Chaves de criptografia gerenciadas pelo cliente

Aviso: as configurações de CMEK só são aplicadas depois que a chave CMEK é registrada. Qualquer app ou conector de dados criado antes disso vai permanecer desprotegido.

Para garantir que o CmekConfig seja aplicado ao criar um app ou conector de dados, defina o CmekConfig como padrão ou forneça o CmekConfig explicitamente como parte da criação do recurso.

Termo-chave: no Gemini Enterprise, o termo repositório de dados pode ser usado de forma intercambiável com o termo conector ou conector de dados.

Por padrão, o Gemini Enterprise criptografa o conteúdo do cliente em repouso. O Gemini Enterprise executa a criptografia, e você não precisa fazer nada. Essa opção é chamada de criptografia padrão do Google.

Se você quiser controlar suas chaves de criptografia, use chaves de criptografia gerenciadas pelo cliente (CMEKs) no Cloud KMS com serviços integrados a CMEKs, incluindo o Gemini Enterprise. Ao usar chaves do Cloud KMS, é possível controlar o nível de proteção, o local, a programação de rotação, as permissões de uso e acesso e os limites criptográficos. Ao usar o Cloud KMS, é possível também monitorar o uso de chaves, ver registros de auditoria e controlar ciclos de vida de chaves. Em vez de o Google ser proprietário e responsável pelo gerenciamento das chaves de criptografia de chaves (KEKs) simétricas que protegem seus dados, você controla e gerencia essas chaves no Cloud KMS.

Depois de configurar os recursos com CMEKs, a experiência de acesso aos recursos do Gemini Enterprise é semelhante à criptografia padrão do Google. Para saber mais sobre suas opções de criptografia, consulte Chaves de criptografia gerenciadas pelo cliente (CMEK).

Quando uma chave CMEK é registrada, o Gemini Enterprise chama o Cloud KMS periodicamente para manter uma instância logicamente isolada dos seus dados. Isso acontece mesmo que a configuração da CMEK não esteja definida como padrão e não haja apps ou conectores de dados usando-a. O uso vem da configuração e execução da instância, não do volume de dados ou do número de usuários que a acessam. Consulte os preços do Cloud Key Management Service.

Para encerrar completamente o uso do Cloud KMS, é necessário cancelar o registro da chave do Cloud KMS, desativar a chave ou revogar as permissões dela. A desativação da API Gemini Enterprise não exclui sua CmekConfig nem seus dados, e você continua recebendo cobranças pelo uso da CMEK.

Observação: os apps ou repositórios de dados nas regiões dos EUA ou da UE exigem criptografia de dados.

Observação: os dados em repouso do Gemini Enterprise usam Google-owned and Google-managed encryption key (GMEK) por padrão. As CMEKs, conforme descrito nesta página, permitem que você use suas próprias chaves em vez das GMEKs.

Observação : para garantir que seus recursos do Gemini Enterprise estejam sempre protegidos por CMEKs, recomendamos configurar uma política da organização de CMEKs. Para mais informações, consulte Restrições de políticas da organização.

Limitações do Cloud KMS no Gemini Enterprise

As seguintes limitações se aplicam às chaves CMEK (Cloud KMS) no Gemini Enterprise:

• Não é possível mudar as chaves que já foram aplicadas a um app ou conector de dados, mas as versões delas podem ser alternadas.

• Os dados do usuário final são uma exceção à limitação anterior. Ao contrário dos apps e conectores de dados, que mantêm a chave com que foram criados, os dados do usuário final sempre seguem a CmekConfig padrão atual. Para mais informações, consulte Dados do usuário final e a configuração padrão do Cloud KMS.

• A proteção CMEK com o Gemini Enterprise não está integrada à pesquisa do Inventário de recursos do Cloud.

• É preciso usar apps ou repositórios de dados multirregionais dos EUA ou da UE (não globais). Para mais informações sobre multirregiões e residência de dados, incluindo limites associados ao uso de locais não globais, consulte locais.

• Se você precisar registrar mais de uma chave para um projeto, entre em contato com a equipe da sua conta do Google para solicitar um aumento de cota para as configurações de CMEK, justificando por que você precisa de mais de uma chave.

