Kunci enkripsi yang dikelola pelanggan (Customer-Managed Encryption Key/CMEK)

Secara default, Gemini Enterprise Agent Platform mengenkripsi konten pelanggan dalam penyimpanan. Agent Platform menangani enkripsi untuk Anda tanpa tindakan tambahan dari Anda. Opsi ini disebut Enkripsi default Google.

Jika ingin mengontrol kunci enkripsi, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) di Cloud KMS dengan layanan yang terintegrasi dengan CMEK, termasuk Agent Platform. Dengan menggunakan kunci Cloud KMS, Anda dapat mengontrol tingkat perlindungan, lokasi, jadwal rotasi, izin penggunaan dan akses, serta batasan kriptografisnya. Dengan Cloud KMS, Anda juga dapat melacak penggunaan kunci, melihat log audit, dan mengontrol siklus proses kunci. Bukan Google yang memiliki dan mengelola kunci enkripsi kunci (KEK) simetris yang melindungi data Anda. Andalah yang mengontrol dan mengelola kunci ini di Cloud KMS.

Setelah Anda menyiapkan resource dengan CMEK, pengalaman mengakses resource Agent Platform Anda akan serupa dengan menggunakan enkripsi default Google. Untuk mengetahui informasi selengkapnya tentang opsi enkripsi, lihat Kunci enkripsi yang dikelola pelanggan (CMEK).

Panduan ini menjelaskan beberapa manfaat penggunaan CMEK untuk resource Gemini Enterprise Agent Platform dan cara mengonfigurasi tugas pelatihan untuk menggunakan CMEK.

Untuk mengetahui informasi selengkapnya tentang cara menggunakan CMEK untuk Colab Enterprise, lihat halaman CMEK Colab Enterprise. Untuk mengetahui informasi selengkapnya tentang cara menggunakan CMEK untuk instance Gemini Enterprise Agent Platform Workbench, lihat halaman CMEK instance Agent Platform Workbench.

CMEK untuk resource Gemini Enterprise Agent Platform

Bagian berikut menjelaskan informasi dasar tentang CMEK untuk resource Gemini Enterprise Agent Platform yang harus Anda pahami sebelum mengonfigurasi CMEK untuk tugas Anda.

Manfaat CMEK

Secara umum, CMEK paling berguna jika Anda memerlukan kontrol penuh atas kunci yang digunakan untuk mengenkripsi data Anda. Dengan CMEK, Anda dapat mengelola kunci dalam Cloud KMS. Misalnya, Anda dapat merotasi atau menonaktifkan kunci, atau bisa juga menyiapkan jadwal rotasi menggunakan Cloud KMS API. Untuk mengetahui informasi selengkapnya tentang CMEK secara umum, termasuk waktu dan alasan mengaktifkannya, lihat Dokumentasi Cloud KMS.

Saat Anda menjalankan tugas AutoML atau pelatihan kustom, kode Anda berjalan pada satu atau beberapa instance virtual machine (VM) yang dikelola oleh Gemini Enterprise Agent Platform. Saat Anda mengaktifkan CMEK untuk resource Gemini Enterprise Agent Platform, kunci yang Anda tetapkan, bukan kunci yang dikelola oleh Google, digunakan untuk mengenkripsi data pada boot disk VM tersebut. Kunci CMEK mengenkripsi jenis data berikut:

• Salinan kode Anda di VM.
• Data apa pun yang dimuat oleh kode Anda.
• Setiap data sementara yang disimpan ke disk lokal oleh kode Anda.
• Model yang dilatih automl.
• File media (data) yang diupload ke set data media.

Secara umum, kunci CMEK tidak mengenkripsi metadata yang terkait dengan operasi Anda, seperti nama dan region tugas, atau nama tampilan set data. Metadata yang terkait dengan operasi selalu dienkripsi menggunakan mekanisme enkripsi default milik Google.

Untuk set data, saat pengguna mengimpor data ke set data, item data dan anotasi dienkripsi dengan CMEK. Nama tampilan set data tidak dienkripsi dengan CMEK.

Untuk model, model yang disimpan dalam sistem penyimpanan (misalnya, disk) dienkripsi dengan CMEK. Semua hasil evaluasi model dienkripsi dengan CMEK.

