יצירת מופע של AI למניעת הלבנת הון

כדי להשתמש ב-AML AI, צריך ליצור מופע. משאב המופע של AML AI נמצא בשורש של כל שאר המשאבים של AML AI. אפשר ליצור כמה מופעים באותו אזור במסגרת פרויקט Google Cloud . אם אותם הצדדים משמשים במופעים, אפשר לשתף רישומים של צדדים בין מופעים כדי לצמצם עלויות. מידע נוסף זמין במאמר בנושא שיתוף רישום של צד שלישי בכמה מקרים ובדף התמחור.

המופעים פועלים בהתאם לתנאים הבאים:

  • כל מופע הוא ספציפי ל Google Cloud אזור, וכך מובטח שמיקום אחסון הנתונים יישאר ב Google Cloud אזור.
  • בכל מופע, כל נתוני הקלט והפלט צריכים להיות באותוGoogle Cloud אזור ובאותו פרויקט.
  • כל מופע דורש מפתח הצפנה יחיד בניהול הלקוח (CMEK) שמשמש להצפנה של כל הנתונים שנוצרו על ידי AML AI.
  • משאבי צאצא של מופע מקבלים בירושה את המיקום וההצפנה של מופע האב.
  • כל מופע תומך בניהול גישה בהתאמה אישית.

רשימת האזורים הזמינים Google Cloud מופיעה בדף מיקומים של AML AI. אתם יכולים למפות אזור גיאוגרפי אחד (או כמה) שבו אתם פועלים למיקום אחד (או לכמה) שזמין ב-AML AI, בהתאם למדיניות שלכם. צריך ליצור לפחות מופע אחד של AML AI לכל מיקום של AML AI שבו משתמשים.

אתם יכולים להריץ חישוב של ציון סיכונים גם ללקוחות מסחריים וגם ללקוחות קמעונאיים במופע אחד של AML AI. עם זאת, כדאי ליצור מופע נפרד כדי לבצע את הפעולות הבאות:

  • להגביל את הגישה לקבוצות שונות של נתונים בנושא AML לחברים שונים בארגון.
  • להשתמש במפתחות CMEK שונים עבור קבוצות שונות של נתונים למניעת הלבנת הון.
  • חשוב להפריד בין פייפליינים של התראות AML AI בייצור לבין אימון והערכה של מודלים חדשים של AML AI. מידע נוסף זמין במאמר בנושא שיתוף של רישום צדדים בכמה מקרים.

שלבים

כדי ליצור Google Cloud פרויקט ולהפעיל את ה-API, קראו את המאמר הגדרת פרויקט והרשאות.

כדי ליצור מפתח CMEK ומופע של AML AI:

יצירת מפתח הצפנה

כדי ליצור מפתח הצפנה, קודם יוצרים אוסף מפתחות ואז את המפתח עצמו. מידע נוסף זמין במאמר יצירת מפתחות הצפנה באמצעות Cloud KMS.

יצירת אוסף מפתחות

כדי ליצור אוסף מפתחות, משתמשים ב-method‏ projects.locations.keyRings.create.

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫KMS_PROJECT_ID: מזהה הפרויקט Google Cloud שמכיל את מחזיק המפתחות
  • ‫LOCATION: המיקום של אוסף המפתחות. צריך להשתמש באחד מהאזורים הנתמכים.
    הצגת מיקומים
    • us-central1
    • us-east1
    • europe-west2
    • europe-west6
  • ‫KEY_RING_ID: מזהה מוגדר על ידי המשתמש של אוסף המפתחות

כדי לשלוח את הבקשה אתם צריכים לבחור אחת מהאפשרויות הבאות:

curl

מריצים את הפקודה הבאה: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings?key_ring_id=KEY_RING_ID"

PowerShell

מריצים את הפקודה הבאה: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings?key_ring_id=KEY_RING_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID",
  "createTime": "2023-03-14T15:52:55.358979323Z"
}

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫KMS_PROJECT_ID: מזהה הפרויקט Google Cloud שמכיל את מחזיק המפתחות
  • ‫LOCATION: המיקום של אוסף המפתחות. צריך להשתמש באחד מהאזורים הנתמכים.
    הצגת מיקומים
    • us-central1
    • us-east1
    • europe-west2
    • europe-west6
  • ‫KEY_RING_ID: מזהה מוגדר על ידי המשתמש של אוסף המפתחות

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud kms keyrings create KEY_RING_ID \
  --project KMS_PROJECT_ID --location LOCATION

‏Windows (PowerShell)

gcloud kms keyrings create KEY_RING_ID `
  --project KMS_PROJECT_ID --location LOCATION

Windows‏ (cmd.exe)

gcloud kms keyrings create KEY_RING_ID ^
  --project KMS_PROJECT_ID --location LOCATION
 אמורה להתקבל תגובה ריקה: 
$

יצירת מפתח

כדי ליצור מפתח, משתמשים ב-method‏ projects.locations.keyRings.cryptoKeys.

