monitoring.viewer

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

2. Klicken Sie auf Zugriff gewähren.

3. Geben Sie im Feld Neue Hauptkonten das Dienstkonto der Security Command Center Enterprise-Organisation oder des Security Command Center Enterprise-Projekts ein. Das Dienstkonto hat das Format service-org-ORG_ID@security-center-api. oder service-project-PROJECT_NUMBER@security-center-api.. Ersetzen Sie ORG_ID durch Ihre Organisations-ID oder PROJECT_NUMBER durch Ihre Projektnummer.

4. Wählen Sie im Feld Rolle auswählen die Option Monitoring-Betrachter aus.

5. Klicken Sie auf Speichern.

Model Armor konfigurieren

1. Aktivieren Sie den Dienst modelarmor.googleapis.com für jedes Projekt, das generative KI-Aktivitäten verwendet. Weitere Informationen finden Sie unter Erste Schritte mit Model Armor.
2. Konfigurieren Sie die folgenden Einstellungen, um Sicherheits- und Schutzeinstellungen für Prompts und Antworten von Large Language Models (LLMs) zu definieren:
   • Model Armor-Vorlagen: Erstellen Sie eine Model Armor-Vorlage. Diese Vorlagen definieren die Arten von Risiken, die erkannt werden sollen, z. B. sensible Daten, Prompt Injections und Jailbreak-Erkennung. Außerdem werden die Mindestschwellenwerte für diese Filter definiert.
   • Filter: Model Armor verwendet verschiedene Filter, um Risiken zu identifizieren, darunter die Erkennung schädlicher URLs, die Erkennung von Prompt Injection und Jailbreaking sowie den Schutz sensibler Daten.
   • Mindesteinstellungen: Konfigurieren Sie die Mindesteinstellungen auf Projektebene, um einen Standardschutz für alle Gemini-Modelle einzurichten.

Achtung: Wenn Sie Model Armor für keines der Projekte in der Organisation oder im Projekt konfiguriert oder keine Vorlage erstellt haben, werden in den Model Armor-Widgets im AI Security-Dashboard keine Daten angezeigt.

Notebook Security Scanner konfigurieren

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Rollen

• Dataform Viewer

1. Premium-Dienststufe: Aktivieren Sie den Notebook Security Scanner-Dienst für Ihre Organisation oder Ihr Projekt. Weitere Informationen finden Sie unter Notebook Security Scanner aktivieren.
2. Weisen Sie notebook-security-scanner-prod@ die Rolle „Dataform-Betrachter“ (roles/dataform.viewer) für alle Projekte zu, die Notebooks enthalten.

Sensitive Data Protection konfigurieren

Aktivieren Sie die dlp.googleapis.com API für Ihr Projekt und konfigurieren Sie Sensitive Data Protection, um nach sensiblen Daten zu suchen.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Rollen

• DLP Reader
• DLP Data Profiles Admin

1. Aktivieren Sie die Data Loss Prevention API, falls sie noch nicht aktiviert ist.

   Rollen, die zum Aktivieren von APIs erforderlich sind

   Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Inhaberrolle (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

   API aktivieren

2. Weisen Sie AI Protection-Nutzern die Rollen DLP Reader und DLP Data Profiles Admin zu.

3. Konfigurieren Sie Sensitive Data Protection, um nach sensiblen Daten zu suchen.

Agent Platform-Sicherheitslückenbewertung konfigurieren

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Die Agent Platform-Sicherheitslückenbewertung identifiziert Software-Sicherheitslücken (CVEs) in agentischen Arbeitslasten, die mit der Gemini Enterprise Agent Platform bereitgestellt werden. Bei neuen Aktivierungen von AI Protection ist die Agent Platform-Sicherheitslückenbewertung standardmäßig aktiviert.

Wenn Sie ein Bestandskunde sind, können Sie den Scanner auf der Seite KI-Schutz-Einstellungen aktivieren, die nur in der Organisations- oder Projektansicht verfügbar ist.

1. Rufen Sie in der Google Cloud Console die Einstellungen > Einstellungen verwalten auf der Karte „KI-Schutz“ auf.

   Zu den Einstellungen für den KI-Schutz

2. Klicken Sie im Abschnitt Vulnerability Assessment for Agent Platform auf Einstellungen verwalten.

3. Aktivieren Sie den Dienst für Ihre Organisation oder Ihr Projekt.

Hinweis: Wenn die Agent Platform Vulnerability Assessment für Ihre Organisation oder Ihr Projekt nicht aktiviert ist, wird im AI Security-Dashboard eine Benachrichtigung angezeigt.

App Hub für das MCP-Serverinventar konfigurieren

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Wenn Sie MCP-Server (Model Context Protocol) im AI Security-Dashboard aufrufen möchten, müssen Sie die App Hub API (apphub.googleapis.com) in jedem Projekt aktivieren, in dem MCP-Server gehostet werden.

Weitere Informationen finden Sie unter App Hub einrichten.

Optional: Zusätzliche Ressourcen mit hohem Wert konfigurieren

Folgen Sie der Anleitung unter Konfiguration für den Wert von Ressourcen erstellen, um eine Konfiguration für den Wert von Ressourcen zu erstellen.

Agentische Ressourcen eingrenzen

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Wenn Sie die Konfiguration des Ressourcenwerts auf agentische Ressourcen wie Agenten oder MCP-Server (Model Context Protocol) beschränken möchten, wählen Sie im Menü Ressourcentyp auswählen einen agentischen Ressourcentyp aus (z. B. aiplatform.googleapis.com/ReasoningEngine) oder geben Sie Labels oder Tags an, die agentische Ressourcen in Ihrer Organisation oder Ihrem Projekt identifizieren.

Bei der nächsten Angriffspfadsimulation wird die Gruppe hochwertiger Ressourcen berücksichtigt und es werden Angriffspfade generiert.

Nächste Schritte

• Weitere Informationen zum KI-Schutz
• KI-Sicherheit überprüfen
• Risiken anhand von Dashboard-Daten bewerten
• Auswirkungen des Datenstandorts
• Model Armor konfigurieren
• Informationen zur Bedrohungserkennung für die Agent Platform