Chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Gemini Notebook Enterprise cripta i contenuti inattivi dei clienti. Gemini Notebook Enterprise gestisce la crittografia senza che tu debba eseguire ulteriori azioni da parte tua. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con i servizi integrati con CMEK, incluso Gemini Notebook Enterprise. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione , la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre monitorare l'utilizzo delle chiavi, visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse di Gemini Notebook Enterprise è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Quando viene registrata una chiave CMEK, Gemini Notebook Enterprise chiama periodicamente Cloud KMS per mantenere un'istanza logicamente isolata dei tuoi dati. Questo accade anche se la configurazione CMEK non è impostata come predefinita e non ci sono app o connettori di dati che la utilizzano. L'utilizzo deriva dalla configurazione e dall'esecuzione dell'istanza, non dal volume di dati o dal numero di utenti che vi accedono. Consulta i prezzi di Cloud Key Management Service.

Per disattivare completamente tutto l'utilizzo di Cloud KMS, devi annullare la registrazione della chiave Cloud KMS, disabilitarla o revocarne le autorizzazioni. La disabilitazione dell'API Gemini Notebook Enterprise non elimina CmekConfig o i tuoi dati e la fatturazione per l'utilizzo di CMEK continua.

Nota: le istanze nelle regioni Stati Uniti o UE richiedono la crittografia dei dati.

Nota: per impostazione predefinita, i dati inattivi di Gemini Notebook Enterprise utilizzano Google-owned and Google-managed encryption key (GMEK). CMEK, come descritto in questa pagina, ti consente di utilizzare le tue chiavi anziché le chiavi GMEK.

Nota: se vuoi assicurarti che le risorse di Gemini Notebook Enterprise siano sempre protette da CMEK, ti consigliamo vivamente di configurare una policy dell'organizzazione CMEK. Per saperne di più, consulta Vincoli delle policy dell'organizzazione.

Limitazioni di Cloud KMS in Gemini Notebook Enterprise

Le seguenti limitazioni si applicano alle chiavi CMEK (Cloud KMS) in Gemini Notebook Enterprise:

• Le chiavi non possono essere modificate o ruotate.

• Non puoi modificare le impostazioni di crittografia dei notebook dopo la creazione. Un notebook non protetto non può essere protetto in un secondo momento e la protezione non può essere rimossa.

• La protezione CMEK con Gemini Notebook Enterprise non è integrata con la ricerca di Cloud Asset Inventory.

• Devi utilizzare istanze multi-regionali Stati Uniti o UE (non globali). Per saperne di più sulle multi-regioni e sulla residenza dei dati, inclusi i limiti associati all'utilizzo di località non globali, consulta Località.

• Se devi registrare più di una chiave per un progetto, contatta il team dell'account Google per richiedere un aumento della quota per le configurazioni CMEK, fornendo una motivazione per cui hai bisogno di più di una chiave.

  Le seguenti limitazioni si applicano a EKM o HSM con CMEK:

  • La quota EKM e HSM per le chiamate di crittografia e decrittografia deve avere almeno 1000 QPM di margine. Per scoprire come controllare le quote, consulta Controllare le quote di Cloud KMS.

  • Se utilizzi EKM, la chiave deve essere raggiungibile per più del 90% di qualsiasi finestra temporale superiore a 30 secondi. Se la chiave non è raggiungibile per questo periodo di tempo, può influire negativamente sull'indicizzazione e sulla freschezza della ricerca.

  • Se si verificano problemi di fatturazione, problemi di quota persistenti o problemi di irraggiungibilità persistenti per più di 12 ore, il servizio disattiva automaticamente CmekConfig associato alla chiave EKM o HSM.

• Puoi utilizzare Terraform per configurare CMEK per Gemini Notebook Enterprise. Consulta google_discovery_engine_cmek_config.

Nota: l'API Podcast (ritirata) è un componente autonomo, separato da Gemini Notebook Enterprise. I podcast generati utilizzando l'API Podcast non sono protetti da CMEK. Tuttavia, tutti i podcast creati all'interno dei notebook di Gemini Notebook Enterprise sono protetti da CMEK.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Crea una chiave Cloud KMS simmetrica multi-regionale. Consulta Creare un keyring e Creare una chiave nella documentazione di Cloud KMS.