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫KMS_PROJECT_ID: מזהה הפרויקט Google Cloud שמכיל את מחזיק המפתחות
  • ‫LOCATION: המיקום של אוסף המפתחות. צריך להשתמש באחד מהאזורים הנתמכים.
    הצגת מיקומים
    • us-central1
    • us-east1
    • europe-west2
    • europe-west6
  • ‫KEY_RING_ID: המזהה שמוגדר על ידי המשתמש עבור אוסף המפתחות
  • ‫KEY_ID: מזהה מוגדר על ידי המשתמש עבור המפתח

תוכן בקשת JSON: 

{
  "purpose": "ENCRYPT_DECRYPT"
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

שומרים את גוף הבקשה בקובץ בשם request.json. כדי ליצור או להחליף את הקובץ הזה בספרייה הנוכחית, מריצים את הפקודה הבאה בטרמינל: 

cat > request.json << 'EOF'
{
  "purpose": "ENCRYPT_DECRYPT"
}
EOF

לאחר מכן מבצעים את הפקודה הבאה כדי לשלוח את בקשת ה-REST: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys?crypto_key_id=KEY_ID"

PowerShell

שומרים את גוף הבקשה בקובץ בשם request.json. כדי ליצור או להחליף את הקובץ הזה בספרייה הנוכחית, מריצים את הפקודה הבאה בטרמינל: 

@'
{
  "purpose": "ENCRYPT_DECRYPT"
}
'@  | Out-File -FilePath request.json -Encoding utf8

לאחר מכן מבצעים את הפקודה הבאה כדי לשלוח את בקשת ה-REST: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys?crypto_key_id=KEY_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID",
  "primary": {
    "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID/cryptoKeyVersions/1",
    "state": "ENABLED",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "protectionLevel": "SOFTWARE",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION",
    "generateTime": "2023-03-14T15:52:55.358979323Z"
  },
  "purpose": "ENCRYPT_DECRYPT",
  "createTime": "2023-03-14T15:52:55.358979323Z",
  "versionTemplate": {
    "protectionLevel": "SOFTWARE",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION"
  },
  "destroyScheduledDuration": "86400s"
}

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫KMS_PROJECT_ID: מזהה הפרויקט Google Cloud שמכיל את מחזיק המפתחות
  • ‫LOCATION: המיקום של אוסף המפתחות. צריך להשתמש באחד מהאזורים הנתמכים.
    הצגת מיקומים
    • us-central1
    • us-east1
    • europe-west2
    • europe-west6
  • ‫KEY_RING_ID: המזהה שמוגדר על ידי המשתמש עבור אוסף המפתחות
  • ‫KEY_ID: מזהה מוגדר על ידי המשתמש עבור המפתח

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud kms keys create KEY_ID \
  --keyring KEY_RING_ID \
  --project KMS_PROJECT_ID \
  --location LOCATION \
  --purpose "encryption"

‏Windows (PowerShell)

gcloud kms keys create KEY_ID `
  --keyring KEY_RING_ID `
  --project KMS_PROJECT_ID `
  --location LOCATION `
  --purpose "encryption"

Windows‏ (cmd.exe)

gcloud kms keys create KEY_ID ^
  --keyring KEY_RING_ID ^
  --project KMS_PROJECT_ID ^
  --location LOCATION ^
  --purpose "encryption"
 אמורה להתקבל תגובה ריקה: 
$

יצירת מכונה

יוצרים מכונה לאזור הספציפי שבו הנתונים צריכים להיות מאוחסנים. המופע הזה מפנה למפתח ההצפנה שיצרתם. מידע נוסף מופיע במאמר בנושא מפתחות הצפנה בניהול הלקוח (CMEK).

כדי ליצור מכונה, משתמשים ב-method‏ projects.locations.instances.create.

(המידע הבא זמין גם במאמר בנושא יצירה וניהול של מופעים).