  As seguintes limitações se aplicam ao EKM ou HSM com CMEK:

  • Sua cota de EKM e HSM para chamadas de criptografia e descriptografia precisa ter pelo menos 1.000 QPM de margem. Para saber como verificar suas cotas, consulte Verificar suas cotas do Cloud KMS.

  • Se você usar o EKM, a chave precisará estar acessível por mais de 90% de qualquer período superior a 30 segundos. Se a chave não estiver acessível por esse período, isso poderá afetar negativamente a indexação e a atualização da pesquisa.

  • Se houver problemas de faturamento, de falta de cota ou de inacessibilidade por mais de 12 horas, o serviço desativará automaticamente o CmekConfig associado à chave do EKM ou do HSM.

• Os apps ou conectores de dados criados antes do registro de uma chave no projeto não podem ser protegidos por ela.

• Para apps com vários conectores de dados, se um conector de dados usar uma configuração de CMEK, todos os outros conectores de dados também precisarão usar a mesma configuração de CMEK.

• Os conectores próprios não são compatíveis com CMEK, exceto os conectores de apps e dados "importação única" e "periódicos" para o BigQuery e o Cloud Storage.

• Para o Gemini Notebook Enterprise, outras restrições do Cloud KMS se aplicam. Consulte Limitações do Cloud KMS no Gemini Notebook Enterprise.

• É possível usar o Terraform para configurar a CMEK para o Gemini Enterprise. Consulte google_discovery_engine_cmek_config.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Crie uma chave simétrica multirregional do Cloud KMS. Consulte Criar um keyring e Criar uma chave na documentação do Cloud KMS.

  • Defina o período de rotação como Nunca (rotação manual).

  • Em Local, selecione Multirregional e selecione Europa ou EUA no menu suspenso.

• Se você usa conectores de terceiros, crie três chaves simétricas de região única do Cloud KMS. Caso contrário, ele é opcional.

  • Defina o período de rotação como Nunca (rotação manual).

  • Em Local, selecione região.

  • Selecione as regiões únicas na tabela a seguir no menu suspenso de local. Você precisa ter as três chaves com você ao registrar suas chaves do Cloud KMS para conectores de terceiros.

  us single-regions	europe single-regions
  us-east1	europe-west1
  us-central1	europe-west4
  us-west1	europe-north1

• O papel do IAM de criptografador/descriptografador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) na chave foi concedido ao agente de serviço do Discovery Engine. A conta do agente de serviço tem um endereço de e-mail que usa o seguinte formato: [e-mail]. Para instruções gerais sobre como adicionar um papel a um agente de serviço, consulte Conceder ou revogar um único papel.

• O papel do IAM de criptografador/descriptografador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) na chave foi concedido ao agente de serviço do Cloud Storage. Se esse papel não for concedido, a importação de dados para apps e conectores de dados protegidos por CMEK vai falhar porque o Discovery Engine não consegue criar o bucket e o diretório temporários protegidos por CMEK necessários para a importação.

• Não crie apps ou conectores de dados que você quer que sejam gerenciados pela sua chave até concluir as instruções de registro de chave nesta página.

• Defina sua chave como padrão antes que os usuários finais comecem a usar o Gemini Enterprise. Os dados do usuário final criados antes da definição do padrão não são migrados para a chave. Para mais informações, consulte Dados do usuário final e a configuração padrão do Cloud KMS.

Registrar sua chave do Cloud KMS

Para criptografar dados usando CMEK, é preciso registrar sua chave multirregional. Se os dados precisarem de chaves de região única, por exemplo, ao usar conectores de terceiros, você também precisará registrar suas chaves de região única.

Registrar sua chave multirregional do Cloud KMS

Antes de começar

Certifique-se disto:

• A região ainda não está protegida por uma chave. O procedimento abaixo falhará se uma chave já estiver registrada para a região pelo comando REST. Para determinar se há uma chave ativa no Gemini Enterprise para um local, consulte Ver chaves do Cloud KMS.

• Você tem o papel de administrador do Gemini Enterprise (roles/discoveryengine.agentspaceAdmin).

