Kundenverwaltete Verschlüsselungsschlüssel (CMEK) in Agent Retrieval

Mit Agent Retrieval (ehemals Vector Search 2.0) können Sie Ihre im Ruhezustand befindlichen Daten mit kryptografischen Schlüsseln schützen, die über Cloud Key Management Service verwaltet werden. Diese Integration bietet Kontrolle über die Schlüssel, die zum Verschlüsseln von wichtigen Kundeninhalten verwendet werden, einschließlich der Möglichkeit, diese Schlüssel zu rotieren und zu widerrufen.

Standardmäßig werden Daten mit von Google verwalteten Plattformstandardeinstellungen verschlüsselt. Mit CMEK haben Sie die direkte Kontrolle über die Verschlüsselungsschlüssel.

Weitere Informationen finden Sie in der Dokumentation zu vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK).

Voraussetzungen und Einschränkungen

Die folgenden Voraussetzungen und Einschränkungen müssen erfüllt sein, um CMEK mit einer Sammlung zu verwenden:

  • Der Cloud KMS-Schlüssel muss sich in derselben Google Cloud Region wie die Sammlung befinden, die er schützt. Für eine Sammlung in der Region us-central1 muss beispielsweise ein KMS-Schlüssel in us-central1 verwendet werden.

  • Sie müssen Ihrem dienstkontospezifischen Dienstkonto pro Produkt und Projekt (P4) die Rolle cryptoKeyEncrypterDecrypter für Ihren KMS-Schlüssel zuweisen. Das P4-Dienstkonto hat folgendes Format: service-${CONSUMER_PROJECT_NUMBER}@gcp-sa-vectorsearch.iam.gserviceaccount.com

CMEK-geschützte Sammlung erstellen

Nachdem Sie alle Voraussetzungen erfüllt haben, können Sie mit der gcloud CLI, der REST API oder dem Python SDK eine neue Sammlung mit aktiviertem CMEK erstellen.

gcloud CLI verwenden

Geben Sie die voll qualifizierte Ressourcen-ID Ihres KMS-Schlüssels mit dem Argument --kms-key an:

gcloud vector-search collections create [COLLECTION_ID] \
    --kms-key projects/[KMS_PROJECT_ID]/locations/[REGION]/keyRings/[KEY_RING]/cryptoKeys/[KEY]

REST API verwenden

Fügen Sie die encryption_spec in den Text Ihrer POST-Anfrage ein:

{
  "encryption_spec": {
    "crypto_key_name": "projects/[PROJECT_ID]/locations/[REGION]/keyRings/[KEY_RING]/cryptoKeys/[KEY]"
  }
}

Python SDK verwenden

So verwenden Sie das Python SDK:

   
request = vectorsearch_v1beta.CreateCollectionRequest(
    parent=f"projects/{PROJECT_ID}/locations/{LOCATION}",
    collection_id=collection_id,
    collection={
        "data_schema": {...},
        "vector_schema": {...},
        # Specifies the customer-managed encryption key spec for a Collection
        "encryption_spec": {
            "crypto_key_name": f"projects/{PROJECT_ID}/locations/{LOCATION}/keyRings/{KEY_RING}/cryptoKeys/{KEY}"
        }
    },
)

operation = vector_search_service_client.create_collection(request=request)
operation.result()

Datenobjekte aus einer Sammlung ohne CMEK in eine Sammlung mit CMEK migrieren

CMEK kann für vorhandene Sammlungen nicht aktiviert werden. Stattdessen müssen Sie Datenobjekte in eine neue Sammlung mit aktiviertem CMEK migrieren.

Anleitung:

  1. Exportieren Sie Ihre Datenobjekte aus einer vorhandenen Sammlung in einen Cloud Storage-Bucket.

  2. Erstellen Sie eine neue Sammlung mit aktiviertem CMEK.

  3. Importieren Sie Ihre Datenobjekte in die Sammlung.

Schlüsselrotation

Wenn ein Schlüssel in KMS rotiert wird, werden neue Daten mit der primären Schlüsselversion verschlüsselt, während vorhandene Daten mit der vorherigen Version verschlüsselt bleiben. Weitere Informationen finden Sie unter Schlüsselrotation.

Schlüsselwiderruf

Wenn Sie einen Schlüssel widerrufen oder deaktivieren, wird die Sammlung sofort deaktiviert. Zugehörige ANN-Indexe werden automatisch aufgehoben und Daten im Arbeitsspeicher werden gelöscht. Lese-, Schreib- und Suchvorgänge für die Sammlung schlagen fehl.

Sammlungen werden nicht automatisch wieder aktiviert, wenn der Schlüssel wiederhergestellt wird.

CMEK-unterstützte Ressourcen

Die aktuellen, von CMEK unterstützten Vertex AI-Ressourcen sind: Die CMEK-Unterstützung für Vorschau-Features ist auch im Vorschaustatus.

Ressource Verschlüsseltes Material Links zur Dokumentation
Dataset Alle vom Nutzer importierten Daten (z. B. Textinhalte) für DataItems und Annotations.

Vom Nutzer erstellte Inhalte wie AnnotationSpecs, ColumnSpecs.		 Dataset zum Trainieren von Klassifizierungs- und Regressionsmodellen erstellen

Dataset für Trainingsprognosemodelle erstellen
Index Alle Datendateien, die für Vektorsuche-Indexe verwendet werden und in Cloud Storage, Pub/Sub und internem Speicher gespeichert sind. Index und IndexEndpoint müssen mit demselben Schlüssel erstellt werden.

Alle Indexe in einer Sammlung müssen mit demselben Schlüssel erstellt werden.		 Indexe in der Vektorsuche verwalten :

Indexe in Vector Search 2 verwalten
Sammlungen In Sammlungen werden verwandte Datenobjekte gespeichert. Sammlungen in Vektorsuche 2 verwalten
DataObjects In Sammlungen werden Daten als einzelne JSON-Objekte gespeichert, sogenannte Datenobjekte. Datenobjekte in Vektorsuche 2 verwalten