Chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Gemini Notebook Enterprise cripta i contenuti inattivi dei clienti. Gemini Notebook Enterprise gestisce la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con servizi integrati con CMEK, tra cui Gemini Notebook Enterprise. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione, la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre monitorare l'utilizzo delle chiavi, visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse di Gemini Notebook Enterprise è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Quando viene registrata una chiave CMEK, Gemini Notebook Enterprise chiama periodicamente Cloud KMS per mantenere un'istanza isolata logicamente dei tuoi dati. Ciò accade anche se la configurazione CMEK non è impostata come predefinita e non ci sono app o connettori di dati che la utilizzano. L'utilizzo deriva dalla configurazione e dall'esecuzione dell'istanza, non dal volume di dati o dal numero di utenti che vi accedono. Consulta Prezzi di Cloud Key Management Service.

Per disattivare completamente l'utilizzo di Cloud KMS, devi annullare la registrazione della chiave Cloud KMS, disattivarla o revocare le relative autorizzazioni. La disattivazione dell'API Gemini Notebook Enterprise non elimina CmekConfig o i tuoi dati e continui a ricevere fatture per l'utilizzo di CMEK.

Nota: le istanze nelle regioni degli Stati Uniti o dell'UE richiedono la crittografia dei dati.

Nota: i dati at-rest di Gemini Notebook Enterprise utilizzano Google-owned and Google-managed encryption key (GMEK) per impostazione predefinita. La CMEK, come descritto in questa pagina, ti consente di utilizzare le tue chiavi anziché le chiavi GMEK.

Nota: se vuoi assicurarti che le tue risorse Gemini Notebook Enterprise siano sempre protette da CMEK, ti consigliamo vivamente di configurare una policy dell'organizzazione CMEK. Per saperne di più, consulta Vincoli delle policy dell'organizzazione.

Limitazioni di Cloud KMS in Gemini Notebook Enterprise

A Gemini Notebook Enterprise si applicano le seguenti limitazioni per le chiavi CMEK (Cloud KMS):

• Le chiavi non possono essere modificate o ruotate.

• La protezione CMEK con Gemini Notebook Enterprise non è integrata con la ricerca di Cloud Asset Inventory.

• Non puoi modificare le impostazioni di crittografia dei blocchi note. Un blocco note non protetto non può essere protetto in un secondo momento.

• Una volta registrata, una chiave non può essere deregistrata o rimossa da un'istanza.

• Devi utilizzare istanze multiregionali US o EU (non globali). Per saperne di più sulle multiregioni e sulla residenza dei dati, inclusi i limiti associati all'utilizzo di località non globali, consulta Località.

• Se devi registrare più di una chiave per un progetto, contatta il team del tuo account Google per richiedere un aumento della quota per le configurazioni CMEK, fornendo una motivazione per cui hai bisogno di più di una chiave.

  Si applicano le seguenti limitazioni a EKM o HSM con CMEK:

  • La quota EKM e HSM per le chiamate di crittografia e decrittografia deve avere almeno 1000 QPM di margine. Per informazioni su come controllare le quote, consulta Controllare le quote di Cloud KMS.

  • Se utilizzi EKM, la chiave deve essere raggiungibile per più del 90% di qualsiasi finestra temporale superiore a 30 secondi. Se la chiave non è raggiungibile per questo periodo di tempo, può influire negativamente sull'indicizzazione e sulla freschezza della ricerca.

  • Se si verificano problemi di fatturazione, problemi persistenti di superamento della quota o problemi persistenti di mancata raggiungibilità per più di 12 ore, il servizio disattiva automaticamente CmekConfig associato alla chiave EKM o HSM.

• Puoi utilizzare Terraform per configurare CMEK per Gemini Notebook Enterprise. Consulta google_discovery_engine_cmek_config.

Nota: l'API Podcast (ritirata) è un componente autonomo, separato da Gemini Notebook Enterprise. I podcast generati utilizzando l'API Podcast non sono protetti da CMEK. Tuttavia, tutti i podcast creati all'interno dei notebook Gemini Notebook Enterprise sono protetti da CMEK.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Crea una chiave Cloud KMS simmetrica multiregionale. Consulta le sezioni Crea un keyring e Crea una chiave nella documentazione di Cloud KMS.