Procedimento

REST

Para registrar sua própria chave para o Gemini Enterprise, siga estas etapas:

1. Chame o método UpdateCmekConfig com a chave que você quer registrar.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Substitua:

   • KMS_PROJECT_ID: o ID do projeto que contém a chave. O número do projeto não vai funcionar.
   • KMS_LOCATION: a multirregião da chave: us ou europe.
   • KEY_RING: o nome do keyring que contém a chave.
   • KEY_NAME: o nome da chave;
   • PROJECT_ID: o ID do projeto que contém o app ou o conector de dados.
   • LOCATION: a multirregião do seu app ou conector de dados: us ou eu.
   • CMEK_CONFIG_ID: defina um ID exclusivo para o recurso CmekConfig, por exemplo, default_cmek_config.

   • SET_DEFAULT: defina como true para usar a chave como padrão para os próximos apps e conectores de dados criados na multirregião.

     Importante : SET_DEFAULT é necessário para aplicar automaticamente o CmekConfig nos recursos subsequentes.
     Observação: o CmekConfig padrão também protege os dados do usuário final. Ao contrário dos apps e dos conectores de dados, os dados do usuário final seguem o CmekConfig padrão quando você o altera. Para mais informações, consulte Dados do usuário final e a configuração padrão do Cloud KMS.

   Exemplo de comando e resultado

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Verifique se a chave está pronta para uso antes de criar apps ou conectores de dados. Uma chave registrada não pode proteger recursos até que esteja pronta. Normalmente, leva alguns minutos para registrar uma chave. Consulte Verificar se a chave do Cloud KMS está pronta para uso.

   Para acompanhar a operação de registro, registre o valor name retornado pelo método e siga Receber detalhes sobre uma operação de longa duração.

   Depois que a chave estiver pronta, os novos apps e conectores de dados nessa multirregião serão protegidos por ela. Para informações gerais sobre como criar apps, consulte Sobre apps e repositórios de dados.

3. Crie o app. Para instruções, consulte Criar um app e Sobre apps e repositórios de dados.

Console

Observação: ao usar o console para registrar as chaves, não é possível modificar ou remover chaves de um local usando o console. É preciso chamar o método DeleteCmekConfig para cancelar o registro da chave do Cloud KMS.

Procedimento

Para registrar sua própria chave no Gemini Enterprise, siga estas etapas:

1. No console Google Cloud , acesse a página Gemini Enterprise.

   Gemini Enterprise

2. Clique em Configurações e selecione a guia CMEK.

3. Clique em Adicionar chave para o local us ou eu.

   

   Clique em "Adicionar chave".

   1. Clique no menu suspenso Selecionar uma chave do Cloud KMS e selecione a chave.

      • Se a chave estiver em um projeto diferente, clique em Alternar projeto, clique no nome do projeto, digite o nome da chave que você criou e selecione-a.

      • Se você souber o nome do recurso da chave, clique em Inserir manualmente, cole o nome do recurso da chave e clique em Salvar.

   2. Clique em OK > Salvar.

4. Verifique se a chave está pronta para uso antes de criar apps ou conectores de dados. Uma chave registrada não pode proteger recursos até que esteja pronta. Consulte Verificar se a chave do Cloud KMS está pronta para uso.

5. Crie o app. Para instruções, consulte Criar um app e Sobre apps e repositórios de dados.

Isso registra sua chave, criando um CmekResource chamado default_cmek_config.

Pode levar várias horas para que os dados ingeridos apareçam nos resultados da pesquisa.

Observação: depois de criar o app ou os repositórios de dados, verifique se eles estão protegidos pelas chaves. Para mais informações, consulte Verificar se um app ou conector de dados está protegido por uma chave do Cloud KMS.

Registrar chaves do Cloud KMS de região única para conectores de terceiros

REST

Para registrar sua própria chave para o Gemini Enterprise, siga estas etapas:

1. Chame o método UpdateCmekConfig com a chave que você quer registrar.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Substitua:

   • KMS_PROJECT_ID: o ID do projeto que contém a chave. O número do projeto não vai funcionar.
   • KMS_LOCATION: a multirregião da chave: us ou europe.
   • KEY_RING: o nome do keyring que contém a chave.
   • KEY_NAME: o nome da chave;
   • PROJECT_ID: o ID do projeto que contém o app ou o conector de dados.
   • LOCATION: a multirregião do seu app ou conector de dados: us ou eu.
   • CMEK_CONFIG_ID: defina um ID exclusivo para o recurso CmekConfig, por exemplo, default_cmek_config.