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שמופיע בהגדרות IAM
  • ‫LOCATION: המיקום של אוסף המפתחות והמופע. צריך להשתמש באחד מהאזורים הנתמכים.
    הצגת מיקומים
    • us-central1
    • us-east1
    • europe-west2
    • europe-west6
  • ‫INSTANCE_ID: מזהה שהוגדר על ידי המשתמש עבור המכונה
  • ‫KMS_PROJECT_ID: מזהה הפרויקט Google Cloud שמכיל את מחזיק המפתחות
  • ‫KEY_RING_ID: המזהה שמוגדר על ידי המשתמש עבור אוסף המפתחות
  • ‫KEY_ID: המזהה שהוגדר על ידי המשתמש עבור המפתח

תוכן בקשת JSON: 

{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

שומרים את גוף הבקשה בקובץ בשם request.json. כדי ליצור או להחליף את הקובץ הזה בספרייה הנוכחית, מריצים את הפקודה הבאה בטרמינל: 

cat > request.json << 'EOF'
{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}
EOF

לאחר מכן מבצעים את הפקודה הבאה כדי לשלוח את בקשת ה-REST: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID"

PowerShell

שומרים את גוף הבקשה בקובץ בשם request.json. כדי ליצור או להחליף את הקובץ הזה בספרייה הנוכחית, מריצים את הפקודה הבאה בטרמינל: 

@'
{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}
'@  | Out-File -FilePath request.json -Encoding utf8

לאחר מכן מבצעים את הפקודה הבאה כדי לשלוח את בקשת ה-REST: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.OperationMetadata",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "target": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": false
}

אם הפעולה בוצעה ללא שגיאות, גוף התגובה יכיל פעולה ממושכת עם מזהה שאפשר להשתמש בו כדי לאחזר את הסטטוס של הפעולה האסינכרונית. מעתיקים את הערך OPERATION_ID שמוחזר כדי להשתמש בו בקטע הבא.

בדיקה של התוצאה

כדי לבדוק אם המכונה נוצרה, משתמשים בשיטה projects.locations.operations.get. אם התשובה מכילה את הערך "done": false, חוזרים על הפקודה עד שהתשובה מכילה את הערך "done": true. הפעולות האלה יכולות להימשך כמה דקות עד כמה שעות.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שמופיע בהגדרות IAM
  • ‫LOCATION: המיקום של המכונה. צריך להשתמש באחד מהאזורים הנתמכים
    הצגת מיקומים
    • us-central1
    • us-east1
    • europe-west2
    • europe-west6
  • ‫OPERATION_ID: המזהה של הפעולה

כדי לשלוח את הבקשה אתם צריכים לבחור אחת מהאפשרויות הבאות:

curl

מריצים את הפקודה הבאה: 

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID"

PowerShell

מריצים את הפקודה הבאה: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.OperationMetadata",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "endTime": "2023-03-14T16:52:55.358979323Z",
    "target": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.Instance",
    "name": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "createTime": CREATE_TIME,
    "updateTime": UPDATE_TIME,
    "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID",
    "state": "ACTIVE"
  }
}

הענקת גישה למפתח CMEK

ממשק ה-API יוצר באופן אוטומטי חשבון שירות בפרויקט. לחשבון השירות צריך להיות גישה למפתח ה-CMEK כדי שהוא יוכל להשתמש במפתח להצפנה ולפענוח של הנתונים הבסיסיים. מעניקים גישה למפתח.

בשביל PROJECT_NUMBER, משתמשים במספר הפרויקט שמשויך ל-PROJECT_ID. אפשר לראות את מספר הפרויקט בדף IAM Settings (הגדרות IAM).

gcloud kms keys add-iam-policy-binding "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID" \
  --keyring "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID" \
  --location "LOCATION" \
  --member "serviceAccount:service-PROJECT_NUMBER@gcp-sa-financialservices.iam.gserviceaccount.com" \
  --role="roles/cloudkms.cryptoKeyEncrypterDecrypter" \
  --project="PROJECT_ID"

יצירת קשר עם התמיכה

בכל פעם שיוצרים מופע של AML AI, צריך לפנות אל התמיכה. כדי שצוות המוצר של AML AI יוכל להגדיר את המופע שלכם בצורה אופטימלית בהתאם לצרכים שלכם, עליכם לכלול את הפרטים הבאים:

  • מזהה פרויקט
  • אזור אחד (Google Cloud )
  • מזהה מופע
  • מספר הצדדים הצפוי בטבלת Party במערכי נתונים במופע הזה
  • מספר העסקאות הצפוי בשנה בטבלת Transaction במערכי הנתונים במופע הזה

לפרטים על בקשת הגדלה של מכסות, ראו מכסות.

‫AML AI מספק כמה סוגים של יומנים, כולל יומני פלטפורמה, יומני ביקורת ויומני גישה לנתונים. מידע נוסף על כל סוג של רישום ביומן: