設定 AI 保護功能

AI Protection 會監控模型、資料和 AI 相關基礎架構，協助您保護 AI 資產和工作流程。本指南說明如何設定 AI 保護功能。

必要的角色

如要取得設定 AI 保護功能及查看資訊主頁資料所需的權限，請要求管理員在貴機構中授予下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

您或許還可透過自訂角色或其他預先定義的角色取得必要權限。

您可以使用下列 Google Cloud CLI 指令，將上述角色指派給使用者：

使用 gcloud CLI 指派角色

  • 如要將安全中心管理員檢視者角色授予使用者，請執行下列指令：

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.admin

  • 如要將安全中心管理員檢視者角色授予使用者，請執行下列指令：

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.adminViewer

    更改下列內容：

    • ORGANIZATION_ID：機構的數值 ID
    • USER_EMAIL_ID：需要存取權的使用者電子郵件地址

支援的地區

如需支援 AI 保護機制的區域清單，請參閱區域端點。

服務帳戶的存取權

請確認下列各節中提及的所有服務帳戶，都不會遭到機構政策封鎖。

設定 AI Protection

如要在機構層級啟用 AI Protection，請完成下列步驟：

  1. 如果貴機構尚未啟用 Security Command Center，請啟用 Security Command Center Enterprise。
  2. 啟用 Security Command Center 的 Enterprise 服務層級後，請按照 SCC 設定指南中的指引設定 AI Protection：
    1. 展開「查看安全功能」摘要面板。
    2. 在「AI 保護」面板中，按一下「設定」。
    3. 按照指示檢查是否已設定 AI 保護功能所需的服務和相關服務。如要進一步瞭解系統自動啟用的服務，以及需要額外設定的服務，請參閱「啟用及設定 Google Cloud服務」。
  3. 啟用探索功能，找出要透過 AI 保護功能保護的資源。

啟用及設定 Google Cloud 服務

啟用 Security Command Center Enterprise 後，請啟用及設定其他Google Cloud 服務，充分運用 AI Protection 的功能。

系統會自動啟用下列服務：

  • AI 探索服務
  • 攻擊路徑模擬
  • Cloud 稽核記錄
  • Cloud Monitoring
  • 法規遵循管理員
  • Event Threat Detection
  • 資料安全防護機制管理
  • Notebook Security Scanner
  • Sensitive Data Protection

AI Protection 需要下列服務：

部分服務需要額外設定，詳情請參閱下列各節。

設定 AI 探索服務

系統會在 Security Command Center Enterprise 啟用程序中，自動啟用 AI Discovery 服務。系統會提供「監控檢視者」(roles/monitoring.viewer) IAM 角色，但請務必確認該角色已套用至 Security Command Center Enterprise 機構服務帳戶。

  1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

    前往「IAM」(身分與存取權管理) 頁面

  2. 點選「授予存取權」。

  3. 在「新增主體」欄位中，輸入 Security Command Center Enterprise 機構服務帳戶。服務帳戶的格式為 service-org-ORG_ID@security-center-api.gserviceaccount.com 請將 ORG_ID 替換為您的機構 ID。

  4. 在「Select a role」(選取角色) 欄位中，選取「Monitoring Viewer」(監控檢視者)。

  5. 按一下 [儲存]。

設定進階 DSPM 雲端控制項

透過進階雲端控制項設定 DSPM，控管資料存取、流程和保護措施。詳情請參閱「部署進階資料安全雲端控制項」。

建立適用於 AI 工作負載的自訂架構時，請將下列雲端控管機制新增至架構：

  • 資料存取控管：限制特定主體 (例如使用者或群組) 存取機密資料。您可以使用 IAM v2 主體 ID 語法指定允許的主體。舉例來說，您可以建立政策，只允許 gdpr-processing-team@example.com 的成員存取特定資源。
  • 資料流控管：將資料流限制在特定區域。舉例來說，您可以建立政策，只允許從美國或歐盟存取資料。您可以使用 Unicode Common Locale Data Repository (CLDR) 指定允許的國家/地區代碼。
  • 資料保護 (使用 CMEK)：找出未採用客戶自行管理的加密金鑰 (CMEK) 建立的資源，並接收相關建議。舉例來說，您可以建立政策，偵測在沒有 storage.googleapis.com 和 bigquery.googleapis.com 的 CMEK 情況下建立的資源。這項政策會偵測未加密的資產，但不會禁止建立這類資產。

設定 Model Armor

  1. 為使用生成式 AI 活動的每個專案啟用 modelarmor.googleapis.com 服務。詳情請參閱「開始使用 Model Armor」。
  2. 設定下列選項，定義大型語言模型 (LLM) 提示和回應的安全設定：
    • Model Armor 範本：建立 Model Armor 範本。這些範本會定義要偵測的風險類型，例如敏感資料、提示注入和越獄偵測。並為這些篩選器定義最低門檻。
    • 篩選器：Model Armor 會使用各種篩選器來識別風險，包括偵測惡意網址、提示詞注入和越獄，以及保護私密/機密資料。
    • 底限設定：設定專案層級的底限，為所有 Gemini 模型建立預設保護措施。

設定 Notebook Security Scanner

  1. 為貴機構啟用 Notebook Security Scanner 服務。詳情請參閱「啟用 Notebook Security Scanner」。
  2. 在包含 Notebook 的所有專案中，將 Dataform 檢視者角色 (roles/dataform.viewer) 授予 notebook-security-scanner-prod@system.gserviceaccount.com。

設定 Sensitive Data Protection

為專案啟用 dlp.googleapis.com API，並設定 Sensitive Data Protection 掃描機密資料。

  1. Enable the Data Loss Prevention API.

    Enable the API

  2. 將 DLP Reader 和 DLP Data Profiles Admin 角色授予 AI 保護功能使用者。

  3. 設定 Sensitive Data Protection 掃描機密資料。

選用：設定其他高價值資源

如要建立資源值設定，請按照「建立資源值設定」一文中的步驟操作。

下次執行攻擊路徑模擬時，系統會涵蓋高價值資源組合，並產生攻擊路徑。

後續步驟