   • SET_DEFAULT: defina como true para usar a chave como a padrão para os próximos apps e conectores de dados criados na multirregião.

     Importante : SET_DEFAULT é necessário para aplicar automaticamente o CmekConfig nos recursos subsequentes.
     Observação: o CmekConfig padrão também protege os dados do usuário final. Ao contrário dos apps e dos conectores de dados, os dados do usuário final seguem o CmekConfig padrão quando você o altera. Para mais informações, consulte Dados do usuário final e a configuração padrão do Cloud KMS.

   Exemplo de comando e resultado

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Opcional: registre o valor name retornado pelo método e siga as instruções em Receber detalhes sobre uma operação de longa duração para ver quando a operação é concluída.

   Normalmente, leva alguns minutos para registrar uma chave.

   Depois que a operação for concluída, os novos apps e conectores de dados nessa multirregião serão protegidos pela chave. Para informações gerais sobre como criar apps, consulte Sobre apps e repositórios de dados.

3. Se você usa conectores de terceiros e quer proteger seus dados de terceiros com sua própria chave, crie três chaves de região única adicionais da seguinte maneira:

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{
     "kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME",
     "singleRegionKeys": [ \
       {"kmsKey": "projects/KMS_PROJECT_ID/locations/REGION_1/keyRings/KEY_RING_1/cryptoKeys/KEY_NAME_1"}, \
       {"kmsKey": "projects/KMS_PROJECT_ID/locations/REGION_2/keyRings/KEY_RING_2/cryptoKeys/KEY_NAME_2"}, \
       {"kmsKey": "projects/KMS_PROJECT_ID/locations/REGION_3/keyRings/KEY_RING_3/cryptoKeys/KEY_NAME_3"} \
     ] \
   }' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Substitua:

   • KMS_PROJECT_ID: o ID do projeto que contém a chave. O número do projeto não vai funcionar.

   • Defina os valores de REGION:

     • REGION_1: para o local eu, defina como europe-west1, e para o local us, defina como us-east1.

     • REGION_2: para o local eu, defina como europe-west4, e para o local us, defina como us-central1.

     • REGION_3: para o local eu, defina como europe-north1, e para o local us, defina como us-west1.

   • KEY_RING: o nome do keyring que contém a chave.

   • KEY_NAME: o nome da chave multirregional.

   • LOCATION: a multirregião do seu app ou conector de dados: us ou eu.

   • PROJECT_ID: o ID do projeto que contém o app ou o conector de dados.

   • CMEK_CONFIG_ID: defina como o ID do recurso CmekConfig. Use o mesmo valor da Etapa 1, por exemplo, default_cmek_config.

   • SET_DEFAULT: defina como true para usar a chave como a padrão para os próximos apps e conectores de dados criados na multirregião.

     Exemplo de comando e resultado

     $ curl -X PATCH
     -H "Authorization: Bearer $(gcloud auth print-access-token)"
     -H "Content-Type: application/json"
     -d '{
     "kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
     "singleRegionKeys": [
       {"kms_key": "projects/key-project-456/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key"},
       {"kms_key": "projects/key-project-456/locations/us-central1/keyRings/my-key-ring/cryptoKeys/my-key"},
       {"kms_key": "projects/key-project-456/locations/us-west1/keyRings/my-key-ring/cryptoKeys/my-key"}
     ]
     }'
     "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
     
     {
     "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
     "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
     }
     }
     

4. Verifique se a chave está pronta para uso antes de criar apps ou conectores de dados. Uma chave registrada não pode proteger recursos até que esteja pronta. Consulte Verificar se a chave do Cloud KMS está pronta para uso.

5. Crie o app. Para instruções, consulte Criar um app e Sobre apps e repositórios de dados.

Console

Observação: ao usar o console para registrar as chaves, não é possível modificar ou remover chaves de um local usando o console. É preciso chamar o método DeleteCmekConfig para cancelar o registro da chave do Cloud KMS.

Antes de começar

Verifique se as regiões já não estão protegidas por chaves. O procedimento a seguir falhará se uma chave já estiver registrada para a região por meio do comando REST.

Para determinar se há uma chave ativa para um local, consulte Ver chaves do Cloud KMS.