Untuk endpoint, semua file model yang digunakan untuk deployment model pada endpoint dienkripsi dengan CMEK. Jumlah ini tidak mencakup data dalam memori.

Untuk prediksi batch, setiap file sementara (seperti file model, log, disk VM) yang digunakan untuk menjalankan tugas prediksi batch dienkripsi dengan CMEK. Hasil prediksi batch disimpan di tujuan yang disediakan oleh pengguna. Akibatnya, Agent Platform akan mengikuti nilai default dari konfigurasi enkripsi tujuan. Jika tidak, hasil juga akan dienkripsi dengan CMEK.

Untuk pelabelan data, semua file input (gambar, teks, tabel), diskusi sementara (misalnya, pertanyaan, masukan), dan output (hasil pelabelan) dienkripsi dengan CMEK. Nama tampilan spesifikasi anotasi tidak dienkripsi dengan CMEK.

Untuk agen, CMEK mengenkripsi semua file sumber yang digunakan untuk pengembangan agen. Selain itu, image container dan instance yang di-deploy untuk agen juga dienkripsi CMEK.

Kunci eksternal

Anda dapat menggunakan Cloud External Key Manager (Cloud EKM) untuk membuat kunci eksternal yang Anda kelola guna mengenkripsi data dalam Google Cloud.

Saat Anda menggunakan kunci Cloud EKM, Google tidak memiliki kontrol atas ketersediaan kunci yang dikelola secara eksternal. Jika Anda meminta akses ke resource yang dienkripsi menggunakan kunci yang dikelola secara eksternal dan kunci tersebut tidak tersedia, Gemini Enterprise Agent Platform akan menolak permintaan tersebut. Mungkin ada penundaan hingga 10 menit sebelum Anda dapat mengakses resource setelah kunci tersedia.

Untuk pertimbangan lainnya saat menggunakan kunci eksternal, lihat Cloud External Key Manager.

Menggunakan CMEK dengan produk Google Cloud lainnya

Mengonfigurasi CMEK untuk resource Gemini Enterprise Agent Platform tidak otomatis mengonfigurasi CMEK untuk produk Google Cloud lain yang Anda gunakan bersama dengan Gemini Enterprise Agent Platform. Agar dapat menggunakan CMEK untuk mengenkripsi data di produkGoogle Cloud lainnya, konfigurasi tambahan diperlukan. Contoh:

• Cloud Storage: Saat Anda melakukan pelatihan kustom, Agent Platform biasanya memuat data Anda dari Cloud Storage. Saat Anda menggunakan aplikasi pelatihan Python dan container bawaan untuk pelatihan, Gemini Enterprise Agent Platform juga memuat kode Anda dari bucket Cloud Storage. Selain itu, beberapa tugas pelatihan mengekspor artefak model terlatih (misalnya, direktori SaveModel TensorFlow) ke bucket Cloud Storage sebagai bagian dari outputnya.

  Untuk memastikan data Anda di Cloud Storage dienkripsi dengan CMEK, baca panduan Cloud Storage untuk menggunakan kunci enkripsi yang dikelola pelanggan. Anda dapat menetapkan kunci enkripsi sebagai kunci default untuk bucket Cloud Storage yang digunakan dengan Gemini Enterprise Agent Platform, atau menggunakannya untuk mengenkripsi objek tertentu.

  Pelajari lebih lanjut cara Cloud Storage menggunakan CMEK.

• Artifact Registry: Saat menggunakan container kustom untuk pelatihan, Anda dapat mengonfigurasi Agent Platform untuk memuat image container dari Artifact Registry.

  Untuk memastikan bahwa image container Anda dienkripsi dengan CMEK, baca Panduan Artifact Registry untuk CMEK.

• Cloud Logging: Saat Anda menjalankan tugas pelatihan, pelatihan Gemini Enterprise Agent Platform menyimpan log ke Logging. Untuk mengenkripsi log ini menggunakan CMEK, lihat Mengonfigurasi CMEK untuk Cloud Logging.

