Kunci enkripsi yang dikelola pelanggan

Secara default, Gemini Notebook Enterprise mengenkripsi konten pelanggan dalam penyimpanan. Gemini Notebook Enterprise menangani enkripsi untuk Anda tanpa tindakan tambahan dari Anda. Opsi ini disebut Enkripsi default Google.

Jika ingin mengontrol kunci enkripsi, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) di Cloud KMS dengan layanan yang terintegrasi dengan CMEK, termasuk Gemini Notebook Enterprise. Dengan menggunakan kunci Cloud KMS, Anda dapat mengontrol tingkat perlindungan, lokasi, jadwal rotasi, izin penggunaan dan akses, serta batasan kriptografisnya. Dengan Cloud KMS, Anda juga dapat melacak penggunaan kunci, melihat log audit, dan mengontrol siklus proses kunci. Bukan Google yang memiliki dan mengelola kunci enkripsi kunci (KEK) simetris yang melindungi data Anda. Andalah yang mengontrol dan mengelola kunci ini di Cloud KMS.

Setelah Anda menyiapkan resource dengan CMEK, pengalaman mengakses resource Gemini Notebook Enterprise Anda akan serupa dengan menggunakan enkripsi default Google. Untuk mengetahui informasi selengkapnya tentang opsi enkripsi, lihat Kunci enkripsi yang dikelola pelanggan (CMEK).

Saat kunci CMEK didaftarkan, Gemini Notebook Enterprise akan memanggil Cloud KMS secara berkala untuk mempertahankan instance data Anda yang terisolasi secara logis. Hal ini terjadi meskipun konfigurasi CMEK tidak ditetapkan sebagai default dan tidak ada aplikasi atau konektor data yang menggunakannya. Penggunaan berasal dari penyiapan dan menjalankan instance, bukan dari volume data atau jumlah pengguna yang mengaksesnya. Lihat Harga Cloud Key Management Service.

Untuk menghentikan sepenuhnya semua penggunaan Cloud KMS, Anda harus membatalkan pendaftaran kunci Cloud KMS, menonaktifkan kunci, atau mencabut izinnya. Menonaktifkan Gemini Notebook Enterprise API tidak akan menghapus CmekConfig atau data Anda, dan Anda akan terus ditagih untuk penggunaan CMEK.

Catatan: Instance di region AS atau Uni Eropa memerlukan enkripsi data.

Catatan: Data dalam penyimpanan Gemini Notebook Enterprise menggunakan Google-owned and Google-managed encryption key (GMEK) secara default. CMEK, seperti yang dijelaskan di halaman ini, memungkinkan Anda menggunakan kunci Anda sendiri, bukan kunci GMEK.

Catatan: Jika Anda ingin memastikan bahwa resource Gemini Notebook Enterprise Anda selalu dilindungi oleh CMEK, sebaiknya Anda mengonfigurasi kebijakan organisasi CMEK. Untuk mengetahui informasi selengkapnya, lihat Batasan kebijakan organisasi.

Batasan Cloud KMS di Gemini Notebook Enterprise

Batasan berikut berlaku untuk kunci CMEK (Cloud KMS) di Gemini Notebook Enterprise:

• Kunci tidak dapat diubah atau dirotasi.

• Perlindungan CMEK dengan Gemini Notebook Enterprise tidak terintegrasi dengan penelusuran Inventaris Aset Cloud.

• Anda tidak dapat mengubah setelan enkripsi notebook. Notebook yang tidak dilindungi tidak dapat dilindungi nanti.

• Setelah didaftarkan, kunci tidak dapat dibatalkan pendaftarannya atau dihapus dari instance.

• Anda harus menggunakan instance multi-region AS atau Uni Eropa (bukan global). Untuk mengetahui informasi selengkapnya tentang multi-region dan residensi data, termasuk batas yang terkait dengan penggunaan lokasi non-global, lihat lokasi.

• Jika Anda perlu mendaftarkan lebih dari satu kunci untuk project, hubungi tim akun Google Anda untuk meminta penambahan kuota untuk konfigurasi CMEK, dengan memberikan alasan mengapa Anda memerlukan lebih dari satu kunci.

  Batasan berikut berlaku untuk EKM atau HSM dengan CMEK:

  • Kuota EKM dan HSM Anda untuk panggilan enkripsi dan dekripsi harus memiliki ruang kosong QPM minimal 1.000. Untuk mengetahui cara memeriksa kuota, lihat Memeriksa kuota Cloud KMS.

  • Jika menggunakan EKM, kunci harus dapat dijangkau selama lebih dari 90% dari setiap jangka waktu yang lebih dari 30 detik. Jika kunci tidak dapat dijangkau selama jangka waktu ini, hal tersebut dapat berdampak negatif pada pengindeksan dan keaktualan penelusuran.

  • Jika ada masalah penagihan, masalah kehabisan kuota yang terus-menerus, atau masalah tidak dapat dijangkau yang terus-menerus selama lebih dari 12 jam, layanan akan otomatis menonaktifkan CmekConfig yang terkait dengan kunci EKM atau HSM.

