Menggunakan kunci enkripsi yang dikelola pelanggan (CMEK)

Secara default, Colab Enterprise mengenkripsi konten pelanggan dalam penyimpanan. Colab Enterprise menangani enkripsi untuk Anda tanpa tindakan tambahan dari Anda. Opsi ini disebut Enkripsi default Google.

Jika ingin mengontrol kunci enkripsi, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) di Cloud KMS dengan layanan yang terintegrasi dengan CMEK, termasuk Colab Enterprise. Dengan menggunakan kunci Cloud KMS, Anda dapat mengontrol tingkat perlindungan, lokasi, jadwal rotasi, izin penggunaan dan akses, serta batasan kriptografisnya. Dengan Cloud KMS, Anda juga dapat melihat log audit dan mengontrol siklus proses kunci. Bukan Google yang memiliki dan mengelola kunci enkripsi kunci (KEK) simetris yang melindungi data Anda. Andalah yang mengontrol dan mengelola kunci ini di Cloud KMS.

Setelah Anda menyiapkan resource dengan CMEK, pengalaman mengakses resource Colab Enterprise Anda akan serupa dengan menggunakan enkripsi default Google. Untuk mengetahui informasi selengkapnya tentang opsi enkripsi, lihat Kunci enkripsi yang dikelola pelanggan (CMEK).

Panduan ini menjelaskan cara menggunakan CMEK untuk Colab Enterprise.

Untuk mengetahui informasi selengkapnya tentang cara menggunakan CMEK untuk Gemini Enterprise Agent Platform, lihat halaman CMEK Agent Platform.

CMEK untuk Colab Enterprise

Anda dapat menggunakan CMEK untuk mengenkripsi runtime Colab Enterprise, file notebook (notebook), dan data Agen Data Science.

Runtime

Saat Anda menjalankan kode di notebook Colab Enterprise, runtime akan menjalankan kode di satu atau beberapa instance virtual machine (VM) yang dikelola oleh Colab Enterprise. Saat Anda mengaktifkan CMEK untuk runtime Colab Enterprise, kunci yang Anda tetapkan, bukan kunci yang dikelola oleh Google, digunakan untuk mengenkripsi data di VM ini. Kunci CMEK mengenkripsi jenis data berikut:

  • Salinan kode Anda di VM.
  • Data apa pun yang dimuat oleh kode Anda.
  • Setiap data sementara yang disimpan ke disk lokal oleh kode Anda.

Anda dapat memulai, menghentikan, dan mengupgrade runtime tanpa memengaruhi enkripsi CMEK-nya.

Secara umum, kunci CMEK tidak mengenkripsi metadata yang terkait dengan operasi Anda, seperti nama runtime atau nama dan region notebook Anda. Metadata ini selalu dienkripsi menggunakan mekanisme enkripsi default Google.

Notebook

Notebook Colab Enterprise disimpan di repositori Dataform. Saat Anda membuat notebook, Colab Enterprise akan otomatis membuat repositori Dataform tersembunyi tempat notebook disimpan. Karena repositori disembunyikan, Anda tidak dapat mengubah setelan enkripsinya seperti yang Anda lakukan pada repositori Dataform lainnya.

Untuk menggunakan CMEK bagi notebook, Anda harus menetapkan kunci CMEK Dataform default untuk project Google Cloud yang akan berisi notebook Anda. Setelah Anda menetapkan kunci CMEK Dataform default, Dataform akan menerapkan kunci tersebut ke semua repositori baru yang dibuat di Google Cloud project secara default, termasuk repositori tersembunyi yang dibuat untuk menyimpan notebook Anda.

Kunci CMEK Dataform default tidak diterapkan ke repositori yang sudah ada. Oleh karena itu, jika Anda sudah memiliki notebook di project tersebut, notebook tersebut tidak akan dienkripsi oleh kunci CMEK Dataform default. Untuk menggunakan CMEK dengan notebook yang dibuat sebelum Anda menetapkan kunci CMEK Dataform default project, Anda dapat menyimpan file notebook sebagai notebook Colab Enterprise baru.

Untuk mempelajari lebih lanjut kunci CMEK Dataform default, lihat Menggunakan kunci CMEK default Dataform.

Untuk menggunakan CMEK bagi notebook Anda, lihat Menetapkan kunci CMEK Dataform default.

Agen Data Science

Agen Data Science secara otomatis menggunakan kunci Cloud KMS yang dikonfigurasi di template runtime default Anda untuk mengenkripsi data sesi dalam penyimpanan, seperti histori percakapan. Anda tidak perlu mengonfigurasi CMEK secara terpisah untuk Agen Data Science.