Resource yang didukung CMEK saat ini

Resource Gemini Enterprise Agent Platform saat ini yang dicakup oleh CMEK adalah sebagai berikut. Dukungan CMEK untuk fitur Pratinjau juga sedang dalam status Pratinjau.

Resource	Material dienkripsi	Link dokumentasi
Dataset	Semua data yang diimpor pengguna (misalnya, konten teks) untuk DataItems dan Annotations. Konten buatan pengguna seperti AnnotationSpecs, ColumnSpecs.	Membuat set data untuk pelatihan klasifikasi dan model regresi Membuat set data untuk melatih model perkiraan
Model	File model yang diupload. Hasil evaluasi dari model yang dilatih.	Melatih model klasifikasi atau regresi Melatih model perkiraan Melatih model AutoML Edge menggunakan Google Cloud konsol Melatih model AutoML Edge menggunakan Agent Platform API Membuat pipeline pelatihan Mengimpor model ke Agent Platform
Endpoint	Semua file model yang digunakan untuk deployment model di bagian endpoint. Tindakan ini tidak mencakup data dalam memori, tetapi deployment mode akan otomatis dibatalkan jika kunci dinonaktifkan.	Men-deploy model menggunakan konsol Google Cloud Men-deploy model menggunakan Agent Platform API
CustomJob	Salinan kode Anda di VM yang digunakan untuk menjalankan operasi. Data apa pun yang dimuat oleh kode Anda. Setiap data sementara yang disimpan ke disk lokal oleh kode Anda.	Membuat tugas pelatihan kustom Membuat pipeline pelatihan
HyperparameterTuningJob	Salinan kode Anda di VM yang digunakan untuk menjalankan operasi. Data apa pun yang dimuat oleh kode Anda. Setiap data sementara yang disimpan ke disk lokal oleh kode Anda.	Menggunakan penyesuaian hyperparameter
TrainingPipeline	Salinan kode Anda di VM yang digunakan untuk menjalankan operasi. Data apa pun yang dimuat oleh kode Anda. Setiap data sementara yang disimpan ke disk lokal oleh kode Anda. Model yang dilatih AutoML.	Melatih model klasifikasi atau regresi Melatih model perkiraan Melatih model AutoML Edge menggunakan Google Cloud konsol Melatih model AutoML Edge menggunakan Agent Platform API Membuat pipeline pelatihan
BatchPredictionJob (tidak mencakup AutoML image batchPrediction)	Semua file sementara (misalnya, file model, log, disk VM) yang digunakan dalam tugas untuk memproses tugas prediksi batch. Jika hasil tertulis BatchPrediction disimpan di tujuan yang disediakan oleh pengguna, hasil tersebut akan mengikuti konfigurasi enkripsi nilai defaultnya. JIka tidak, hasil tersebut juga akan dienkripsi dengan CMEK.	Mendapatkan prediksi batch dan penjelasan untuk model klasifikasi atau regresi Mendapatkan prediksi untuk model perkiraan
ModelDeploymentMonitoringJob	Semua file sementara (misalnya, file set data pelatihan, log, disk VM) yang digunakan dalam tugas untuk memproses tugas pemantauan deployment model. Semua data yang digunakan untuk mendeteksi anomali pemantauan. Jika kunci dinonaktifkan, tugas pemantauan deployment model akan dijeda.	Menyiapkan pemantauan model
PipelineJob	Tugas pipeline dan semua sub-resource-nya.	Menjalankan pipeline
MetadataStore	Semua konten di penyimpanan metadata.	Mengonfigurasi penyimpanan metadata project
TensorBoard	Semua data dari log TensorBoard yang diupload termasuk skalar, histogram, definisi grafik, gambar, dan teks.	Menggunakan Vertex AI TensorBoard
Featurestore	Featurestore dan semua konten di featurestore.	Membuat toko online yang menggunakan CMEK
Indeks	Semua file data yang digunakan untuk indeks Penelusuran Vektor disimpan di Cloud Storage, Pub/Sub, dan penyimpanan internal. Indeks dan IndexEndpoint harus dibuat dengan kunci yang sama.	Mengelola indeks
IndexEndpoint	Semua file data yang digunakan untuk indeks Penelusuran Vektor disimpan di Cloud Storage, Pub/Sub, dan penyimpanan internal. Indeks dan IndexEndpoint harus dibuat dengan kunci yang sama.	Men-deploy dan mengelola endpoint publik Men-deploy dan mengelola endpoint indeks di jaringan VPC Private Service Connect Penelusuran Vektor
Runtime Colab Enterprise	Boot disk dan disk data VM runtime	Menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) di Colab Enterprise
Notebook Colab Enterprise	File notebook dan komentarnya	Menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) di Colab Enterprise
Agent Runtime	Salinan file sumber agen Anda, termasuk kode, skrip, dan file dependensi apa pun Image container yang dibuat dari file sumber agen Anda Instance yang berjalan di-deploy dari image container agen Anda	Ringkasan Agent Runtime
Sandbox Agent Platform	Status checkpoint memori dan penyimpanan disk instance sandbox yang sedang berjalan Overlay container kustom dan konfigurasi lingkungan Snapshot dan template sandbox tersimpan	Mengonfigurasi kunci enkripsi yang dikelola pelanggan (CMEK) untuk sandbox Ringkasan sandbox
ServingProfile	Data yang disimpan dalam keadaan tidak aktif oleh API tanpa resource (berbasis permintaan)—misalnya, data pelanjutan sesi Gemini Live API dan interaksi yang disimpan Interactions API.	Menggunakan CMEK dengan API tanpa resource

