Gemini Cloud Assist Investigations: RCA Proaktif dan FinOps

Kalimat yang mengubah cara pandang terhadap Gemini Cloud Assist bertanggal 10 April 2026: membuat, menjalankan, dan mengedit investigations kini hanya tersedia bagi pengguna dengan kontrak Premium Support, atau yang diberi akses oleh account team. Dua belas hari kemudian Google merilis versi proaktifnya, dan pada 23 April semuanya dipresentasikan di Next '26 seolah sudah tersedia.

Post ini adalah pembacaan teliti atas pengumuman tersebut, enam halaman dokumentasi Cloud Assist, release notes, dan README MCP server, semuanya dibaca pada 17 Oktober 2026. Saya belum menjalankan agent ini, karena Google tidak menawarkannya tanpa Premium Support atau allowlist. Jadi isi berikut adalah apa yang dikatakan sumber primer, di mana sumber-sumber itu saling berbeda, dan konfigurasi yang benar-benar mereka berikan.

Release notes bercerita hal yang tidak ada di pengumuman

Post Next '26 bertanggal 23 April 2026 menggambarkan Cloud Assist yang didesain ulang, yang troubleshooting dan optimasi biaya secara proaktif. Release notes, jika dibaca berurutan, lebih berhati-hati. Dalam 17 hari sebelum keynote, Google mengganti permission IAM di balik Cloud Assist, mengeluarkan investigations dari perimeter VPC Service Controls, dan membatasi investigations untuk pelanggan Premium Support. Proactive agents baru muncul pada 22 April sebagai private preview.

Penyempitan akses ini adalah breaking change, bukan upgrade. Apa pun yang membuat investigations lewat jalur terbuka berhenti bekerja pada 10 April, sementara hasil lama tetap bisa dibaca. Catatan 16 April agak berbeda: ia pengumuman, bukan pembatasan, tetapi artinya sebuah project bisa mendapat API baru hanya dari pemakaian.

Dua produk berbagi satu nama, dan identity yang membedakan keduanya

Dokumentasi menarik satu garis dengan jelas. Chat dan investigations interaktif berjalan sebagai Anda. Proactive agent berjalan sebagai agent identity, yang digambarkan sebagai IAM principal yang disediakan sistem dan unik untuk project Anda, sehingga ia bisa bekerja tanpa sesi pengguna. Satu pilihan itu menjelaskan sebagian besar tabel di bawah.

Release notes menambahkan kalimat yang menenangkan untuk mode background: investigasi ini tidak mengubah apa pun di environment Anda. Halaman concepts menambahkan jejak audit, yaitu hasil proaktif diberi label system-generated di console dan tindakan otonom dicatat di audit log.

Apa klaim Google, dan apa yang sebenarnya diukur

Pengumuman itu membuat empat klaim produk. Dipicu oleh alert, Cloud Assist secara proaktif mengelompokkan dan menganalisis sinyal untuk memulai investigasi sebelum masalah membesar. Dengan Gemini 3 ia mengorelasikan log dan metrik lalu mengidentifikasi root cause dari sinyal infrastruktur hingga ke kode aplikasi. Ia menjelajahi hipotesis paralel lewat tool call. Dan sebuah cost anomaly agent berjalan di background 24/7.

Satu-satunya angka di post itu adalah kutipan pelanggan: seorang engineer Petco mengatakan Cloud Assist mengurangi outreach dan touch point dengan tim dev soal pertanyaan Google Cloud sebesar 60%. Itu mengukur beban support tim cloud, bukan waktu menuju root cause. Post itu tidak memberi angka waktu resolusi, angka akurasi, harga, region, maupun label preview atau GA, dan detail Gemini 3 muncul di blog tetapi tidak di release notes yang saya baca.

Dokumentasinya lebih jujur daripada keynote. Di sana dinyatakan bahwa menjalankan ulang investigation yang sama bisa menghasilkan hasil yang sedikit berbeda, dan Anda diminta memverifikasi rentang waktu yang dipakai. Bacalah investigation seperti kerangka docs: observations yang terhubung ke data sumber, lalu hipotesis. Itu petunjuk untuk dicek, bukan vonis.

