Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Crea un'istanza AML AI

Per utilizzare AML AI, crea un'istanza. La risorsa Istanza di AML AI si trova alla radice di tutte le altre risorse AML AI. È possibile creare più istanze nella stessa regione all'interno di un progetto Google Cloud . Se nelle istanze vengono utilizzate le stesse parti, puoi condividere le registrazioni delle parti tra le istanze per ridurre i costi. Per ulteriori informazioni, consulta Condivisione della registrazione della parte per più istanze e la pagina dei prezzi.

Le istanze rispettano quanto segue:

Ogni istanza è specifica per una regione Google Cloud , garantendo la residenza dei dati all'interno della regione Google Cloud .
Ogni istanza richiede che tutti i dati di input e output si trovino nella stessa Google Cloud regione e nello stesso progetto.
Ogni istanza richiede una singola chiave di crittografia gestita dal cliente (CMEK) associata, che viene utilizzata per criptare tutti i dati creati da AML AI.
Le risorse secondarie di un'istanza ereditano le impostazioni di località e crittografia dell'istanza padre.
Ogni istanza supporta la gestione degli accessi personalizzata.

L'elenco delle regioni Google Cloud disponibili è disponibile nella pagina Località AML AI. Puoi mappare una o più aree geografiche in cui operi a una o più posizioni AI AML disponibili, in base alle tue norme. Devi creare almeno un'istanza di AML AI per ogni località di AML AI che utilizzi.

Puoi eseguire lo scoring del rischio sia per i clienti commerciali che per quelli al dettaglio in una sola istanza di AI per l'antiriciclaggio. Tuttavia, crea un'istanza separata per eseguire una delle seguenti operazioni:

Limita l'accesso a diversi set di dati AML a membri diversi all'interno della tua organizzazione.
Utilizza chiavi CMEK diverse per diversi set di dati AML.
Mantieni le pipeline di avvisi AI per la produzione di AML separate dall'addestramento e dalla valutazione di nuovi modelli di AI per AML. Per saperne di più, vedi Condivisione della registrazione di terze parti per più istanze.

Procedura

Per creare un progetto Google Cloud e abilitare l'API, consulta Configurare un progetto e le autorizzazioni.

Per creare una chiave CMEK e un'istanza AML AI:

Crea una chiave di crittografia

Per creare una chiave di crittografia, crea prima un keyring e poi la chiave. Per ulteriori informazioni, consulta Crea chiavi di crittografia con Cloud KMS.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

Autorizzazioni

cloudkms.keyRings.create
cloudkms.cryptoKeys.create

Creazione di chiavi automatizzate

Per creare un keyring, utilizza il metodo projects.locations.keyRings.create.

REST

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

KMS_PROJECT_ID: l'ID progetto Google Cloud del progetto contenente il portachiavi
LOCATION: la posizione del portachiavi; utilizza una delle regioni supportate
Mostra le sedi
- us-central1
- us-east1
- europe-west2
- europe-west6
KEY_RING_ID: un identificatore definito dall'utente per le chiavi automatizzate

Per inviare la richiesta, scegli una di queste opzioni:

curl

Esegui questo comando:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings?key_ring_id=KEY_RING_ID"

PowerShell

Esegui questo comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings?key_ring_id=KEY_RING_ID" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID",
  "createTime": "2023-03-14T15:52:55.358979323Z"
}

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

KMS_PROJECT_ID: l'ID progetto Google Cloud del progetto contenente il portachiavi
LOCATION: la posizione del portachiavi; utilizza una delle regioni supportate
Mostra le sedi
- us-central1
- us-east1
- europe-west2
- europe-west6
KEY_RING_ID: un identificatore definito dall'utente per le chiavi automatizzate

Esegui questo comando:

Linux, macOS o Cloud Shell

gcloud kms keyrings create KEY_RING_ID \
  --project KMS_PROJECT_ID --location LOCATION

Windows (PowerShell)

gcloud kms keyrings create KEY_RING_ID `
  --project KMS_PROJECT_ID --location LOCATION

Windows (cmd.exe)

gcloud kms keyrings create KEY_RING_ID ^
  --project KMS_PROJECT_ID --location LOCATION

Dovresti ricevere una risposta vuota:

Crea una chiave

Per creare una chiave, utilizza il metodo projects.locations.keyRings.cryptoKeys.