• Anda dapat menggunakan Terraform untuk mengonfigurasi CMEK untuk Gemini Notebook Enterprise. Lihat google_discovery_engine_cmek_config.

Catatan: Podcast API (tidak digunakan lagi) adalah komponen mandiri, terpisah dari Gemini Notebook Enterprise. Podcast yang dibuat menggunakan Podcast API tidak dilindungi oleh CMEK. Namun, semua podcast yang dibuat dari dalam notebook Gemini Notebook Enterprise dilindungi CMEK.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Buat kunci simetris Cloud KMS multi-region. Lihat Membuat key ring dan Membuat kunci di dokumentasi Cloud KMS.

  • Tetapkan periode rotasi ke Tidak pernah (Rotasi manual).

  • Untuk Location, pilih Multi-region, lalu pilih europe atau us dari dropdown.

• Peran IAM CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) pada kunci telah diberikan kepada agen layanan Discovery Engine. Akun agen layanan memiliki alamat email yang menggunakan format berikut: [e-mail]. Untuk mengetahui petunjuk umum tentang cara menambahkan peran ke agen layanan, lihat bagian Memberikan atau mencabut satu peran.

• Peran IAM CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) pada kunci telah diberikan kepada agen layanan Cloud Storage. Jika peran ini tidak diberikan, impor data untuk instance yang dilindungi CMEK akan gagal karena Discovery Engine tidak dapat membuat bucket dan direktori sementara yang dilindungi CMEK yang diperlukan untuk mengimpor.

• Jangan siapkan instance yang ingin Anda kelola dengan kunci Anda hingga setelah Anda menyelesaikan petunjuk pendaftaran kunci di halaman ini.

Mendaftarkan kunci Cloud KMS Anda

Untuk mengenkripsi data menggunakan CMEK, Anda harus mendaftarkan kunci multi-region. Secara opsional, jika data Anda memerlukan kunci satu region, misalnya, saat menggunakan konektor pihak ketiga, Anda juga perlu mendaftarkan kunci satu region Anda.

Sebelum memulai

Pastikan hal berikut:

• Region belum dilindungi oleh kunci. Prosedur di bawah akan gagal jika kunci sudah terdaftar untuk region melalui perintah REST. Untuk menentukan apakah ada kunci aktif di Gemini Notebook Enterprise untuk suatu lokasi, lihat Melihat kunci Cloud KMS.

• Anda memiliki peran Admin Gemini Notebook Enterprise (roles/discoveryengine.agentspaceAdmin).

Prosedur

REST

Untuk mendaftarkan kunci Anda sendiri untuk Gemini Notebook Enterprise, ikuti langkah-langkah berikut:

1. Panggil metode UpdateCmekConfig dengan kunci yang ingin Anda daftarkan.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Ganti kode berikut:

   • KMS_PROJECT_ID: ID project Anda yang berisi kunci. Nomor project tidak akan berfungsi.
   • KMS_LOCATION: multi-region kunci Anda: us atau europe.
   • KEY_RING: nama key ring yang menyimpan kunci.
   • KEY_NAME: nama kunci.
   • PROJECT_ID: ID project Anda yang berisi instance.
   • LOCATION: multi-region instance Anda: us atau eu.
   • CMEK_CONFIG_ID: tetapkan ID unik untuk resource CmekConfig, misalnya, default_cmek_config.

   • SET_DEFAULT: ditetapkan ke true untuk menggunakan kunci sebagai kunci default untuk instance berikutnya yang dibuat di multi-region.

     Penting: SET_DEFAULT diperlukan untuk menerapkan CmekConfig secara otomatis pada resource berikutnya.

   Contoh perintah dan hasil

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Pastikan kunci Anda siap digunakan sebelum Anda menyiapkan instance. Kunci yang terdaftar tidak dapat melindungi notebook hingga siap. Kunci terdaftar Anda mungkin memerlukan waktu hingga 24 jam agar siap digunakan dengan Gemini Notebook Enterprise. Lihat Memverifikasi bahwa Gemini Notebook Enterprise dilindungi oleh kunci.

   Untuk melacak operasi pendaftaran, Anda dapat mencatat nilai name yang ditampilkan oleh metode dan mengikuti Mendapatkan detail tentang operasi yang berjalan lama.

3. Siapkan instance. Untuk mengetahui petunjuknya, lihat Menyiapkan Gemini Notebook Enterprise.

Konsol

Catatan: Saat menggunakan konsol untuk mendaftarkan kunci, Anda tidak dapat mengubah atau menghapus kunci dari lokasi menggunakan konsol. Anda harus memanggil metode DeleteCmekConfig untuk membatalkan pendaftaran kunci Cloud KMS Anda.

Prosedur

Untuk mendaftarkan kunci Anda sendiri untuk Gemini Notebook Enterprise, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Gemini Enterprise.

   Gemini Enterprise

2. Klik Setelan, lalu pilih tab CMEK.

3. Klik Tambahkan kunci untuk lokasi us atau eu.

   

   Klik tambahkan kunci.

