KI-Schutz konfigurieren

Dienststufen Standard, Premium und Enterprise (eingestellt)

Die Dienststufe „Security Command Center Enterprise“ wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud Vertriebsspezialisten.

AI Protection hilft Ihnen, Ihre KI-Assets und ‑Workflows zu schützen, indem Ihre Modelle, Daten und KI-bezogene Infrastruktur überwacht werden. In diesem Leitfaden wird beschrieben, wie Sie KI-Schutz konfigurieren.

KI-Schutz verwendet die folgenden Dienste und Funktionen. KI-Schutz aktiviert einige Dienste und Funktionen automatisch, andere müssen Sie manuell konfigurieren.

• AI Discovery-Dienst
• Von der Risk Engine erstellte Angriffspfadsimulationen (Dienststufen Premium und Enterprise (eingestellt))
• Cloud-Audit-Logs
• Cloud Monitoring
• Compliance-Manager
• Event Threat Detection (Dienststufen „Premium“ und „Enterprise“ (eingestellt))
• Bedrohungserkennung für Agent Platform (Dienststufen „Premium“ und „Enterprise“ (eingestellt))
• Model Armor
• Notebook Security Scanner (Vorschau), der automatisch für die Enterprise-Dienststufe (eingestellt) aktiviert wird.
• Sensitive Data Protection (Dienststufen „Premium“ und „Enterprise“ (eingestellt))
• Vulnerability Assessment for Agent Platform, das automatisch für neue Aktivierungen von AI Protection (Premium- und Enterprise-Dienststufen (eingestellt)) aktiviert wird.

Sie müssen die folgenden erforderlichen Dienste für KI-Schutz konfigurieren:

• Compliance Manager-Framework für KI-Schutz
• Model Armor
• App Hub (erforderlich für das MCP-Serverinventar (Model Context Protocol))

Weitere Informationen zu den einzelnen Diensten und Funktionen finden Sie unter Erkennungsdienste in KI-Schutz.

Hinweis

1. Rufen Sie Ihre Organisations- oder Projekt-ID ab.
2. Damit Sie Rollen erstellen und zuweisen können, benötigen Sie die erforderlichen Berechtigungen, z. B. die Rollen „IAM-Rollenadministrator“ (roles/iam.roleAdmin) und „Organisationsadministrator“ (roles/resourcemanager.organizationAdmin) oder „Projekt-IAM-Administrator“ (roles/resourcemanager.projectIamAdmin). Weitere Informationen finden Sie im Index für IAM-Rollen und -Berechtigungen.

Erforderliche Rollen

Nachdem Sie die Schritte unter Vorbereitung ausgeführt haben, folgen Sie der Anleitung in einem der folgenden Abschnitte, um die erforderlichen Rollen für den Zugriff auf KI-Schutz einzurichten:

• Vordefinierte Rollen
• Benutzerdefinierte Rollen

Vordefinierte Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation oder Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren von AI Protection und zum Aufrufen von Daten im AI Security-Dashboard benötigen:

• KI-Schutz konfigurieren und Dashboard-Daten ansehen: Sicherheitscenter-Administrator (roles/securitycenter.admin)
• Nur Daten des AI Security-Dashboards ansehen: Sicherheitscenter-Administratorbetrachter (roles/securitycenter.adminViewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Mit den folgenden Google Cloud CLI-Befehlen können Sie einem Nutzer die oben genannten Rollen zuweisen:

Rollen mit der gcloud CLI zuweisen

• Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center-Administrator“ zuzuweisen:

  gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=user:USER_EMAIL_ID \
    --role=roles/securitycenter.admin
  

• Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center Admin Viewer“ zuzuweisen:

  gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=user:USER_EMAIL_ID \
    --role=roles/securitycenter.adminViewer
  

  Ersetzen Sie Folgendes:

  • RESOURCE_TYPE: organizations oder projects
  • RESOURCE_ID: Ihre numerische Organisations- oder Projekt-ID
  • USER_EMAIL_ID: die E-Mail-Adresse des Nutzers, der Zugriff benötigt

Benutzerdefinierte Rollen

Um das Prinzip der geringsten Berechtigung einzuhalten, können Sie benutzerdefinierte IAM-Rollen erstellen, die nur die erforderlichen Berechtigungen für den Betrachter- oder Administratorzugriff gewähren.

