Gemini Cloud Assist 采用两种不同的身份模式来管理权限和审核。使用的模式取决于操作的触发方式：由用户以互动方式触发，还是由系统以主动方式触发。
身份模式摘要
下表总结了每种模式的安全和权限模型：
| 身份模式 | 触发器 | 权限来源 |
|---|---|---|
| 最终用户身份 | Chat 和互动请求 | 您的个人 IAM 权限 |
| 代理身份 | 自主后台任务 | 专用服务帐号 |
最终用户身份
当您通过 聊天面板与 Gemini Cloud Assist 互动时，该服务会使用您的最终用户身份。
在此模式下，Gemini Cloud Assist 会继承您现有的权限来访问资源和执行操作。助理无法查看或修改您自己无权访问的任何资源。 所有更改状态的操作（称为资源突变）都需要您明确同意，并且会以您的身份记录在 Cloud Audit Logs 中。
代理身份
当 Gemini Cloud Assist 执行自主 后台任务（例如 调查提醒 或 分析费用异常）时，它会使用专用 代理身份。主动调查提醒不支持基于日志的提醒。
代理身份是系统预配的 IAM 主账号，对于您的项目是唯一的。这使得 Gemini Cloud Assist 能够在没有活跃用户会话的情况下运行，同时保持严格的安全边界。
治理和控制
管理员通过以下机制管理代理身份：
- 可配置的权限：与用户身份不同，管理员必须 明确向代理身份授予 IAM 角色 。
- 限定范围的访问权限：默认情况下，代理只能读取遥测数据和日志。除非获得明确授权，否则它无法访问数据库或存储分区中的敏感数据。
- 审核日志记录：所有自主操作都会进行完整的审核日志记录。主动式 结果在 Google Cloud 控制台中标记为系统 生成，以 区别于用户发起的操作。
后续步骤
- 设置主动模式并预配代理身份。
- 了解如何为提醒政策配置主动式调查。
- 查看用户和代理的 IAM 要求。