Gemini for Government のデプロイに関するガイダンス

このドキュメントでは、FedRAMP High と DoD 影響レベル 4（IL4）の要件に準拠して Gemini for Government をデプロイ、使用するための技術的なガイダンスを米国の連邦政府機関と DoD 部門向けに提供します。このドキュメントでは、認証境界に含まれるサービスと機能、およびコンプライアンス義務を果たすための手順について説明します。

Gemini for Government は、Assured Workloads を使用してコンプライアンス要件を支援します。Gemini for Government のすべてのリソースは、特定のコンプライアンス レジーム（FedRAMP High または IL4）用に構成された Assured Workloads フォルダ内にデプロイする必要があります。

コアプロダクトの依存関係

Gemini for Government は、複数のCloud de Confiance by S3NS サービスに依存しています。次の表に、各サービスのコンプライアンス ステータスを示します。

承認済みのサービスと機能

次の表に示すのは、FedRAMP High と IL4 のデプロイで Gemini for Government 内で使用できるサービスと機能です。

手動で無効にする必要がある未承認の機能

次のサービスと機能は、FedRAMP High または IL4 の認証を受けていません。ただし、Assured Workloads の制御パッケージによってブロックされることはなく、プロジェクトで使用できます。リスク評価の一環として、センシティブ データに対するサービスの利用状況と、利用可能な緩和コントロールを評価する必要がある場合があります。評価に基づいて、Gemini Enterprise アプリの構成で、このリストにある機能を手動で無効にする必要がある場合があります。

暗黙的なコンテキスト キャッシュ保存の詳細については、Gemini Enterprise Agent Platform とゼロデータ保持をご覧ください。

無効にできない未承認の機能

Assured Workloads 管理パッケージでは、次のサービスと機能を使用できます。無効にすることはできません。これらの機能を使用する場合は、承認を付与する前に適切なリスク評価を実施し、サービスの使用が FedRAMP High または IL4 のデプロイに適していることを確認することをおすすめします。たとえば、データの機密性に関連してサービスの使用状況を評価できます。データ暗号化に基づく緩和コントロールを使用して、データアクセスを単独で制御できるかどうかを評価することもできます。

環境をデプロイする

コンプライアンス義務を満たす環境のデプロイを支援する手順は次のとおりです。

1. Assured Workloads をデプロイします。
   1. FedRAMP High の Data Boundary または IL4 の Data Boundary を使用する Assured Workloads フォルダを作成します。
   2. このフォルダ内に Cloud de Confiance プロジェクトを作成します。
   3. すべてのユーザーとサービス アカウントに必要な Identity and Access Management（IAM）権限があることを確認します。
2. FedRAMP High または IL4 ネットワークを構成します。詳細については、 Cloud de Confianceで FedRAMP と DoD に準拠したネットワークを構成するをご覧ください。
3. Gemini Enterprise app を作成します。ロケーションとして [US Multi-region] を選択します。Assured Workloads のデータ所在地ポリシーでは、このオプションが適用されます。

4. Assured Workloads フォルダ内にある Google データソースに接続します。FedRAMP High と IL4 の承認済みデータストアは、Cloud Storage バケットと BigQuery データセットです。

5. 承認済みのコンプライアンス機能を構成します。

6. 手動で無効にする必要がある未承認の機能で説明されている未承認の機能を無効にします。

7. 無効にできない未承認の機能を使用しないよう、担当者に説明します。

未承認の機能をオフにする

このセクションのタスクを完了して、手動で無効にできる未承認の機能を無効にします。

プロンプト ギャラリーを無効にする

Gemini Enterprise にデプロイするアプリごとに、このタスクを完了します。

次のいずれかのロールがあることを確認します。

• ディスカバリ エンジン管理者（roles/discoveryengine.admin）
• Gemini Enterprise 管理者（roles/discoveryengine.agentspaceAdmin）

• discoveryengine.engines.update 権限のあるカスタムロール

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

{
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

Google Maps Platform によるグラウンディングを無効にする

すべてのリクエストで Google Maps Platform を使用したグラウンディングを無効にするには、次のいずれかの方法で Maps Grounding API（mapsgrounding.googleapis.com）を無効にします。

• コンソールの [API とサービス] ページで、Map Grounding API（mapsgrounding.googleapis.com）を見つけて、[API を無効にする] を選択します。詳細については、サービスの有効化と無効化をご覧ください。

• Google Cloud CLI で次のコマンドを実行します。

  gcloud services disable mapsgrounding.googleapis.com
  

Google 検索によるグラウンディングを無効にする

すべてのリクエストで Google 検索によるグラウンディングを無効にするには、Assured Workloads フォルダレベルで constraints/vertexai.disableGenAIGoogleSearchGrounding 組織のポリシーのブール値制約を true に設定します。詳細については、ブール値ルールを使用してポリシーを更新するをご覧ください。

Google ドライブのアップロードを使用したグラウンディングをオフにする

Google ドライブでのグラウンディングは、Google ドライブのデータストアをアプリに接続した場合にのみ有効になります。Google ドライブのアップロードでのグラウンディングを無効にするには、次の操作を行います。

• Gemini Enterprise アプリに Google ドライブ データストアが構成されていないことを確認します。アプリがすでに Google ドライブ データストアに接続されている場合は、コンソールのアプリの設定から削除するか、Discovery Engine API の dataStores.delete メソッドを使用してデータストアを削除します。