In diesem Dokument wird beschrieben, wie Sie benutzerdefinierte Rollen für AI Protection erstellen und zuweisen.

Betrachterzugriff konfigurieren

Mit dem Zugriff als Betrachter kann ein Nutzer das KI-Schutz-Dashboard und die Daten ansehen. Um den Zuschauerzugriff zu konfigurieren, erstellen Sie eine benutzerdefinierte AIP Viewer-Rolle und weisen sie einem Nutzer zu.

Benutzerdefinierte Rolle „AIP Viewer“ erstellen

Erstellen Sie eine benutzerdefinierte Rolle, die alle Berechtigungen enthält, die für den schreibgeschützten Zugriff auf KI-Schutz erforderlich sind.

Console

1. Rufen Sie in der Google Cloud Console die Seite Rollen auf.

Zu Rollen

1. Klicken Sie auf Rolle erstellen.
2. Geben Sie im Feld Titel AIP Viewer ein.
3. Das Feld ID wird automatisch ausgefüllt. Optional können Sie sie in aip.viewer ändern.
4. Geben Sie im Feld Beschreibung den Text Grants permissions required to view the AI Security dashboard and data ein.
5. Legen Sie für Einführungsphase der Rolle den Wert Allgemeine Verfügbarkeit fest.
6. Klicken Sie auf Berechtigungen hinzufügen.

7. Filtern Sie nach den folgenden Berechtigungen und wählen Sie sie aus:

   • Asset-Erkennung und Cloud-Verbindungen (cloudasset.*):
     • cloudasset.assets.exportResource
     • cloudasset.assets.searchAllIamPolicies
     • cloudasset.assets.searchAllResources
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • Zusammenfassungen zur Einhaltung von Richtlinien (cloudsecuritycompliance.*):
     • cloudsecuritycompliance.controlComplianceSummaries.list
     • cloudsecuritycompliance.frameworkComplianceReports.get
   • Monitoring (monitoring.*):
     • monitoring.timeSeries.list
   • Ressourcenverwaltung (resourcemanager.*):
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center-Verwaltung (securitycentermanagement.*):
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center-Betrachter (securitycenter.*):
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.issues.get
     • securitycenter.issues.group
     • securitycenter.issues.list
     • securitycenter.issues.listFilterValues
     • securitycenter.simulations.get
     • securitycenter.sources.get
     • securitycenter.sources.list
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. Klicken Sie auf Hinzufügen.

9. Klicken Sie auf Erstellen.

gcloud

1. Führen Sie in einem Terminal den folgenden gcloud-Befehl aus, um die Rolle zu erstellen:

gcloud iam roles create aip.viewer \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Viewer" \
    --description="Grants permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.exportResource,cloudasset.assets.searchAllIamPolicies,cloudasset.assets.searchAllResources,cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,cloudsecuritycompliance.controlComplianceSummaries.list,cloudsecuritycompliance.frameworkComplianceReports.get,monitoring.timeSeries.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.issues.get,securitycenter.issues.group,securitycenter.issues.list,securitycenter.issues.listFilterValues,securitycenter.simulations.get,securitycenter.sources.get,securitycenter.sources.list,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organization oder project.
• RESOURCE_ID: die numerische Organisations-ID oder die Projekt-ID. #### Nutzern Betrachterzugriff gewähren

Nachdem Sie die benutzerdefinierte Rolle AIP Viewer erstellt haben, weisen Sie sie Nutzern zu, die Zugriff als Betrachter benötigen.

Console

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

IAM aufrufen

1. Klicken Sie auf Zugriff gewähren.
2. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Nutzers ein.
3. Suchen Sie im Drop-down-Menü Rolle auswählen nach der benutzerdefinierten Rolle AIP-Betrachter und wählen Sie sie aus.
4. Klicken Sie auf Speichern.

gcloud

1. Führen Sie in einem Terminal den folgenden gcloud-Befehl aus:

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.viewer"

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organizations oder projects.
• RESOURCE_ID: Ihre Organisations- oder Projekt-ID.
• USER_EMAIL: Die E-Mail-Adresse des Nutzers.