  • Imposta il periodo di rotazione su Mai (rotazione manuale).

  • Per Località, seleziona Multi-regione e seleziona europe o us dal menu a discesa.

• Il ruolo IAM Autore crittografia/decriptazione CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave è stato concesso all'agente di servizio di Discovery Engine. L'account del service agent ha un indirizzo email che utilizza il seguente formato: [e-mail]. Per istruzioni generali su come aggiungere un ruolo a un agente di servizio, consulta Concedere o revocare un singolo ruolo.

• Il ruolo IAM Autore crittografia/decriptazione CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave è stato concesso all'agente di servizio di Cloud Storage. Se questo ruolo non viene concesso, l'importazione dei dati per le istanze protette da CMEK non riuscirà perché Discovery Engine non è in grado di creare il bucket e la directory temporanei protetti da CMEK necessari per l'importazione.

• Non configurare le istanze che vuoi gestire con la chiave finché non hai completato le istruzioni di registrazione della chiave in questa pagina.

Registrare la chiave Cloud KMS

Per criptare i dati utilizzando CMEK, devi registrare la chiave multi-regionale. Facoltativamente, se i dati richiedono chiavi a singola regione, ad esempio quando utilizzi connettori di terze parti, devi anche registrare le chiavi a singola regione.

Prima di iniziare

Assicurati di quanto segue:

• La regione non è già protetta da una chiave. La procedura riportata di seguito non riesce se una chiave è già registrata per la regione tramite il comando REST. Per determinare se è presente una chiave attiva in Gemini Notebook Enterprise per una località, consulta Visualizzare le chiavi Cloud KMS.

• Hai il ruolo Amministratore di Gemini Notebook Enterprise (roles/discoveryengine.agentspaceAdmin).

Procedura

REST

Per registrare la tua chiave per Gemini Notebook Enterprise:

1. Chiama il UpdateCmekConfig metodo con la chiave che vuoi registrare.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Sostituisci quanto segue:

   • KMS_PROJECT_ID: l'ID del progetto che contiene la chiave. Il numero di progetto non funzionerà.
   • KMS_LOCATION: la multi-regione della chiave: us o europe.
   • KEY_RING: il nome del keyring che contiene la chiave.
   • KEY_NAME: il nome della chiave.
   • PROJECT_ID: l'ID del progetto che contiene l'istanza.
   • LOCATION: la multi-regione dell'istanza: us o eu.
   • CMEK_CONFIG_ID: imposta un ID univoco per la risorsa CmekConfig, ad esempio default_cmek_config.

   • SET_DEFAULT: imposta su true per utilizzare la chiave come chiave predefinita per le istanze successive create nella multi-regione.

     Importante: SET_DEFAULT è obbligatorio per applicare automaticamente CmekConfig alle risorse successive.

   Esempio di comando e risultato

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Verifica che la chiave sia pronta per l'uso prima di configurare un'istanza. Una chiave registrata non può proteggere i notebook finché non è pronta. Possono essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise. Consulta Verificare che Gemini Notebook Enterprise sia protetto da una chiave.

   Per monitorare l'operazione di registrazione, puoi registrare il valore name restituito dal metodo e seguire la procedura in Ottenere i dettagli di un'operazione a lunga esecuzione.

3. Configura l'istanza. Per istruzioni, consulta Configurare Gemini Notebook Enterprise.

Console

Nota: quando utilizzi la console per registrare le chiavi, non puoi modificare o rimuovere le chiavi da una località utilizzando la console. Devi chiamare il DeleteCmekConfig metodo per annullare la registrazione della chiave Cloud KMS.

Procedura

Per registrare la tua chiave per Gemini Notebook Enterprise:

1. Nella Google Cloud console, vai alla pagina Gemini Enterprise.

   Gemini Enterprise

2. Fai clic su Impostazioni e seleziona la scheda CMEK.

3. Fai clic su Aggiungi chiave per la località us o eu.

   

   Fai clic su Aggiungi chiave.

