En este documento, se describe cómo configurar Model Armor para registrar las operaciones siguientes:
- Operaciones que crean, actualizan o borran una plantilla
- Operaciones que limpian un prompt del usuario o una respuesta del modelo
Model Armor usa registros de auditoría para registrar las actividades de gestión y de administración de recursos. Para obtener más información, consulta Registro de auditoría de Model Armor.
Para obtener información sobre los precios de los registros, consulta los precios de Cloud Logging. También es posible que se apliquen cargos por uso de Model Armor según el volumen de datos procesados. Consulta los precios de Model Armor para obtener más detalles.
Antes de comenzar
Antes de comenzar, completa las siguientes tareas.
Obtén los permisos necesarios
Para obtener los permisos que
necesitas a la hora de configurar el registro de Model Armor,
pídele a tu administrador que te otorgue el
rol de IAM de Administrador de Model Armor (roles/modelarmor.admin) en la plantilla de Model Armor.
Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.
También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.
Habilita las APIs
Para poder usar Model Armor, debes habilitar la API de Model Armor.
Console
Habilita la API de Model Armor si aún no está habilitada.
Roles necesarios para habilitar las APIs
Para habilitar APIs, necesitas el permiso
serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtenerlo a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.Elige el proyecto en el que quieres activar Model Armor.
gcloud
Antes de empezar, sigue estos pasos a través de la Google Cloud CLI con la API de Model Armor:
En la consola de Google Cloud , activa Cloud Shell.
En la parte inferior de la consola de Google Cloud , se inicia una sesión de Cloud Shell en la que se muestra una ventana de línea de comandos. Cloud Shell es un entorno de shell con Google Cloud CLI ya instalada y con valores ya establecidos para el proyecto actual. La sesión puede tardar unos segundos en inicializarse.
Habilita la API de Model Armor si aún no lo hiciste:
Roles necesarios para habilitar las APIs
Para habilitar APIs, necesitas el permiso
serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtener este permiso a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.gcloud services enable modelarmor.googleapis.com
Configura la anulación del extremo de API con la gcloud CLI.
Cómo configurar la anulación del extremo de API con la gcloud CLI
Este paso solo es necesario si usas gcloud CLI con Model Armor y deseas usar una región o multirregión que no sea la multirregión predeterminada us. Debes configurar manualmente la anulación del extremo de API para garantizar que la gcloud CLI enrute correctamente las solicitudes al servicio de Model Armor.
Ejecuta el siguiente comando para configurar el extremo de API del servicio de Model Armor.
gcloud config set api_endpoint_overrides/modelarmor "https://modelarmor.LOCATION.rep.googleapis.com/"
Reemplaza LOCATION por la región o multirregión en la que deseas usar Model Armor.
Configura la limpieza del tráfico
En el caso de los servidores de Google y Google Cloud MCP, configura la limpieza del tráfico a través de la configuración de nivel. Para obtener más información, consulta Configura la protección para los servidores de Google y Google Cloud servidores de MCP.
Configura el registro en plantillas
Las plantillas definen los filtros y umbrales para diferentes categorías de seguridad. Cuando creas o actualizas una plantilla de Model Armor, puedes especificar si este debe registrar ciertas operaciones. Usa las marcas siguientes en los metadatos de la plantilla:
log_template_operations: Es un valor booleano que te permite registrar las operaciones de creación, actualización, lectura y eliminación de plantillas.log_sanitize_operations: Es un valor booleano que te permite registrar el contenido completo de las instrucciones del usuario y las respuestas del modelo durante las operaciones de limpieza.
Console
En la consola de Google Cloud , accede a la página de Model Armor.
Verifica que estés viendo el proyecto en el que activaste Model Armor.
En la página de Model Armor, haz clic en Crear plantilla. Para obtener más información sobre cómo crear plantillas, consulta Crea una plantilla de Model Armor.
En la sección Configura el registro, elige las operaciones para las que quieres configurar el registro.
Haz clic en Crear.
REST
curl -X POST \
-d '{ "filterConfig": {}, "templateMetadata": { "logTemplateOperations": true, "logSanitizeOperations": true } }' \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://modelarmor.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/templates?template_id=TEMPLATE_ID"
Reemplaza lo siguiente:
PROJECT_ID: Es el ID del proyecto al que pertenece la plantilla.LOCATION: Es la ubicación de la plantilla.TEMPLATE_ID: Es el ID de la plantilla.