• Google 管理コンソールで Workspace のデータ共有機能を無効にするか、Google Workspace でスマート機能とパーソナライズを無効にして、コネクタが Google ドライブのユーザー ドキュメントにアクセスできないようにします。

Microsoft OneDrive のアップロードを使用したグラウンディングをオフにする

Microsoft OneDrive を使用したグラウンディングは、Microsoft OneDrive データストアをアプリに接続した場合にのみ有効になります。Microsoft OneDrive アップロードを使用したグラウンディングを無効にするには、次の操作を行います。

• Gemini Enterprise アプリに Microsoft OneDrive データストアが構成されていないことを確認します。アプリがすでに Microsoft OneDrive データストアに接続されている場合は、コンソールのアプリの設定から削除するか、Discovery Engine API の dataStores.delete メソッドを使用してデータストアを削除します。
• コネクタのアクセスをブロックするには、Microsoft OneDrive 接続に使用される Microsoft Entra ID（Azure AD）で、登録済みの OAuth 2.0 アプリケーション クライアント ID と認証情報を取り消すか、削除します。

Imagen と Veo をオフにする

Imagen を使用した画像生成と Veo を使用した動画生成を無効にするには、次の操作を行います。

• フォルダまたは組織レベルで constraints/vertexai.allowedModels または constraints/vertexai.allowedGenAIModels 組織ポリシー リスト制約を設定して、imagen モデルと veo モデル（publishers/google/models/imagen-4.0-ultra-generate-001 など）を拒否するか、承認済みのモデルのみを許可します。詳細については、Model Garden モデルへのアクセスを制御するをご覧ください。

• Imagen モデルまたは Veo モデルでの予測アクセスを制限するには、モデルのリソースパスに対する aiplatform.endpoints.predict IAM 権限を拒否する IAM 拒否ポリシーを構成します。モデルのリソースパスは projects/PROJECT_ID/locations/LOCATION/publishers/google/models/MODEL_NAME です。

  次のように置き換えます。

  • PROJECT_ID: オブジェクトの ID
  • LOCATION: アプリのロケーション
  • MODEL_NAME: 許可または拒否するモデルの名前

Gemini Enterprise アプリのユーザー イベントをオフにする

ユーザー イベントは、クライアントサイドのイベント トラッカーによって送信されるか、一括でインポートされます。ユーザー イベントの収集を無効にするには、次のいずれかを実行します。

• アプリの検索ウィジェットを構成する際は、uiSettings 構成名前空間内で disableUserEventsCollection プロパティを true に設定して、イベント ロギングを無効にします。次に例を示します。

  "uiSettings": {
    "disableUserEventsCollection": true
  }
  

• イベント挿入エンドポイント（特に userEvents.collect メソッドと userEvents.write メソッド）を呼び出さないようにし、検索ピクセル スクリプト（v1beta_event.js など）がクライアント ページでアクティブになっていないことを確認します。

• 次のように、アプリケーション レベルで設定を更新します。

  1. Cloud de Confiance コンソールで、[Gemini Enterprise アプリ] ページに移動します。

     [アプリ] に移動

  2. 該当するアプリを選択します。

  3. ナビゲーション メニューで [構成] をクリックします。

  4. [ユーザー イベントの収集を有効にする] をオフにします。

  5. [保存] をクリックします。

Gemini Enterprise でパーソナライズとメモリをオフにする

Gemini Enterprise にデプロイするアプリごとに、このタスクを完了します。

次のいずれかのロールがあることを確認します。

• ディスカバリ エンジン管理者（roles/discoveryengine.admin）
• Gemini Enterprise 管理者（roles/discoveryengine.agentspaceAdmin）

• discoveryengine.engines.update 権限のあるカスタムロール

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

{
  "features": {
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

非公開ナレッジグラフを無効にする

非公開ナレッジグラフをオフにするには、コンソールまたは API を使用します。

次のいずれかのロールがあることを確認します。

• ディスカバリ エンジン管理者（roles/discoveryengine.admin）
• Gemini Enterprise 管理者（roles/discoveryengine.agentspaceAdmin）

• discoveryengine.engines.update 権限のあるカスタムロール

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig

{
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

Model Armor をオフにする

Model Armor を無効にするには、アプリからテンプレートを削除してから、API を無効にします。

テンプレートを削除するには、Gemini Enterprise app から Model Armor テンプレートを削除するをご覧ください。

Model Armor API（modelarmor.googleapis.com）を無効にするには、次のいずれかの方法を使用します。

• コンソールの [API とサービス] ページで、Model Armor API（modelarmor.googleapis.com）を見つけて、[API を無効にする] を選択します。詳細については、サービスの有効化と無効化をご覧ください。

• Google Cloud CLI で次のコマンドを実行します。

  gcloud services disable modelarmor.googleapis.com
  

NotebookLM Enterprise を無効にする

Gemini Enterprise にデプロイするアプリごとに、このタスクを完了します。

次のいずれかのロールがあることを確認します。

• ディスカバリ エンジン管理者（roles/discoveryengine.admin）
• Gemini Enterprise 管理者（roles/discoveryengine.agentspaceAdmin）

• discoveryengine.engines.update 権限のあるカスタムロール

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

{
  "features": {
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

暗黙的なコンテキスト キャッシュをオフにする

暗黙的なコンテキスト キャッシュ保存をオフにするには、データのキャッシュ保存の有効化と無効化をご覧ください。