Gemini Cloud Assist 會使用兩種不同的身分模式來管理權限和稽核。使用的模式取決於動作的觸發方式：由使用者以互動方式觸發，或由系統主動觸發。
身分模式摘要
下表摘要列出各模式的安全性和權限模型：
| 身分識別模式 | 觸發條件 | 權限來源 |
|---|---|---|
| 使用者身分 | 即時通訊和互動要求 | 您的個人 IAM 權限 |
| 代理身分 | 自主背景工作 | 專屬服務帳戶 |
使用者身分
透過對話面板與 Gemini Cloud Assist 互動時，這項服務會使用您的使用者身分。
在這個模式下，Gemini Cloud Assist 會沿用您現有的資源存取權和動作執行權限。如果沒有存取權，助理就無法查看或修改任何資源。所有會變更狀態的動作 (又稱資源突變) 都需要您明確同意，並會以您的身分記錄在 Cloud 稽核記錄中。
代理身分
當 Gemini Cloud Assist 自主執行背景工作 (例如調查快訊或分析費用異常狀況) 時，會使用專屬的代理程式身分。主動調查快訊不支援以記錄為準的快訊。
代理程式身分是系統為專案佈建的專屬 IAM 主體。這樣一來，Gemini Cloud Assist 就能在沒有有效使用者工作階段的情況下運作，同時維持嚴格的安全界線。
治理與控制項
管理員可透過下列機制管理代理程式身分：
- 可設定的權限：與使用者身分不同，管理員必須明確授予代理程式身分 IAM 角色。
- 範圍存取權：根據預設，代理程式只能讀取遙測資料和記錄。除非獲得明確授權，否則無法存取資料庫或儲存空間儲存區中的機密資料。
- 稽核記錄：所有自主動作都會完整記錄在稽核記錄中。主動式結果會在 Google Cloud 控制台中標示為「系統」生成，與使用者啟動的動作有所區別。