מפתחות הצפנה בניהול הלקוח

כברירת מחדל, Gemini Notebook Enterprise מצפין את תוכן הלקוחות במצב מנוחה. ‫Gemini Notebook Enterprise מטפל בהצפנה בשבילכם בלי שתצטרכו לבצע פעולות נוספות. האפשרות הזו נקראת Google default encryption.

אם אתם רוצים לשלוט במפתחות ההצפנה, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים עם CMEK, כולל Gemini Notebook Enterprise. כשמשתמשים במפתחות של Cloud KMS, אפשר לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בהרשאות השימוש והגישה ובגבולות הקריפטוגרפיים שלהם. באמצעות Cloud KMS אפשר גם לעקוב אחרי השימוש במפתחות, לצפות ביומני ביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות להצפנת מפתחות (KEK) סימטריים ותנהל אותם כדי להגן על הנתונים שלכם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שתגדירו את המשאבים עם מפתחות CMEK, חוויית הגישה למשאבים ב-Gemini Notebook Enterprise תהיה דומה לשימוש בהצפנה שמוגדרת כברירת מחדל ב-Google. מידע נוסף על אפשרויות ההצפנה זמין במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

אחרי שרושמים מפתח CMEK, ‏ Gemini Notebook Enterprise קורא ל-Cloud KMS מדי פעם כדי לשמור על מכונה מבודדת מבחינה לוגית של הנתונים שלכם. זה קורה גם אם הגדרת ה-CMEK לא מוגדרת כברירת מחדל, ואין אפליקציות או מחברי נתונים שמשתמשים בה. השימוש נובע מההגדרה ומההפעלה של המכונה, ולא מנפח הנתונים או ממספר המשתמשים שניגשים אליה. ראו המחירון של Cloud Key Management Service.

כדי להפסיק לחלוטין את השימוש ב-Cloud KMS, צריך לבטל את הרישום של מפתח Cloud KMS, להשבית את המפתח או לבטל את ההרשאות שלו. השבתת Gemini Notebook Enterprise API לא מוחקת את CmekConfig או את הנתונים שלכם, ואתם ממשיכים להיות מחויבים על השימוש ב-CMEK.

הערה: נדרשת הצפנת נתונים במופעים באזורים בארה"ב או באיחוד האירופי.

הערה: נתונים במצב לא פעיל ב-Gemini Notebook Enterprise מוצפנים באמצעות Google-owned and Google-managed encryption key (GMEK) כברירת מחדל. ‫CMEK, כפי שמתואר בדף הזה, מאפשר לכם להשתמש במפתחות משלכם במקום במפתחות GMEK.

הערה: כדי לוודא שהמשאבים של Gemini Notebook Enterprise תמיד מוגנים באמצעות CMEK, מומלץ מאוד להגדיר מדיניות ארגונית ל-CMEK. מידע נוסף זמין במאמר בנושא אילוצים של מדיניות הארגון.

המגבלות של Cloud KMS ב-Gemini Notebook Enterprise

המגבלות הבאות חלות על מפתחות CMEK‏ (Cloud KMS) ב-Gemini Notebook Enterprise:

• אי אפשר לשנות מפתחות שכבר הוחלו על מופע, אבל אפשר לבצע רוטציה של גרסאות המפתחות.

• אי אפשר לשנות את הגדרות ההצפנה של תיקיות Notebook אחרי שיוצרים אותן. אי אפשר להגן על תיקיית Notebook לא מוגנת, ואי אפשר להסיר את ההגנה.

• הגנת CMEK עם Gemini Notebook Enterprise לא משולבת עם חיפוש ב-Cloud Asset Inventory.

• חובה להשתמש במכונות במספר אזורים בארה"ב או באיחוד האירופי (ולא במכונות גלובליות). למידע נוסף על מספר אזורים ומיקום אחסון הנתונים, כולל מגבלות שקשורות לשימוש במיקומים לא גלובליים, ראו מיקומים.

• אם אתם צריכים לרשום יותר ממפתח אחד לפרויקט, אתם יכולים לפנות לצוות של חשבון Google שלכם ולבקש להגדיל את המכסה של הגדרות CMEK. עליכם לספק נימוק למה אתם צריכים יותר ממפתח אחד.

  המגבלות הבאות חלות על EKM או HSM עם CMEK:

  • המכסה של EKM ו-HSM לקריאות הצפנה ופענוח צריכה להיות לפחות 1,000 QPM של מרווח. במאמר בדיקת המכסות של Cloud KMS מוסבר איך לבדוק את המכסות.

  • אם משתמשים ב-EKM, המפתח צריך להיות נגיש ליותר מ-90% מכל חלון זמן שאורכו יותר מ-30 שניות. אם המפתח לא נגיש במשך פרק הזמן הזה, יכולה להיות לכך השפעה שלילית על ההוספה לאינדקס ועל עדכניות החיפוש.

  • אם יש בעיות בחיוב, בעיות חוזרות של חריגה מהמכסה או בעיות חוזרות של חוסר אפשרות להגיע לשירות במשך יותר מ-12 שעות, השירות משבית באופן אוטומטי את CmekConfig שמשויך למפתח EKM או למפתח HSM.

• אתם יכולים להשתמש ב-Terraform כדי להגדיר CMEK ל-Gemini Notebook Enterprise. מידע נוסף זמין במאמר בנושא google_discovery_engine_cmek_config.

הערה: ‏Podcast API (הוצא משימוש) הוא רכיב עצמאי, נפרד מ-Gemini Notebook Enterprise. פודקאסטים שנוצרים באמצעות Podcast API לא מוגנים על ידי CMEK. עם זאת, כל הפודקאסטים שנוצרים בתוך תיקיות Notebook ב-Gemini Notebook Enterprise מוגנים באמצעות CMEK.

