고객 관리 암호화 키

기본적으로 Gemini Notebook Enterprise는 저장 중인 고객 콘텐츠를 암호화합니다. Gemini Notebook Enterprise는 사용자의 추가 작업 없이 암호화를 처리합니다. 이 옵션을 Google 기본 암호화 라고 합니다.

암호화 키를 제어하려면 Cloud KMS에서 Gemini Notebook Enterprise가 포함된 CMEK 통합 서비스와 함께 고객 관리 암호화 키 (CMEK)를 사용하면 됩니다. Cloud KMS 키를 사용하면 보호 수준, 위치, 순환 일정, 사용 및 액세스 권한, 암호화 경계 를 관리할 수 있습니다. Cloud KMS를 사용하면 키 사용을 추적하고 감사 로그를 보며 키 수명 주기를 제어할 수도 있습니다. Google에서 데이터를 보호하는 대칭 키 암호화 키 (KEK)를 소유하고 관리하는 대신 사용자가 Cloud KMS에서 이러한 키를 제어하고 관리할 수 있습니다.

CMEK로 리소스를 설정한 후 Gemini Notebook Enterprise 리소스에 액세스하는 환경은 Google 기본 암호화 사용과 유사합니다. 암호화 옵션에 대한 자세한 내용은 고객 관리 암호화 키 (CMEK)를 참조하세요.

CMEK 키가 등록되면 Gemini Notebook Enterprise는 Cloud KMS를 주기적으로 호출하여 데이터의 논리적으로 격리된 인스턴스를 유지합니다. 이는 CMEK 구성이 기본값으로 설정되지 않고 이를 사용하는 앱 또는 데이터 커넥터가 없는 경우에도 발생합니다. 사용량은 데이터 볼륨 또는 액세스하는 사용자 수가 아니라 인스턴스를 설정하고 실행하는 데서 발생합니다. Cloud Key Management Service 가격 책정을 참조하세요.

모든 Cloud KMS 사용을 완전히 중지하려면 Cloud KMS 키를 등록 취소하거나 키를 사용 중지하거나 키의 권한을 취소해야 합니다. Gemini Notebook Enterprise API를 사용 중지해도 CmekConfig 또는 데이터가 삭제되지 않으며 CMEK 사용량에 대한 요금이 계속 청구됩니다.

참고: 미국 또는 EU 리전의 인스턴스에는 데이터 암호화가 필요합니다.

참고: Gemini Notebook Enterprise 저장 데이터는 기본적으로 Google-owned and Google-managed encryption key (GMEK)를 사용합니다. 이 페이지에 설명된 CMEK를 사용하면 GMEK 키 대신 자체 키를 사용할 수 있습니다.

참고: Gemini Notebook Enterprise 리소스가 항상 CMEK로 보호되도록 하려면 CMEK 조직 정책을 구성하는 것이 좋습니다. 자세한 내용은 조직 정책 제약조건을 참조하세요.

Gemini Notebook Enterprise에서 Cloud KMS 제한사항

Gemini Notebook Enterprise에서 CMEK (Cloud KMS) 키에 다음 제한사항이 적용됩니다.

• 키를 변경하거나 순환할 수 없습니다.

• Gemini Notebook Enterprise를 사용한 CMEK 보호는 Cloud 애셋 인벤토리 검색과 통합되지 않습니다.

• 노트북의 암호화 설정을 변경할 수 없습니다. 보호되지 않은 노트북은 나중에 보호할 수 없습니다.

• 키가 등록된 후에는 인스턴스에서 등록을 해제하거나 키를 삭제할 수 없습니다.

• 전역 리전이 아닌 미국 또는 EU 멀티 리전 인스턴스를 사용해야 합니다. 전역 이외의 위치 사용과 관련된 제한사항을 포함하여 멀티 리전과 데이터 레지던시에 대한 자세한 내용은 위치를 참조하세요.

• 프로젝트에 키를 두 개 이상 등록해야 하는 경우 Google 계정팀에 문의하여 CMEK 구성 할당량 증가를 요청하고 키가 두 개 이상 필요한 이유를 설명합니다.

  CMEK와 함께 사용하는 EKM 또는 HSM에는 다음 제한사항이 적용됩니다.

  • 암호화 및 복호화 호출을 위한 EKM 및 HSM 할당량에는 최소 1,000 QPM 헤드룸이 있어야 합니다. 할당량 확인 방법은 Cloud KMS 할당량 확인을 참조하세요.

  • EKM을 사용할 때는 키에 30초 이상의 기간 중 90% 이상 액세스할 수 있어야 합니다. 이 기간 동안 키에 액세스할 수 없으면 색인 생성 및 검색 새로고침에 부정적인 영향을 줄 수 있습니다.

  • 12시간 이상 결제 문제, 영구적인 할당량 부족 문제, 영구적인 액세스 불가능 문제가 있으면 서비스가 EKM 또는 HSM 키와 연관된 CmekConfig를 자동으로 거절합니다.

• Terraform을 사용하여 Gemini Notebook Enterprise의 CMEK를 구성할 수 있습니다. google_discovery_engine_cmek_config를 참조하세요.