Dukungan CMEK untuk pipeline penyesuaian AI Generatif

Dukungan CMEK disediakan dalam pipeline penyesuaian model berikut:

• BERT
• T5
• image-generation (GPU)

Batasan

Dukungan CMEK tidak tersedia dalam hal berikut:

• Prediksi batch model gambar AutoML (BatchPredictionJob)
• Penyesuaian TPU
• Agent Platform Memory Bank atau Agent Platform Sessions dikonfigurasi untuk menggunakan endpoint global. Cloud KMS mewajibkan kunci enkripsi berada dalam batas residensi data geografis yang tetap. Karena tidak memiliki batas geografis fisik, region global tidak dapat mengenkripsi resource regional atau multi-regional yang dilokalkan.
• CMEK profil penayangan untuk API tanpa resource terbatas pada Gemini Live API dan Interactions API, di multi-region us dan eu. Region global tidak didukung.

Mengonfigurasi CMEK untuk resource Anda

Bagian berikut menjelaskan cara membuat key ring dan kunci di Cloud Key Management Service, memberikan izin bagi pengenkripsi dan pendekripsi Agent Platform untuk kunci Anda, serta membuat resource yang menggunakan CMEK.

Sebelum memulai

Panduan ini mengasumsikan bahwa Anda menggunakan dua project Google Cloud terpisah untuk mengonfigurasi CMEK bagi data Agent Platform:

• Project untuk mengelola kunci enkripsi Anda (disebut sebagai "project Cloud KMS").
• Project untuk mengakses data atau output Agent Platform di Cloud Storage, serta berinteraksi dengan produk Google Cloudlain yang Anda perlukan untuk kasus penggunaan Anda (disebut sebagai "project AI Platform").

Penyiapan yang direkomendasikan ini mendukung pemisahan tugas.

Atau, Anda dapat menggunakan satu project Google Cloud untuk seluruh panduan. Untuk melakukannya, gunakan project yang sama untuk semua tugas berikut yang merujuk ke project Cloud KMS dan tugas yang merujuk ke project AI Platform.

Menyiapkan project Cloud KMS

Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud KMS API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud KMS API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Menyiapkan project AI Platform

Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Agent Platform API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Agent Platform API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Menyiapkan Google Cloud CLI

gcloud CLI diperlukan untuk beberapa langkah dalam panduan ini, dan bersifat opsional untuk langkah lainnya.

Instal Google Cloud CLI. Setelah penginstalan, inisialisasi Google Cloud CLI dengan menjalankan perintah berikut:

gcloud init

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

Catatan: Anda dapat menjalankan gcloud CLI di konsol Google Cloud tanpa menginstal Google Cloud CLI. Untuk menjalankan gcloud CLI di konsol Google Cloud , gunakan Cloud Shell.