   1. Klik drop-down Select a Cloud KMS key, lalu pilih kunci.

      • Jika kunci berada di project lain, klik Switch project, klik nama project Anda, ketik nama kunci yang Anda buat, lalu pilih kunci.

      • Jika Anda mengetahui nama aset kunci, klik Masukkan secara manual, tempel nama aset kunci, lalu klik Simpan.

   2. Klik OK > Simpan.

4. Pastikan kunci Anda siap digunakan sebelum Anda menyiapkan instance. Kunci yang terdaftar tidak dapat melindungi notebook hingga siap. Kunci terdaftar Anda mungkin memerlukan waktu hingga 24 jam agar siap digunakan dengan Gemini Notebook Enterprise. Lihat Memverifikasi bahwa Gemini Notebook Enterprise dilindungi oleh kunci.

5. Siapkan instance. Untuk mengetahui petunjuknya, lihat Menyiapkan Gemini Notebook Enterprise.

Tindakan ini akan mendaftarkan kunci Anda, sehingga membuat CmekResource bernama default_cmek_config.

Diperlukan waktu beberapa jam agar data yang diserap muncul di hasil penelusuran.

Catatan: Setelah Anda menyiapkan instance, verifikasi bahwa instance tersebut dilindungi oleh kunci. Untuk mengetahui informasi selengkapnya, lihat memverifikasi bahwa instance dilindungi oleh kunci Cloud KMS.

Membatalkan pendaftaran kunci Cloud KMS Anda

Untuk membatalkan pendaftaran kunci Anda dari Gemini Notebook Enterprise, ikuti langkah-langkah berikut:

1. Panggil metode DeleteCmekConfig dengan nama resource CmekConfig yang ingin Anda batalkan pendaftarannya.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Ganti kode berikut:

   • LOCATION: multi-region instance Anda: us atau eu.
   • PROJECT_ID: ID project Anda yang berisi instance.
   • CMEK_CONFIG_ID: ID resource CmekConfig. Jika Anda mendaftarkan kunci menggunakan konsol, ID-nya adalah default_cmek_config.

   Contoh panggilan dan respons curl akan terlihat seperti ini:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. Opsional: Catat nilai name yang ditampilkan oleh metode dan ikuti petunjuk di Mendapatkan detail tentang operasi yang berjalan lama untuk melihat kapan operasi selesai.

   Menghapus CmekConfig adalah operasi yang berjalan lama dan dapat memerlukan waktu hingga beberapa hari untuk diselesaikan. Hal ini karena resource terenkripsi yang mendasarinya sepenuhnya dibatalkan penyediaannya sebelum CmekConfig dihapus.

Catatan: Resource CmekConfig hanya dapat dihapus jika tidak ada resource Gemini Notebook Enterprise yang dilindungi oleh resource CmekConfig tersebut.

Memverifikasi bahwa Gemini Notebook Enterprise dilindungi oleh kunci

Jika Anda ingin mengonfirmasi bahwa kunci Anda siap digunakan dan Gemini Notebook Enterprise dilindungi oleh kunci Anda, ikuti langkah-langkah berikut:

Catatan: Notebook yang dibuat setelah kunci Anda didaftarkan akan dilindungi oleh kunci tersebut.

Catatan: Diperlukan waktu hingga 24 jam agar kunci terdaftar Anda siap digunakan dengan Gemini Notebook Enterprise.

1. Panggil metode ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Ganti kode berikut:

   • LOCATION: multi-region instance Anda: us atau eu.
   • PROJECT_ID: ID Google Cloud project yang berisi data.

   Contoh perintah dan hasil

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Tinjau output dari perintah tersebut. CmekConfig siap digunakan jika semua hal berikut ada dalam output:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Jika kunci Cloud KMS dinonaktifkan atau dicabut

Jika kunci dinonaktifkan atau izin untuk kunci tersebut dicabut, instance akan berhenti menyerap data dan berhenti menayangkan data dalam waktu 15 menit. Anda dapat mengaktifkan kembali kunci dalam waktu 30 hari untuk melanjutkan operasi sebelum konfigurasi CMEK berakhir dan data terkait dihapus secara permanen. Namun, mengaktifkan kembali kunci atau memulihkan izin memerlukan waktu yang lama. Perlu waktu hingga 24 jam sebelum instance dapat melanjutkan penayangan data.

Oleh karena itu, jangan nonaktifkan kunci kecuali jika diperlukan. Menonaktifkan dan mengaktifkan kunci pada instance adalah operasi yang memakan waktu. Misalnya, jika kunci berulang kali dialihkan antara status nonaktif dan aktif, instance akan membutuhkan waktu lama untuk mencapai status terlindungi. Menonaktifkan kunci dan mengaktifkannya kembali segera setelahnya dapat menyebabkan waktu henti kerja selama berhari-hari karena kunci pertama-tama dinonaktifkan dari instance dan kemudian diaktifkan kembali.