Procedimento

Para registrar sua própria chave ao usar conectores de terceiros do Gemini Enterprise, siga estas etapas:

1. No console Google Cloud , acesse a página Gemini Enterprise.

   Gemini Enterprise

2. Clique em Configurações e selecione a guia CMEK.

3. Clique em Adicionar chave para o local us ou eu.

   

   Clique em "Adicionar chave".

   1. Clique no menu suspenso Selecionar uma chave do Cloud KMS e selecione a chave.

      • Se a chave estiver em um projeto diferente, clique em Alternar projeto, clique no nome do projeto, digite o nome da chave que você criou e selecione-a.

      • Se você souber o nome do recurso da chave, clique em Inserir manualmente, cole o nome do recurso da chave e clique em Salvar.

   2. Clique em Ok > Salvar.

      Isso registra sua chave, criando um CmekResource chamado default_cmek_config.

4. Se você estiver conectando uma fonte de dados de terceiros, clique em Definir chaves de região única.

   Observação: é necessário adicionar as três chaves de região única juntas. Portanto, verifique se você criou as três chaves de região única para seu local.

   

   Clique em Definir chaves de região única.

   1. Clique no menu suspenso Selecionar uma chave do Cloud KMS e selecione a chave para cada região.

      • Se a chave estiver em um projeto diferente, clique em Alternar projeto, clique no nome do projeto, digite o nome da chave que você criou e selecione-a.

      • Se você souber o nome do recurso da chave, clique em Inserir manualmente, cole o nome do recurso da chave e clique em Salvar.

   2. Clique em Salvar.

      Isso registra suas chaves de região única no CmekResource chamado default_cmek_config.

5. Verifique se a chave está pronta para uso antes de criar apps ou conectores de dados. Uma chave registrada não pode proteger recursos até que esteja pronta. Consulte Verificar se a chave do Cloud KMS está pronta para uso.

6. Crie o app. Para instruções, consulte Criar um app e Sobre apps e repositórios de dados.

Pode levar várias horas para que os dados ingeridos apareçam nos resultados da pesquisa.

Observação: depois de criar o app ou os repositórios de dados, verifique se eles estão protegidos pelas chaves. Para mais informações, consulte Verificar se um app ou conector de dados está protegido por uma chave.

Ver chaves do Cloud KMS

Para conferir uma chave registrada do Gemini Enterprise, siga um destes procedimentos:

• Se você tiver o nome do recurso CmekConfig, chame o método GetCmekConfig:

  curl -X GET \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
  

  Substitua:

  • LOCATION: a multirregião do seu app ou conector de dados: us ou eu.
  • PROJECT_ID: o ID do projeto que contém os dados.
  • CMEK_CONFIG_ID: o ID do recurso CmekConfig. Se você registrou a chave usando o console, o ID é default_cmek_config.

  Veja um exemplo de chamada e resposta curl:

  $ curl -X GET
  -H "Authorization: Bearer $(gcloud auth print-access-token)"
  "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
  
  {
    "name":
    "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
    "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
    "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
    "state": "ACTIVE",
    "isDefault": true,
    "lastRotationTimestampMicros": "1788220800000000"
  }
  

• Se você não tiver o nome do recurso CmekConfig, chame o método ListCmekConfigs:

  curl -X GET \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
  

  Substitua:

  • LOCATION: a multirregião do seu app ou conector de dados: us ou eu.
  • PROJECT_ID: o ID do projeto que contém os dados.

  Veja um exemplo de chamada e resposta curl:

  $ curl -X GET
  -H "Authorization: Bearer $(gcloud auth print-access-token)"
  "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs"
  
  {
    "cmek_configs": [
      {
        "name":
        "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
        "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
        "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
        "state": "ACTIVE",
        "isDefault": true,
        "lastRotationTimestampMicros": "1788220800000000"
      }
    ]
  }
  

Verificar se a chave do Cloud KMS está pronta para uso

Depois de registrar uma chave, verifique se ela está pronta para uso antes de proteger os recursos:

1. Confira as chaves do Cloud KMS registradas. Consulte Ver chaves do Cloud KMS.

2. Analise a saída do comando. O CmekConfig estará pronto para uso se todos os valores a seguir estiverem na saída:

   • "state": "ACTIVE"
   • "isDefault": true

   Se for "isDefault": true, a chave será aplicada automaticamente para proteger novos apps e conectores de dados.

