---
title: "安全与企业"
description: "Gemini CLI 安全与企业入口：sandbox、policy engine、企业配置、企业控制、telemetry、terms/privacy 和 Google Cloud 安全合规。"
verifiedAt: "2026-05-09"
---

Gemini CLI 能读项目、改文件、跑命令、联网、接 MCP、进入 GitHub 自动化。进入真实项目和团队环境前，必须先看安全与企业边界。

> [!WARNING]
> **越像 agent，越要有边界**：权限、sandbox、policy、telemetry、凭据和 Cloud 项目不是附录，是能否进真实项目的前提。

本章的主线是三层控制：trusted folder 决定是否加载项目能力，sandbox 控制执行环境，policy 和 enterprise controls 控制工具和组织策略。三层缺一层，真实项目都会留下明显空洞。

## 学习路径

```mermaid
flowchart LR
    Sandbox["Sandbox"] --> Policy["Policy engine"]
    Policy --> Config["Enterprise config"]
    Config --> Controls["Admin controls"]
    Controls --> Telemetry["Telemetry"]
    Telemetry --> Privacy["Terms / Privacy"]
    Privacy --> Cloud["Cloud security"]
    Cloud --> Automation["集成与自动化"]

    style Sandbox fill:#dbeafe,stroke:#3b82f6
    style Policy fill:#fee2e2,stroke:#ef4444
    style Cloud fill:#dcfce7,stroke:#22c55e
```

<Cards>
  <Card title="Sandbox + Policy" description="先控制本地执行环境和工具权限。" href="/docs/gemini-cli/official/06-security-enterprise/60-sandbox" />
  <Card title="Enterprise controls" description="团队和企业用 Admin Controls、MCP allowlist、system settings 管理边界。" href="/docs/gemini-cli/official/06-security-enterprise/63-enterprise-controls" />
  <Card title="Terms / Privacy" description="认证方式不同，条款、隐私和数据边界也不同。" href="/docs/gemini-cli/official/06-security-enterprise/65-terms-privacy" />
</Cards>

## 页面清单

| 页面 | 解决的问题 |
| --- | --- |
| [Sandbox](/docs/gemini-cli/official/06-security-enterprise/60-sandbox) | 隔离工具执行和未知代码风险 |
| [Policy engine](/docs/gemini-cli/official/06-security-enterprise/61-policy-engine) | 细粒度控制工具、命令和参数 |
| [Enterprise config](/docs/gemini-cli/official/06-security-enterprise/62-enterprise-config) | 系统级 settings、组织默认和 CI 隔离 |
| [Enterprise controls](/docs/gemini-cli/official/06-security-enterprise/63-enterprise-controls) | Admin Controls、MCP allowlist、required servers |
| [Telemetry](/docs/gemini-cli/official/06-security-enterprise/64-telemetry) | logs、metrics、traces 和 prompt 记录边界 |
| [Terms and privacy](/docs/gemini-cli/official/06-security-enterprise/65-terms-privacy) | 不同认证路径对应的数据和条款 |
| [Cloud security/privacy/compliance](/docs/gemini-cli/official/06-security-enterprise/66-cloud-security-privacy) | Google Cloud、IAM、审计和合规核对 |

## 下一步

先读：[Sandbox](/docs/gemini-cli/official/06-security-enterprise/60-sandbox)。

## 章节验收

读完本章后，应该能完成两个负例测试：不可信目录不加载项目 MCP，高风险 shell 命令被 policy 拦截。再完成一个正例测试：受控 MCP 或 telemetry 能按企业配置出现。只有正负例都通过，安全配置才算可上线。

如果只能做一件事，先做负例。安全配置最怕“看起来已经打开”，但真正危险动作仍能执行。负例通过后，再扩展正例和团队 rollout。

## 官方来源

- [Google Developers Gemini CLI](https://developers.google.com/gemini-code-assist/docs/gemini-cli?hl=zh-cn)
- [Gemini CLI GitHub](https://github.com/google-gemini/gemini-cli)
