Cloud security/privacy/compliance
Gemini CLI 在 Google Cloud 與 Gemini Code Assist Standard/Enterprise 場景下的安全、隱私和合規邊界。
📖 本篇術語速查表
| 英文 / 縮寫 | 中文 | 一句話解釋 |
|---|---|---|
| Cloud security | 雲端安全 | 雲端使用的安全保障。 |
| 合規 | compliance | 滿足的認證和標準。 |
| 資料駐留 | residency | 資料存在哪個區域。 |
不想讀完？把下面這段提示詞丟給 AI 幫你跑完——幫你評估 Gemini CLI 雲端的安全、隱私與合規是否滿足你的要求。
你是 Gemini CLI 雲端安全評估顧問。
【角色】
Gemini CLI 雲端安全評估顧問，按最小夠用、安全合規優先的原則給可落地方案，每條結論都落到能照做的步驟或示例，不停留在空泛建議。
【輸入】
- 我的合規要求（行業 / 地區）：___
- 涉及的資料敏感度：___
- 對資料駐留的要求：___
- 個人還是企業：___
- 擔心的點：___
【工作流程】
1. 梳理雲端安全和合規保障
2. 對照我的合規要求
3. 說明資料駐留和隱私
4. 標出需額外確認的
5. 給評估結論
【輸出規範】
▌一、安全合規保障
▌二、對照我的要求
▌三、資料駐留 / 隱私
▌四、需確認的 + 結論
【硬約束】
- 合規以官方認證和法務為準
- 敏感場景單獨評估
- 不替我打合規包票
- 不要替我臆測情況或編造不存在的設定，資訊不全先問清
- 不確定的設定或介面一律以官方文件為準，禁止照搬過時寫法Google Cloud Gemini CLI 中文頁說明：對於 Gemini Code Assist Standard 和 Enterprise 使用者，Gemini Code Assist Standard 和 Enterprise 的安全性、隱私權和合規性規範也適用於 Gemini CLI。
Cloud 場景先確認專案、身份、IAM、Admin Controls 和記錄目標，再讓 Gemini CLI 進入真實程式碼庫。
這頁不是法律意見，作用是給工程團隊做上線前核對：你走的是個人 Code Assist、企業 Code Assist、Gemini Developer API，還是 Vertex AI / Google Cloud 路徑。路徑不同，資料、條款、審計和 IAM 邊界都不同。
企業專案優先確認
- Gemini Code Assist 版本。
- Cloud Project。
- IAM 角色。
- 資料保護規則。
- 是否啟用 Vertex AI。
- 組織策略和審計要求。
- 是否允許 extensions、MCP、Agent Skills、remote agents。
- usage statistics、telemetry、記錄保留位置。
Cloud 路徑的重點
在 Standard / Enterprise 或 Vertex AI 場景裡，先確認 Google Cloud project、計費、API 啟用、IAM 和組織策略。開發者本機 Gemini CLI 只是入口，真正的許可權邊界來自賬號、專案、IAM、Admin Controls、MCP 策略和企業網路。
如果團隊用 Cloud Run、Vertex AI 或內部 MCP，認證應優先走組織批准的方式，例如 ADC、service account impersonation 或企業 OAuth。不要讓開發者把個人 API key 寫進專案級設定。
資料和工具邊界
企業教學要把三類資料分開：
- 程式碼上下文：由
GEMINI.md、工具讀取、.geminiignore、trusted folders 控制。 - 工具輸出：由 shell、MCP、subagents、remote agents 產生，可能包含內部路徑或記錄。
- Telemetry / usage statistics：由 Gemini CLI telemetry 設定和 Google 對應服務隱私條款約束。
任何一類進入公網、第三方 MCP 或遠端 agent 前，都需要單獨評估。不能只因為主模型是企業賬號，就預設所有工具鏈都在企業邊界內。
使用建議
把 Gemini CLI 當作會訪問專案和工具的開發 agent，而不是普通問答工具。進入企業專案時，先由管理員確認邊界，再給開發者使用指南。
| 檢查項 | 要確認 |
|---|---|
| 身份 | Workspace / org 賬號，不混用個人賬號 |
| 專案 | 正確 Cloud Project、計費和 API |
| 許可權 | IAM 最小許可權、service account 邊界 |
| 工具 | MCP allowlist、extensions、remote agents |
| 資料 | .geminiignore、telemetry、usage statistics |
| 審計 | 記錄目標、保留策略、訪問許可權 |
驗收方式
企業上線前至少做一次只讀試執行：確認 CLI 使用正確 Cloud project，MCP server 只連線 allowlist，敏感檔案被 .geminiignore 排除，telemetry 目標符合組織要求。涉及 remote agent 或 browser agent 時，再單獨驗證網路域名、認證和記錄。
還要做負例測試：普通開發者賬號不能連線未授權 MCP，不能把 telemetry 寫到個人專案，不能讀取被排除的敏感檔案，不能繞過管理員 controls 開啟高風險能力。只驗證“正常能用”不足以證明企業邊界有效。
驗收記錄要保留賬號、專案、時間和測試結果。
接下來去哪
整合與自動化
安全邊界確認後，繼續看 IDE、hooks、headless、GitHub Action 和本地開發。
Terms and privacy
回看不同認證方式對應的條款和隱私路徑。
Enterprise controls
Cloud 場景要配合 Admin Controls 和 MCP allowlist。