Python
Para ejecutar este código, primero configura un entorno de desarrollo de Python y, luego, instala el SDK de Python para Model Armor.
request = modelarmor_v1.CreateTemplateRequest( parent="projects/PROJECT_ID/locations/LOCATION", template_id="TEMPLATE_ID", template={ "name": "projects/PROJECT_ID/locations/LOCATION/templates/TEMPLATE_ID", "filter_config": {}, "template_metadata": { "log_template_operations": True, "log_sanitize_operations": True } } ) response = client.create_template(request=request)
Reemplaza lo siguiente:
PROJECT_ID: Es el ID del proyecto al que pertenece la plantilla.LOCATION: Es la ubicación de la plantilla.TEMPLATE_ID: Es el ID de la plantilla.
Configura el registro en la configuración mínima
Cuando aplicas la configuración mínima al tráfico de los modelos de Gemini en Gemini Enterprise Agent Platform y los servidores de Google y Google Cloud servidores de MCP dentro de tu proyecto, la configuración mínima define los filtros de seguridad para las operaciones de limpieza. Cuando actualizas la configuración mínima de Model Armor, puedes especificar si Model Armor registra las operaciones de limpieza.
Puedes habilitar el registro de las operaciones de limpieza para los servidores de Agent Platform y Google, y los servidores de Google Cloud MCP de forma individual. Cuando se habilita, los registros incluyen el prompt y la respuesta (para la Plataforma de agentes) o las llamadas a herramientas y las respuestas de herramientas (para los servidores de MCP), los resultados de la evaluación de Model Armor y los campos de metadatos adicionales.
En los siguientes ejemplos, se muestra cómo habilitar el registro de operaciones de limpieza para los servidores de la plataforma del agente y de Google y Google Cloud MCP.
Console
En la consola de Google Cloud , accede a la página de Model Armor.
Verifica que estés viendo el proyecto en el que activaste Model Armor.
Navega a la pestaña Configuración mínima.
En la sección Registros, selecciona las casillas de verificación Vertex AI y MCP administrado por Google para habilitar el registro de cada servicio.
Haz clic en Guardar.
gcloud
Usa la marca --enable-vertex-ai-cloud-logging para habilitar el registro de Agent Platform y la marca --enable-google-mcp-server-cloud-logging para habilitar el registro de los servidores de Google y Google Cloud de MCP. Para inhabilitar el registro, usa las marcas --no-enable-vertex-ai-cloud-logging y --no-enable-google-mcp-server-cloud-logging.
El siguiente comando de ejemplo habilita el registro de operaciones de limpieza para los servidores de Agent Platform y de Google y Google Cloud servidor de MCP:
gcloud model-armor floorsettings update \
--full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
--enable-vertex-ai-cloud-logging \
--enable-google-mcp-server-cloud-logging
Reemplaza PROJECT_ID por el ID de tu proyecto.
REST
Para habilitar el registro, configura aiPlatformFloorSetting.enableCloudLogging como true para Agent Platform y googleMcpServerFloorSetting.enableCloudLogging como true para los servidores de MCP de Google y Google Cloud en el método UpdateFloorSetting.
En el siguiente comando de ejemplo, se habilita el registro de operaciones de limpieza para Agent Platform y los servidores de Google y Google Cloud MCP:
curl -X PATCH \
-d '{ "aiPlatformFloorSetting":{ "enableCloudLogging": true}, "googleMcpServerFloorSetting":{ "enableCloudLogging": true}}' \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://modelarmor.googleapis.com/v1/projects/PROJECT_ID/locations/global/floorSetting?updateMask=aiPlatformFloorSetting.enableCloudLogging,googleMcpServerFloorSetting.enableCloudLogging"
Reemplaza PROJECT_ID por el ID de tu proyecto.
Python
Para ejecutar este código, primero configura un entorno de desarrollo de Python y, luego, instala el SDK de Python para Model Armor.
from google.cloud.modelarmor import v1 as modelarmor_v1
from google.protobuf import field_mask_pb2
# TODO: Initialize the ModelArmorClient, "client"
# client = modelarmor_v1.ModelArmorClient()
project_id = "PROJECT_ID"
location = "global"
floor_setting_name = f"projects/{project_id}/locations/{location}/floorSetting"
request = modelarmor_v1.UpdateFloorSettingRequest(
floor_setting=modelarmor_v1.FloorSetting(
name=floor_setting_name,
ai_platform_floor_setting=modelarmor_v1.FloorSetting.AiPlatformFloorSetting(
enable_cloud_logging=True
),
google_mcp_server_floor_setting=modelarmor_v1.FloorSetting.GoogleMcpServerFloorSetting(
enable_cloud_logging=True
),
),
update_mask=field_mask_pb2.FieldMask(
paths=["ai_platform_floor_setting.enable_cloud_logging", "google_mcp_server_floor_setting.enable_cloud_logging"]
)
)
try:
response = client.update_floor_setting(request=request)
print("Successfully updated floor settings logging.")
print(response)
except Exception as e:
print(f"An error occurred: {e}