참고: Podcast API (지원 중단됨)는 Gemini Notebook Enterprise와 별도의 독립형 구성요소입니다. Podcast API를 사용하여 생성된 팟캐스트는 CMEK로 보호되지 않습니다. 하지만 Gemini Notebook Enterprise 노트북 내에서 생성된 모든 팟캐스트는 CMEK로 보호됩니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• 멀티 리전 대칭 Cloud KMS 키를 만듭니다. Cloud KMS 문서의 키링 만들기 및 키 만들기를 참조하세요.

  • 순환 주기를 없음(수동 순환)으로 설정합니다.

  • 위치에서 멀티 리전을 선택하고 드롭다운에서 europe 또는 us를 선택합니다.

• 키의 CryptoKey 암호화/복호화 IAM 역할(roles/cloudkms.cryptoKeyEncrypterDecrypter)이 검색 엔진 서비스 에이전트에 부여되었습니다. 서비스 에이전트 계정에는 [e-mail] 형식을 사용하는 이메일 주소가 있습니다. 역할을 서비스 에이전트에 추가하는 방법에 대한 일반적인 안내는 단일 역할 부여 또는 취소를 참조하세요.

• 키의 CryptoKey 암호화/복호화 IAM 역할(roles/cloudkms.cryptoKeyEncrypterDecrypter)이 Cloud Storage 서비스 에이전트에 부여되었습니다. 이 역할이 부여되지 않으면 검색 엔진에서 가져오기에 필요한 CMEK로 보호되는 임시 버킷과 디렉터리를 만들 수 없으므로 CMEK로 보호되는 인스턴스에 데이터를 가져올 수 없습니다.

• 이 페이지의 키 등록 안내를 완료할 때까지 키로 관리하려는 인스턴스를 설정하지 마세요.

Cloud KMS 키 등록

CMEK를 사용하여 데이터를 암호화하려면 멀티 리전 키를 등록해야 합니다. 원하는 경우 서드 파티 커넥터를 사용하는 경우와 같이 데이터에 단일 리전 키가 필요하면 단일 리전 키를 등록해야 합니다.

시작하기 전에

다음 사항이 마련되어 있는지 확인하세요.

• 리전이 아직 키로 보호되지 않습니다. REST 명령어를 통해 리전에 키가 이미 등록된 경우 다음 절차가 실패합니다. Gemini Notebook Enterprise에 위치 활성 키가 있는지 확인하려면 Cloud KMS 키 보기를 참조하세요.

• Gemini Notebook Enterprise 관리자 (roles/discoveryengine.agentspaceAdmin) 역할이 있습니다.

절차

REST

Gemini Notebook Enterprise에 자체 키를 등록하려면 다음 단계를 수행합니다.

1. 등록하려는 키를 사용하여 UpdateCmekConfig 메서드를 호출합니다.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   다음을 바꿉니다.

   • KMS_PROJECT_ID: 키가 포함된 프로젝트의 ID. 프로젝트 번호는 작동하지 않습니다.
   • KMS_LOCATION: 키의 멀티 리전(us 또는 europe)
   • KEY_RING: 키가 저장된 키링의 이름
   • KEY_NAME: 키의 이름입니다.
   • PROJECT_ID: 인스턴스가 포함된 프로젝트의 ID.
   • LOCATION: 인스턴스의 멀티 리전(us 또는 eu)
   • CMEK_CONFIG_ID: CmekConfig 리소스의 고유 ID를 설정합니다(예: default_cmek_config).

   • SET_DEFAULT: 키를 멀티 리전에서 이후에 생성된 인스턴스의 기본 키로 사용하려면 true로 설정합니다.

     **중요:** SET_DEFAULT는 후속 리소스에 CmekConfig를 자동으로 적용하는 데 필요합니다.

   명령어 및 결과 예시

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. 인스턴스를 설정하기 전에 키를 사용할 준비가 되었는지 확인합니다. 등록된 키는 준비가 될 때까지 노트북을 보호할 수 없습니다. 등록된 키가 Gemini Notebook Enterprise에서 사용할 준비가 되기까지 최대 24시간이 걸릴 수 있습니다. Gemini Notebook Enterprise가 키로 보호되는지 확인을 참조하세요.

   등록 작업을 추적하려면 메서드에서 반환된 name 값을 기록하고 장기 실행 작업에 대한 세부정보 가져오기를 따릅니다.

3. 인스턴스를 설정합니다. 자세한 내용은 Gemini Notebook Enterprise 설정을 참조하세요.

콘솔

참고: 콘솔을 사용하여 키를 등록하면 콘솔을 사용하여 키를 수정하거나 위치에서 삭제할 수 없습니다. DeleteCmekConfig 메서드를 호출하여 Cloud KMS 키를 등록 취소해야 합니다.

절차

Gemini Notebook Enterprise에 자체 키를 등록하려면 다음 단계를 수행합니다.

1. 콘솔에서 Gemini Enterprise 페이지로 이동합니다. Google Cloud

   Gemini Enterprise

2. 설정을 클릭하고 CMEK 탭을 선택합니다.

