本页面上的部分或全部信息可能不适用于 Cloud de Confiance by S3NS。如需了解详情，请参阅与 Google Cloud 的区别。

Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Gemini for Government 部署指南

本文档为美国联邦机构和美国国防部 (DoD) 部门提供了技术指导，帮助其部署和使用 Gemini 政府机构应用实践，同时符合 FedRAMP High 和 DoD Impact Level 4 (IL4) 要求。本文档介绍了授权边界内包含的服务和功能，以及可帮助您履行合规义务的步骤。

Gemini 政府机构应用实践使用 Assured Workloads 来帮助满足合规性要求。您必须在为特定合规制度（FedRAMP 高风险级别或 IL4）配置的 Assured Workloads 文件夹中部署所有 Gemini 政府机构应用实践资源。

核心产品依赖项

Gemini 政府机构应用实践依赖于多项Cloud de Confiance by S3NS 服务。下表列出了每项服务的合规性状态。

Cloud de Confiance by S3NS 服务	FedRAMP High 状态	IL4 状态
Gemini Enterprise	已授权	已授权
Gemini Enterprise Agent Platform 上的生成式 AI（原 Vertex AI 上的生成式 AI）	已授权	已授权
BigQuery	已授权	已授权
Cloud Storage	已授权	已授权
Looker (Google Cloud Core)	已授权	已提交

授权服务和功能

下表列出了您可以在 Gemini for Government 中用于 FedRAMP High 和 IL4 部署的服务和功能。

功能	FedRAMP 高风险级别	IL4
以下模型：已正式发布的 Gemini 模型 Gemini 3.1 Pro 和 Gemini 3.0 Flash 预览版模型（有限的正式版）	已授权	已授权
自动填充	已授权	已授权
服务控制	已授权	已授权
授权的数据存储区，例如 Cloud Storage 和 BigQuery	已授权	已授权
适用于企业的 Web 接地	已授权	已授权
从本地机器上传文档	已授权	已授权
最终用户能够选择模型	已授权	已授权
Deep Research 智能体	已授权	已提交
使用 Agent Designer 创建无代码智能体	已授权	已提交
代理库	已授权	已提交
使用 Nano Banana 生成图片	已授权	已提交
Model Armor	已授权	3PAO

您应手动停用的未经授权的功能

以下服务和功能未获得 FedRAMP 高风险级别或 IL4 授权。不过，它们不会被 Assured Workloads 控制软件包屏蔽，并且可在您的项目中使用。在风险评估过程中，您可能需要评估 Service Usage（相对于敏感数据）以及可用的缓解控制措施。根据评估结果，您可能需要在 Gemini Enterprise 应用配置中手动停用此列表中的功能。

代理和库	提示库
落地	利用 Google Maps Platform 进行基础化使用 Google 搜索建立依据使用 Google 云端硬盘上传内容进行接地使用 Microsoft OneDrive 上传内容进行接地
生成式功能	使用 Imagen 生成图片使用 Veo 生成视频
用户、会话和界面功能	Gemini Enterprise 应用的用户事件 Gemini Enterprise 中的个性化和记忆功能
其他功能	Gemini Enterprise 中的私有知识图谱 Model Armor（适用于 IL4 和 IL5 用例） NotebookLM Enterprise 隐式上下文缓存

如需详细了解隐式上下文缓存，请参阅 Gemini Enterprise Agent Platform 和零数据保留。

您无法停用的未经授权的功能

以下服务和功能可在 Assured Workloads 控制软件包中使用。您无法停用这些服务和功能。如果您使用这些功能，建议您在授予授权之前进行适当的风险评估，以确保服务使用情况适合您的 FedRAMP High 或 IL4 部署。例如，您可以根据数据敏感度评估服务使用情况。您还可以评估是否可以基于数据加密采取任何缓解控制措施，以建立对数据访问的唯一控制权。

代理和库	创意生成代理如需移除此代理商的房源，请与我们的销售团队或您的 Cloud de Confiance 代表联系。
Google Analytics 和相关功能	查看分析数据 Looker 数据源的数据代理上下文 BigQuery 数据源的数据代理上下文使用 Conversational Analytics API 创建的数据代理 BigQuery 中的 Gemini Looker 中的 Gemini
数据连接器和数据存储区	Google Workspace 数据源，例如 Google 云端硬盘、Gmail 或 Google 日历 Cloud de Confiance by S3NS Cloud SQL 和 Firestore 等数据存储区 Google 日历和 Gmail 操作第三方数据源，例如 Salesforce 或 Microsoft 人员数据源，例如 Google Workspace、Microsoft Entra 或自定义来源
用户、会话和界面功能	提示芯片
其他功能	Gemini Code Assist

