Gemini Code Assist 組織導入：先管授權與資料

課程概述

一個人裝 IDE 擴充套件，和公司正式導入 Gemini Code Assist，是兩件不同的事。企業要處理訂閱、License、Project、IAM、私有程式碼索引、Logging、網路邊界和離職回收，還要先說清楚哪些程式碼能提供、哪些變更不能只靠 AI Review。

動手前先確認產品現況（官方的訂閱時程，2026-10-12 查證）：Gemini Code Assist Standard／Enterprise 訂閱自 2026 年 10 月 9 日起不能再新購，既有訂閱可用到合約期滿（年訂閱可自動續約到 2027 年 1 月 31 日，月訂閱到 2027 年 12 月 31 日），2027 年 1 月 31 日前還能加購 License；官方說明之後的代理式程式開發輔助改由 Antigravity 提供，可透過符合資格的 Gemini Enterprise（原 Google Agentspace）訂閱或 Gemini Enterprise Agent Platform（原 Vertex AI）取得。Gemini Enterprise 版本比較表只在 Standard、Plus 與 Pay-as-you-go 三版列出 AI developer tools（Business 與 Frontline 沒有），且專案要連到月結（invoiced）的 Cloud Billing 帳戶。

所以這篇的流程是寫給已經有訂閱的組織：照下面的順序設定仍然可行，但要在最後一次續約或合約到期前規劃轉到 Antigravity（可透過符合資格的 Gemini Enterprise 版本或 Gemini Enterprise Agent Platform 取得，見上面的版本說明）。還沒有訂閱的團隊已經買不到，訂閱與 License 的步驟不適用，請直接評估 Antigravity；本文的資料邊界、最小權限與 Pilot 做法仍可參考。

最容易搞混的是資源邊界：訂閱屬於 Billing Account，License 指派給個人，API、設定、Logging 和 Code customization 落在 Project。License 不是綁在單一 Project，也不是綁在 Organization；如果沒有另外限制，已取得 License 的人可以在其他 Project、甚至其他 Organization 使用它。

你將學到

• 分辨訂閱、License、Project 與 IAM 各自負責什麼
• 用群組和最小權限管理開發者、管理員與 Repository 存取
• 正確設定可選的 Prompt／Response 與 Metadata Logging
• 用 Code customization 索引核准的私有程式碼，不把整個組織全納入
• 透過 Pilot、成功指標與回收流程逐步擴大使用

企業設定不是一條「組織層級啟用」指令

比較可靠的順序是：

1. 確認 Billing Account 上已有 Standard 或 Enterprise 訂閱（2026 年 10 月 9 日起不能新購，沒有訂閱就無法往下做），再決定 License 數量（2027 年 1 月 31 日前還能加購）與自動／手動指派
2. 選定用來承接 Gemini Code Assist 設定的 Google Cloud Project，啟用 Gemini for Google Cloud API
3. 在該 Project 讓使用者取得 roles/cloudaicompanion.user 與 roles/serviceusage.serviceUsageConsumer，或等效的最小自訂權限
4. 確認使用者選到與訂閱 Billing Account 關聯的 Project，並成功取得或被指派 License
5. 依需要設定 Release channel、Logging、VPC Service Controls 與 Enterprise Code customization

不建議把 User 或 Admin 角色直接授予整個 Organization 再說。先用 Google Group 管 Pilot 使用者，把權限落在明確 Project；通過資料與支援驗證後再分批擴大。

角色要依工作拆開

表格超出欄寬時，可左右捲動；鍵盤可聚焦表格後用左右方向鍵查看。

License 不能直接從一個人轉給另一個人；要先 Unassign 再 Assign。離職、轉組和承包商到期都應接進 Identity lifecycle，而不是等 License 不夠才人工清查。

Code customization 是索引，不是模型重新訓練

Enterprise 的 Code customization 會透過 Developer Connect 連到核准的 GitHub、GitLab 或 Bitbucket Repository，建立可檢索索引，讓 IDE 建議參考內部 API、Library 和 Style。它不是把公司程式碼拿去重新訓練基礎模型。

設定前要確認目前限制，例如每個 Project／Organization 的 Index 數量、支援語言、Repository 上限和 Developer Connect 地區。刪掉 Repository 存取權後，也要驗證索引與使用者權限已同步生效。

Logging 不是預設「全部互動都進 Audit Logs」

Gemini Code Assist Standard／Enterprise 是 Stateless 服務，預設不在 Google Cloud 儲存 Prompt 與 Response。管理員可以另外啟用 Cloud Logging，選擇記錄 IDE 的 Prompt／Response 或 Metadata；Code Assist on GitHub 目前不支援這套 Logging。