Administratorzugriff konfigurieren

Mit Administratorzugriff kann ein Nutzer KI-Schutzfunktionen verwalten. Um den Administratorzugriff zu konfigurieren, erstellen Sie zuerst die benutzerdefinierte Rolle AIP Essentials. Weisen Sie einem Nutzer dann diese Rolle und die erforderlichen vordefinierten Rollen zu.

Benutzerdefinierte Rolle für AIP Essentials erstellen

Erstellen Sie eine benutzerdefinierte Rolle, die die für KI-Schutz erforderlichen wichtigen unterstützenden Berechtigungen enthält.

Console

1. Rufen Sie in der Google Cloud Console die Seite Rollen auf.

Zu Rollen

1. Klicken Sie auf Rolle erstellen.
2. Geben Sie im Feld Titel AIP Essentials ein.
3. Das Feld ID wird automatisch ausgefüllt. Optional können Sie sie in aip.essentials ändern.
4. Geben Sie im Feld Beschreibung den Text Grants supporting permissions required to view AIP dashboard and data ein.
5. Legen Sie für Einführungsphase der Rolle den Wert Allgemeine Verfügbarkeit fest.
6. Klicken Sie auf Berechtigungen hinzufügen.

7. Filtern Sie nach den folgenden Berechtigungen und wählen Sie sie aus:

   • Asset-Erkennung und Cloud-Verbindungen (cloudasset.*):
     • cloudasset.assets.searchEnrichmentResourceOwners
     • cloudasset.othercloudconnections.get
     • cloudasset.othercloudconnections.list
   • Ressourcenverwaltung (resourcemanager.*):
     • resourcemanager.organizations.get
     • resourcemanager.projects.get
   • Security Command Center-Verwaltung (securitycentermanagement.*):
     • securitycentermanagement.securityCommandCenter.get
   • Security Command Center-Betrachter (securitycenter.*):
     • securitycenter.assets.group
     • securitycenter.assets.list
     • securitycenter.attackpaths.list
     • securitycenter.complianceReports.aggregate
     • securitycenter.findings.group
     • securitycenter.findings.list
     • securitycenter.simulations.get
     • securitycenter.userinterfacemetadata.get
     • securitycenter.valuedresources.list

8. Klicken Sie auf Hinzufügen.

9. Klicken Sie auf Erstellen.

gcloud

1. Führen Sie in einem Terminal den folgenden gcloud-Befehl aus, um die Rolle zu erstellen:

gcloud iam roles create aip.essentials \
    --RESOURCE_TYPE=RESOURCE_ID \
    --title="AIP Essentials" \
    --description="Grants supporting permissions required to view AIP dashboard and data." \
    --permissions="cloudasset.assets.searchEnrichmentResourceOwners,cloudasset.othercloudconnections.get,cloudasset.othercloudconnections.list,resourcemanager.organizations.get,resourcemanager.projects.get,securitycentermanagement.securityCommandCenter.get,securitycenter.assets.group,securitycenter.assets.list,securitycenter.attackpaths.list,securitycenter.complianceReports.aggregate,securitycenter.findings.group,securitycenter.findings.list,securitycenter.simulations.get,securitycenter.userinterfacemetadata.get,securitycenter.valuedresources.list" \

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organization oder project.
• RESOURCE_ID: Ihre Organisations- oder Projekt-ID.

Einem Nutzer Administratorzugriff gewähren

Nachdem Sie die benutzerdefinierte Rolle AIP Essentials erstellt haben, weisen Sie sie zusammen mit den erforderlichen vordefinierten Rollen Nutzern zu, die Administratorzugriff benötigen.

