Panduan deployment untuk Gemini for Government

Dokumen ini memberikan panduan teknis bagi lembaga Federal Amerika Serikat dan departemen DoD tentang cara men-deploy dan menggunakan Gemini untuk Pemerintah sesuai dengan persyaratan FedRAMP High dan DoD Impact Level 4 (IL4). Dokumen ini menjelaskan layanan dan fitur yang disertakan dalam batas otorisasi dan langkah-langkah untuk membantu Anda memenuhi kewajiban kepatuhan.

Gemini untuk Pemerintah menggunakan Assured Workloads untuk membantu memenuhi persyaratan kepatuhan. Anda harus men-deploy semua resource Gemini untuk Pemerintah dalam folder Assured Workloads yang dikonfigurasi untuk sistem kepatuhan khusus Anda (FedRAMP High atau IL4).

Dependensi produk inti

Gemini untuk Pemerintah mengandalkan beberapa layanan. Tabel berikut mencantumkan status kepatuhan untuk setiap layanan.Cloud de Confiance by S3NS

Layanan dan fitur yang diizinkan

Tabel berikut mencantumkan layanan dan fitur yang dapat Anda gunakan dalam Gemini untuk Pemerintah untuk deployment FedRAMP High dan IL4.

Fitur tidak sah yang harus Anda nonaktifkan secara manual

Layanan dan fitur berikut tidak diotorisasi untuk FedRAMP High atau IL4. Namun, paket kontrol Assured Workloads tidak memblokirnya dan tersedia di project Anda. Sebagai bagian dari penilaian risiko, Anda mungkin perlu mengevaluasi penggunaan layanan yang terkait dengan data sensitif dan kontrol mitigasi yang tersedia untuk Anda. Anda mungkin perlu menonaktifkan fitur dalam daftar ini secara manual di konfigurasi aplikasi Gemini Enterprise berdasarkan penilaian Anda.

Untuk mengetahui informasi selengkapnya tentang penyiapan cache konteks implisit, lihat Gemini Enterprise Agent Platform dan retensi data nol.

Fitur tidak sah yang tidak dapat Anda nonaktifkan

Layanan dan fitur berikut tersedia dalam paket kontrol Assured Workloads. Anda tidak dapat menonaktifkannya. Jika Anda menggunakan fitur ini, sebaiknya lakukan penilaian risiko yang tepat sebelum memberikan otorisasi Anda untuk memastikan penggunaan layanan sesuai untuk deployment FedRAMP High atau IL4 Anda. Misalnya, Anda dapat menilai penggunaan layanan relatif terhadap sensitivitas data. Anda juga dapat mengevaluasi apakah ada kontrol mitigasi berdasarkan enkripsi data yang tersedia bagi Anda untuk menetapkan kontrol tunggal atas akses data.

Men-deploy lingkungan Anda

Ikuti langkah-langkah berikut untuk mendapatkan bantuan dalam men-deploy lingkungan yang memenuhi kewajiban kepatuhan Anda:

1. Men-deploy Assured Workloads:
   1. Buat folder Assured Workloads yang menggunakan Data Boundary untuk FedRAMP High atau Data Boundary untuk IL4.
   2. Buat project Cloud de Confiance Anda di dalam folder ini.
   3. Pastikan semua pengguna dan akun layanan memiliki izin Identity and Access Management (IAM) yang diperlukan.
2. Konfigurasi jaringan FedRAMP High atau IL4 Anda. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi jaringan untuk FedRAMP dan DoD di Cloud de Confiance.
3. Buat aplikasi Gemini Enterprise. Pilih US Multi-region sebagai lokasi. Kebijakan residensi data Assured Workloads menerapkan opsi ini.

4. Hubungkan ke sumber data Google yang berada di dalam folder Assured Workloads Anda. Penyimpanan data yang diberi otorisasi untuk FedRAMP High dan IL4 adalah bucket Cloud Storage dan set data BigQuery.