Também é possível verificar se uma configuração de CMEK padrão está definida (ou seja, "isDefault": true) usando o console do Google Cloud :

1. No console Google Cloud , acesse a página Gemini Enterprise.

2. Clique em Configurações e selecione a guia CMEK.

3. Verifique se o status da configuração do seu local mostra a chave registrada.

Remover a configuração padrão do Cloud KMS

Ao desativar o padrão, novos apps e conectores de dados deixam de ser protegidos automaticamente pela chave, e a proteção de CMEK é removida dos dados do usuário final. Os apps e conectores de dados atuais mantêm a chave com que foram criados.

Para remover o padrão, chame o método UpdateCmekConfig com set_default definido como false:

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=false"

Substitua:

• LOCATION: a multirregião do seu app ou conector de dados: us ou eu.
• PROJECT_ID: o ID do projeto que contém o app ou o conector de dados.
• CMEK_CONFIG_ID: o ID do recurso CmekConfig. Se você registrou a chave usando o console, o ID é default_cmek_config.

Atenção: ao remover a configuração padrão, a proteção de CMEK é removida dos dados do usuário final. Para mais informações sobre o efeito nos usuários finais, consulte Dados do usuário final e a configuração padrão do Cloud KMS.

A remoção do padrão não exclui o CmekConfig nem a chave, e o uso do Cloud KMS continua. Para interromper o uso do Cloud KMS, cancele o registro da chave.

Cancelar o registro da chave do Cloud KMS

Para cancelar o registro da chave no Gemini Enterprise, siga estas etapas:

1. Chame o método DeleteCmekConfig com o nome do recurso CmekConfig que você quer cancelar.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Substitua:

   • LOCATION: a multirregião do seu app ou conector de dados: us ou eu.
   • PROJECT_ID: o ID do projeto que contém o app ou o conector de dados.
   • CMEK_CONFIG_ID: o ID do recurso CmekConfig. Se você registrou a chave usando o console, o ID é default_cmek_config.

   Veja um exemplo de chamada e resposta curl:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. Opcional: registre o valor name retornado pelo método e siga as instruções em Ver detalhes sobre uma operação de longa duração para saber quando a operação foi concluída.

   A exclusão de um CmekConfig é uma operação de longa duração que pode levar até alguns dias para ser concluída. Isso ocorre porque os recursos criptografados subjacentes são totalmente desprovisionados antes que o CmekConfig seja removido.

Observação: um recurso CmekConfig só pode ser excluído se nenhum recurso do Gemini Enterprise estiver sendo protegido por ele.

Se os dados do usuário final ainda estiverem protegidos pela CmekConfig, a solicitação vai falhar com um erro FAILED_PRECONDITION semelhante ao seguinte:

The default user store is currently protected by this CmekConfig. Please unset
the default CmekConfig (UpdateCmekConfig with set_default set to false) before
trying to delete the CmekConfig.

Para resolver esse erro, remova a configuração padrão do Cloud KMS e tente novamente a solicitação de exclusão. A remoção do padrão remove a proteção CMEK dos dados do usuário final. Para mais informações, consulte Dados do usuário final e a configuração padrão do Cloud KMS.

Verificar se um app ou conector de dados está protegido por uma chave

Os apps e conectores de dados criados após o registro da chave são protegidos por ela. Para confirmar se um app ou conector de dados específico está protegido pela sua chave, siga estas etapas:

Verificar usando o console do Google Cloud

1. Para verificar se um app está protegido por uma chave:

   1. No console Google Cloud , acesse a página Gemini Enterprise.

   2. Clique em Apps e selecione seu aplicativo.

   3. Clique em Segurança e encontre a seção Configuração de CMEK.

   4. Verifique se o campo Chave do KMS mostra a chave registrada.

1. Para verificar se um conector de dados está protegido por uma chave:

   1. No console Google Cloud , acesse a página Gemini Enterprise.

   2. Clique em Repositórios de dados e selecione o conector de dados.

   3. Verifique se o campo Chave do KMS mostra a chave registrada.

Verificar usando a CLI / API

1. Para verificar um repositório de dados:

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: PROJECT_ID" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID"
   

   Substitua:

   • LOCATION: a multirregião do seu projeto: us ou eu.
   • PROJECT_ID: o ID do projeto que contém o app ou o conector de dados.
   • DATA_STORE_ID: o ID do repositório de dados associado ao seu app ou conector de dados.

