Claves de encriptación administradas por el cliente

De forma predeterminada, NotebookLM Enterprise encripta el contenido del cliente en reposo. NotebookLM Enterprise controla la encriptación por ti sin que debas realizar ninguna acción adicional. Esta opción se denomina Encriptación predeterminada de Google.

Si deseas controlar tus claves de encriptación, puedes usar las claves de encriptación administradas por el cliente (CMEK) en Cloud KMS con servicios integrados en CMEK, incluido NotebookLM Enterprise. El uso de claves de Cloud KMS te permite controlar su nivel de protección, ubicación, programa de rotación, permisos de uso y acceso, y límites criptográficos. El uso de Cloud KMS también te permite hacer un seguimiento del uso de las claves, ver los registros de auditoría y controlar los ciclos de vida de las claves. En lugar de que Google posea y administre las claves de encriptación de claves (KEK) simétricas que protegen tus datos, tú las controlas y administras en Cloud KMS.

Después de configurar tus recursos con CMEK, la experiencia de acceso a tus recursos de NotebookLM Enterprise es similar a usar la encriptación predeterminada de Google. Para obtener más información sobre tus opciones de encriptación, consulta Claves de encriptación administradas por el cliente (CMEK).

Nota: Los almacenes de datos en las regiones de EE.UU. o la UE requieren encriptación de datos. La encriptación predeterminada es con Google-owned and Google-managed encryption keys, pero, de manera alternativa, puedes usar tus propias claves como se describe aquí.

Limitaciones de Cloud KMS en NotebookLM Enterprise

Las siguientes limitaciones se aplican a las claves de CMEK (Cloud KMS) en NotebookLM Enterprise:

• No se pueden cambiar ni rotar las llaves.

• Las restricciones de políticas de la organización no se pueden aplicar a NotebookLM Enterprise.

• La protección con CMEK de NotebookLM Enterprise no está integrada en la búsqueda de Cloud Asset Inventory.

• No puedes cambiar la configuración de encriptación de los notebooks. Un notebook desprotegido no se puede proteger más adelante.

• Después de registrar una clave, no se puede anular su registro ni quitarla de un almacén de datos.

• Debes usar apps y almacenes de datos multirregionales de EE.UU. o la UE (no globales). Para obtener más información sobre las multirregiones y la residencia de datos, incluidos los límites asociados con el uso de ubicaciones no globales, consulta ubicaciones.

• Si necesitas registrar más de una clave para un proyecto, comunícate con tu equipo de cuentas de Google para solicitar un aumento de la cuota para las configuraciones de CMEK y proporciona una justificación de por qué necesitas más de una clave.

• El uso del administrador de claves externo (EKM) con CMEK está en DG con lista de entidades permitidas. Para usar EKM con CMEK, comunícate con tu equipo de cuentas de Google.

  Se aplican las siguientes limitaciones a los EKM o HSM con CMEK:

  • Tu cuota de EKM y HSM para las llamadas de encriptación y desencriptación debe tener al menos 1,000 QPM de margen. Para saber cómo consultar tus cuotas, consulta Cómo consultar tus cuotas de Cloud KMS.

  • Si se usa EKM, se debe poder acceder a la clave durante más del 90% de cualquier período de más de 30 segundos. Si no se puede acceder a la clave durante este período, se puede afectar negativamente la indexación y la actualización de la búsqueda.

  • Si hay problemas de facturación, problemas persistentes de falta de cuota o problemas persistentes de inaccesibilidad durante más de 12 horas, el servicio desactiva automáticamente el CmekConfig asociado con la clave del EKM o del HSM.

• No puedes usar Terraform para configurar la CMEK para NotebookLM Enterprise.

Nota: La API de Podcast es un componente independiente de NotebookLM Enterprise. Los podcasts generados con la API de Podcast no están protegidos por la CMEK. Sin embargo, todos los podcasts creados desde los cuadernos de NotebookLM Enterprise están protegidos por CMEK.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Crea una clave simétrica multirregional de Cloud KMS. Consulta Crea un llavero de claves y Crea una clave en la documentación de Cloud KMS.

  • Establece el período de rotación en Nunca (rotación manual).

  • En Ubicación, selecciona Multirregión y, luego, europe o us en el menú desplegable.

• Se otorgó el rol de IAM de encriptador/desencriptador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave al agente de servicio de Discovery Engine. La cuenta del agente de servicio tiene una dirección de correo electrónico con el siguiente formato: [e-mail]. Para obtener instrucciones generales sobre cómo agregar un rol a un agente de servicio, consulta Otorga o revoca un solo rol.

• Se otorgó el rol de IAM de encriptador/desencriptador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave al agente de servicio de Cloud Storage. Si no se otorga este rol, fallará la importación de datos para los almacenes de datos protegidos por CMEK, ya que Discovery Engine no podrá crear el bucket y el directorio temporales protegidos por CMEK que se requieren para la importación.

• No crees ningún almacén de datos ni apps que quieras que administre tu clave hasta que completes las instrucciones de registro de la clave que se indican en esta página.

Registra tu clave de Cloud KMS

Para encriptar datos con CMEK, debes registrar tu clave multirregional. De manera opcional, si tus datos necesitan claves de una sola región (por ejemplo, cuando usas conectores de terceros), debes registrar tus claves de una sola región.

Antes de comenzar

Asegúrate de que se den las siguientes condiciones:

• La región aún no está protegida por una clave. El siguiente procedimiento falla si ya se registró una clave para la región a través del comando de REST. Para determinar si hay una clave activa en NotebookLM Enterprise para una ubicación, consulta Cómo ver las claves de Cloud KMS.