5. Mengonfigurasi fitur kepatuhan yang diizinkan.

6. Nonaktifkan fitur tidak sah yang dijelaskan dalam fitur tidak sah yang harus Anda nonaktifkan secara manual.

7. Latih personel Anda untuk tidak menggunakan fitur tidak sah yang tidak dapat Anda nonaktifkan.

Menonaktifkan fitur yang tidak sah

Selesaikan tugas di bagian ini untuk menonaktifkan fitur tidak sah yang dapat Anda nonaktifkan secara manual.

Menonaktifkan galeri perintah

Selesaikan tugas ini untuk setiap aplikasi yang Anda deploy di Gemini Enterprise.

Pastikan Anda memiliki salah satu peran berikut:

• Discovery Engine Admin (roles/discoveryengine.admin)
• Admin Gemini Enterprise (roles/discoveryengine.agentspaceAdmin)

• Peran khusus dengan izin discoveryengine.engines.update

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

{
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

Menonaktifkan perujukan dengan Google Maps Platform

Untuk menonaktifkan perujukan dengan Google Maps Platform untuk semua permintaan, Anda dapat menonaktifkan Maps Grounding API (mapsgrounding.googleapis.com) menggunakan salah satu metode berikut:

• Di halaman APIs & Services di konsol, temukan Map Grounding API (mapsgrounding.googleapis.com), lalu pilih Disable API. Untuk informasi selengkapnya, lihat Mengaktifkan dan menonaktifkan layanan.

• Di Google Cloud CLI, jalankan:

  gcloud services disable mapsgrounding.googleapis.com
  

Menonaktifkan Grounding with Google Search

Untuk menonaktifkan Grounding with Google Search untuk semua permintaan, tetapkan batasan boolean constraints/vertexai.disableGenAIGoogleSearchGrounding kebijakan organisasi ke true di tingkat folder Assured Workloads. Untuk mengetahui informasi selengkapnya, lihat Memperbarui kebijakan dengan aturan boolean.

Menonaktifkan perujukan menggunakan upload Google Drive

Perujukan dengan Google Drive hanya diaktifkan saat Anda menghubungkan penyimpanan data Google Drive ke aplikasi Anda. Untuk menonaktifkan perujukan dengan upload Google Drive, selesaikan langkah-langkah berikut:

• Pastikan tidak ada penyimpanan data Google Drive yang dikonfigurasi di aplikasi Gemini Enterprise Anda. Jika aplikasi sudah terhubung ke penyimpanan data Google Drive, hapus aplikasi tersebut dari setelan aplikasi di konsol, atau hapus penyimpanan data menggunakan metode dataStores.delete di Discovery Engine API.

• Nonaktifkan kemampuan berbagi data Workspace di konsol Google Admin, atau nonaktifkan Fitur smart dan personalisasi di Google Workspace untuk memblokir konektor agar tidak mengakses dokumen pengguna di Google Drive.

Menonaktifkan perujukan menggunakan upload Microsoft OneDrive

Perujukan dengan Microsoft OneDrive hanya diaktifkan saat Anda menghubungkan penyimpanan data Microsoft OneDrive ke aplikasi Anda. Untuk menonaktifkan perujukan dengan upload Microsoft OneDrive, selesaikan langkah-langkah berikut:

• Pastikan tidak ada penyimpanan data Microsoft OneDrive yang dikonfigurasi di aplikasi Gemini Enterprise Anda. Jika aplikasi sudah terhubung ke penyimpanan data Microsoft OneDrive, hapus aplikasi dari setelan aplikasi di konsol, atau hapus penyimpanan data menggunakan metode dataStores.delete di Discovery Engine API.
• Untuk memblokir akses konektor, batalkan kredensial atau hapus ID klien aplikasi OAuth 2.0 dan kredensial terdaftar di Microsoft Entra ID (Azure AD) yang digunakan untuk konektivitas Microsoft OneDrive.

Menonaktifkan Imagen dan Veo

Untuk menonaktifkan pembuatan gambar menggunakan Imagen dan pembuatan video menggunakan Veo, selesaikan langkah-langkah berikut:

• Tetapkan batasan daftar kebijakan organisasi constraints/vertexai.allowedModels atau constraints/vertexai.allowedGenAIModels di tingkat folder atau organisasi untuk menolak model imagen dan veo (misalnya, publishers/google/models/imagen-4.0-ultra-generate-001) atau untuk mengizinkan hanya model yang disetujui. Untuk mengetahui informasi selengkapnya, lihat Mengontrol akses ke model Model Garden.