   Veja um exemplo de chamada curl:

   curl -X GET
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -H "x-goog-user-project: my-ai-app-project-123"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/dataStores/my-data-store-1"
   

2. Para verificar um app:

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: PROJECT_ID" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/ENGINE_ID"
   

   Substitua:

   • LOCATION: a multirregião do seu projeto: us ou eu.
   • PROJECT_ID: o ID do projeto que contém o app.
   • ENGINE_ID: o ID do app.

   Veja um exemplo de chamada curl:

   curl -X GET
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -H "x-goog-user-project: my-ai-app-project-123"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/engines/my-app"
   

3. Analise a saída do comando: se o campo cmekConfig estiver na saída e o campo kmsKey mostrar a chave que você registrou, o app ou o conector de dados estará protegido pela chave.

   Veja um exemplo de resposta para um repositório de dados:

   {
    "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1",
    "displayName": "my-data-store-1",
    "industryVertical": "GENERIC",
    "createTime": "2023-09-05T21:20:21.520552Z",
    "solutionTypes": [
      "SOLUTION_TYPE_SEARCH"
    ],
    "defaultSchemaId": "default_schema",
    "cmekConfig": {
      "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
      "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
    }
   }
   

   Veja um exemplo de resposta para um app:

   {
     "name": "projects/969795412903/locations/us/collections/default_collection/engines/my-app",
     "displayName": "my-app",
     "dataStoreIds": [
       "my-data-store-1"
     ],
     "solutionType": "SOLUTION_TYPE_SEARCH",
     "searchEngineConfig": {
       "searchTier": "SEARCH_TIER_STANDARD"
     },
     "industryVertical": "GENERIC",
     "appType": "APP_TYPE_INTRANET",
     "cmekConfig": {
      "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
      "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
    }
   }
   

Outros dados protegidos pela chave do Cloud KMS

Além dos dados nos apps e conectores de dados, suas chaves podem proteger outros tipos de informações principais de propriedade do app mantidas pelo Gemini Enterprise, como os dados de sessão gerados durante a pesquisa com acompanhamentos. Esse tipo de informação principal será protegido por CMEK se os apps e conectores de dados forem protegidos por CMEK.

Embora não seja possível executar um comando específico para verificar se as sessões estão protegidas, é possível verificar se o app está protegido. Execute o comando Verificar se um app ou conector de dados está protegido por uma chave para que o app veja a chave no recurso cmekConfig. Assim, você vai saber que os dados da sessão estão protegidos.

Dados do usuário final e a configuração padrão do Cloud KMS

O Gemini Enterprise armazena dados sobre os usuários finais, como as configurações de personalização, as preferências UI e as credenciais que autorizam os conectores de dados em nome deles. O Gemini Enterprise provisiona esse armazenamento para seu projeto automaticamente. Não é possível criá-la ou excluí-la, nem atribuir uma chave diretamente a ela.

Em vez disso, os dados do usuário final são protegidos pela CmekConfig padrão do local. Portanto, a proteção muda quando o padrão muda:

Ação	Efeito nos dados do usuário final
Você definiu um CmekConfig como padrão (set_default=true)	Os dados do usuário final são protegidos por essa chave.
Você definiu uma CmekConfig diferente como padrão	Os dados do usuário final são protegidos pela nova chave. Os dados armazenados na chave anterior não são migrados e ficam inacessíveis.
Você desativa o padrão (set_default=false)	Os dados do usuário final não são mais protegidos por CMEK e voltam para Google-owned and Google-managed encryption key. Os dados armazenados na chave anterior não são migrados e ficam inacessíveis.

Atenção: mudar ou remover a configuração padrão do CmekConfig entra em vigor imediatamente, e os dados do usuário final armazenados na chave anterior não são migrados. Seus usuários finais talvez precisem autorizar os conectores de dados novamente, e as configurações de personalização e as preferências UI podem ser redefinidas. Planeje essas mudanças adequadamente.

