Configurar o modo proativo

Google Cloud

Configure o modo proativo para permitir que o Gemini Cloud Assist seja executado de forma autônoma em segundo plano, investigando continuamente alertas e analisando anomalias de custo.

A ativação do modo proativo provisiona uma conta de serviço dedicada para o Gemini Cloud Assist. Ao configurar essa conta, você concede ao Gemini Cloud Assist o acesso necessário para analisar a telemetria e os registros do seu ambiente sem exigir a intervenção ativa do usuário.

Ative as APIs necessárias

Verifique se as seguintes APIs estão ativadas no seu projeto:

  • Gemini Cloud Assist: geminicloudassist.googleapis.com
  • App Optimize API: appoptimize.googleapis.com

Para mais informações sobre como ativar essas APIs, consulte Configurar o Gemini Cloud Assist e Ativar a App Optimize API.

Para gerar insights de custos proativos, o Gemini Cloud Assist depende de alertas de anomalias de custo gerados pelo faturamento. Esses alertas são ativados por padrão para todos os projetos.

Ativar o modo proativo

Um administrador do projeto precisa ativar explicitamente o modo proativo. Quando você ativa o modo proativo, o Gemini Cloud Assist provisiona automaticamente uma conta de serviço dedicada chamada de identidade do agente.

  1. No Google Cloud console, navegue até Configurações do Cloud Assist no painel de chat do Gemini Cloud Assist.
  2. Na seção Agentes proativos, selecione Ativar agentes proativos e clique em Conceder acesso.
  3. Clique em Salvar no painel Conceder acesso.
  4. Clique em Salvar na parte de baixo do painel Gerenciar o Gemini Cloud Assist.

Configurar permissões

Para configurar o modo proativo, é necessário conceder papéis do IAM aos usuários e à identidade do agente.

Papéis de identidade do agente

Quando um agente é executado de forma autônoma em segundo plano, ele usa uma identidade de agente. A identidade do agente é provisionada automaticamente quando você ativa o modo proativo. Portanto, nenhuma ação é necessária para criá-la. No entanto, é necessário conceder a essa identidade do agente os papéis do IAM necessários para realizar tarefas em segundo plano. O Gemini Cloud Assist só acessa os dados que você autoriza explicitamente pelos papéis do IAM concedidos à identidade do agente.

Isso é limitado ao acesso somente leitura para serviços como Cloud Monitoring, Cloud Logging e Inventário de recursos do Cloud. Ele não pode acessar dados nos seus bancos de dados ou buckets de armazenamento, a menos que você conceda essas permissões explicitamente.

Para explicabilidade, cada insight gerado pelo Gemini Cloud Assist inclui citações que vinculam aos dados de origem, como o alerta ou um registro específico.

O principal da identidade do agente tem o seguinte formato:

agents.global.org-ORG_NUMBER.system.id.goog/resources/geminicloudassist/projects/PROJECT_NUMBER/locations/global/agents/cloud

Em que ORG_NUMBER é o identificador numérico da sua Google Cloud organização e PROJECT_NUMBER é o identificador numérico do seu Google Cloud projeto.

As permissões exigidas pela identidade do agente dependem dos recursos do modo proativo que você planeja usar. Os papéis a seguir oferecem um bom ponto de partida com base no seu caso de uso, mas talvez seja necessário conceder outros papéis, dependendo das especificidades do seu ambiente e das tarefas que você espera que o modo proativo execute.

Para mais orientações sobre papéis específicos da tarefa, consulte Papéis para funções de trabalho. Para mais orientações sobre permissões e papéis do Gemini Cloud Assist, consulte Requisitos do IAM.

Conceda os seguintes papéis ao principal da identidade do agente com base no seu caso de uso:

  • Solução de problemas proativa: conceda o usuário de suporte (roles/iam.supportUser) e o consumidor de uso do serviço (roles/serviceusage.serviceUsageConsumer).
  • Otimização de custos proativa: além dos papéis para solução de problemas proativa, conceda os seguintes papéis:
    • Operador do Cloud Hub (roles/cloudhub.operator) para acessar os custos de recursos.
    • Administrador do aplicativo Optimize (roles/appoptimize.admin) para gerar pesquisas de otimização de custos.

Use a Google Cloud CLI para conceder esses papéis. Para instalar e inicializar a CLI gcloud para uso com o modo proativo, consulte Instalar a Google Cloud CLI.

Execute os seguintes comandos da CLI gcloud para conceder os papéis de identidade do agente:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role='roles/iam.supportUser' \
    --member='principal://agents.global.org-ORG_NUMBER.system.id.goog/resources/geminicloudassist/projects/PROJECT_NUMBER/locations/global/agents/cloud'
gcloud projects add-iam-policy-binding PROJECT_ID \
    --role='roles/cloudhub.operator' \
    --member='principal://agents.global.org-ORG_NUMBER.system.id.goog/resources/geminicloudassist/projects/PROJECT_NUMBER/locations/global/agents/cloud'
gcloud projects add-iam-policy-binding PROJECT_ID \
    --role='roles/appoptimize.admin' \
    --member='principal://agents.global.org-ORG_NUMBER.system.id.goog/resources/geminicloudassist/projects/PROJECT_NUMBER/locations/global/agents/cloud'
gcloud projects add-iam-policy-binding PROJECT_ID \
    --role='roles/serviceusage.serviceUsageConsumer' \
    --member='principal://agents.global.org-ORG_NUMBER.system.id.goog/resources/geminicloudassist/projects/PROJECT_NUMBER/locations/global/agents/cloud'

Substitua:

  • PROJECT_ID: o ID do seu Google Cloud projeto.
  • ORG_NUMBER: o identificador numérico da sua Google Cloud organização.
  • PROJECT_NUMBER: o identificador numérico do seu Google Cloud projeto.

Esses identificadores estão disponíveis no Google Cloud console.

Restrições personalizadas

Se você tiver uma política da organização restrição personalizada que limita quais tipos principais podem receber papéis, as tentativas de conceder papéis do IAM a uma identidade de agente poderão resultar em um erro. Se isso acontecer, adicione o tipo principal de identidade do agente iam.googleapis.com/AgenticIdentityPoolPrincipal à parte MemberTypeMatches da restrição personalizada responsável por limitar quais tipos principais podem receber papéis do IAM.

Papéis do usuário

Os usuários que interagem com resultados proativos precisam dos seguintes papéis:

  • roles/geminicloudassist.user (para conversar com agentes)
  • roles/geminicloudassist.viewer (para visualizar investigações proativas e pesquisas de otimização de custos).

Use os seguintes comandos da CLI gcloud para conceder esses papéis:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --role='roles/geminicloudassist.user' \
    --member='user:EMAIL_ADDRESS'
gcloud projects add-iam-policy-binding PROJECT_ID \
    --role='roles/geminicloudassist.viewer' \
    --member='user:EMAIL_ADDRESS'

Substitua EMAIL_ADDRESS pelo endereço de e-mail do usuário que precisa de permissão para conversar com os agentes e visualizar os resultados da investigação proativa.

A seguir