Gemini CLI: Google login vs API key vs Vertex AI — що обрати

Google login доречний для інтерактивної роботи людини, коли доступ і quota належать її Google account, Google AI plan, Workspace або Gemini Code Assist license. Gemini API key доречний для AI Studio project і прямого Gemini API billing. Vertex AI доречний, коли workload має жити в Google Cloud project із визначеними region, IAM, billing та enterprise controls. Це різні operating boundaries, навіть якщо всі вони запускають ту саму команду `gemini`.

Не переносьте consumer login у shared runner і не вважайте Google AI subscription кредитом Gemini API. Перед тестом зафіксуйте auth method, account або project, model-routing state, quota owner, billing destination, repository, sandbox і дозволені tools. Найкращий контур — найпростіший із тих, що відтворювано проходить quality, authority, budget і revoke gates для конкретного workload.

• Людина та interactive terminal → почніть із Google login, якщо entitlement дозволений політикою.
• AI Studio project і pay-per-use API → оцінюйте Gemini API key.
• Cloud IAM, region, centralized billing або production workload → оцінюйте Vertex AI.
• Змішаний режим → забороніть silent credential fallback і запишіть routing.

Gemini CLI documentation розділяє Google sign-in, `GEMINI_API_KEY` та Vertex AI. Для Vertex AI потрібні Google Cloud project і location; доступ може йти через Application Default Credentials, service account або підтримуваний Cloud API key. Документація також вимагає прибрати конфліктні API-key variables у деяких Vertex flows. Отже, факт успішної відповіді ще не доводить, хто автентифікований і де з'явиться usage.

Зберігайте secret-free receipt: CLI version, auth method, masked account або project label, environment-variable presence без value, Cloud project, location, model, timestamp і expected billing console. Перед material run виконайте read-only canary. Negative test має навмисно залишити synthetic non-working credential у disposable profile: оператор повинен знайти drift до зміни файлів або платного запиту.

Gemini CLI quota page описує окремі allowance для Google account і Code Assist licenses, а також інші режими для Gemini API key та Vertex AI. Числа й model routing змінюються, тому не копіюйте поточний daily limit у довгостроковий business case. Google AI Pro або Ultra можуть змінювати entitlement для Google-account контуру, але це не означає, що API-key calls оплачено subscription.

Gemini API paid tier прив'язується до billing account і project; Vertex AI usage звіряється в Google Cloud billing та quota surfaces. Порівнюйте accepted-task cost: однаковий commit, task set, permissions, model class, context, checks і reviewer rubric. Записуйте retries, cache, tool calls, interruption, review minutes та authoritative invoice source. Dashboard estimate не замінює фінансову звірку.

• Google-account receipt → license або plan, quota state й accepted artifact.
• Gemini API receipt → AI Studio project, tier, usage та billing account.
• Vertex receipt → Cloud project, region, identity, quota mode й billing export.
• Unknown completion → перевірте git state та side effects перед retry.

Інтерактивний login розрахований на людину, яка бачить prompt, approval і результат. Headless mode офіційно орієнтує на API key або Vertex AI, але credential сам по собі не робить workflow безпечним. Для CI визначте read-only analysis, patch proposal, test repair або зовнішню дію як різні task classes з окремими write paths, network policy, timeout, concurrency, budget і approval.

Створіть execution manifest: source commit, Gemini CLI version, auth contour, project, location, model policy, allowed tools, sandbox, secret source, output format, idempotency key, validation commands і merge authority. Service-account JSON є довгоживучим секретом; де можливо, віддавайте перевагу керованій або короткоживучій identity. Merge, deploy і destructive action повинні залишатися за незалежним gate.

Vertex AI додає project IAM, service identities, resource location, Cloud billing, audit і procurement boundary. Gemini API key через AI Studio має власні project і billing controls, але API key треба обмежувати, зберігати у secret manager, rotate і revoke. Google-account entitlement залежить від user lifecycle та license. Видалення Workspace seat не доводить revoke API key; вимкнення key не видаляє service-account доступ.

Проведіть joiner-mover-leaver test на synthetic developer. Joiner отримує лише потрібний repository і contour; mover втрачає старий project та environment; leaver втрачає Google entitlement, Cloud IAM, keys, cached ADC і schedules. Security зберігає timestamps і masked identifiers. Залишковий write або billable path блокує rollout, навіть якщо основний login уже відключено.

Виберіть 12–20 representative задач: repository explanation, bug fix, multi-file refactor, test repair, dependency investigation, read-only review і коректна відмова за браком evidence. Виконайте збалансовані блоки через Google login, обмежений Gemini API project і Vertex AI project. Freeze commit, instructions, model class, tool policy, task order та acceptance rubric; якщо routing неможливо зрівняти, позначте це confounder.

Додайте failure fixtures: exhausted user quota, API budget ceiling, revoked key, revoked Cloud role, wrong region, denied network, approval refusal і timeout після можливої зміни. Pilot проходить, коли payer attribution відтворюється, critical task завершується або fail-closed, reviewer приймає artifact, а finance reconcile usage. Результат обирає operating contour, а не проголошує універсально кращу модель.

• Freeze → commit, tasks, model class, policy та rubric.
• Observe → identity, project, quota, tools і completion state.
• Review → correctness, regressions, correction time та evidence.
• Reconcile → receipt проти account, AI Studio або Cloud billing.
• Decide → найменша складність, що проходить критичні gates.

Перед cutover інвентаризуйте settings, GEMINI.md, extensions, MCP servers, trusted folders, environment variables, ADC, service accounts, Cloud projects, locations, budgets і scheduled jobs. Не копіюйте ключ між контурами. Створіть цільову identity з мінімальним scope, видаліть конфліктні variables, виконайте read-only canary й перевірте auth receipt, repository boundary та billing destination.

Rollback повертає попередній approved auth path, вимикає нові schedules, revokes нову identity та звіряє outstanding usage і side effects. У змішаній моделі routing має бути явним: наприклад, human pairing через managed Google login, CI proposal через Vertex AI service identity, merge через branch protection. Повторюйте review після зміни plan, quota, pricing, model routing, CLI version, IAM або data terms.