Netzwerkzugriff auf Gemini Code Assist mit Nutzerdomainbeschränkungen steuern
Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Dieses Dokument enthält eine Anleitung für Netzwerkadministratoren zum Konfigurieren ihrer Netzwerke, um den Zugriff auf Gemini Code Assist basierend auf Nutzerdomains einzuschränken. Mit dieser Funktion können Organisationen steuern, welche Nutzer in ihrem Netzwerk Gemini Code Assist verwenden dürfen. So wird die Sicherheit erhöht und unbefugter Zugriff verhindert.
Übersicht
Sie können Gemini Code Assist so konfigurieren, dass Nutzerdomainbeschränkungen mithilfe eines Person-in-the-Middle-Proxys (PITM) erzwungen werden. Dazu wird ein benutzerdefinierter HTTP-Header (X-GeminiCodeAssist-Allowed-Domains) in Anfragen an Gemini Code Assist eingefügt. Der Header gibt eine Liste der zulässigen Domains an. Das Gemini Code Assist-Backend verarbeitet nur Anfragen von Nutzern, deren authentifizierte Domain mit einer der zulässigen Domains übereinstimmt.
Proxy in der IDE konfigurieren
So konfigurieren Sie einen Proxy in Ihrer IDE:
VS Code
Klicken Sie unter Windows auf Datei>Einstellungen oder unter macOS auf Code>Einstellungen>Einstellungen.
Rufen Sie auf dem Tab Benutzer die Option Anwendung>Proxy auf.
Geben Sie im Feld unter Proxy die Adresse Ihres Proxyservers ein. Beispiel http://localhost:3128.
Optional: Wenn Sie Gemini Code Assist so konfigurieren möchten, dass Zertifikatsfehler ignoriert werden, aktivieren oder deaktivieren Sie unter Proxy Strict SSL das entsprechende Kästchen. Diese Einstellung gilt für alle Profile.
IntelliJ
Klicken Sie unter Windows auf Datei>Einstellungen oder unter macOS auf IntelliJ IDEA>Einstellungen.
Gehen Sie zu Darstellung & Verhalten>Systemeinstellungen>HTTP-Proxy.
Wählen Sie Manuelle Proxy-Konfiguration und dann HTTP aus.
Geben Sie im Feld Host-Name den Hostnamen Ihres Proxyservers ein.
Geben Sie im Feld Portnummer die Portnummer Ihres Proxyservers ein.
Optional: Wenn Sie Gemini Code Assist so konfigurieren möchten, dass Zertifikatsfehler ignoriert werden, klicken Sie in der Seitenleiste auf Tools>Serverzertifikate und aktivieren oder deaktivieren Sie dann Nicht vertrauenswürdige Zertifikate automatisch akzeptieren.
PITM-Proxy konfigurieren
So konfigurieren Sie Ihren PITM-Proxy:
Achten Sie darauf, dass in Ihrem Netzwerk ein PITM-Proxy verwendet wird, der HTTPS-Traffic abfangen und ändern kann.
Konfigurieren Sie den Proxy so, dass alle ausgehenden Anfragen an den Gemini Code Assist-Endpunkt (https://cloudcode-pa.googleapis.com) abgefangen werden. Verwenden Sie keine Platzhalter (*), wenn Sie den Gemini Code Assist-Endpunkt angeben.
Konfigurieren Sie den Proxy so, dass der Header X-GeminiCodeAssist-Allowed-Domains in jede Anfrage eingefügt wird. Der Header sollte eine durch Kommas getrennte Liste mit zulässigen Domains enthalten (z. B. example.com, yourcompany.net). Achten Sie darauf, dass Domainnamen durch Kommas getrennt sind und das Symbol @ nicht enthalten.
Wenn Header nicht in mindestens eine gültige Domain aufgelöst werden, gelten keine Einschränkungen. Ein leerer Header wendet beispielsweise keine Einschränkungen an.
Für domain werden keine Einschränkungen angewendet, da es sich nicht um einen gültigen Domainnamen handelt.
Wenn ein Nutzer versucht, über eine Domain, die nicht in der Header-Liste enthalten ist, auf Gemini Code Assist zuzugreifen, wird ihm eine Meldung angezeigt, dass die Nutzung von Gemini Code Assist in seiner Domain von seinem Administrator eingeschränkt wurde.
SSL/TLS abfangen
Wenn Ihr Proxy HTTPS-Traffic entschlüsseln muss, um den Header einzufügen, muss er für das Abfangen von SSL/TLS konfiguriert sein. Dazu gehören in der Regel folgende Schritte:
Ein Zertifikat für den Proxy generieren.
Das Zertifikat des Proxys auf Nutzergeräten installieren, um eine Vertrauensstellung einzurichten und Zertifikatsfehler zu vermeiden.
Header-Validierung
Gemini Code Assist validiert automatisch den Header X-GeminiCodeAssist-Allowed-Domains und erzwingt die Einschränkungen.
Wenn der Header nicht in mindestens eine gültige Domain aufgelöst wird, wird die Validierung nicht durchgeführt.