Console

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

IAM aufrufen

1. Klicken Sie auf Zugriff gewähren.
2. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Nutzers ein.
3. Suchen Sie im Drop-down-Menü Rolle auswählen nach den folgenden Rollen und fügen Sie sie hinzu:
   • Model Armor Admin (roles/modelarmor.admin)
   • Model Armor Floor Settings Admin (roles/modelarmor.floorSettingsAdmin)
   • Cloud Security Compliance Admin (roles/cloudsecuritycompliance.admin)
   • Security Center Findings Viewer (roles/securityCenter.findingsViewer)
   • Monitoring Viewer (roles/monitoring.viewer)
   • Cloud Asset Viewer (roles/cloudasset.viewer)
   • Die von Ihnen erstellte benutzerdefinierte Rolle AIP Essentials.
4. Klicken Sie auf Speichern.

gcloud

1. Führen Sie in einem Terminal die folgenden Befehle aus, einen für jede Rolle:

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/modelarmor.floorSettingsAdmin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudsecuritycompliance.admin"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/securityCenter.findingsViewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/monitoring.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="roles/cloudasset.viewer"

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member="user:USER_EMAIL" \
    --role="RESOURCE_TYPE/RESOURCE_ID/roles/aip.essentials"

Ersetzen Sie Folgendes:

• RESOURCE_TYPE: organizations oder projects.
• RESOURCE_ID: Ihre Organisations- oder Projekt-ID.
• USER_EMAIL: Die E-Mail-Adresse des Nutzers.

Unterstützte Regionen

Eine Liste der Regionen, in denen KI-Schutz unterstützt wird, finden Sie unter Regionale Endpunkte.

Zugriff für Dienstkonten

Achten Sie darauf, dass Organisationsrichtlinien keine Dienstkonten blockieren, die in den folgenden Abschnitten erwähnt werden.

KI-Schutz einrichten

KI-Schutz ist standardmäßig für neue Security Command Center-Aktivierungen aktiviert. Wenn Sie jedoch eine Security Command Center-Stufe aktiviert haben, bevor KI-Schutz verfügbar war, müssen Sie die Funktion manuell aktivieren.

So aktivieren Sie den KI-Schutz auf Organisations- oder Projektebene:

Standard

1. Wenn Security Command Center in Ihrer Organisation oder Ihrem Projekt nicht aktiviert ist, aktivieren Sie Security Command Center Standard.
2. Rufen Sie Ihr KI-Sicherheitsdashboard auf, indem Sie zu Risikoübersicht > KI-Sicherheit gehen.

Premium

1. Wenn Sie Security Command Center in Ihrer Organisation oder Ihrem Projekt noch nicht aktiviert haben, folgen Sie der Anleitung zum Aktivieren von Security Command Center Premium.
2. Wenn Sie Premium bereits aktiviert haben, können Sie den KI-Schutz aktivieren, indem Sie auf der Karte „KI-Schutz“ zu den Einstellungen > Einstellungen verwalten gehen.

   Zu den Einstellungen für KI-Schutz

3. Wenn Sie die KI-Ressourcen ermitteln möchten, die Sie schützen möchten, aktivieren Sie die Erkennung sensibler Daten.
4. Rufen Sie das Dashboard für KI-Sicherheit unter Risikoübersicht > KI-Sicherheit auf.

Wenn nach dem Onboarding ein kritischer Dienst deaktiviert ist, enthält das Dashboard Anleitungen für den jeweiligen Dienst und dazu, wo er konfiguriert werden muss. Weitere Informationen finden Sie unter Google Cloud -Dienste für KI-Schutz konfigurieren.

Nachdem alle erforderlichen Dienste konfiguriert wurden, kann es einige Zeit dauern, bis die Daten aus Ihren KI-Assets im AI Security-Dashboard angezeigt werden.

Unternehmen

1. Wenn Sie Security Command Center in Ihrer Organisation noch nicht aktiviert haben, folgen Sie der Anleitung zum Aktivieren von Security Command Center Enterprise.
2. Richten Sie AI Protection ein und prüfen Sie abhängige Dienste anhand der Anleitung im SCC-Einrichtungsleitfaden.