這裡要先做資料決策：

• 真的需要保存完整 Prompt、Context 和 Response，還是只要採用行數、建議的曝光與採用事件等 Metadata？
• Log Bucket 放哪個 Project、誰能讀、保留多久、是否需要 CMEK？
• Secret、客戶資料或 Source code 進 Log 前怎麼遮蔽？
• 多 Project 集中 Logging 時，如何維持資料 Owner、成本和刪除責任？

Google 說明不會在未取得許可下，用客戶資料訓練模型；但處理地區通常接近請求來源，不保證固定區域。如果組織有 Data residency 要求，不能把「Google Cloud 服務」直接等同於「一定在指定 Region 處理」。

成本看 License，不要拿 API 呼叫量硬湊

Standard／Enterprise 主要以訂閱和 License 管理。管理員應追蹤已購買、已指派、最後使用時間和即將到期的 License，而不是把 cloudaicompanion.googleapis.com 呼叫量當成每位開發者的實際費用。

使用成效也不應只看接受建議次數。比較有用的組合是：Lead time、Review 退回率、缺陷逃逸率、測試覆蓋、開發者回饋，以及是否出現 Secret、授權或越權事件。

%%{init: {"flowchart": {"curve": "linear", "nodeSpacing": 20, "rankSpacing": 28, "wrappingWidth": 600}}}%%
flowchart TB
  subgraph FOUNDATION_STAGE["1. 先建立治理底座"]
      direction LR
      POLICY["定義可用資料、Repository<br/>風險分級與人工 Review 門檻"] --> BILLING["確認既有訂閱並決定<br/>自動或手動 License 指派"]
      BILLING --> PROJECT["選定設定 Project<br/>啟用 API 與最小 IAM"]
      PROJECT --> LOGGING["決定是否記 Prompt／Response<br/>或只記 Metadata"]
  end
  LOGGING --> PILOT
  subgraph PILOT_STAGE["2. 用代表性團隊做 Pilot"]
      direction LR
      PILOT["挑不同語言、Repository<br/>和風險等級的使用者"] --> VERIFY["驗證登入、IDE、License<br/>資料邊界與支援流程"]
      VERIFY --> METRIC["量測 Lead time、品質<br/>Review 退回與安全事件"]
      METRIC --> GATE{"控制有效而且品質<br/>沒有明顯退化嗎？"}
  end
  GATE -->|"否"| PAUSE["暫停擴張<br/>修政策、權限或訓練"]
  GATE -->|"是"| SCALE
  subgraph SCALE_STAGE["3. 分批擴大並持續回收"]
      direction LR
      SCALE["用群組分批指派 License<br/>必要時建立 Code customization"] --> MONITOR["持續檢查使用、成本、品質<br/>Logging 與 Repository 權限"]
      MONITOR --> OFFBOARD["離職、轉組或到期時<br/>回收 License、IAM 與索引存取"]
  end

實作重點

• 使用 Admin for Gemini 管理訂閱和 License，不要假設一個 Organization IAM Binding 能完成所有設定
• 預設自動 License assignment 前，先確認 cloudaicompanion.licenses.selfAssign 的授權範圍
• Code customization 同時管理 Index、Repository Group、Developer Connect Connection 和 .aiexclude
• VPC Service Controls 會擋住 Perimeter 外的 IDE；公司筆電若在外部，要先設計 Ingress 與 Access Level
• Logging 是可選設定，啟用前先決定完整內容、Metadata、保存期限與讀取權限
• 定期列出 License 最後使用時間，回收閒置和離職帳號，但保留必要稽核證據

課程導讀

課程連結：本文課名「Gemini for Google Cloud: Code Assist for Organizations」在目前的 Google Skills 目錄中找不到同名課程；目前目錄中最接近的課程是 Configure Gemini Code Assist for Organizations。

依課程頁，這門課由三個單元的閱讀教材、各單元的測驗和一份課程 PDF 組成，沒有實作 Lab。看教材時可以帶著這幾個問題：這一步動到的是 Billing Account、Project、User 還是 Repository Group？誰能調整訂閱，誰管 Code customization 的索引？使用者角色授在哪一層？這樣回公司實作時，比較不會把訂閱管理權交給 Code Index 管理員，也不會把使用者角色誤授到整個組織。

延伸學習

• Gemini Code Assist 上手 — 建立開發者端的安全 Review 習慣
• Gemini 輔助資安工程師 — 將治理延伸到 IAM 與安全營運
• GCP PCA：合規與稽核 — 設計 Logging、保存與審查責任
• Gemini Code Assist License 管理 — 確認目前指派、回收與跨組織限制
• Code customization 概觀 — 查閱支援來源、地區與索引限制