Membuat key ring dan kunci

Ikuti Panduan Cloud KMS untuk membuat kunci simetris untuk membuat key ring dan kunci. Saat Anda membuat key ring, tentukan region yang mendukung operasi Agent Platform sebagai lokasi key ring. Pelatihan Agent Platform hanya mendukung CMEK jika resource dan kunci Anda menggunakan region yang sama. Anda tidak boleh menentukan lokasi region ganda, multi-region, atau global untuk key ring Anda.

Catatan: Persyaratan ini tidak berlaku untuk CMEK profil penayangan untuk API tanpa resource, yang memerlukan kunci di multi-region us atau eu. Untuk mengetahui informasi selengkapnya, lihat Menggunakan CMEK dengan API tanpa resource.

Pastikan untuk membuat key ring dan kunci di project Cloud KMS Anda.

Memberikan izin Agent Platform

Agar dapat menggunakan CMEK untuk resource, Anda harus memberikan izin kepada Agent Platform untuk mengenkripsi dan mendekripsi data menggunakan kunci Anda. Agent Platform menggunakan agen layanan yang dikelola Google untuk menjalankan operasi menggunakan resource Anda. Akun layanan ini diidentifikasi oleh alamat email dengan format berikut:

[e-mail]

Untuk menemukan akun layanan yang sesuai dengan project AI Platform Anda, buka halaman IAM di konsol Google Cloud dan temukan anggota yang cocok dengan format alamat email ini, dengan nomor project untuk project AI Platform Anda yang menggantikan variabel AI_PLATFORM_PROJECT_NUMBER. Akun layanan juga memiliki nama Agent Platform Service Agent.

Buka halaman IAM

Catat alamat email untuk akun layanan ini, dan gunakan dalam langkah-langkah berikut guna memberi akan layanan tersebut izin untuk mengenkripsi dan mendekripsi data menggunakan kunci Anda. Anda dapat memberikan izin menggunakan konsol Google Cloud atau Google Cloud CLI:

Konsol Google Cloud

1. Di konsol Google Cloud , Click Security, lalu pilih Key Management. Anda akan diarahkan ke halaman Cryptographic Keys dan pilih project Cloud KMS Anda.

   Buka halaman Cryptographic Keys

2. Klik nama key ring yang Anda buat di bagian sebelumnya dalam panduan ini untuk membuka halaman Key ring details.

3. Centang kotak untuk kunci yang Anda buat di bagian sebelumnya dalam panduan ini. Jika panel info yang berlabel nama kunci Anda belum terbuka, klik Show info panel.

4. Di panel info, klik Add member untuk membuka dialog Add members to "KEY_NAME". Dalam dialog ini, lakukan hal berikut:

   1. Di kotak New members, masukkan alamat email akun layanan yang Anda catat di bagian sebelumnya: [e-mail]

   2. Di menu drop-down Select a role, klik Cloud KMS, lalu pilih peran Cloud KMS Encrypter/Decrypter.

   3. Klik Save.

gcloud

Jalankan perintah berikut:

gcloud kms keys add-iam-policy-binding KEY_NAME \
  --keyring=KEY_RING_NAME \
  --location=REGION \
  --project=KMS_PROJECT_ID \
  --member=serviceAccount:[e-mail] \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Dalam perintah ini, ganti placeholder berikut:

• KEY_NAME: Nama kunci yang Anda buat di bagian sebelumnya dalam panduan ini.
• KEY_RING_NAME: Key ring yang Anda buat di bagian sebelumnya dalam panduan ini.
• REGION: Region tempat Anda membuat key ring.
• KMS_PROJECT_ID: ID project Cloud KMS Anda.
• AI_PLATFORM_PROJECT_NUMBER: Nomor project AI Platform Anda, yang telah Anda catat di bagian sebelumnya sebagai bagian dari alamat email akun layanan.

Membuat resource dengan kunci KMS

Saat membuat resource yang didukung CMEK baru, Anda dapat menentukan kunci sebagai salah satu parameter pembuatan.