   Zum Einrichtungsleitfaden

   1. Maximieren Sie den Zusammenfassungsbereich Sicherheitsfunktionen prüfen.
   2. Klicken Sie im Bereich KI-Schutz auf Einrichten.
   3. Folgen Sie der Anleitung, um zu prüfen, ob die erforderlichen und abhängigen Dienste für KI-Schutz aktiviert und richtig konfiguriert sind. Weitere Informationen finden Sie unter Google Cloud -Dienste für KI-Schutz konfigurieren.

3. Aktivieren Sie die Erkennung, um die KI-Ressourcen zu finden, die Sie schützen möchten:

   • Wenn Sie die Einrichtungsanleitung geöffnet haben:

     1. Maximieren Sie den Bereich Datensicherheit.
     2. Klicken Sie auf der Karte Erkennung sensibler Daten auf Einrichten und folgen Sie der Anleitung.

   • Wenn Sie die Einrichtungsanleitung nicht geöffnet haben:

     1. Rufen Sie in der Console die Seite Erkennung aktivieren auf:

        Zur Seite „Erkennung aktivieren“

     2. Folgen Sie der Anleitung unter Erkennung mit Standardeinstellungen in einer Organisation aktivieren.

Nachdem alle erforderlichen Dienste aktiviert und konfiguriert wurden, kann es einige Zeit dauern, bis die Daten aus Ihren KI-Assets im AI Security-Dashboard angezeigt werden.

Dienste manuell konfigurieren

Nachdem Sie KI-Schutz aktiviert haben, können Sie die Funktionen in den folgenden Abschnitten manuell konfigurieren.

AI Discovery-Dienst konfigurieren

Security Command Center aktiviert den AI Discovery-Dienst automatisch im Rahmen des Onboardings von Security Command Center Enterprise. Prüfen Sie, ob dem Dienstkonto der Security Command Center Enterprise-Organisation oder des Projekts die IAM-Rolle „Monitoring-Betrachter“ (roles/monitoring.viewer) zugewiesen ist.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Rollen

• roles/monitoring.viewer

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

2. Klicken Sie auf Zugriff gewähren.

3. Geben Sie im Feld Neue Hauptkonten das Dienstkonto der Security Command Center Enterprise-Organisation oder des Security Command Center Enterprise-Projekts ein. Das Dienstkonto hat das Format service-org-ORG_ID@security-center-api. oder service-project-PROJECT_NUMBER@security-center-api.. Ersetzen Sie ORG_ID durch Ihre Organisations-ID oder PROJECT_NUMBER durch Ihre Projektnummer.

4. Wählen Sie im Feld Rolle auswählen die Option Monitoring-Betrachter aus.

5. Klicken Sie auf Speichern.

Model Armor konfigurieren

1. Aktivieren Sie den Dienst modelarmor.googleapis.com für jedes Projekt, in dem generative KI verwendet wird. Weitere Informationen finden Sie unter Erste Schritte mit Model Armor.
2. Konfigurieren Sie die folgenden Einstellungen, um Sicherheits- und Schutzmaßnahmen für Prompts und Antworten von Large Language Models (LLMs) festzulegen:
   • Model Armor-Vorlagen: Erstellen Sie eine Model Armor-Vorlage. In diesen Vorlagen wird festgelegt, welche Arten von Risiken erkannt werden sollen, z. B. sensible Daten, Prompt-Injections und Jailbreak-Erkennung. Außerdem werden die Mindestschwellenwerte für diese Filter definiert.
   • Filter: Model Armor verwendet verschiedene Filter, um Risiken zu erkennen, darunter die Erkennung schädlicher URLs, die Erkennung von Prompt Injection und Jailbreaking sowie die Erkennung sensibler Daten.
   • Mindesteinstellungen: Konfigurieren Sie die Mindesteinstellungen auf Projektebene, um einen Standardschutz für alle Gemini-Modelle festzulegen.

Achtung :Wenn Sie Model Armor für keines der Projekte in der Organisation oder im Projekt konfiguriert oder keine Vorlage erstellt haben, werden in den Model Armor-Widgets im AI Security-Dashboard keine Daten angezeigt.

Notebook Security Scanner konfigurieren

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Rollen

• Dataform Viewer

1. Premium-Dienststufe: Aktivieren Sie den Notebook Security Scanner-Dienst für Ihre Organisation oder Ihr Projekt. Weitere Informationen finden Sie unter Notebook Security Scanner aktivieren.
2. Weisen Sie notebook-security-scanner-prod@ in allen Projekten, die Notebooks enthalten, die Rolle „Dataform-Betrachter“ (roles/dataform.viewer) zu.

Schutz sensibler Daten konfigurieren

Aktivieren Sie die dlp.googleapis.com API für Ihr Projekt und konfigurieren Sie Sensitive Data Protection, um nach sensiblen Daten zu suchen.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Rollen

• DLP Reader
• DLP Data Profiles Admin

1. Aktivieren Sie die Data Loss Prevention API.

   Rollen, die zum Aktivieren von APIs erforderlich sind

   Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Rolle „Inhaber“ (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

   API aktivieren

2. Weisen Sie AI Protection-Nutzern die Rollen DLP Reader und DLP Data Profiles Admin zu.

3. Sensitive Data Protection konfigurieren, um nach sensiblen Daten zu suchen.

Agent Platform-Sicherheitslückenbewertung konfigurieren

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Bei der Sicherheitslückenbewertung für die Agent Platform werden Software-Sicherheitslücken (CVEs) in agentischen Arbeitslasten erkannt, die mit der Gemini Enterprise Agent Platform bereitgestellt werden. Bei neuen Aktivierungen von KI-Schutz ist die Agent Platform-Sicherheitslückenbewertung standardmäßig aktiviert.

Wenn Sie ein Bestandskunde sind, können Sie den Scanner auf der Seite KI-Schutz-Einstellungen aktivieren. Diese Seite ist nur in der Organisations- oder Projektansicht verfügbar.

1. Rufen Sie in der Google Cloud Console auf der Karte „KI-Schutz“ die Einstellungen > Einstellungen verwalten auf.

   Zu den Einstellungen für KI-Schutz

2. Klicken Sie im Bereich Vulnerability Assessment for Agent Platform (Sicherheitslückenbewertung für die Agent Platform) auf Manage settings (Einstellungen verwalten).

3. Aktivieren Sie den Dienst für Ihre Organisation oder Ihr Projekt.

Hinweis :Auf dem AI Security-Dashboard wird eine Benachrichtigung angezeigt, wenn die Sicherheitsüberprüfung der Agent-Plattform nicht für Ihre Organisation oder Ihr Projekt aktiviert ist.

App Hub für MCP-Serverinventar konfigurieren

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Damit Sie MCP-Server (Model Context Protocol) im AI Security-Dashboard sehen können, müssen Sie die App Hub API (apphub.googleapis.com) in jedem Projekt aktivieren, in dem MCP-Server gehostet werden.

Weitere Informationen finden Sie unter App Hub einrichten.

Optional: Zusätzliche wertvolle Ressourcen konfigurieren

Folgen Sie der Anleitung unter Konfiguration für den Wert von Ressourcen erstellen, um eine Konfiguration für den Wert von Ressourcen zu erstellen.

Agentic-Ressourcen eingrenzen

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Wenn Sie die Konfiguration des Ressourcenwerts auf agentische Ressourcen wie Agents oder MCP-Server (Model Context Protocol) beschränken möchten, wählen Sie im Menü Ressourcentyp auswählen einen agentischen Ressourcentyp aus (z. B. aiplatform.googleapis.com/ReasoningEngine) oder geben Sie Labels oder Tags an, die agentische Ressourcen in Ihrer Organisation oder Ihrem Projekt identifizieren.

Bei der nächsten Angriffspfadsimulation wird der Satz hochwertiger Ressourcen abgedeckt und es werden Angriffspfade generiert.

Nächste Schritte

• Weitere Informationen zum KI-Schutz
• KI-Sicherheit prüfen
• Risiko anhand von Dashboard-Daten bewerten
• Auswirkungen des Datenstandorts
• Model Armor konfigurieren
• Weitere Informationen zur Bedrohungserkennung für die Agent Platform