部署环境

请按以下步骤操作，以获取有关部署符合合规性义务的环境的帮助：

部署 Assured Workloads：
1. 创建使用 FedRAMP 高风险级别数据边界或 IL4 数据边界的 Assured Workloads 文件夹。
2. 在此文件夹中创建 Cloud de Confiance 项目。
3. 验证所有用户和服务账号是否都具有所需的 Identity and Access Management (IAM) 权限。
配置 FedRAMP 高风险级别或 IL4 网络。如需了解详情，请参阅在 Cloud de Confiance上为 FedRAMP 和 DoD 配置网络。
创建 Gemini Enterprise 应用。选择美国多区域作为位置。Assured Workloads 数据留存政策会强制执行此选项。
连接到位于 Assured Workloads 文件夹内的 Google 数据源。对于 FedRAMP High 和 IL4，授权的数据存储区为 Cloud Storage 存储分区和 BigQuery 数据集。

注意：请勿连接到未经授权的数据源（例如 Cloud SQL 或 Google 云端硬盘）或 Assured Workloads 文件夹之外的资源。
配置已获授权的法规遵从功能。
关闭应手动停用的未经授权的功能中所述的未经授权的功能。
培训员工不要使用无法停用的未经授权的功能。

关闭未经授权的功能

完成本部分中的任务，以关闭您可以手动停用的未经授权的功能。

停用提示库

对于您在 Gemini Enterprise 中部署的每个应用，请完成此任务。

确保您拥有以下角色之一：

Discovery Engine Admin (roles/discoveryengine.admin)
Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)
具有 discoveryengine.engines.update 权限的自定义角色

控制台

在 Cloud de Confiance 控制台中，前往 Gemini Enterprise 应用页面。

前往“应用”
选择相应应用。
在导航菜单中，点击配置，然后选择功能管理标签页。
关闭启用提示库。
点击保存。

REST

如需更新应用的功能控制地图，请对 discoveryengine.googleapis.com API 端点使用 engines.patch 方法。

将引擎的 features 配置中的 prompt-gallery 键设置为 FEATURE_STATE_OFF。

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：您的项目的 ID
APP_ID：应用的 ID

HTTP 方法和网址：

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

请求 JSON 正文：

{
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF"
  }
}

关闭依托 Google Maps Platform 进行接地

如需针对所有请求停用 Google Maps Platform 的 Grounding with Google Maps 功能，您可以使用以下任一方法停用 Maps Grounding API (mapsgrounding.googleapis.com)：

在控制台的 API 和服务页面中，找到 Map Grounding API (mapsgrounding.googleapis.com)，然后选择停用 API。如需了解详情，请参阅启用和停用服务。

在 Google Cloud CLI 中，运行以下命令：

gcloud services disable mapsgrounding.googleapis.com

关闭“依托 Google 搜索进行接地”

如需针对所有请求停用依托 Google 搜索进行接地，请在 Assured Workloads 文件夹级别将 constraints/vertexai.disableGenAIGoogleSearchGrounding 组织政策布尔值限制条件设置为 true。如需了解详情，请参阅使用布尔值规则更新政策。

关闭“依托 Google 云端硬盘上传进行接地”功能

只有在您将 Google 云端硬盘数据存储区连接到应用时，才会启用 Google 云端硬盘基础知识。如需停用 Google 云端硬盘上传的基础知识，请完成以下步骤：

确保您的 Gemini Enterprise 应用中未配置任何 Google 云端硬盘数据存储区。如果应用已连接到 Google 云端硬盘数据存储区，请在控制台的应用设置中将其移除，或使用 Discovery Engine API 中的 dataStores.delete 方法删除数据存储区。
在 Google 管理控制台中停用 Workspace 数据共享功能，或在 Google Workspace 中停用智能功能和个性化，以阻止连接器访问 Google 云端硬盘中的用户文档。

关闭使用 Microsoft OneDrive 上传内容进行接地

只有在将 Microsoft OneDrive 数据存储区连接到应用时，才会启用 Microsoft OneDrive 基础知识。如需停用 Microsoft OneDrive 上传的基础知识，请完成以下操作：

确保您的 Gemini Enterprise 应用中未配置任何 Microsoft OneDrive 数据存储区。如果应用已连接到 Microsoft OneDrive 数据存储区，请从控制台中的应用设置中移除该连接，或使用 Discovery Engine API 中的 dataStores.delete 方法删除该数据存储区。
如需阻止连接器的访问权限，请在 Microsoft Entra ID (Azure AD) 中撤消用于 Microsoft OneDrive 连接的凭据，或删除已注册的 OAuth 2.0 应用客户端 ID 和凭据。

关闭 Imagen 和 Veo

如需关闭使用 Imagen 的图片生成功能和使用 Veo 的视频生成功能，请完成以下操作：

在文件夹或组织级层设置 constraints/vertexai.allowedModels 或 constraints/vertexai.allowedGenAIModels 组织政策列表限制，以拒绝 imagen 和 veo 模型（例如 publishers/google/models/imagen-4.0-ultra-generate-001），或仅允许使用已获批准的模型。如需了解详情，请参阅控制对 Model Garden 模型的访问权限。
如需限制对 Imagen 或 Veo 模型的预测访问权限，请配置 IAM 拒绝政策，以拒绝模型资源路径上的 aiplatform.endpoints.predict IAM 权限。模型资源路径为 projects/PROJECT_ID/locations/LOCATION/publishers/google/models/MODEL_NAME。