REST

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

KMS_PROJECT_ID: l'ID progetto Google Cloud del progetto contenente il portachiavi
LOCATION: la posizione del portachiavi; utilizza una delle regioni supportate
Mostra le sedi
- us-central1
- us-east1
- europe-west2
- europe-west6
KEY_RING_ID: l'identificatore definito dall'utente per le chiavi automatizzate
KEY_ID: un identificatore definito dall'utente per la chiave

Corpo JSON della richiesta:

{
  "purpose": "ENCRYPT_DECRYPT"
}

Per inviare la richiesta, scegli una di queste opzioni:

curl

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che consente di accedere automaticamente all'interfaccia a riga di comando gcloud. Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Salva il corpo della richiesta in un file denominato request.json. Esegui questo comando nel terminale per creare o sovrascrivere questo file nella directory corrente:

cat > request.json << 'EOF'
{
  "purpose": "ENCRYPT_DECRYPT"
}
EOF

Quindi esegui questo comando per inviare la richiesta REST:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys?crypto_key_id=KEY_ID"

PowerShell

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Salva il corpo della richiesta in un file denominato request.json. Esegui questo comando nel terminale per creare o sovrascrivere questo file nella directory corrente:

@'
{
  "purpose": "ENCRYPT_DECRYPT"
}
'@  | Out-File -FilePath request.json -Encoding utf8

Quindi esegui questo comando per inviare la richiesta REST:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys?crypto_key_id=KEY_ID" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID",
  "primary": {
    "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID/cryptoKeyVersions/1",
    "state": "ENABLED",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "protectionLevel": "SOFTWARE",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION",
    "generateTime": "2023-03-14T15:52:55.358979323Z"
  },
  "purpose": "ENCRYPT_DECRYPT",
  "createTime": "2023-03-14T15:52:55.358979323Z",
  "versionTemplate": {
    "protectionLevel": "SOFTWARE",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION"
  },
  "destroyScheduledDuration": "86400s"
}

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

KMS_PROJECT_ID: l'ID progetto Google Cloud del progetto contenente il portachiavi
LOCATION: la posizione del portachiavi; utilizza una delle regioni supportate
Mostra le sedi
- us-central1
- us-east1
- europe-west2
- europe-west6
KEY_RING_ID: l'identificatore definito dall'utente per le chiavi automatizzate
KEY_ID: un identificatore definito dall'utente per la chiave

Esegui questo comando:

Linux, macOS o Cloud Shell

gcloud kms keys create KEY_ID \
  --keyring KEY_RING_ID \
  --project KMS_PROJECT_ID \
  --location LOCATION \
  --purpose "encryption"

Windows (PowerShell)

gcloud kms keys create KEY_ID `
  --keyring KEY_RING_ID `
  --project KMS_PROJECT_ID `
  --location LOCATION `
  --purpose "encryption"

Windows (cmd.exe)

gcloud kms keys create KEY_ID ^
  --keyring KEY_RING_ID ^
  --project KMS_PROJECT_ID ^
  --location LOCATION ^
  --purpose "encryption"

Dovresti ricevere una risposta vuota:

Crea un'istanza

Crea un'istanza per la regione specifica in cui devono risiedere i dati. Questa istanza fa riferimento alla chiave di crittografia che hai creato. Per saperne di più, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Per creare un'istanza, utilizza il metodo projects.locations.instances.create.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

Autorizzazioni

financialservices.v1instances.create

Le seguenti informazioni sono disponibili anche in Crea e gestisci istanze.

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

PROJECT_ID: l'ID progetto Google Cloud elencato nelle impostazioni IAM
LOCATION: la posizione delle chiavi automatizzate e dell'istanza; utilizza una delle regioni supportate
Mostra le sedi
- us-central1
- us-east1
- europe-west2
- europe-west6
INSTANCE_ID: un identificatore definito dall'utente per l'istanza
KMS_PROJECT_ID: l'ID progetto Google Cloud del progetto contenente il portachiavi
KEY_RING_ID: l'identificatore definito dall'utente per le chiavi automatizzate
KEY_ID: l'identificatore definito dall'utente per la chiave
Nota: non puoi passare a una chiave CMEK diversa dopo la creazione dell'istanza.