  • Imposta il periodo di rotazione su Mai (rotazione manuale).

  • Per Località, seleziona Più regioni e poi europe o us dal menu a discesa.

• Il ruolo IAM CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) sulla chiave è stato concesso all'agente di servizio Discovery Engine. L'account service agent ha un indirizzo email che utilizza il seguente formato: [e-mail]. Per istruzioni generali su come aggiungere un ruolo a un agente di servizio, vedi Concedere o revocare un singolo ruolo.

• Il ruolo IAM CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave è stato concesso all'agente di servizio Cloud Storage. Se questo ruolo non viene concesso, l'importazione dei dati per le istanze protette da CMEK non andrà a buon fine perché Discovery Engine non è in grado di creare il bucket e la directory temporanei protetti da CMEK necessari per l'importazione.

• Non configurare istanze che vuoi gestire con la tua chiave finché non hai completato le istruzioni per la registrazione della chiave riportate in questa pagina.

Registra la chiave Cloud KMS

Per criptare i dati utilizzando CMEK, devi registrare la chiave multiregionale. Se i tuoi dati richiedono chiavi a singola regione, ad esempio quando utilizzi connettori di terze parti, devi anche registrare le chiavi a singola regione.

Prima di iniziare

Verifica quanto segue:

• La regione non è già protetta da una chiave. La procedura riportata di seguito non va a buon fine se una chiave è già registrata per la regione tramite il comando REST. Per determinare se esiste una chiave attiva in Gemini Notebook Enterprise per una località, consulta Visualizzare le chiavi Cloud KMS.

• Hai il ruolo Gemini Notebook Enterprise Admin (roles/discoveryengine.agentspaceAdmin).

Procedura

REST

Per registrare la tua chiave per Gemini Notebook Enterprise:

1. Chiama il metodo UpdateCmekConfig con la chiave che vuoi registrare.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Sostituisci quanto segue:

   • KMS_PROJECT_ID: l'ID del progetto che contiene la chiave. Il numero di progetto non funziona.
   • KMS_LOCATION: la multiregione della chiave: us o europe.
   • KEY_RING: il nome delle chiavi automatizzate che contengono la chiave.
   • KEY_NAME: il nome della chiave.
   • PROJECT_ID: l'ID del progetto che contiene l'istanza.
   • LOCATION: la multi-regione dell'istanza: us o eu.
   • CMEK_CONFIG_ID: imposta un ID univoco per la risorsa CmekConfig, ad esempio default_cmek_config.

   • SET_DEFAULT: impostato su true per utilizzare la chiave come chiave predefinita per le istanze successive create nella multiregione.

     Importante: SET_DEFAULT è necessario per applicare automaticamente CmekConfig alle risorse successive.

   Esempio di comando e risultato

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Verifica che la chiave sia pronta per l'uso prima di configurare un'istanza. Una chiave registrata non può proteggere i notebook finché non è pronta. Potrebbero essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise. Consulta Verificare che Gemini Notebook Enterprise sia protetto da una chiave.

   Per monitorare l'operazione di registrazione, puoi registrare il valore name restituito dal metodo e seguire la procedura descritta in Recuperare i dettagli di un'operazione a lunga esecuzione.

3. Configura l'istanza. Per le istruzioni, vedi Configurare Gemini Notebook Enterprise.

Console

Nota: quando utilizzi la console per registrare le chiavi, non puoi modificare o rimuovere le chiavi da una posizione utilizzando la console. Devi chiamare il metodo DeleteCmekConfig per annullare la registrazione della chiave Cloud KMS.

Procedura

Per registrare la tua chiave per Gemini Notebook Enterprise:

1. Nella console Google Cloud , vai alla pagina Gemini Enterprise.

   Gemini Enterprise

2. Fai clic su Impostazioni e seleziona la scheda CMEK.

3. Fai clic su Aggiungi chiave per la posizione us o eu.

   

   Fai clic su Aggiungi chiave.

   1. Fai clic sul menu a discesa Seleziona una chiave Cloud KMS e seleziona la chiave.

      • Se la chiave si trova in un altro progetto, fai clic su Cambia progetto, fai clic sul nome del progetto, digita il nome della chiave che hai creato e selezionala.