Mengaktifkan Proactive Mode, dan role yang dibutuhkan

Administrator mengaktifkan Proactive Mode per project. Di console, buka panel Cloud Assist lewat ikon spark, pilih More actions lalu Cloud Assist Settings, aktifkan proactive agents di bagian Proactive Agents, klik Grant access, dan simpan kedua panel. Mengaktifkannya membuat agent identity. API yang terlibat adalah geminicloudassist.googleapis.com dan, untuk pekerjaan biaya, appoptimize.googleapis.com.

Proactive troubleshooting butuh roles/iam.supportUser dan roles/serviceusage.serviceUsageConsumer pada agent identity. Optimasi biaya menambahkan roles/cloudhub.operator dan roles/appoptimize.admin. Orang butuh roles/geminicloudassist.user untuk chat dengan agent dan roles/geminicloudassist.viewer untuk membaca investigations dan riset biaya. Halaman setup mencatat bahwa Anda mungkin butuh role tambahan sesuai environment.

# APIs: the second one is only needed for the cost agent.
gcloud services enable geminicloudassist.googleapis.com appoptimize.googleapis.com \
  --project=PROJECT_ID

# The agent identity is created when you enable Proactive Mode in the console.
# This principal string is the pattern the setup page gives; fill the three placeholders
# (ORG_NUMBER is the numeric organization id, PROJECT_NUMBER is not the project id).
AGENT="principal://agents.global.org-ORG_NUMBER.system.id.goog/resources/geminicloudassist/projects/PROJECT_NUMBER/locations/global/agents/cloud"

# Proactive troubleshooting: bind these two first.
for ROLE in roles/iam.supportUser roles/serviceusage.serviceUsageConsumer; do
  gcloud projects add-iam-policy-binding PROJECT_ID --role="$ROLE" --member="$AGENT"
done

# Proactive cost optimisation adds these. appoptimize.admin has "admin" in its
# name: read what it grants before binding it in production.
for ROLE in roles/cloudhub.operator roles/appoptimize.admin; do
  gcloud projects add-iam-policy-binding PROJECT_ID --role="$ROLE" --member="$AGENT"
done

# People, not the agent: chat, and read-only access to investigations and cost research.
gcloud projects add-iam-policy-binding PROJECT_ID \
  --role=roles/geminicloudassist.user --member="user:EMAIL_ADDRESS"
gcloud projects add-iam-policy-binding PROJECT_ID \
  --role=roles/geminicloudassist.viewer --member="user:EMAIL_ADDRESS"

Satu jebakan ada di organization policy. Jika custom constraint memblokir pemberian role ke agent identity, halaman itu menyuruh menambahkan iam.googleapis.com/AgenticIdentityPoolPrincipal ke bagian MemberTypeMatches pada constraint tersebut. Tanpa itu pemberian role gagal, dan agent tetap buta.

Cost anomaly agent, dan merutekan hasilnya dengan Eventarc

Cost agent mulai dari Cloud Billing, bukan dari dashboard Anda. Saat Billing mendeteksi anomali, agent membuka investigation, paling banyak sekali sehari per project, untuk mencari perubahan signifikan pola pengeluaran, resource spesifik di balik lonjakan, dan resource yang kurang terpakai tetapi mahal. Hasilnya muncul di halaman Cloud Hub Optimization. Halaman setup menyebut alert anomali biaya Billing yang menjadi dasarnya aktif secara default untuk semua project.

Saat sebuah task background selesai, Cloud Assist mengirim event bertipe google.cloud.geminicloudassist.task.v1.completed. Contoh trigger di docs merutekannya ke Cloud Run, dan Cloud Run functions serta Workflows juga disebut sebagai destination. Payload, dalam Protobuf di dalam CloudEvents atau JSON, membawa title dan URI result_object_reference untuk artefak yang dihasilkan agent.

