Kundenverwaltete Verschlüsselungsschlüssel (CMEK) im Agentenabruf

Mit Agent Retrieval (früher Vector Search 2.0) können Sie Ihre inaktiven Daten mit kryptografischen Schlüsseln schützen, die über den Cloud Key Management Service verwaltet werden. Diese Integration bietet Kontrolle über die Schlüssel, die zum Verschlüsseln von Kerninhalten von Kunden verwendet werden, einschließlich der Möglichkeit, diese Schlüssel zu rotieren und zu widerrufen.

Standardmäßig werden Daten mit von Google verwalteten Plattformstandards verschlüsselt. Mit CMEK haben Sie direkte Kontrolle über die Verschlüsselungsschlüssel.

Weitere Informationen finden Sie in der Dokumentation zu kundenverwalteten Verschlüsselungsschlüsseln (CMEK).

Voraussetzungen und Einschränkungen

Die folgenden Voraussetzungen und Einschränkungen müssen erfüllt sein, um CMEK mit Sammlungen zu verwenden:

  • Der Cloud KMS-Schlüssel muss sich in derselben Google Cloud -Region wie die Sammlung befinden, die er schützt. Eine Sammlung in der Region us-central1 muss beispielsweise einen Cloud KMS-Schlüssel verwenden, der sich in us-central1 befindet.

  • Sie müssen Ihrem P4-Dienstkonto (Per-Product-Per-Project) die Rolle cryptoKeyEncrypterDecrypter für Ihren Cloud KMS-Schlüssel zuweisen. Das P4-Dienstkonto hat folgendes Format: service-${CONSUMER_PROJECT_NUMBER}@gcp-sa-vectorsearch.iam.gserviceaccount.com

CMEK-geschützte Sammlung erstellen

Wenn Sie alle Voraussetzungen erfüllen, können Sie die gcloud CLI, die REST API oder das Python SDK verwenden, um eine neue Sammlung mit aktiviertem CMEK zu erstellen.

gcloud CLI verwenden

Geben Sie die vollständig qualifizierte Ressourcen-ID Ihres Cloud KMS-Schlüssels mit dem Argument --kms-key an:

gcloud vector-search collections create [COLLECTION_ID] \
    --kms-key projects/[KMS_PROJECT_ID]/locations/[REGION]/keyRings/[KEY_RING]/cryptoKeys/[KEY]

REST API verwenden

Fügen Sie die encryption_spec in den Text Ihrer POST-Anfrage ein:

{
  "encryption_spec": {
    "crypto_key_name": "projects/[PROJECT_ID]/locations/[REGION]/keyRings/[KEY_RING]/cryptoKeys/[KEY]"
  }
}

Python SDK verwenden

Mit dem Python SDK:

   
request = vectorsearch_v1beta.CreateCollectionRequest(
    parent=f"projects/{PROJECT_ID}/locations/{LOCATION}",
    collection_id=collection_id,
    collection={
        "data_schema": {...},
        "vector_schema": {...},
        # Specifies the customer-managed encryption key spec for a Collection
        "encryption_spec": {
            "crypto_key_name": f"projects/{PROJECT_ID}/locations/{LOCATION}/keyRings/{KEY_RING}/cryptoKeys/{KEY}"
        }
    },
)

operation = vector_search_service_client.create_collection(request=request)
operation.result()

Datenobjekte aus einer Sammlung ohne CMEK in eine CMEK-fähige Sammlung migrieren

CMEK kann für vorhandene Sammlungen nicht aktiviert werden. Stattdessen müssen Sie Datenobjekte in eine neue Sammlung mit aktiviertem CMEK migrieren.

Anleitung:

  1. Exportieren Sie Ihre Datenobjekte aus einer vorhandenen Sammlung in einen Cloud Storage-Bucket.

  2. Erstellen Sie eine neue Sammlung mit aktiviertem CMEK.

  3. Importieren Sie Ihre Datenobjekte in die Sammlung.

Schlüsselrotation

Wenn ein Schlüssel in Cloud KMS rotiert wird, werden neue Daten mit der primären Schlüsselversion verschlüsselt, während vorhandene Daten mit der vorherigen Version verschlüsselt bleiben. Weitere Informationen finden Sie unter Schlüsselrotation.

Schlüsselwiderruf

Wenn Sie einen Schlüssel widerrufen oder deaktivieren, wird die Sammlung sofort deaktiviert. Verknüpfte ANN-Indexe werden automatisch aufgehoben und speicherinterne Daten werden gelöscht. Lese-, Schreib- und Suchvorgänge für die Sammlung schlagen fehl.

Sammlungen werden nicht automatisch wieder aktiviert, wenn der Schlüssel wiederhergestellt wird.

CMEK-unterstützte Ressourcen

Im Folgenden finden Sie die von CMEK abgedeckten Ressourcen der Gemini Enterprise Agent Platform. Die CMEK-Unterstützung für Funktionen in der Vorabversion ist auch im Vorschaustatus.

Ressource Verschlüsseltes Material Links zur Dokumentation
Dataset Alle vom Nutzer importierten Daten (z. B. Textinhalte) für DataItems und Annotations.

Von Nutzern erstellte Inhalte wie AnnotationSpecs, ColumnSpecs.		 Dataset zum Trainieren von Klassifizierungs- und Regressionsmodellen erstellen

Dataset für Trainingsprognosemodelle erstellen
Index Alle Datendateien, die für die Vektorsuche in Gemini Enterprise Agent Platform-Indizes verwendet werden, werden in Cloud Storage, Pub/Sub und im internen Speicher gespeichert. Index und IndexEndpoint müssen mit demselben Schlüssel erstellt werden.

Alle Indexe in einer Sammlung müssen mit demselben Schlüssel erstellt werden.		 Indexe in der Vektorsuche verwalten:

Indexe in der Vektorsuche verwalten 2
Sammlungen Sammlungen werden verwendet, um zusammengehörige Datenobjekte zu speichern. Sammlungen in Vector Search 2 verwalten
DataObjects In Sammlungen werden Daten als einzelne JSON-Objekte gespeichert, die als Datenobjekte bezeichnet werden. Datenobjekte in Vektorsuche 2 verwalten