Clés de chiffrement gérées par le client

Par défaut, Gemini Notebook Enterprise chiffre les contenus client au repos. Gemini Notebook Enterprise gère le chiffrement pour vous sans aucune action supplémentaire de votre part. Cette option est appelée chiffrement par défaut de Google.

Si vous souhaitez contrôler vos clés de chiffrement, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK) dans Cloud KMS avec des services bénéficiant d'une intégration des CMEK, y compris Gemini Notebook Enterprise. L'utilisation de clés Cloud KMS vous permet de contrôler leur niveau de protection, leur emplacement, leur calendrier de rotation, leurs autorisations d'utilisation et d'accès, ainsi que leurs limites cryptographiques. Cloud KMS vous permet également de suivre l'utilisation des clés, de consulter les journaux d'audit et de contrôler les cycles de vie des clés. Au lieu de laisser Google posséder et gérer les clés de chiffrement de clés (KEK) symétriques qui protègent vos données, c'est vous qui vous chargez de cette tâche dans Cloud KMS.

Une fois que vous avez configuré vos ressources avec des CMEK, l'expérience d'accès à vos ressources Gemini Notebook Enterprise est semblable à celle du chiffrement par défaut de Google. Pour en savoir plus sur les options de chiffrement, consultez Clés de chiffrement gérées par le client (CMEK).

Lorsqu'une clé CMEK est enregistrée, Gemini Notebook Enterprise appelle Cloud KMS régulièrement pour maintenir une instance logiquement isolée de vos données. Cela se produit même si la configuration CMEK n'est pas définie par défaut et qu'aucune application ni aucun connecteur de données ne l'utilise. L'utilisation provient de la configuration et de l'exécution de l'instance, et non du volume de données ni du nombre d'utilisateurs y accédant. Consultez les tarifs de Cloud Key Management Service.

Pour désactiver complètement toute utilisation de Cloud KMS, vous devez annuler l'enregistrement de votre clé Cloud KMS, la désactiver ou révoquer ses autorisations. La désactivation de l'API Gemini Notebook Enterprise ne supprime pas votre CmekConfig ni vos données, et vous continuez d'être facturé pour l'utilisation de CMEK.

Limites de Cloud KMS dans Gemini Notebook Enterprise

Les limites suivantes s'appliquent aux clés CMEK (Cloud KMS) dans Gemini Notebook Enterprise :

  • Les clés ne peuvent pas être modifiées ni permutées.

  • La protection CMEK avec Gemini Notebook Enterprise n'est pas intégrée à la recherche Cloud Asset Inventory.

  • Vous ne pouvez pas modifier les paramètres de chiffrement des notebooks. Un notebook non protégé ne peut pas être protégé ultérieurement.

  • Une fois qu'une clé a été enregistrée, elle ne peut pas être désenregistrée ni supprimée d'une instance.

  • Vous devez utiliser des instances multirégionales aux États-Unis ou dans l'Union européenne (et non des instances mondiales). Pour en savoir plus sur les zones multirégionales et la résidence des données, y compris les limites associées à l'utilisation d'emplacements non mondiaux, consultez la section Emplacements.

  • Si vous devez enregistrer plusieurs clés pour un projet, contactez l'équipe de votre compte Google pour demander une augmentation du quota pour les configurations CMEK, en expliquant pourquoi vous avez besoin de plusieurs clés.

    Les limites suivantes s'appliquent à EKM ou HSM avec CMEK :

    • Votre quota EKM et HSM pour les appels de chiffrement et de déchiffrement doit avoir une marge d'au moins 1 000 QPM. Pour savoir comment vérifier vos quotas, consultez la section Vérifier vos quotas Cloud KMS.

    • Si vous utilisez EKM, la clé doit être accessible pendant plus de 90% de toute période de plus de 30 secondes. Si la clé n'est pas accessible pendant cette durée, cela peut avoir un impact négatif sur l'indexation et la fraîcheur de la recherche.

    • En cas de problèmes de facturation, de problèmes persistants de dépassement de quota ou de problèmes d'inaccessibilité persistants pendant plus de 12 heures, le service désactive automatiquement la CmekConfig associée à la clé EKM ou HSM.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Créez une clé Cloud KMS symétrique multirégionale. Consultez Créer un trousseau de clés et Créer une clé dans la documentation Cloud KMS.