Perubahan dan penghapusan utama untuk Agen Data Science

Saat Anda mengubah atau menghapus kunci CMEK pada template runtime default (atau menghapus template runtime default yang dikonfigurasi CMEK), setelan enkripsi akan diterapkan ke Agen Data Science saat Anda memulai sesi baru. Dampak pada data dan sesi Agen Data Science Anda bergantung pada jenis perubahan:

  • Mengubah kunci: Data dari sesi sebelumnya akan dihapus, dan sesi baru akan dienkripsi dengan kunci yang diperbarui.
  • Menghapus kunci: Data dari sesi sebelumnya akan dihapus, dan sesi berikutnya akan menggunakan enkripsi default Google (kecuali jika dibatasi oleh kebijakan organisasi).
  • Kunci tidak tersedia: Jika kunci Cloud KMS dinonaktifkan, dihapus, atau izin dicabut, Agen Data Science tidak dapat memproses permintaan hingga akses kunci dipulihkan.
  • Kebijakan organisasi: Jika organisasi Anda menerapkan batasan constraints/gcp.restrictNonCmekServices untuk aiplatform.googleapis.com, Anda harus mengonfigurasi kunci Cloud KMS di template runtime default sebelum dapat menggunakan Agen Data Science.

Kunci yang didukung

Colab Enterprise mendukung jenis kunci CMEK berikut:

Ketersediaan kunci bervariasi menurut jenis kunci dan wilayah. Untuk mengetahui informasi selengkapnya tentang ketersediaan geografis kunci CMEK, lihat lokasi Cloud KMS.

Batas dan pembatasan

Colab Enterprise mendukung CMEK dengan batasan dan batasan berikut:

  • Kuota kunci enkripsi: Kuota default di Agent Platform adalah satu kunci enkripsi per project dan region. Jika Anda perlu mendaftarkan lebih dari satu kunci untuk suatu region di project Anda, hubungi tim akun Google Anda untuk meminta penambahan kuota untuk konfigurasi CMEK, dengan memberikan alasan mengapa Anda memerlukan lebih dari satu kunci.
  • Konfigurasi Agen Data Science: Agen Data Science tidak memiliki konfigurasi CMEK terpisah. Template ini hanya mewarisi setelan CMEK dari template runtime default untuk project dan region Anda. Template runtime non-default kustom tidak berlaku untuk Agen Data Science.
  • Pembaruan sesi Data Science Agent: Perubahan pada konfigurasi CMEK di template runtime default (seperti memperbarui atau menghapus kunci) akan diterapkan saat sesi baru dimulai dengan Data Science Agent. Data sesi sebelumnya dihapus dan setelan enkripsi yang diperbarui diterapkan saat memulai sesi berikutnya.

Kuota Cloud KMS dan Colab Enterprise

Saat Anda menggunakan CMEK di Colab Enterprise, project Anda dapat memakai kuota permintaan kriptografis Cloud KMS. Operasi enkripsi dan dekripsi menggunakan kunci CMEK memengaruhi kuota Cloud KMS hanya jika Anda menggunakan kunci hardware (Cloud HSM) atau kunci eksternal (Cloud EKM). Untuk mengetahui informasi selengkapnya, lihat Kuota Cloud KMS.

Mengonfigurasi CMEK untuk runtime Anda

Bagian berikut menjelaskan cara membuat key ring dan kunci di Cloud Key Management Service, memberikan izin bagi pengenkripsi dan pendekripsi Colab Enterprise untuk kunci Anda, serta membuat template runtime yang dikonfigurasi untuk menggunakan CMEK. Setiap runtime yang dihasilkan Colab Enterprise dari template runtime ini menggunakan enkripsi CMEK.

Sebelum memulai

Panduan ini mengasumsikan bahwa Anda menggunakan dua project Google Cloud terpisah untuk mengonfigurasi CMEK bagi runtime Colab Enterprise:

  • Project untuk mengelola kunci enkripsi Anda (disebut sebagai "project Cloud KMS").
  • Project untuk mengakses resource Colab Enterprise Anda dan berinteraksi dengan produk Google Cloud lain yang Anda perlukan (disebut sebagai "project Notebook").

Penyiapan yang direkomendasikan ini mendukung pemisahan tugas.

Atau, Anda dapat menggunakan satu project Google Cloud untuk seluruh panduan. Untuk melakukannya, gunakan project yang sama untuk semua tugas berikut yang merujuk ke project Cloud KMS dan tugas yang merujuk ke project Notebook.

Menyiapkan project Cloud KMS

  1. Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Cloud KMS API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Cloud KMS API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    8.

Menyiapkan project Notebook

  1. Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Gemini Enterprise Agent Platform API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Gemini Enterprise Agent Platform API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    8.

Menyiapkan Google Cloud CLI

gcloud CLI diperlukan untuk beberapa langkah dalam panduan ini, dan bersifat opsional untuk langkah lainnya.

Instal Google Cloud CLI. Setelah penginstalan, inisialisasi Google Cloud CLI dengan menjalankan perintah berikut: 

gcloud init

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

Membuat key ring dan kunci

Ikuti Panduan Cloud KMS untuk membuat kunci simetris untuk membuat key ring dan kunci. Saat Anda membuat key ring, tentukan region yang mendukung operasi Colab Enterprise sebagai lokasi key ring. Colab Enterprise hanya mendukung CMEK jika runtime (atau Agen Data Science) dan kunci Anda menggunakan region yang sama. Anda tidak boleh menentukan lokasi dual-regional, multi-regional, atau global untuk key ring Anda.