# The trigger from the docs: one event type, filtered to proactive agents.
# Cloud Run functions and Workflows are also valid destinations.
gcloud eventarc triggers create gca-proactive-tasks \
    --location=global \
    --destination-run-service=gca-task-router \
    --event-filters="type=google.cloud.geminicloudassist.task.v1.completed" \
    --event-filters="proactive=true" \
    --service-account=SERVICE_ACCOUNT

Semua proactive agent memakai satu tipe event itu, jadi atribut Eventarc tidak bisa memisahkan biaya dari troubleshooting. Jawaban docs adalah memfilter title di destination: Cost Anomaly atau Cost Optimization untuk biaya, Investigation of untuk troubleshooting. Handler di bawah melakukannya. Saya belum melihat event asli, jadi ia membaca dua field terdokumentasi dari level atas dan mencatat setiap title yang diabaikan, karena title adalah kontrak yang lemah.

// gca-task-router: a Cloud Run service (Node 20+, ES modules).
// The docs name two payload fields, title and result_object_reference.
// I have not seen a live event, so the handler accepts them at the top level
// or under data, and logs anything it cannot classify instead of dropping it.
import http from "node:http";

const COST_MARKERS = ["Cost Anomaly", "Cost Optimization"];
const TROUBLESHOOT_MARKER = "Investigation of";

function classify(title) {
  if (COST_MARKERS.some((m) => title.includes(m))) return "cost";
  if (title.includes(TROUBLESHOOT_MARKER)) return "troubleshooting";
  return "unclassified";
}

http
  .createServer((req, res) => {
    const chunks = [];
    req.on("data", (c) => chunks.push(c));
    req.on("end", () => {
      let body = {};
      try {
        body = JSON.parse(Buffer.concat(chunks).toString("utf8"));
      } catch {
        // Protobuf-wrapped CloudEvents are not JSON: log and acknowledge
        // so Eventarc does not retry a payload we will never understand.
        console.log(JSON.stringify({ severity: "WARNING", msg: "non-json payload" }));
        res.writeHead(204).end();
        return;
      }
      const data = body.data ?? body;
      const title = String(data.title ?? "");
      const kind = classify(title);

      // Wrong: if (kind === "cost") page(...)  -- silent on every other title.
      // Right: log every title, route only the ones you recognise.
      console.log(
        JSON.stringify({
          severity: kind === "unclassified" ? "WARNING" : "INFO",
          kind,
          title,
          result: data.result_object_reference,
        }),
      );
      res.writeHead(204).end();
    });
  })
  .listen(process.env.PORT || 8080);

Permukaan MCP: enam tool, satu allowlist

Agent yang sama bisa dijangkau lewat MCP. Release note 22 April menyebutnya Private Preview lewat account team, dan README GoogleCloudPlatform/gemini-cloud-assist-mcp mengatakan API-nya berada di balik allowlist. Post Next '26 menyebut Gemini CLI, agentic IDE, ServiceNow, dan Slack sebagai permukaan. README yang saya baca menampilkan konfigurasi untuk Antigravity dan Cursor dan mengarahkan pengguna Claude Code ke plugin Cloud Operator, tanpa blok untuk Gemini CLI.

Server ini pindah dari proses Node.js lokal ke server remote: Anda butuh v0.8.0 atau lebih baru, dan server lokal akan kehilangan dukungan dalam beberapa bulan ke depan. Autentikasi memakai Application Default Credentials dengan roles/geminicloudassist.user, ditambah roles/serviceusage.serviceUsageAdmin untuk mengaktifkan API. README memperingatkan bahwa tool-nya bukan API yang stabil dan parameternya bisa berubah. invoke_operation satu-satunya yang mengubah resource, jadi putuskan siapa yang menyetujuinya sebelum shared agent bisa melihatnya.

# Prerequisites from the README: ADC for local use, and an allowlisted project.
gcloud auth login
gcloud auth application-default login

// The two keys the README shows for Antigravity. The entry name is mine, and
// the surrounding file layout is the client's, not Google's.
"gemini-cloud-assist": {
  "serverUrl": "https://geminicloudassist.googleapis.com/mcp",
  "authProviderType": "google_credentials"
}

Di mana ia gagal: lima failure mode dari sumber

Membaca sumber-sumber itu satu sama lain, saya menghitung lima cara hal ini bisa salah, dan Google mendokumentasikan sebagian besarnya sendiri.