    • Définissez la période de rotation sur Jamais (rotation manuelle).

    • Pour Emplacement, sélectionnez Multirégional, puis sélectionnez europe ou us dans le menu déroulant.

  • Le rôle IAM de chiffreur/déchiffreur de clés cryptographiques (roles/cloudkms.cryptoKeyEncrypterDecrypter) sur la clé a été accordé à l'agent de service Discovery Engine. Le compte de l'agent de service possède une adresse e-mail au format suivant : service-PROJECT_NUMBER@gcp-sa-discoveryengine.iam.gserviceaccount.com. Pour obtenir des instructions générales sur l'ajout d'un rôle à un agent de service, consultez la section Attribuer ou révoquer un rôle unique.

  • Le rôle IAM de chiffreur/déchiffreur de clés cryptographiques (roles/cloudkms.cryptoKeyEncrypterDecrypter) sur la clé a été accordé à l'agent de service Cloud Storage. Si ce rôle n'est pas accordé, l'importation de données pour les instances protégées par CMEK échouera, car Discovery Engine ne pourra pas créer le bucket et le répertoire temporaires protégés par CMEK requis pour l'importation.

  • Ne configurez aucune instance que vous souhaitez gérer avec votre clé tant que vous n'avez pas suivi les instructions d'enregistrement de la clé sur cette page.

Enregistrer votre clé Cloud KMS

Pour chiffrer des données à l'aide de CMEK, vous devez enregistrer votre clé multirégionale. Si vos données nécessitent des clés à région unique, par exemple lorsque vous utilisez des connecteurs tiers, vous devez également enregistrer vos clés à région unique.

Avant de commencer

Assurez-vous que :

  • La région n'est pas déjà protégée par une clé. La procédure ci-dessous échoue si une clé est déjà enregistrée pour la région via la commande REST. Pour déterminer si une clé est active dans Gemini Notebook Enterprise pour un emplacement, consultez la section Afficher les clés Cloud KMS.

Procédure

REST

Pour enregistrer votre propre clé pour Gemini Notebook Enterprise, procédez comme suit :

  1. Appelez la UpdateCmekConfig méthode avec la clé que vous souhaitez enregistrer.

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"

    Remplacez les éléments suivants :

    • KMS_PROJECT_ID: ID de votre projet contenant la clé. Le numéro de projet ne fonctionnera pas.
    • KMS_LOCATION : zone multirégionale de votre clé : us ou europe.
    • KEY_RING : nom du trousseau de clés contenant la clé.
    • KEY_NAME : nom de la clé.
    • PROJECT_ID: ID de votre projet contenant l'instance.
    • LOCATION : zone multirégionale de votre instance : us ou eu.
    • CMEK_CONFIG_ID: définissez un ID unique pour la ressource CmekConfig, par exemple default_cmek_config.

    • SET_DEFAULT: définissez la valeur sur true pour utiliser la clé comme clé par défaut pour les instances suivantes créées dans la zone multirégionale.

  2. Vérifiez que votre clé est prête à être utilisée avant de configurer une instance. Une clé enregistrée ne peut pas protéger les notebooks tant qu'elle n'est pas prête. Votre clé enregistrée peut mettre jusqu'à 24 heures avant d'être prête à être utilisée avec Gemini Notebook Enterprise. Consultez la section Vérifier que Gemini Notebook Enterprise est protégé par une clé.

    Pour suivre l'opération d'enregistrement, vous pouvez enregistrer la valeur name renvoyée par la méthode et suivre Obtenir des détails sur une opération de longue durée.

  3. Configurez l'instance. Pour obtenir des instructions, consultez la section Configurer Gemini Notebook Enterprise.

Console

Procédure

Pour enregistrer votre propre clé pour Gemini Notebook Enterprise, procédez comme suit :

  1. Dans la Google Cloud console, accédez à la Gemini Enterprise page.

    Gemini Enterprise

  2. Cliquez sur Paramètres, puis sélectionnez l'onglet CMEK.

  3. Cliquez sur Ajouter une clé pour l'emplacement us ou eu.

    Cliquez sur "Ajouter une clé" pour un lieu.
    Cliquez sur "Ajouter une clé".

