Chiavi di crittografia gestite dal cliente

Per impostazione predefinita, NotebookLM Enterprise cripta i contenuti inattivi dei clienti. NotebookLM Enterprise gestisce la crittografia per te senza ulteriori azioni da parte tua. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con i servizi integrati con CMEK, incluso NotebookLM Enterprise. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione , la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre monitorare l'utilizzo delle chiavi, visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse di NotebookLM Enterprise è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Nota: i datastore nelle regioni degli Stati Uniti o dell'UE richiedono la crittografia dei dati. La crittografia predefinita è con Google-owned and Google-managed encryption keys, ma in alternativa puoi utilizzare le tue chiavi come descritto qui.

Limitazioni di Cloud KMS in NotebookLM Enterprise

Le seguenti limitazioni si applicano alle chiavi CMEK (Cloud KMS) in NotebookLM Enterprise:

• Le chiavi non possono essere modificate o ruotate.

• I vincoli dei criteri dell'organizzazione non possono essere applicati a NotebookLM Enterprise.

• La protezione CMEK con NotebookLM Enterprise non è integrata con la ricerca di Cloud Asset Inventory.

• Non puoi modificare le impostazioni di crittografia dei blocchi note. Un blocco note non protetto non può essere protetto in un secondo momento.

• Una volta registrata, una chiave non può essere annullata o rimossa da un datastore.

• Devi utilizzare datastore e app multiregionali degli Stati Uniti o dell'UE (non globali). Per saperne di più sulle multiregioni e sulla residenza dei dati, inclusi i limiti associati all'utilizzo di località non globali, consulta Località.

• Se devi registrare più di una chiave per un progetto, contatta il team dell'account Google per richiedere un aumento della quota per le configurazioni CMEK, fornendo una motivazione per cui hai bisogno di più di una chiave.

• L'utilizzo di External Key Manager (EKM) con CMEK è in GA con la lista consentita. Per utilizzare EKM con CMEK, contatta il team dell'account Google.

  Le seguenti limitazioni si applicano a EKM o HSM con CMEK:

  • La quota EKM e HSM per le chiamate di crittografia e decrittografia deve avere almeno 1000 QPM di margine. Per scoprire come controllare le quote, consulta Controllare le quote di Cloud KMS.

  • Se utilizzi EKM, la chiave deve essere raggiungibile per più del 90% di qualsiasi finestra temporale superiore a 30 secondi. Se la chiave non è raggiungibile per questo periodo di tempo, può influire negativamente sull'indicizzazione e sulla freschezza della ricerca.

  • In caso di problemi di fatturazione, problemi di quota persistenti o problemi di irraggiungibilità persistenti per più di 12 ore, il servizio disattiva automaticamente CmekConfig associato alla chiave EKM o HSM.

• Non puoi utilizzare Terraform per configurare CMEK per NotebookLM Enterprise.

Nota: l'API Podcast è un componente autonomo, separato da NotebookLM Enterprise. I podcast generati utilizzando l'API Podcast non sono protetti da CMEK. Tuttavia, tutti i podcast creati all'interno dei blocchi note di NotebookLM Enterprise sono protetti da CMEK.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Crea una chiave Cloud KMS simmetrica multiregionale. Consulta Creare un keyring e Creare una chiave nella documentazione di Cloud KMS.

  • Imposta il periodo di rotazione su Mai (rotazione manuale).

  • Per Località, seleziona Multiregionale e seleziona europe o us dal menu a discesa.

• Il ruolo IAM Autore crittografia/decrittografia CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave è stato concesso all'agente di servizio di Discovery Engine. L'account dell'agente di servizio ha un indirizzo email che utilizza il seguente formato: [e-mail]. Per istruzioni generali su come aggiungere un ruolo a un agente di servizio, consulta Concedere o revocare un singolo ruolo.

• Il ruolo IAM Autore crittografia/decrittografia CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave è stato concesso a l'agente di servizio di Cloud Storage. Se questo ruolo non viene concesso, l'importazione dei dati per i datastore protetti da CMEK non riuscirà perché Discovery Engine non è in grado di creare il bucket e la directory temporanei protetti da CMEK necessari per l'importazione.

• Non creare datastore o app che vuoi gestire con la chiave finché non hai completato le istruzioni di registrazione della chiave in questa pagina.

Registrare la chiave Cloud KMS

Per criptare i dati utilizzando CMEK, devi registrare la chiave multiregionale. Facoltativamente, se i dati richiedono chiavi a singola regione, ad esempio quando utilizzi connettori di terze parti, devi registrare le chiavi a singola regione.

Prima di iniziare

Assicurati di quanto segue:

• La regione non è già protetta da una chiave. La procedura riportata di seguito non riesce se una chiave è già registrata per la regione tramite il comando REST. Per determinare se esiste una chiave attiva in NotebookLM Enterprise per una località, consulta Visualizzare le chiavi Cloud KMS.

• Disponi del ruolo Amministratore di Discovery Engine (roles/discoveryengine.admin).