Konsol

Saat membuat resource baru yang didukung CMEK di bagian Agent Platform pada KonsolGoogle Cloud , Anda dapat memilih kunci di bagian opsi umum atau lanjutan:

REST & CMD Line

Saat membuat resource yang didukung, tambahkan objek encryptionSpec ke permintaan Anda dan tetapkan kolom encryptionSpec.kmsKeyName untuk mengarah ke kunci resource Anda.

Misalnya, saat membuat resource dataset, Anda harus menentukan kunci dalam isi permintaan:

 {
   "displayName": DATASET_NAME,
   "metadataSchemaUri": METADATA_URI,
   "encryptionSpec": {
     "kmsKeyName": "projects/PROJECT_ID/locations/LOCATION_ID/keyRings/KEY_RING_NAME/cryptoKeys/KEY_NAME"
   }
 }

Java

Saat membuat resource yang didukung, tetapkan EncryptionSpec agar mengarah ke resource kunci Anda. Lihat dokumentasi library klien Agent Platform untuk Java guna mengetahui informasi selengkapnya.

Node.js

Saat membuat resource yang didukung, tetapkan parameter encryptionSpec agar mengarah ke resource kunci Anda. Lihat dokumentasi library klien Platform Agen untuk Node.js guna mengetahui informasi selengkapnya.

Python

Saat membuat resource yang didukung, tetapkan parameter encryption_spec agar mengarah ke resource kunci Anda. Lihat dokumentasi Python Client for Cloud AI Platform untuk mengetahui informasi selengkapnya.

Menggunakan CMEK dengan API tanpa resource

Beberapa API Gemini Enterprise Agent Platform bersifat tanpa resource (berbasis permintaan): API ini melayani permintaan inferensi tanpa membuat resource tingkat teratas yang berjalan lama. Untuk mendukung fitur seperti kelanjutan sesi dan percakapan stateful, API ini dapat menyimpan data pengguna dalam keadaan tidak aktif untuk jangka waktu terbatas—misalnya, Gemini Live API menyimpan data kelanjutan sesi hingga 24 jam, dan Interactions API menyimpan data interaksi stateful hingga 7 hari. Karena tidak ada resource persisten untuk melampirkan kunci saat data dibuat, Anda menggunakan profil penayangan untuk menerapkan CMEK ke data dalam penyimpanan ini.

Profil penayangan adalah resource Gemini Enterprise Agent Platform yang menautkan kunci Cloud KMS ke project, lokasi, dan cakupan API. Meskipun profil penayangan ada untuk project, lokasi, dan cakupan permintaan, Agent Platform akan otomatis mengenkripsi data persisten cakupan tersebut dengan kunci Anda. Format permintaan inferensi Anda tidak berubah.

Perhatian: Profil penayangan berlaku untuk seluruh project, lokasi, dan cakupan API—bukan untuk setiap pengguna atau permintaan. Pengguna Agent Platform dapat membuat, memperbarui, atau menghapus profil penayangan, atau menonaktifkan atau mencabut kunci Cloud KMS-nya, dan setiap perubahan tersebut memengaruhi semua pengguna dan beban kerja yang menggunakan API tersebut dalam project.

Catatan: Dukungan CMEK profil penayangan tersedia untuk Gemini Live API dan Interactions API, di multi-region us dan eu.

Manfaat profil penayangan

• Memenuhi persyaratan kepatuhan: Memenuhi kriteria audit yang mewajibkan pelanggan mengontrol kunci enkripsi dan siklus proses data.
• Kontrol penuh atas data Anda: Nonaktifkan atau batalkan akses kunci kapan saja untuk menghentikan akses ke data terenkripsi Anda.
• Transparan, tanpa perubahan kode: Format permintaan inferensi yang ada tidak berubah—enkripsi diterapkan secara otomatis selama profil penayangan ada.
• Kontrol terperinci: Terapkan kunci yang berbeda per cakupan API untuk membatasi dampak jika kunci disusupi dan ikuti prinsip hak istimewa terendah.