3. us 또는 eu 위치의 키 추가를 클릭합니다.

   

   키 추가를 클릭합니다.

   1. Cloud KMS 키 선택 드롭다운을 클릭하고 키를 선택합니다.

      • 키가 다른 프로젝트에 있는 경우 프로젝트 전환을 클릭하고 프로젝트 이름을 클릭한 후 생성한 키의 이름을 입력하고 키를 선택합니다.

      • 키의 리소스 이름을 알고 있으면 수동으로 입력을 클릭하고 키 리소스 이름을 붙여넣은 후 저장을 클릭합니다.

   2. 확인 > 저장 을 클릭합니다.

4. 인스턴스를 설정하기 전에 키를 사용할 준비가 되었는지 확인합니다. 등록된 키는 준비가 될 때까지 노트북을 보호할 수 없습니다. 등록된 키가 Gemini Notebook Enterprise에서 사용할 준비가 되기까지 최대 24시간이 걸릴 수 있습니다. Gemini Notebook Enterprise가 키로 보호되는지 확인을 참조하세요.

5. 인스턴스를 설정합니다. 자세한 내용은 Gemini Notebook Enterprise 설정을 참조하세요.

이렇게 하면 키가 등록되어 default_cmek_config라는 CmekResource가 생성됩니다.

수집된 데이터가 검색 결과에 표시되는 데는 몇 시간이 걸릴 수 있습니다.

참고: 인스턴스를 설정한 후 키로 보호되는지 확인합니다. 자세한 내용은 인스턴스가 Cloud KMS 키로 보호되는지 확인을 참조하세요.

Cloud KMS 키 등록 취소

Gemini Notebook Enterprise에서 키를 등록 취소하려면 다음 단계를 수행합니다.

1. 등록 취소하려는 CmekConfig 리소스 이름으로 DeleteCmekConfig 메서드를 호출합니다.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   다음을 바꿉니다.

   • LOCATION: 인스턴스의 멀티 리전(us 또는 eu)
   • PROJECT_ID: 인스턴스가 포함된 프로젝트의 ID.
   • CMEK_CONFIG_ID: CmekConfig 리소스 ID. 콘솔을 사용하여 키를 등록한 경우 ID는 default_cmek_config입니다.

   curl 호출 및 응답 예시는 다음과 같습니다.

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. 선택사항: 메서드에서 반환된 name 값을 기록하고 장기 실행 작업에 대한 세부정보 가져오기의 안내에 따라 작업이 완료된 시점을 확인합니다.

   CmekConfig 삭제는 완료하는 데 최대 며칠이 걸릴 수 있는 장기 실행 작업입니다. 이는 CmekConfig가 삭제되기 전에 기본 암호화된 리소스가 완전히 프로비저닝 해제되기 때문입니다.

참고: CmekConfig 리소스는 해당 CmekConfig 리소스에서 보호되는 Gemini Notebook Enterprise 리소스가 없는 경우에만 삭제될 수 있습니다.

Gemini Notebook Enterprise가 키로 보호되는지 확인

키를 사용할 준비가 되었고 Gemini Notebook Enterprise가 키로 보호되는지 확인하려면 다음 단계를 따르세요.

참고: 키가 등록된 후에 생성된 노트북은 키로 보호됩니다.

참고: 등록된 키가 Gemini Notebook Enterprise에서 사용할 준비가 되기까지 최대 24시간이 걸릴 수 있습니다.

1. ListCmekConfigs 메서드를 호출합니다.

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   다음을 바꿉니다.

   • LOCATION: 인스턴스의 멀티 리전(us 또는 eu)
   • PROJECT_ID: 데이터가 포함된 프로젝트의 ID. Google Cloud

   명령어 및 결과 예시

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. 명령어의 출력을 검토합니다. 출력에 다음이 모두 포함되어 있으면 CmekConfig를 사용할 준비가 된 것입니다.

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Cloud KMS 키가 사용 중지되거나 취소된 경우

키가 사용 중지되거나 키에 대한 권한이 취소되면 인스턴스는 데이터 수집을 중지하고 15 분 이내에 데이터 제공을 중지합니다. CMEK 구성이 만료되고 연결된 데이터가 영구적으로 삭제되기 전에 30일 이내에 키를 다시 사용 설정하여 작업을 재개할 수 있습니다. 하지만 키를 다시 사용 설정하거나 권한을 복원하는 데 시간이 오래 걸립니다. 인스턴스에서 데이터 제공을 재개하는 데 최대 24시간이 걸릴 수 있습니다.

따라서 필요한 경우가 아니라면 키를 사용 중지하지 마세요. 인스턴스에서 키를 사용 중지 및 사용 설정하는 작업은 시간이 오래 걸립니다. 예를 들어 키를 반복적으로 사용 중지하고 사용 설정하면 인스턴스가 보호되는 데 시간이 오래 걸립니다. 키를 사용 중지한 후 즉시 다시 사용 설정하면 키가 먼저 인스턴스에서 사용 중지된 후 다시 사용 설정되므로 며칠 동안 다운타임이 발생할 수 있습니다.