• Untuk membatasi akses prediksi pada model Imagen atau Veo, konfigurasi kebijakan penolakan IAM yang menolak izin IAM aiplatform.endpoints.predict pada jalur resource untuk model. Jalur resource model adalah projects/PROJECT_ID/locations/LOCATION/publishers/google/models/MODEL_NAME.

  Ganti kode berikut:

  • PROJECT_ID: ID project Anda
  • LOCATION: lokasi aplikasi
  • MODEL_NAME: nama model yang akan diizinkan atau ditolak

Menonaktifkan peristiwa pengguna untuk aplikasi Gemini Enterprise

Peristiwa pengguna dikirim oleh pelacak peristiwa sisi klien atau diimpor secara massal. Untuk menonaktifkan pengumpulan peristiwa pengguna, selesaikan salah satu langkah berikut:

• Saat mengonfigurasi widget penelusuran untuk aplikasi Anda, nonaktifkan logging peristiwa dengan menyetel properti disableUserEventsCollection ke true di dalam namespace konfigurasi uiSettings. Contoh:

  "uiSettings": {
    "disableUserEventsCollection": true
  }
  

• Jangan panggil endpoint injeksi peristiwa (khususnya metode userEvents.collect dan metode userEvents.write) dan pastikan skrip piksel penelusuran (seperti v1beta_event.js) tidak aktif di halaman klien Anda.

• Perbarui setelan di tingkat aplikasi, sebagai berikut:

  1. Di konsol Cloud de Confiance , buka halaman Gemini Enterprise apps.

     Buka Aplikasi

  2. Pilih aplikasi.

  3. Di menu navigasi, klik Konfigurasi.

  4. Nonaktifkan Aktifkan pengumpulan peristiwa pengguna.

  5. Klik Simpan.

Menonaktifkan personalisasi dan memori di Gemini Enterprise

Selesaikan tugas ini untuk setiap aplikasi yang Anda deploy di Gemini Enterprise.

Pastikan Anda memiliki salah satu peran berikut:

• Discovery Engine Admin (roles/discoveryengine.admin)
• Admin Gemini Enterprise (roles/discoveryengine.agentspaceAdmin)

• Peran khusus dengan izin discoveryengine.engines.update

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

{
  "features": {
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

Menonaktifkan Pustaka Pengetahuan Pribadi

Untuk menonaktifkan Pustaka Pengetahuan Pribadi, Anda dapat menggunakan konsol atau API.

Pastikan Anda memiliki salah satu peran berikut:

• Discovery Engine Admin (roles/discoveryengine.admin)
• Admin Gemini Enterprise (roles/discoveryengine.agentspaceAdmin)

• Peran khusus dengan izin discoveryengine.engines.update

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig

{
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

Menonaktifkan Model Armor

Untuk menonaktifkan Model Armor, hapus template-nya dari aplikasi Anda, lalu nonaktifkan API.

Untuk menghapus template, lihat Menghapus template Model Armor dari aplikasi Gemini Enterprise.

Untuk menonaktifkan Model Armor API (modelarmor.googleapis.com), gunakan salah satu metode berikut:

• Di halaman APIs & Services di konsol, cari Model Armor API (modelarmor.googleapis.com), lalu pilih Disable API. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan dan menonaktifkan layanan.

• Di Google Cloud CLI, jalankan:

  gcloud services disable modelarmor.googleapis.com
  

Menonaktifkan NotebookLM Enterprise

Selesaikan tugas ini untuk setiap aplikasi yang Anda deploy di Gemini Enterprise.

Pastikan Anda memiliki salah satu peran berikut:

• Discovery Engine Admin (roles/discoveryengine.admin)
• Admin Gemini Enterprise (roles/discoveryengine.agentspaceAdmin)

• Peran khusus dengan izin discoveryengine.engines.update

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

{
  "features": {
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

Menonaktifkan caching konteks implisit

Untuk menonaktifkan caching konteks implisit, lihat Mengaktifkan dan menonaktifkan caching data.