Cara kerja enkripsi transparan

1. Anda mengirim permintaan ke API tanpa resource yang didukung di endpoint Platform Agen regional Anda.
2. Agent Platform menyelesaikan profil penayangan untuk project, lokasi, dan cakupan Anda.
3. Data persisten untuk cakupan tersebut otomatis dienkripsi dengan kunci Anda, tanpa ada perubahan pada permintaan.
4. Jika tidak ada profil penayangan untuk project, lokasi, dan cakupan tersebut, Agent Platform menggunakan enkripsi yang dikelola Google secara default.

Catatan: Data yang disimpan sebelum profil penayangan dibuat tetap berada di bawah enkripsi yang dikelola Google; data tersebut tidak dienkripsi ulang secara retroaktif dengan kunci Anda.

Batasan profil penayangan

• API yang didukung: Gemini Live API (cakupan GEMINI_LIVE) dan Interactions API (cakupan INTERACTIONS_API).
• Wilayah yang didukung: multi-region us dan eu. Region global tidak didukung karena batasan CMEK Cloud KMS dan penyimpanan di region global.
• Kunci dan cakupan enkripsi tidak dapat diubah setelah dibuat. Hanya nama tampilan dan deskripsi yang dapat diperbarui. Untuk mengubah kunci atau cakupan, hapus profil penayangan dan buat yang baru dengan servingProfileId yang berbeda (lihat Menonaktifkan CMEK dan kembali ke enkripsi default).

Sebelum memulai

1. Aktifkan Cloud KMS API dan Agent Platform API di project Anda.
2. Buat atau identifikasi kunci Cloud KMS di multi-region yang didukung (us atau eu); jangan gunakan region global. Lihat Membuat key ring dan kunci.
3. Beri agen layanan Gemini Enterprise Agent Platform peran roles/cloudkms.cryptoKeyEncrypterDecrypter pada kunci. Lihat Memberikan izin Agent Platform.
4. Pastikan Anda memiliki izin IAM untuk mengelola profil penayangan (aiplatform.servingProfiles.create, get, list, update, dan delete).

Contoh di bagian berikut menggunakan nilai ini:

• LOCATION: multi-region, us atau eu.
• PROJECT: project ID atau nomor project Anda.
• API_VERSION: v1 atau v1beta1.
• SERVING_PROFILE_ID: 1-63 karakter—huruf kecil, angka, dan tanda hubung; harus dimulai dengan huruf dan diakhiri dengan huruf atau angka. Nilai ini akan menjadi komponen terakhir dari nama resource.
• scope: API tanpa resource yang diterapkan profil penayangan. Nilai yang didukung adalah GEMINI_LIVE dan INTERACTIONS_API.
• Kunci Cloud KMS ditetapkan di cmekConfig.encryptionSpec.kmsKeyName dan harus cocok dengan projects/*/locations/*/keyRings/*/cryptoKeys/*.

Permintaan REST akan menuju ke endpoint regional https://aiplatform.LOCATION.rep.googleapis.com dan diautentikasi dengan token bearer OAuth 2.0:

-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"

Membuat profil penayangan

Membuat profil penayangan memungkinkan perlindungan CMEK untuk data persisten cakupan. Kolom displayName, scope (GEMINI_LIVE atau INTERACTIONS_API), dan cmekConfig.encryptionSpec.kmsKeyName wajib diisi.

curl -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  "https://aiplatform.LOCATION.rep.googleapis.com/API_VERSION/projects/PROJECT/locations/LOCATION/servingProfiles?servingProfileId=SERVING_PROFILE_ID" \
  -d '{
    "displayName": "My CMEK serving profile",
    "description": "CMEK for Gemini Live",
    "scope": "GEMINI_LIVE",
    "cmekConfig": {
      "encryptionSpec": {
        "kmsKeyName": "projects/PROJECT/locations/LOCATION/keyRings/RING/cryptoKeys/KEY"
      }
    }
  }'

Create menampilkan operasi yang berjalan lama. Lakukan polling di GET https://aiplatform.LOCATION.rep.googleapis.com/API_VERSION/OPERATION_NAME hingga respons berisi "done": true. Tunggu hingga operasi selesai sebelum Anda mendapatkan, memperbarui, atau menghapus profil penayangan.