• Alert berbasis log tidak didukung untuk proactive alert investigation, jadi tim yang paging-nya berjalan di alert berbasis log tidak mendapat apa pun yang proaktif dari alert itu.
• Tindakan otonom dihilangkan dari log jika tipe audit log yang relevan tidak diaktifkan, sehingga jejak agent background lebih tipis daripada jejak manusia.
• Pencocokan title adalah kontrak routing antara biaya dan troubleshooting. Jika title berubah, filter yang diam-diam membuang event tak cocok berhenti mengirim.
• Resource investigation bisa disimpan di data center Google Cloud mana pun, dan docs berpesan agar investigations tidak dijalankan pada data yang tunduk pada persyaratan residensi atau kepatuhan yurisdiksi.
• Cakupannya satu project atau satu aplikasi App Hub. Aplikasi di host project tidak didukung, dan tidak semua resource di dalam produk yang didukung tercakup.

Kegagalan senyap yang akan saya antisipasi lebih dulu adalah pergantian permission. Custom role yang masih membawa permission lama kehilangan akses Cloud Assist tanpa ada perubahan di sisi Anda, dan gejalanya tombol yang hilang, bukan error. Skrip audit di bagian berikut menemukan role tersebut.

Trade-off-nya nyata. Agent identity memberi agent background akses tanpa ada orang hadir, dan harganya adalah seseorang harus memilih role-nya. Default read-only adalah awal yang baik, tetapi appoptimize.admin ada di set biaya dan memuat kata admin di namanya, jadi baca dulu apa yang diberikannya sebelum di-bind di project production.

Yang dikerjakan hari Senin

Mulai dari pengecekan murah, karena yang pertama menentukan apakah sisanya lebih dari sekadar membaca.

1. Cari tahu apakah Anda punya entitlement: kontrak Premium Support, atau akses dari account team. Tanpanya Anda tidak bisa membuat investigations, dan proactive agents tidak ditawarkan.
2. Cari custom role Anda yang masih memuat permission completeTask lama dan ganti dengan geminicloudassist.agents.invoke, memakai skrip di bawah.
3. Di satu project non-production, aktifkan Proactive Mode dan bind hanya role troubleshooting lebih dulu. Tambahkan role biaya saat Anda siap membaca apa yang diberikannya.
4. Buat trigger Eventarc ke handler yang hanya mencatat title selama seminggu, supaya Anda melihat apa yang terpicu sebelum ia memanggil siapa pun.
5. Bandingkan laporan cost agent dengan alert anomali Billing yang sudah Anda terima, dan pertahankan hanya jika ia menjelaskan lonjakan yang tidak bisa Anda jelaskan sendiri.

# Step 2: list custom roles in a project that still carry the replaced permission.
# Organisation-level custom roles need --organization instead of --project.
OLD="cloudaicompanion.instances.completeTask"
for r in $(gcloud iam roles list --project=PROJECT_ID --format="value(name)"); do
  gcloud iam roles describe "$(basename "$r")" --project=PROJECT_ID \
    --format="value(includedPermissions)" | grep -q "$OLD" && echo "needs update: $r"
done
# Then add geminicloudassist.agents.invoke to each role and remove $OLD.

# Step 4: read the handler's log for a week before it is allowed to notify anyone.
gcloud run services logs read gca-task-router --region=REGION --limit=50

Tidak satu pun dari ini mensyaratkan agent-nya bagus. Ini hanya mensyaratkan Anda tahu apa yang berubah pada April, identity apa yang dipakai pekerjaan background, dan ke mana hasilnya dikirim.

Perlakukan Gemini Cloud Assist sebagai dua produk dengan kontrak berbeda: tool interaktif yang meminjam akses Anda dan kini butuh Premium Support, serta agent background dengan identity sendiri yang masih private preview. Baca release notes sebelum keynote, bind role dengan sengaja, dan biarkan handler yang mencatat segalanya membuktikan diri sebelum boleh memanggil siapa pun.