Procedura

REST

Per registrare la tua chiave per NotebookLM Enterprise, segui questi passaggi:

1. Chiama il UpdateCmekConfig metodo con la chiave che vuoi registrare.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Sostituisci quanto segue:

   • KMS_PROJECT_ID: l'ID del progetto che contiene la chiave. Il numero del progetto non funzionerà.
   • KMS_LOCATION: la multiregione della chiave: us o europe.
   • KEY_RING: il nome del keyring che contiene la chiave.
   • KEY_NAME: il nome della chiave.
   • PROJECT_ID: l'ID del progetto che contiene il datastore.
   • LOCATION: la multiregione del datastore: us o eu.
   • CMEK_CONFIG_ID: imposta un ID univoco per la risorsa CmekConfig, ad esempio default_cmek_config.
   • SET_DEFAULT: imposta su true per utilizzare la chiave come chiave predefinita per i datastore creati successivamente nella multiregione.

   Esempio di comando e risultato

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. (Facoltativo) Registra il valore name restituito dal metodo e segui le istruzioni riportate in Recuperare i dettagli di un'operazione a lunga esecuzione per vedere quando l'operazione è completata.

   In genere, la registrazione di una chiave richiede alcuni minuti.

Console

Nota: quando utilizzi la console per registrare le chiavi, non puoi modificare o rimuovere chiavi da una località utilizzando la console. Devi chiamare il DeleteCmekConfig metodo per annullare la registrazione della chiave Cloud KMS.

Procedura

Per registrare la tua chiave per NotebookLM Enterprise, segui questi passaggi:

1. Nella Google Cloud console, vai alla pagina Gemini Enterprise.

   Gemini Enterprise

2. Fai clic su Impostazioni e seleziona la scheda CMEK.

3. Fai clic su Aggiungi chiave per la località us o eu.

   

   Fai clic su Aggiungi chiave.

   1. Fai clic sul menu a discesa Seleziona una chiave Cloud KMS e seleziona la chiave.

      • Se la chiave si trova in un altro progetto, fai clic su Cambia progetto, fai clic sul nome del progetto, digita il nome della chiave che hai creato e seleziona la chiave.

      • Se conosci il nome della risorsa della chiave, fai clic su Inserisci manualmente, incolla il nome della risorsa della chiave e fai clic su Salva.

   2. Fai clic su OK > Salva.

La chiave viene registrata e viene creata una risorsa Cmek denominata default_cmek_config.

Potrebbero essere necessarie diverse ore prima che i dati importati vengano visualizzati nei risultati di ricerca.

Nota: dopo aver creato i datastore, verifica che i datastore nelle località eu o us siano protetti dalle chiavi. Per saperne di più, consulta verificare che un datastore sia protetto da una chiave Cloud KMS key.

Annullare la registrazione della chiave Cloud KMS

Per annullare la registrazione della chiave da NotebookLM Enterprise, segui questi passaggi:

1. Chiama il metodo DeleteCmekConfig con il nome della risorsa CmekConfig di cui vuoi annullare la registrazione.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Sostituisci quanto segue:

   • LOCATION: la multiregione del datastore: us o eu.
   • PROJECT_ID: l'ID del progetto che contiene il datastore.
   • CMEK_CONFIG_ID: l'ID della risorsa CmekConfig. Se hai registrato la chiave utilizzando la console, l'ID è default_cmek_config.

   Un esempio di chiamata e risposta curl è il seguente:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. (Facoltativo) Registra il valore name restituito dal metodo e segui le istruzioni riportate in Recuperare i dettagli di un'operazione a lunga esecuzione per vedere quando l'operazione è completata.

   In genere, l'eliminazione di una chiave richiede alcuni minuti.

Nota: una risorsa CmekConfig può essere eliminata solo se nessuna risorsa NotebookLM Enterprise è protetta da questa risorsa CmekConfig.

Verificare che NotebookLM Enterprise sia protetto da una chiave

Se vuoi verificare che NotebookLM Enterprise sia protetto dalla tua chiave, segui questi passaggi:

Nota: Notebooks creati dopo la registrazione della chiave sono protetti da la chiave.

Nota: potrebbero essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con NotebookLM Enterprise.

1. Chiama il metodo ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Sostituisci quanto segue:

   • LOCATION: la multiregione del datastore: us o eu.
   • PROJECT_ID: l'ID del tuo Google Cloud progetto che contiene i dati.

   Esempio di comando e risultato

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Esamina l'output del comando. CmekConfig è pronto per l'uso se nell'output sono presenti tutti i seguenti elementi:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Se una chiave Cloud KMS è disabilitata o revocata

Se una chiave è disabilitata o le autorizzazioni per la chiave vengono revocate, il datastore smette di importare e pubblicare i dati entro 15 minuti. Tuttavia, la riattivazione di una chiave o il ripristino delle autorizzazioni richiede molto tempo. Potrebbero essere necessarie fino a 24 ore prima che il datastore possa riprendere a pubblicare i dati.

Pertanto, disabilita una chiave solo se necessario. L'attivazione e la disattivazione di una chiave in un datastore è un'operazione che richiede tempo. Ad esempio, se una chiave viene attivata e disattivata ripetutamente , il datastore impiegherà molto tempo per raggiungere uno stato protetto. La disattivazione di una chiave e la sua riattivazione immediata potrebbero comportare giorni di inattività perché la chiave viene prima disattivata dal datastore e poi riattivata.