Pastikan untuk membuat key ring dan kunci di project Cloud KMS Anda.

Memberikan izin Colab Enterprise

Agar dapat menggunakan CMEK untuk resource, Anda harus memberikan izin kepada Colab Enterprise untuk mengenkripsi dan mendekripsi data menggunakan kunci Anda. Colab Enterprise menggunakan agen layanan yang dikelola Google untuk menjalankan operasi menggunakan resource Anda. Akun layanan ini diidentifikasi oleh alamat email dengan format berikut: service-PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com.

Untuk menemukan akun layanan yang sesuai untuk project Notebook Anda, buka halaman IAM di konsolGoogle Cloud dan temukan anggota yang cocok dengan format alamat email ini, dengan nomor project untuk project Notebook Anda yang menggantikan variabel NOTEBOOK_PROJECT_NUMBER. Akun layanan juga memiliki nama Vertex AI Service Agent.

Buka halaman IAM

Catat alamat email untuk akun layanan ini, dan gunakan dalam langkah-langkah berikut guna memberi akan layanan tersebut izin untuk mengenkripsi dan mendekripsi data menggunakan kunci Anda. Anda dapat memberikan izin menggunakan konsol Google Cloud atau menggunakan Google Cloud CLI:

Konsol Google Cloud

  1. Di konsol Google Cloud , Click Security, lalu pilih Key Management. Ini akan membawa Anda ke halaman Kunci Kriptografis dan pilih project Cloud KMS Anda.

    Buka halaman Cryptographic Keys

  2. Klik nama key ring yang Anda buat di bagian sebelumnya dalam panduan ini untuk membuka halaman Key ring details.

  3. Centang kotak untuk kunci yang Anda buat di bagian sebelumnya dalam panduan ini. Jika panel info yang berlabel nama kunci Anda belum terbuka, klik Tampilkan panel info.

  4. Di panel info, klik Tambahkan anggota untuk membuka dialog Tambahkan anggota ke "KEY_NAME". Dalam dialog ini, lakukan hal berikut:

    1. Di kotak Anggota Baru, masukkan alamat email akun layanan yang Anda catat di bagian sebelumnya: service-NOTEBOOK_PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com

    2. Di menu drop-down Select a role, klik Cloud KMS, lalu pilih peran Cloud KMS CryptoKey Encrypter/Decrypter.

    3. Klik Simpan.

gcloud

Jalankan perintah berikut:

gcloud kms keys add-iam-policy-binding KEY_NAME \
  --keyring=KEY_RING_NAME \
  --location=REGION \
  --project=KMS_PROJECT_ID \
  --member=serviceAccount:service-NOTEBOOK_PROJECT_NUMBER@gcp-sa-aiplatform.iam.gserviceaccount.com \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Dalam perintah ini, ganti placeholder berikut:

  • KEY_NAME: Nama kunci yang Anda buat di bagian sebelumnya dalam panduan ini.
  • KEY_RING_NAME: Key ring yang Anda buat di bagian sebelumnya dalam panduan ini.
  • REGION: Region tempat Anda membuat key ring.
  • KMS_PROJECT_ID: ID project Cloud KMS Anda.
  • NOTEBOOK_PROJECT_NUMBER: Nomor project Notebook Anda, yang telah Anda catat di bagian sebelumnya sebagai bagian dari alamat email akun layanan.

Mengonfigurasi template runtime dengan kunci KMS

Saat membuat resource yang didukung CMEK baru, Anda dapat menentukan kunci sebagai salah satu parameter pembuatan. Untuk membuat runtime Colab Enterprise, Anda membuat template runtime dengan kunci CMEK yang ditentukan sebagai parameter. Setiap runtime yang dihasilkan Colab Enterprise dari template runtime ini menggunakan enkripsi CMEK.

Untuk membuat template runtime menggunakan konsol Google Cloud , Anda menentukan kunci dalam dialog Create new runtime template. Lakukan tindakan berikut:

  1. Di konsol Google Cloud , buka halaman Runtime templates Colab Enterprise.

    Buka Template Runtime

  2. Klik  New template.

    Dialog Create new runtime template akan muncul.

  3. Di bagian Configure compute, di Encryption, pilih Cloud KMS key.

  4. Untuk Key type, pilih Cloud KMS, lalu, di kolom berikutnya, pilih kunci enkripsi yang dikelola pelanggan Anda.

  5. Selesaikan dialog pembuatan instance selanjutnya, lalu klik Create.

    Template runtime Anda akan muncul dalam daftar di tab Runtime templates.

Mengonfigurasi CMEK untuk Agen Data Science

Untuk mengaktifkan CMEK bagi Agen Data Science, konfigurasikan kunci Cloud KMS Anda pada template runtime default untuk project dan region Anda. Agen Data Science hanya mewarisi konfigurasi enkripsi dari template runtime default, bukan dari template non-default kustom.

Untuk mengonfigurasi CMEK bagi Agen Data Science, ikuti langkah-langkah di Mengonfigurasi template runtime dengan kunci KMS saat membuat atau mengedit template runtime default untuk region Anda.

Langkah berikutnya