Corpo JSON della richiesta:

{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}

Per inviare la richiesta, scegli una di queste opzioni:

curl

Salva il corpo della richiesta in un file denominato request.json. Esegui questo comando nel terminale per creare o sovrascrivere questo file nella directory corrente:

cat > request.json << 'EOF'
{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}
EOF

Quindi esegui questo comando per inviare la richiesta REST:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID"

PowerShell

Salva il corpo della richiesta in un file denominato request.json. Esegui questo comando nel terminale per creare o sovrascrivere questo file nella directory corrente:

@'
{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}
'@  | Out-File -FilePath request.json -Encoding utf8

Quindi esegui questo comando per inviare la richiesta REST:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.OperationMetadata",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "target": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": false
}

In caso di esito positivo, il corpo della risposta contiene un'operazione a lunga esecuzione che contiene un ID utilizzabile per recuperare lo stato in corso dell'operazione asincrona. Copia il OPERATION_ID restituito da utilizzare nella sezione successiva.

Controlla il risultato

Utilizza il metodo projects.locations.operations.get per verificare se l'istanza è stata creata. Se la risposta contiene "done": false, ripeti il comando finché la risposta non contiene "done": true. Il completamento di queste operazioni può richiedere da alcuni minuti a diverse ore.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

Autorizzazioni

financialservices.operations.get

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

PROJECT_ID: l'ID progetto Google Cloud elencato nelle impostazioni IAM
LOCATION: la posizione dell'istanza; utilizza una delle regioni supportate
Mostra le sedi
- us-central1
- us-east1
- europe-west2
- europe-west6
OPERATION_ID: l'identificatore dell'operazione

Per inviare la richiesta, scegli una di queste opzioni:

curl

Esegui questo comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID"

PowerShell

Esegui questo comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.OperationMetadata",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "endTime": "2023-03-14T16:52:55.358979323Z",
    "target": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.Instance",
    "name": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "createTime": CREATE_TIME,
    "updateTime": UPDATE_TIME,
    "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID",
    "state": "ACTIVE"
  }
}

Concedi l'accesso alla chiave CMEK

L'API crea automaticamente un account di servizio nel tuo progetto. Il service account deve accedere alla chiave CMEK per poterla utilizzare per criptare e decriptare i dati sottostanti. Concedi l'accesso alla chiave.

Per PROJECT_NUMBER, utilizza il numero di progetto associato a PROJECT_ID. Puoi trovare il numero di progetto nella pagina Impostazioni IAM.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

Autorizzazioni

cloudkms.cryptoKeys.getIamPolicy
cloudkms.cryptoKeys.setIamPolicy

gcloud kms keys add-iam-policy-binding "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID" \
  --keyring "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID" \
  --location "LOCATION" \
  --member "serviceAccount:service-PROJECT_NUMBER@gcp-sa-financialservices.iam.gserviceaccount.com" \
  --role="roles/cloudkms.cryptoKeyEncrypterDecrypter" \
  --project="PROJECT_ID"

Contatta l'assistenza

Ogni volta che crei un'istanza AML AI, contatta l'assistenza. Includi le seguenti informazioni in modo che il team del prodotto AML AI possa configurare in modo ottimale la tua istanza in base alle tue esigenze:

ID progetto
Google Cloud regione
ID istanza
Numero previsto di parti nella tabella Party nei set di dati all'interno di questa istanza
Numero previsto di transazioni all'anno nella tabella Transaction nei set di dati all'interno di questa istanza

Per richiedere limiti di quota aggiuntivi, consulta Quote.

AML AI rende disponibili più tipi di log, tra cui log della piattaforma, audit log e log di accesso ai dati. Scopri di più su ogni tipo di logging:

Crea un'istanza AML AI Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Procedura

Crea una chiave di crittografia

Autorizzazioni richieste per questa attività

Creazione di chiavi automatizzate

REST

curl

PowerShell

gcloud

Linux, macOS o Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Crea una chiave

REST

curl

PowerShell

gcloud

Linux, macOS o Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Crea un'istanza

Autorizzazioni richieste per questa attività

curl

PowerShell

Controlla il risultato

Autorizzazioni richieste per questa attività

curl

PowerShell

Concedi l'accesso alla chiave CMEK

Autorizzazioni richieste per questa attività

Contatta l'assistenza

Crea un'istanza AML AI