Configurar o VPC Service Controls para o Gemini

Neste documento, mostramos como configurar o VPC Service Controls para oferecer suporte ao Gemini para o Google Cloud, um colaborador com tecnologia de IA no Google Cloud. Para concluir essa configuração, faça o seguinte:

  1. Atualize o perímetro de serviço da sua organização para incluir o Gemini. Neste documento, presumimos que você já tenha um perímetro de serviço no nível da organização. Para mais informações sobre perímetros de serviço, consulte Detalhes e configuração do perímetro de serviço.

  2. Em projetos em que você habilitou o acesso ao Gemini, configure redes VPC para bloquear o tráfego de saída, exceto o tráfego para o intervalo VIP restrito.

Antes de começar

  1. Verifique se o Gemini está configurado para sua conta de usuário e projeto do Google Cloud.

  2. Verifique se você tem os papéis necessários do Identity and Access Management (IAM) para configurar e administrar o VPC Service Controls.

  3. Tenha um perímetro de serviço no nível da organização que possa ser usado para configurar o Gemini. Se você não tiver um perímetro de serviço nesse nível, crie um.

Adicionar o Gemini ao seu perímetro de serviço

Para usar o VPC Service Controls com o Gemini, adicione o Gemini ao perímetro de serviço no nível da organização. O perímetro de serviço precisa incluir todos os serviços usados com o Gemini e outros serviços do Google Cloud que você quer proteger.

Para adicionar o Gemini ao seu perímetro de serviço, siga estas etapas:

  1. No console do Google Cloud, acesse a página VPC Service Controls.

    Acessar o VPC Service Controls

  2. Selecione a organização.

  3. Na página VPC Service Controls, clique no nome do perímetro.

  4. Clique em Adicionar recursos e faça o seguinte:

    1. Para cada projeto em que você ativou o Gemini, no painel Adicionar recursos, clique em Adicionar projeto e faça o seguinte:

      1. Na caixa de diálogo Adicionar projetos, selecione os projetos que você quer adicionar.

        Se você estiver usando a VPC compartilhada, adicione o projeto host e os projetos de serviço ao perímetro de serviço.

      2. Clique em Adicionar recursos selecionados. Os projetos adicionados aparecem na seção Projetos.

    2. Para cada rede VPC dos projetos, no painel Adicionar recursos, clique em Adicionar rede VPC e faça o seguinte:

      1. Na lista de projetos, clique no projeto que contém a rede VPC.

      2. Na caixa de diálogo Adicionar recursos, marque a caixa de seleção da rede VPC.

      3. Clique em Adicionar recursos selecionados. A rede adicionada aparece na seção Redes VPC.

  5. Clique em Serviços restritos e faça o seguinte:

    1. No painel Serviços restritos, clique em Adicionar serviços.

    2. Na caixa de diálogo Especificar serviços a serem restritos, selecione API Cloud AI Companion como o serviço que você quer proteger no perímetro.

    3. Clique em Adicionar serviços n, em que n é o número de serviços que você selecionou na etapa anterior.

  6. Opcional: se os desenvolvedores precisarem usar o Gemini no perímetro do plug-in do Cloud Code nos ambientes de desenvolvimento integrado, adicione a API Cloud Code à lista de Serviços restritos e configure a política de entrada.

    A ativação do VPC Service Controls para Gemini impede todo o acesso de fora do perímetro, incluindo a execução de extensões do Cloud Code IDE de máquinas que não estão no perímetro, como laptops da empresa. Portanto, estas etapas serão necessárias se você quiser usar o Gemini com o plug-in do Cloud Code.

    1. No painel Serviços restritos, clique em Adicionar serviços.

    2. Na caixa de diálogo Especificar serviços a serem restritos, selecione a API Cloud Code como o serviço que você quer proteger no perímetro.

    3. Clique em Adicionar serviços n, em que n é o número de serviços que você selecionou na etapa anterior.

    4. Clique em Política de entrada.

    5. No painel Regras de entrada, clique em Adicionar regra.

    6. Em De atributos do cliente da API, especifique as origens de fora do perímetro que exigem acesso. Você pode especificar projetos, níveis de acesso e redes VPC como origens.

    7. Em Para atributos de recursos/serviços do Google Cloud, especifique o nome do serviço do Gemini e da API Cloud Code.

      Para uma lista de atributos de regras de entrada, consulte Referência de regras de entrada.

  7. Opcional: se a organização usa o Access Context Manager e você quer conceder aos desenvolvedores acesso a recursos protegidos de fora do perímetro, defina os níveis de acesso:

    1. Clique em Níveis de acesso.

    2. No painel Ingress Policy: Access Levels, selecione o campo Escolher nível de acesso.

    3. Marque as caixas de seleção correspondentes aos níveis de acesso que você quer aplicar ao perímetro.

  8. Clique em Salvar.

Depois que você concluir essas etapas, o VPC Service Controls verificará todas as chamadas para a API Cloud AI Companion para garantir que elas sejam originadas no mesmo perímetro.

Configurar redes VPC

É necessário configurar suas redes VPC para que as solicitações enviadas ao IP virtual googleapis.com normal sejam roteadas automaticamente para o intervalo de IP virtual (VIP) restrito, 199.36.153.4/30 (restricted.googleapis.com), em que o serviço Gemini está veiculado. Você não precisa alterar nenhuma configuração nas extensões do ambiente de desenvolvimento integrado do Cloud Code.

Para cada rede VPC no projeto, siga estas etapas para bloquear o tráfego de saída, exceto o tráfego para o intervalo VIP restrito:

  1. Ative o Acesso privado do Google nas sub-redes que hospedam os recursos da rede VPC.

  2. Configure regras de firewall para impedir que os dados saiam da rede VPC.

    1. Crie uma regra de saída de negação que bloqueie todo o tráfego de saída.

    2. Crie uma regra de permissão de saída que permita o tráfego para 199.36.153.4/30 na porta TCP 443. Verifique se a regra de permissão de saída tem uma prioridade anterior à regra de saída de negação recém-criada. Isso permite a saída apenas para o intervalo VIP restrito.

  3. Crie uma política de resposta do Cloud DNS.

  4. Crie uma regra para a política de resposta para resolver *.googleapis.com para restricted.googleapis.com com os seguintes valores:

    • Nome DNS: *.googleapis.com.

    • Dados locais: restricted.googleapis.com.

    • Tipo de registro: A

    • TTL: 300

    • Dados de RR: 199.36.153.4|199.36.153.5|199.36.153.6|199.36.153.7

      O intervalo de endereços IP para restricted.googleapis.com é 199.36.153.4/30.

Depois que você concluir essas etapas, as solicitações originadas da rede VPC não poderão sair dela, impedindo a saída fora do perímetro de serviço. Essas solicitações só podem alcançar APIs e serviços do Google que verificam o VPC Service Controls, evitando a exfiltração por meio das APIs do Google.

Outras configurações

Dependendo dos produtos do Google Cloud que você usa com o Gemini, considere o seguinte:

  • Máquinas do cliente conectadas ao perímetro. As máquinas que estão dentro do perímetro do VPC Service Controls podem acessar todas as experiências do Gemini. Também é possível estender o perímetro para um Cloud VPN ou Cloud Interconnect autorizado a partir de uma rede externa.

  • Máquinas do cliente fora do perímetro. Quando há máquinas clientes fora do perímetro de serviço, é possível conceder acesso controlado ao serviço restrito do Gemini.

  • Gemini Code Assist. Para conformidade com o VPC Service Controls, verifique se o ambiente de desenvolvimento integrado ou a estação de trabalho que você está usando não têm acesso a https://www.google.com/tools/feedback/mobile por meio de políticas de firewall.

  • Cloud Workstations. Se você usa o Cloud Workstations, siga as instruções em Configurar o VPC Service Controls e os clusters particulares.

A seguir