Como os dados do usuário final seguem o CmekConfig padrão, não é possível excluir um CmekConfig enquanto ele ainda protege os dados do usuário final. Para excluí-la, primeiro remova a configuração padrão do Cloud KMS. Para mais informações, consulte Cancelar o registro da chave do Cloud KMS.

Fazer a rotação de chaves do Cloud KMS

Não é possível mudar qual chave protege um app ou conector de dados, mas você pode alternar essa chave para uma nova versão. Quando você define uma nova versão de uma chave registrada como a versão principal, o Gemini Enterprise detecta a mudança e criptografa novamente seus dados com a nova versão da chave de forma automática. Não é necessário chamar um método do Gemini Enterprise para iniciar uma rotação.

Para informações gerais sobre a rotação de chaves, consulte Rotação de chaves no guia do Cloud KMS.

Importante: não alterne as chaves em apps ou conectores de dados associados a recomendações ou com apps que precisam de análise, e não alterne as chaves de região única usadas para conectores de terceiros. Consulte Limitações do Cloud KMS no Gemini Enterprise.

Para alternar uma chave, siga estas etapas:

1. Crie uma versão de chave e torne-a a versão principal. Para instruções, consulte Alternar uma chave no guia do Cloud KMS.

   Deixe a versão anterior da chave ativada. A nova criptografia começa automaticamente depois que o Gemini Enterprise detecta a nova versão principal.

2. Confirme se o Gemini Enterprise detectou a nova versão da chave. Para ver sua CmekConfig, consulte Ver chaves do Cloud KMS. Verifique os seguintes campos na saída:

   • kmsKeyVersion mostra a nova versão da chave.
   • state é ACTIVE.
   • lastRotationTimestampMicros mostra quando a rotação começou.

3. Mantenha a versão anterior da chave ativada por pelo menos 30 dias depois que o kmsKeyVersion mostrar a nova versão.

   Atenção: o Gemini Enterprise não informa quando a criptografia de todo o armazenamento subjacente é concluída. Se você desativar ou destruir a versão anterior da chave antes que a nova criptografia seja concluída, os dados que ainda estiverem criptografados com essa versão ficarão inacessíveis.

4. Desative a versão anterior da chave e verifique se tudo está funcionando como antes. Consulte Ativar e desativar versões de chave no guia do Cloud KMS.

5. Quando tiver certeza de que nenhum problema foi causado pela desativação da versão anterior da chave, destrua-a. Consulte Destruir e restaurar versões de chave no guia do Cloud KMS.

   Dica: a destruição é programada, não imediata. Enquanto uma versão de chave está programada para destruição, ela se comporta como se estivesse desativada, e é possível restaurá-la para cancelar a destruição.

Se uma chave do Cloud KMS for desativada ou revogada

Se uma chave for desativada ou as permissões dela forem revogadas, o app ou o conector de dados vai parar de ingerir e disponibilizar dados em até 15 minutos. Você pode reativar a chave em até 30 dias para retomar as operações antes que a configuração da CMEK expire e todos os dados associados sejam excluídos permanentemente. No entanto, reativar uma chave ou restaurar permissões leva muito tempo. Pode levar até 24 horas para que o app ou o conector de dados volte a disponibilizar dados.

Portanto, não desative uma chave, a menos que seja necessário. Desativar e ativar uma chave em um app ou conector de dados é uma operação demorada. Por exemplo, alternar repetidamente uma chave entre desativada e ativada significa que o app ou o conector de dados vai levar muito tempo para alcançar um estado protegido. Desativar uma chave e reativá-la imediatamente depois pode resultar em dias de inatividade, porque a chave é primeiro desativada do app ou do conector de dados e, em seguida, reativada.

Solução de problemas: erro de projetos de chave do KMS não encontrados

Sintoma: ao tentar criar um app ou conector de dados usando uma chave do KMS, você recebe um erro semelhante ao seguinte:

KMS key projects/[...] not found for location: [...] and project number: [...]

Problema: essa mensagem de erro pode ser enganosa. Isso não significa necessariamente que a chave não existe. Em vez disso, pode indicar que a chave do KMS não foi registrada para uso com o Gemini Enterprise no local especificado.

Solução: para resolver esse problema, registre sua chave seguindo as etapas em Registrar sua chave do Cloud KMS. Depois que o registro for concluído, será possível criar apps ou conectores de dados protegidos por essa chave.