      • Se conosci il nome risorsa della chiave, fai clic su Inserisci manualmente, incolla il nome risorsa della chiave e fai clic su Salva.

   2. Fai clic su Ok > Salva.

4. Verifica che la chiave sia pronta per l'uso prima di configurare un'istanza. Una chiave registrata non può proteggere i notebook finché non è pronta. Potrebbero essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise. Consulta Verificare che Gemini Notebook Enterprise sia protetto da una chiave.

5. Configura l'istanza. Per le istruzioni, vedi Configurare Gemini Notebook Enterprise.

In questo modo viene registrata la chiave e viene creato un CmekResource denominato default_cmek_config.

Potrebbero essere necessarie diverse ore prima che i dati importati vengano visualizzati nei risultati di ricerca.

Nota: dopo aver configurato le istanze, verifica che siano protette dalle chiavi. Per maggiori informazioni, consulta Verifica che l'istanza sia protetta da una chiave Cloud KMS.

Annulla la registrazione della chiave Cloud KMS

Per annullare la registrazione della chiave da Gemini Notebook Enterprise, segui questi passaggi:

1. Chiama il metodo DeleteCmekConfig con il nome della risorsa CmekConfig che vuoi annullare la registrazione.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Sostituisci quanto segue:

   • LOCATION: la multi-regione dell'istanza: us o eu.
   • PROJECT_ID: l'ID del progetto che contiene l'istanza.
   • CMEK_CONFIG_ID: l'ID della risorsa CmekConfig. Se hai registrato la chiave utilizzando la console, l'ID è default_cmek_config.

   Un esempio di chiamata curl e risposta è il seguente:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. (Facoltativo) Registra il valore name restituito dal metodo e segui le istruzioni riportate in Recuperare i dettagli di un'operazione a lunga esecuzione per vedere quando l'operazione è completata.

   L'eliminazione di un CmekConfig è un'operazione a lunga esecuzione che può richiedere fino a un paio di giorni. Questo perché le risorse criptate sottostanti vengono completamente deprovisionate prima della rimozione di CmekConfig.

Nota: una risorsa CmekConfig può essere eliminata solo se nessuna risorsa Gemini Notebook Enterprise è protetta da quella risorsa CmekConfig.

Verificare che Gemini Notebook Enterprise sia protetto da una chiave

Se vuoi verificare che la chiave sia pronta per l'uso e che Gemini Notebook Enterprise sia protetto dalla chiave, segui questi passaggi:

Nota:Notebooks creati dopo la registrazione della chiave sono protetti dalla chiave.

Nota:possono essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise.

1. Chiama il metodo ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Sostituisci quanto segue:

   • LOCATION: la multi-regione dell'istanza: us o eu.
   • PROJECT_ID: l'ID del tuo Google Cloud progetto che contiene i dati.

   Esempio di comando e risultato

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Esamina l'output del comando. CmekConfig è pronto per l'uso se nell'output sono presenti tutti i seguenti elementi:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Se una chiave Cloud KMS è disabilitata o revocata

Se una chiave viene disattivata o le autorizzazioni per la chiave vengono revocate, l'istanza interrompe l'importazione e la pubblicazione dei dati entro 15 minuti. Puoi riattivare la chiave entro 30 giorni per riprendere le operazioni prima che la configurazione CMEK scada e che tutti i dati associati vengano eliminati definitivamente. Tuttavia, la riattivazione di una chiave o il ripristino delle autorizzazioni richiede molto tempo. Possono trascorrere fino a 24 ore prima che l'istanza possa riprendere a pubblicare dati.

Pertanto, non disattivare una chiave a meno che non sia necessario. La disattivazione e l'attivazione di una chiave su un'istanza è un'operazione che richiede molto tempo. Ad esempio, il passaggio ripetuto di una chiave tra disattivata e attivata significa che l'istanza impiegherà molto tempo per raggiungere uno stato protetto. La disattivazione di una chiave e la sua riattivazione immediata potrebbero causare giorni di inattività perché la chiave viene prima disattivata dall'istanza e successivamente riattivata.