Konfirmasi profil penayangan

Setelah operasi pembuatan selesai, gunakan get atau list untuk mengonfirmasi profil penayangan:

# Get one serving profile.
curl -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://aiplatform.LOCATION.rep.googleapis.com/API_VERSION/projects/PROJECT/locations/LOCATION/servingProfiles/SERVING_PROFILE_ID"

# List serving profiles in a location.
curl -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://aiplatform.LOCATION.rep.googleapis.com/API_VERSION/projects/PROJECT/locations/LOCATION/servingProfiles?pageSize=50"

Memperbarui metadata profil penayangan

Anda hanya dapat memperbarui kolom displayName dan description; kunci dan cakupan tidak dapat diubah. Parameter updateMask bersifat opsional—jika Anda menghilangkannya, semua kolom yang dapat diubah dan terisi akan diperbarui. Panggilan ini menampilkan profil penayangan yang diperbarui.

curl -X PATCH \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  "https://aiplatform.LOCATION.rep.googleapis.com/API_VERSION/projects/PROJECT/locations/LOCATION/servingProfiles/SERVING_PROFILE_ID?updateMask=displayName,description" \
  -d '{"displayName": "Renamed profile", "description": "Updated description"}'

Menonaktifkan CMEK dan kembali ke enkripsi default

Hapus profil penayangan. Data baru untuk cakupan tersebut kemudian dienkripsi dengan enkripsi yang dikelola Google. Data yang sudah dienkripsi dengan kunci Anda akan tetap dilindungi hingga mencapai TTL atau dihapus, sesuai dengan kebijakan retensi API.

curl -X DELETE \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://aiplatform.LOCATION.rep.googleapis.com/API_VERSION/projects/PROJECT/locations/LOCATION/servingProfiles/SERVING_PROFILE_ID"

Setelah Anda menghapus profil penayangan, servingProfileId-nya akan dicadangkan selama 30 hari agar Anda dapat memulihkan kunci dan cakupan aslinya. Selama periode tersebut, untuk membuat profil penayangan dengan kunci atau cakupan yang berbeda, gunakan servingProfileId yang berbeda.

Memulihkan profil penayangan yang dihapus

Dalam waktu 30 hari setelah menghapus profil penayangan, Anda dapat memulihkannya. Pastikan bahwa kunci Cloud KMS asli masih diaktifkan dan agen layanan Gemini Enterprise Agent Platform masih memiliki akses. Kemudian, buat profil penayangan dengan servingProfileId, scope, dan kunci yang sama. Agent Platform melanjutkan perlindungan data persisten cakupan dengan kunci Anda, termasuk data yang dienkripsi sebelum profil dihapus.

Pencabutan kunci

Jika Anda menonaktifkan kunci Cloud KMS atau menghapus akses agen layanan Gemini Enterprise Agent Platform, hal berikut akan terjadi:

• Agent Platform tidak dapat lagi mengenkripsi atau mendekripsi data persisten cakupan.
• Permintaan yang perlu mengakses data yang dilindungi akan gagal dengan error FAILED_PRECONDITION yang menunjukkan bahwa kunci tidak tersedia.

Aktifkan kembali kunci atau pulihkan pemberian IAM untuk melanjutkan akses.

Harga profil penayangan

Tidak ada biaya tambahan untuk menayangkan profil. Anda membayar tarif operasi kunci Cloud KMS standar untuk enkripsi dan dekripsi.

Pemecahan masalah

• Pembuatan profil penayangan gagal atau macet: Pastikan agen layanan Gemini Enterprise Agent Platform memiliki peran roles/cloudkms.cryptoKeyEncrypterDecrypter pada kunci, dan kunci diaktifkan serta berada di multi-region yang didukung (us atau eu, bukan global).
• Inferensi tidak menggunakan CMEK: Pastikan profil penayangan ada untuk project, lokasi, dan cakupan (GEMINI_LIVE atau INTERACTIONS_API) yang cocok.
• Error FAILED_PRECONDITION: Error ini biasanya menunjukkan bahwa kunci dinonaktifkan atau akses dicabut. Aktifkan kembali kunci atau pulihkan pemberian IAM.

Langkah berikutnya

• Pelajari lebih lanjut CMEK di Google Cloud.
• Pelajari cara menggunakan CMEK dengan produk Google Cloud lainnya.