Wenn die mit der Authentifizierung des Nutzers verknüpfte Domain nicht auf der Zulassungsliste steht, wird die Anfrage abgelehnt. Wenn sich der Nutzer beispielsweise mit einem Gmail-Konto anmeldet und nur „example.com“ auf der Zulassungsliste steht, wird die Anfrage abgelehnt.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-04 (UTC)."],[[["\u003cp\u003eNetwork administrators can restrict access to Gemini Code Assist by user domain, enhancing security and controlling who can use the tool.\u003c/p\u003e\n"],["\u003cp\u003eA Person-in-the-Middle (PITM) proxy is used to inject an \u003ccode\u003eX-GeminiCodeAssist-Allowed-Domains\u003c/code\u003e header into requests, specifying allowed domains.\u003c/p\u003e\n"],["\u003cp\u003eConfiguring the proxy within IDEs like VS Code and IntelliJ involves setting the proxy server address and optionally managing certificate error settings.\u003c/p\u003e\n"],["\u003cp\u003eThe PITM proxy must intercept HTTPS traffic to Gemini Code Assist endpoints, injecting the header with a comma-separated list of valid domains, such as \u003ccode\u003eexample.com\u003c/code\u003e, \u003ccode\u003eyourcompany.net\u003c/code\u003e.\u003c/p\u003e\n"],["\u003cp\u003eGemini Code Assist automatically validates the header to ensure that users are coming from an allowed domain, rejecting the request if not.\u003c/p\u003e\n"]]],[],null,["# Control Network Access to Gemini Code Assist with User Domain Restrictions\n\nThis document provides instructions for network administrators to configure\ntheir networks to restrict access to Gemini Code Assist based on\nuser domains. This feature allows organizations to control which users within\ntheir network can utilize Gemini Code Assist, enhancing security\nand preventing unauthorized access.\n\nOverview\n--------\n\nYou can configure Gemini Code Assist to enforce user domain\nrestrictions using a Person-in-the-Middle (PITM) proxy approach. This involves\ninjecting a custom HTTP header,\n`X-GeminiCodeAssist-Allowed-Domains`, into requests made to\nGemini Code Assist. The header specifies a list of allowed\ndomains, and the Gemini Code Assist backend only processes\nrequests from users whose authenticated domain matches one of the allowed\ndomains.\n\nConfigure a proxy in your IDE\n-----------------------------\n\nTo configure a proxy in your IDE, follow these steps: \n\n### VS Code\n\n1. Navigate to **File** \\\u003e **Settings** (for Windows), or **Code**\n \\\u003e **Settings** \\\u003e **Settings** (for macOS).\n\n2. In the **User** tab, navigate to **Application** \\\u003e **Proxy**.\n\n3. In the box under **Proxy** , enter the address of your proxy server. For\n example `http://localhost:3128`.\n\n4. Optional: To configure Gemini Code Assist to ignore\n certificate errors, under **Proxy Strict SSL**, select or deselect the\n checkbox. This setting applies to all profiles.\n\n### IntelliJ\n\n1. Navigate to **File** \\\u003e **Settings** (for Windows) or **IntelliJ\n IDEA** \\\u003e **Settings** (for macOS).\n\n2. Navigate to **Appearance \\& Behavior** \\\u003e **System Settings**\n \\\u003e **HTTP Proxy**.\n\n3. Select **Manual proxy configuration** , and then select **HTTP**.\n\n4. In the **Host name** field, enter the hostname of your proxy server.\n\n5. In the **Port number** field, enter the port number of your proxy server.\n\n6. Optional: To configure Gemini Code Assist to ignore\n certificate errors, in the sidebar, click **Tools** \\\u003e **Server\n Certificates** and then select or deselect **Accept non-trusted certificates\n automatically**.\n\nConfigure PITM proxy\n--------------------\n\nTo configure your PITM proxy, follow these steps:\n\n1. Make sure your network utilizes a PITM proxy capable of intercepting and\n modifying HTTPS traffic.\n\n2. Configure the proxy to intercept all outgoing requests to the\n Gemini Code Assist endpoint\n (`https://cloudcode-pa.googleapis.com`). Don't use wildcards (`*`) when you\n specify the Gemini Code Assist endpoint.\n\n3. Configure the proxy to inject the `X-GeminiCodeAssist-Allowed-Domains`\n header into each request. The header should contain a comma-separated list\n of allowed domains (e.g., `example.com`, `yourcompany.net`).\n Make sure that domain names are separated by commas and\n don't include the `@` symbol.\n\n If headers aren't resolved into at least one valid domain, restrictions\n won't apply. For example, an empty header won't apply any restrictions.\n `domain` won't apply any restrictions as it isn't a valid domain name.\n\nWhen a user tries to access Gemini Code Assist from a domain not\nincluded in the header list, they see a message telling them that they're\nrestricted from using Gemini Code Assist on their domain by their\nadministrator.\n\nSSL/TLS interception\n--------------------\n\nIf your proxy needs to decrypt HTTPS traffic to inject the header, make sure\nit's configured for SSL/TLS interception. This typically involves:\n\n- Generating a certificate for the proxy.\n\n- Installing the proxy's certificate on user devices to establish trust and\n avoid certificate errors.\n\nHeader validation\n-----------------\n\n- Gemini Code Assist automatically validates the\n `X-GeminiCodeAssist-Allowed-Domains` header and enforces the restrictions.\n\n- If the header doesn't resolve to at least one valid domain, the validation\n won't be performed.\n\n- If the domain associated with the user's authentication isn't in the allowed\n list, the request is rejected. For example if the user logs in with a gmail\n account and only example.com is on the allowed list, the request is rejected.\n\nWhat's next\n-----------\n\nTo learn more about blocking access to consumer accounts, see\n[Block access to consumer accounts](https://support.google.com/a/answer/1668854)."]]