替换以下内容：
- PROJECT_ID：您的项目的 ID
- LOCATION：应用的位置
- MODEL_NAME：要允许或拒绝的模型的名称

为 Gemini Enterprise 应用关闭用户事件

用户事件由客户端事件跟踪器发送或批量导入。如需停用用户事件收集，请完成以下任一操作：

为应用配置搜索 widget 时，请在 uiSettings 配置命名空间内将 disableUserEventsCollection 属性设置为 true，以停用事件日志记录。例如：
```
"uiSettings": {
  "disableUserEventsCollection": true
}
```
请勿调用事件注入端点（特别是 userEvents.collect 方法和 userEvents.write 方法），并确保搜索像素脚本（例如 v1beta_event.js）在您的客户端网页上处于非活动状态。
在应用级更新设置，如下所示：
1. 在 Cloud de Confiance 控制台中，前往 Gemini Enterprise 应用页面。
  
  前往“应用”
2. 选择相应应用。
3. 在导航菜单中，点击配置。
4. 关闭启用用户事件收集。
5. 点击保存。

在 Gemini Enterprise 中关闭个性化功能和记忆功能

对于您在 Gemini Enterprise 中部署的每个应用，请完成此任务。

确保您拥有以下角色之一：

Discovery Engine Admin (roles/discoveryengine.admin)
Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)
具有 discoveryengine.engines.update 权限的自定义角色

控制台

如需查看相关说明，请参阅关闭个性化和记忆功能。

REST

如需更新应用的功能控制地图，请对 discoveryengine.googleapis.com API 端点使用 engines.patch 方法。

在引擎的 features 配置中，将 personalization-memory 和 personalization-suggested-highlights 键设置为 FEATURE_STATE_OFF。

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：您的项目的 ID
APP_ID：应用的 ID

HTTP 方法和网址：

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

请求 JSON 正文：

{
  "features": {
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "personalization-memory": "FEATURE_STATE_OFF",
    "personalization-suggested-highlights": "FEATURE_STATE_OFF"
  }
}

关闭私有知识图谱

如需关闭私有知识图谱，您可以使用控制台或 API。

确保您拥有以下角色之一：

Discovery Engine Admin (roles/discoveryengine.admin)
Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)
具有 discoveryengine.engines.update 权限的自定义角色

控制台

如需查看相关说明，请参阅管理知识图谱配置。

REST

如需更新应用配置，请对 discoveryengine.googleapis.com API 端点使用 engines.patch 方法。

在 knowledgeGraphConfig 参数内，将 enablePrivateKnowledgeGraph 和 enableCloudKnowledgeGraph 设置为 false。

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：您的项目的 ID
APP_ID：应用的 ID

HTTP 方法和网址：

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig

请求 JSON 正文：

{
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=knowledgeGraphConfig" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "knowledgeGraphConfig": {
    "enableCloudKnowledgeGraph": false,
    "enablePrivateKnowledgeGraph": false
  }
}

关闭 Model Armor

如需关闭 Model Armor，请从应用中移除其模板，然后停用该 API。

如需移除模板，请参阅从 Gemini Enterprise 应用中移除 Model Armor 模板。

如需停用 Model Armor API (modelarmor.googleapis.com)，请使用以下方法之一：

在控制台的 API 和服务页面中，找到 Model Armor API (modelarmor.googleapis.com)，然后选择停用 API。如需了解详情，请参阅启用和停用服务。

在 Google Cloud CLI 中，运行以下命令：

gcloud services disable modelarmor.googleapis.com

停用 NotebookLM Enterprise

对于您在 Gemini Enterprise 中部署的每个应用，请完成此任务。

确保您拥有以下角色之一：

Discovery Engine Admin (roles/discoveryengine.admin)
Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin)
具有 discoveryengine.engines.update 权限的自定义角色

控制台

在 Cloud de Confiance 控制台中，前往 Gemini Enterprise 应用页面。

前往“应用”
选择相应应用。
在导航菜单中，点击配置，然后选择功能管理标签页。
停用 NotebookLM。
点击保存。

REST

如需更新应用的特性控制地图，请使用 discoveryengine.googleapis.com API 端点上的 engines.patch 方法。在引擎的 features 配置中，将 notebook-lm 键设置为 FEATURE_STATE_OFF。

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：您的项目的 ID
APP_ID：应用的 ID

HTTP 方法和网址：

PATCH https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features

请求 JSON 正文：

{
  "features": {
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID?updateMask=features" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/PROJECT_ID/locations/global/collections/default_collection/engines/APP_ID",
  "features": {
    "prompt-gallery": "FEATURE_STATE_OFF",
    "notebook-lm": "FEATURE_STATE_OFF"
  }
}

关闭隐式上下文缓存

如需关闭隐式情境缓存，请参阅启用和停用数据缓存。