    1. Cliquez sur le menu déroulant Sélectionner une clé Cloud KMS, puis sélectionnez la clé.

      • Si la clé se trouve dans un autre projet, cliquez sur Changer de projet, cliquez sur le nom de votre projet, saisissez le nom de la clé que vous avez créée, puis sélectionnez la clé.

      • Si vous connaissez le nom de ressource de la clé, cliquez sur Saisir manuellement, collez le nom de ressource de la clé, puis cliquez sur Enregistrer.

    2. Cliquez sur OK > Enregistrer.

  4. Vérifiez que votre clé est prête à être utilisée avant de configurer une instance. Une clé enregistrée ne peut pas protéger les notebooks tant qu'elle n'est pas prête. Votre clé enregistrée peut mettre jusqu'à 24 heures avant d'être prête à être utilisée avec Gemini Notebook Enterprise. Consultez la section Vérifier que Gemini Notebook Enterprise est protégé par une clé.

  5. Configurez l'instance. Pour obtenir des instructions, consultez la section Configurer Gemini Notebook Enterprise.

Cela enregistre votre clé, en créant une CmekResource appelée default_cmek_config.

L'affichage des données ingérées dans les résultats de recherche peut prendre plusieurs heures.

Annuler l'enregistrement de votre clé Cloud KMS

Pour annuler l'enregistrement de votre clé dans Gemini Notebook Enterprise, procédez comme suit :

  1. Appelez la méthode DeleteCmekConfig avec le nom de ressource CmekConfig que vous souhaitez annuler.

    curl -X DELETE \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"

    Remplacez les éléments suivants :

    • LOCATION: zone multirégionale de votre instance : us ou eu.
    • PROJECT_ID: ID de votre projet contenant l'instance.
    • CMEK_CONFIG_ID: ID de la ressource CmekConfig. Si vous avez enregistré votre clé à l'aide de la console, l'ID est default_cmek_config.

    Voici un exemple d'appel curl et de réponse : 

    $ curl -X DELETE
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
 
{
 "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
 "metadata": {
  "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
 }
}

  2. Facultatif : Enregistrez la valeur name renvoyée par la méthode et suivez les instructions de la section Obtenir des détails sur une opération de longue durée pour voir quand l'opération est terminée.

    La suppression d'une CmekConfig est une opération de longue durée qui peut prendre jusqu'à deux jours. En effet, les ressources chiffrées sous-jacentes sont entièrement déprovisionnées avant la suppression de la CmekConfig.

Vérifier que Gemini Notebook Enterprise est protégé par une clé

Si vous souhaitez vérifier que votre clé est prête à être utilisée et que Gemini Notebook Enterprise est protégé par votre clé, procédez comme suit :

  1. Appelez la méthode ListCmekConfigs :

      curl -X GET \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"

    Remplacez les éléments suivants :

    • LOCATION : zone multirégionale de votre instance : us ou eu.
    • PROJECT_ID : ID de votre Google Cloud projet contenant les données.

  2. Examinez le résultat de la commande. La CmekConfig est prête à être utilisée si tous les éléments suivants figurent dans le résultat :

    • "state": "ACTIVE"
    • "isDefault": true
    • "notebooklmState": NOTEBOOK_LM_READY

Si une clé Cloud KMS est désactivée ou révoquée

Si une clé est désactivée ou que les autorisations de la clé sont révoquées, l'instance cesse d'ingérer et de diffuser des données dans les 15 minutes. Vous pouvez réactiver votre clé dans les 30 jours pour reprendre les opérations avant l'expiration de la configuration CMEK et la suppression définitive des données associées. Toutefois, la réactivation d'une clé ou la restauration des autorisations prend beaucoup de temps. L'instance peut mettre jusqu'à 24 heures avant de pouvoir reprendre la diffusion des données.

Par conséquent, ne désactivez une clé que si nécessaire. La désactivation et l'activation d'une clé sur une instance sont des opérations longues. Par exemple, si vous activez et désactivez une clé à plusieurs reprises, l'instance mettra beaucoup de temps à atteindre un état protégé. La désactivation d'une clé et sa réactivation immédiate peuvent entraîner des jours d'arrêt, car la clé est d'abord désactivée de l'instance, puis réactivée.