   1. Fai clic sul menu a discesa Seleziona una chiave Cloud KMS e seleziona la chiave.

      • Se la chiave si trova in un progetto diverso, fai clic su Cambia progetto, fai clic sul nome del progetto, digita il nome della chiave che hai creato e seleziona la chiave.

      • Se conosci il nome della risorsa della chiave, fai clic su Inserisci manualmente, incolla il nome della risorsa della chiave e fai clic su Salva.

   2. Fai clic su OK > Salva.

4. Verifica che la chiave sia pronta per l'uso prima di configurare un'istanza. Una chiave registrata non può proteggere i notebook finché non è pronta. Possono essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise. Consulta Verificare che Gemini Notebook Enterprise sia protetto da una chiave.

5. Configura l'istanza. Per istruzioni, consulta Configurare Gemini Notebook Enterprise.

In questo modo, la chiave viene registrata e viene creata una risorsa CmekResource denominata default_cmek_config.

Possono essere necessarie diverse ore prima che i dati importati vengano visualizzati nei risultati di ricerca.

Nota: dopo aver configurato le istanze, verifica che siano protette dalle chiavi. Per saperne di più, consulta verificare che l'istanza sia protetta da una chiave Cloud KMS key.

Annullare la registrazione della chiave Cloud KMS

Per annullare la registrazione della chiave da Gemini Notebook Enterprise:

1. Chiama il metodo DeleteCmekConfig con il nome della risorsa CmekConfig di cui vuoi annullare la registrazione.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Sostituisci quanto segue:

   • LOCATION: la multi-regione dell'istanza: us o eu.
   • PROJECT_ID: l'ID del progetto che contiene l'istanza.
   • CMEK_CONFIG_ID: l'ID della risorsa CmekConfig. Se hai registrato la chiave utilizzando la console, l'ID è default_cmek_config.

   Un esempio di chiamata curl e risposta è il seguente:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. (Facoltativo) Registra il valore name restituito dal metodo e segui le istruzioni riportate in Ottenere i dettagli di un'operazione a lunga esecuzione per vedere quando l'operazione è completata.

   L'eliminazione di una CmekConfig è un'operazione a lunga esecuzione che può richiedere fino a un paio di giorni. Questo perché le risorse criptate sottostanti vengono completamente deprovisionate prima della rimozione di CmekConfig.

Nota: una risorsa CmekConfig può essere eliminata solo se nessuna risorsa Gemini Notebook Enterprise è protetta da quella risorsa CmekConfig.

Verificare che Gemini Notebook Enterprise sia protetto da una chiave

Se vuoi verificare che la chiave sia pronta per l'uso e che Gemini Notebook Enterprise sia protetto dalla chiave:

Nota: Notebooks creati dopo la registrazione della chiave sono protetti da questa.

Nota: possono essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise.

1. Chiama il metodo ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Sostituisci quanto segue:

   • LOCATION: la multi-regione dell'istanza: us o eu.
   • PROJECT_ID: l'ID del tuo Google Cloud progetto che contiene i dati.

   Esempio di comando e risultato

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Esamina l'output del comando. CmekConfig è pronto per l'uso se nell'output sono presenti tutti i seguenti elementi:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Se una chiave Cloud KMS è disabilitata o revocata

Se una chiave è disabilitata o le autorizzazioni per la chiave vengono revocate, l'istanza smette di importare e pubblicare i dati entro 15 minuti. Puoi riattivare la chiave entro 30 giorni per riprendere le operazioni prima della scadenza della configurazione CMEK e dell'eliminazione definitiva di tutti i dati associati. Tuttavia, la riattivazione di una chiave o il ripristino delle autorizzazioni richiede molto tempo. Possono essere necessarie fino a 24 ore prima che l'istanza possa riprendere a pubblicare i dati.

Pertanto, non disabilitare una chiave a meno che non sia necessario. La disabilitazione e l'abilitazione di una chiave su un'istanza è un'operazione che richiede molto tempo. Ad esempio, se una chiave viene attivata e disattivata ripetutamente, l'istanza impiegherà molto tempo per raggiungere uno stato protetto. La disabilitazione di una chiave e la sua riattivazione immediata potrebbero comportare giorni di inattività perché la chiave viene prima disabilitata dall'istanza e poi riattivata.