• Tienes el rol de administrador de Discovery Engine (roles/discoveryengine.admin).

Procedimiento

REST

Para registrar tu propia clave de NotebookLM Enterprise, sigue estos pasos:

1. Llama al método UpdateCmekConfig con la clave que deseas registrar.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Reemplaza lo siguiente:

   • KMS_PROJECT_ID: Es el ID del proyecto que contiene la clave. El número de proyecto no funcionará.
   • KMS_LOCATION: Es la multirregión de tu clave: us o europe.
   • KEY_RING: Es el nombre del llavero de claves que contiene la clave.
   • KEY_NAME: el nombre de la clave.
   • PROJECT_ID: Es el ID del proyecto que contiene el almacén de datos.
   • LOCATION: Es la multirregión de tu almacén de datos: us o eu.
   • CMEK_CONFIG_ID: Establece un ID único para el recurso CmekConfig, por ejemplo, default_cmek_config.
   • SET_DEFAULT: Se establece en true para usar la clave como la clave predeterminada para los almacenes de datos posteriores creados en la región múltiple.

   Ejemplo de comando y resultado

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Opcional: Registra el valor de name que muestra el método y sigue las instrucciones en Cómo obtener detalles sobre una operación de larga duración para ver cuándo se completa la operación.

   Por lo general, el registro de una llave tarda unos minutos.

Console

Nota: Cuando usas la consola para registrar las claves, no puedes modificarlas ni quitarlas de una ubicación. Debes llamar al método DeleteCmekConfig para anular el registro de tu clave de Cloud KMS.

Procedimiento

Para registrar tu propia clave de NotebookLM Enterprise, sigue estos pasos:

1. En la consola de Google Cloud , ve a la página Gemini Enterprise.

   Gemini Enterprise

2. Haz clic en Configuración y selecciona la pestaña CMEK.

3. Haz clic en Agregar clave para la ubicación us o eu.

   

   Haz clic en Agregar clave.

   1. Haz clic en el menú desplegable Selecciona una clave de Cloud KMS y elige la clave.

      • Si la clave está en otro proyecto, haz clic en Cambiar proyecto, luego en el nombre de tu proyecto, escribe el nombre de la clave que creaste y selecciona la clave.

      • Si conoces el nombre del recurso de la clave, haz clic en Ingresar manualmente, pega el nombre del recurso de la clave y haz clic en Guardar.

   2. Haz clic en Aceptar > Guardar.

Esto registra tu clave y crea un CmekResource llamado default_cmek_config.

Los datos transferidos pueden tardar varias horas en aparecer en los resultados de la búsqueda.

Nota: Después de crear los almacenes de datos, verifica que los almacenes de datos en las ubicaciones de EE.UU. o la UE estén protegidos por las claves. Para obtener más información, consulta cómo verificar que un almacén de datos esté protegido por una clave de Cloud KMS.

Anula el registro de tu clave de Cloud KMS

Para cancelar el registro de tu clave de NotebookLM Enterprise, sigue estos pasos:

1. Llama al método DeleteCmekConfig con el nombre del recurso CmekConfig que deseas anular el registro.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Reemplaza lo siguiente:

   • LOCATION: Es la multirregión de tu almacén de datos: us o eu.
   • PROJECT_ID: Es el ID del proyecto que contiene el almacén de datos.
   • CMEK_CONFIG_ID: Es el ID del recurso CmekConfig. Si registraste tu clave con la consola, el ID es default_cmek_config.

   Un ejemplo de llamada y respuesta de curl se ve de la siguiente manera:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. Opcional: Registra el valor de name que devuelve el método y sigue las instrucciones en Cómo obtener detalles sobre una operación de larga duración para ver cuándo se completa la operación.

   Por lo general, la eliminación de una llave tarda unos minutos.

Nota: Un recurso CmekConfig solo se puede borrar si no hay recursos de NotebookLM Enterprise protegidos por ese recurso CmekConfig.

Verifica que NotebookLM Enterprise esté protegido por una clave

Si quieres confirmar que NotebookLM Enterprise está protegido por tu clave, sigue estos pasos:

Nota: Los notebooks que se creen después de que se registre tu clave estarán protegidos por ella.

Nota: Es posible que la clave registrada tarde hasta 24 horas en estar lista para usarse con NotebookLM Enterprise.

1. Llama al método ListCmekConfigs de la siguiente forma:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Reemplaza lo siguiente:

   • LOCATION: Es la multirregión de tu almacén de datos: us o eu.
   • PROJECT_ID: Es el ID de tu Google Cloud proyecto que contiene los datos.

   Ejemplo de comando y resultado

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Revisa el resultado del comando. El CmekConfig está listo para usarse si todos los siguientes elementos se encuentran en el resultado:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Si se inhabilita o revoca una clave de Cloud KMS

Si una clave está inhabilitada o se revocan los permisos para la clave, el almacén de datos deja de transferir y publicar datos en un plazo de 15 minutos. Sin embargo, volver a habilitar una clave o restablecer los permisos lleva mucho tiempo. El almacén de datos puede tardar hasta 24 horas en reanudar la publicación de datos.

Por lo tanto, no inhabilite una clave a menos que sea necesario. Habilitar o inhabilitar una clave en un almacén de datos es una operación que lleva mucho tiempo. Por ejemplo, cambiar repetidamente una clave entre inhabilitada y habilitada significa que el almacén de datos tardará mucho en alcanzar un estado protegido. Si inhabilitas una clave y la vuelves a habilitar inmediatamente después, es posible que se produzcan días de inactividad, ya que primero se inhabilita la clave del almacén de datos y, luego, se vuelve a habilitar.