為 CX Agent Studio 設定 VPC Service Controls

VPC Service Controls 可協助您降低從 CX Agent Studio 竊取資料的風險。使用 VPC Service Controls 建立服務周圍區域，保護您指定的資源和資料。舉例來說，當您使用 VPC Service Controls 保護 CX Agent Studio 時，下列構件無法離開服務邊界：

  • 服務專員申請資料
  • runSession 要求和回應

CX Agent Studio 可與其他Google Cloud 資源互動，例如 DLP 遮蓋範本、用於匯出對話的 BigQuery，以及資料存放區。這些資源由您控管，且必須與代理程式應用程式位於相同的 VPC-SC 範圍。

限制

限制如下：

  • 啟用 VPC Service Controls 後，工具和回呼無法將要求傳送至任意 HTTP 端點，因為這可能會導致資料外洩至 VPC Service Controls 範圍外。您必須設定Service Directory，才能存取私人網路。
  • 音訊錄音檔無法寫入周邊以外的 Cloud Storage bucket。
  • 對話無法寫入周邊以外的 BigQuery 資料集。
  • 如果 Sensitive Data Protection 遮蓋範本位於 perimeter 外部，遮蓋對話內容就會失敗。
  • OpenAPI 工具無法使用 perimeter 外部的密鑰參照驗證金鑰。
  • 指定 perimeter 外部資料儲存庫的資料儲存庫工具無法執行。
  • 如果流程型代理程式指定的代理程式資源位於範圍外，呼叫時就會失敗。
  • 嘗試從 perimeter 外部的 Cloud Storage bucket 匯入代理程式應用程式會失敗。
  • 嘗試將代理程式應用程式匯出至 Perimeter 外部的 Cloud Storage bucket 時，系統會顯示失敗訊息。

建立服務範圍

建立服務範圍時，請將 CX Agent Studio (ces.googleapis.com) 和 CX Insights (contactcenterinsights.googleapis.com) 都納入 service perimeter。在「受限制的服務」窗格中，加入要限制的服務 (例如 storage.googleapis.com、bigquery.googleapis.com)。

如要進一步瞭解如何建立 service perimeter，請參閱 VPC Service Controls 說明文件的「建立 service perimeter」。

選用依附元件的 VPC Service Controls 說明文件：

使用 Service Directory 存取私人網路

CX Agent Studio 整合了 Service Directory 私人網路存取權，因此可以連線至虛擬私有雲網路中的 OpenAPI 工具目標。這樣一來，流量就會留在 Google Cloud 網路中，並強制執行 Identity and Access Management 和 VPC Service Controls。

如要設定以私人網路為目標的工具，請按照下列步驟操作：

  1. 請按照Service Directory 私人網路設定，設定虛擬私有雲網路和 Service Directory 端點。

  2. 您的代理程式專案必須有下列地址的Customer Engagement Suite 服務代理程式 服務帳戶：

    service-agent-project-number@gcp-sa-ces.iam.gserviceaccount.com

    在 Service Directory 所在的專案中，將下列角色授予 Customer Engagement Suite 服務代理程式服務帳戶：

    • servicedirectory.viewer
    • servicedirectory.pscAuthorizedService

    此外，如果 Service Directory 與代理程式應用程式位於不同專案，您也需要在代管代理程式應用程式的專案中，將 servicedirectory.viewer 角色授予 Customer Engagement Suite 服務代理帳戶。

  3. 建立工具時，請提供 Service Directory 服務以及網址和選填的驗證資訊。這個欄位位於工具的進階設定中。

如要排解問題，您可以設定私人運作時間檢查，確認 Service Directory 設定正確無誤。