לפני שמתחילים

חשוב לוודא שאתם עומדים בדרישות המוקדמות הבאות:

• יוצרים מפתח סימטרי של Cloud KMS במספר אזורים. מידע נוסף זמין במאמרים בנושא יצירת אוסף מפתחות ויצירת מפתח במסמכי התיעוד של Cloud KMS.

  • מגדירים את תקופת הרוטציה לערך Never (Manual rotation).

  • בשדה Location, בוחרים באפשרות Multi-region, ובתפריט הנפתח בוחרים באפשרות europe או us.

• תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Discovery Engine. לחשבון סוכן השירות יש כתובת אימייל בפורמט הבא: [e-mail]. הוראות כלליות להוספת תפקיד לסוכן שירות מופיעות במאמר הקצאה או ביטול של תפקיד יחיד.

• תפקיד ה-IAM‏ CryptoKey Encrypter/Decrypter‏ (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוענק לסוכן השירות של Cloud Storage. אם לא מקצים את התפקיד הזה, אי אפשר לייבא נתונים למכונות שמוגנות באמצעות CMEK, כי Discovery Engine לא יכול ליצור את הקטגוריה והספרייה הזמניות שמוגנות באמצעות CMEK ונדרשות לייבוא.

• אל תגדירו מופעים שאתם רוצים שהמפתח ינהל עד שתשלימו את ההוראות לרישום המפתח בדף הזה.

רישום מפתח Cloud KMS

כדי להצפין נתונים באמצעות CMEK, צריך לרשום את המפתח הרב-אזורי. אם הנתונים שלכם צריכים מפתחות לאזור יחיד, למשל כשמשתמשים במחברים של צד שלישי, אתם צריכים לרשום גם את המפתחות לאזור יחיד.

לפני שמתחילים

חשוב לוודא את הדברים הבאים:

• האזור לא מוגן כבר על ידי מפתח. התהליך הבא ייכשל אם כבר רשום מפתח לאזור באמצעות פקודת ה-REST. כדי לבדוק אם יש מפתח פעיל ב-Gemini Notebook Enterprise למיקום מסוים, קראו את המאמר הצגת מפתחות Cloud KMS.

• יש לכם את התפקיד אדמין של Gemini Notebook Enterprise (roles/discoveryengine.agentspaceAdmin).

התהליך

REST

כדי לרשום מפתח משלכם ל-Gemini Notebook Enterprise, פועלים לפי השלבים הבאים:

1. מבצעים קריאה ל-UpdateCmekConfig עם המפתח שרוצים לרשום.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫KMS_PROJECT_ID: מזהה הפרויקט שמכיל את המפתח. מספר הפרויקט לא יעבוד.
   • ‫KMS_LOCATION: האזור של המפתח: us או europe.
   • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
   • ‫KEY_NAME: השם של המפתח.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את המכונה.
   • ‫LOCATION: האזור המרובה של המופע: us או eu.
   • ‫CMEK_CONFIG_ID: מגדירים מזהה ייחודי למשאב CmekConfig, לדוגמה default_cmek_config.

   • ‫SET_DEFAULT: מגדירים את הערך true כדי להשתמש במפתח כמפתח ברירת המחדל למכונות הבאות שנוצרות במספר האזורים.

     חשוב: צריך את SET_DEFAULT כדי להחיל באופן אוטומטי את CmekConfig על משאבים עוקבים.

   דוגמה לפקודה ולתוצאה

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. צריך להמתין עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. מפתח רשום לא יכול להגן על תיקיות Notebook עד שהוא מוכן. אם תפתחו את ממשק המשתמש במהלך חלון הזמן הזה של 24 שעות, יכול להיות שתיתקלו בשגיאות או שמחברות חדשות לא יהיו מוגנות באמצעות המפתח. אחרי 24 שעות, מוודאים שהמפתח פעיל לפי השלבים שמפורטים בקטע איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח.

3. מגדירים את המכונה. איך מגדירים את Gemini Notebook Enterprise

המסוף

הערה: כשמשתמשים במסוף כדי לרשום את המפתחות, אי אפשר לשנות או להסיר מפתחות ממיקום באמצעות המסוף. צריך להפעיל את השיטה DeleteCmekConfig כדי לבטל את הרישום של מפתח Cloud KMS.

התהליך

כדי לרשום מפתח משלכם ל-Gemini Notebook Enterprise, פועלים לפי השלבים הבאים:

1. נכנסים לדף Gemini Enterprise במסוף Google Cloud .

   ‫Gemini Enterprise

2. לוחצים על Settings ובוחרים בכרטיסייה CMEK.

3. לוחצים על Add key במיקום us או eu.

   

   לוחצים על "הוספת מפתח".

   1. לוחצים על התפריט הנפתח Select a Cloud KMS key ובוחרים את המפתח.

      • אם המפתח נמצא בפרויקט אחר, לוחצים על Switch project, לוחצים על שם הפרויקט, מקלידים את שם המפתח שיצרתם ובוחרים את המפתח.

      • אם אתם יודעים את שם המשאב של המפתח, לוחצים על הזנה ידנית, מדביקים את שם המשאב של המפתח ולוחצים על שמירה.

   2. לוחצים על אישור > שמירה.

4. לפני שמגדירים מכונה, צריך לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על תיקיות Notebook עד שהוא מוכן. יכול להיות שיעברו עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח

5. מגדירים את המכונה. הוראות מפורטות מופיעות במאמר בנושא הגדרת Gemini Notebook Enterprise.

המפתח נרשם ונוצר CmekResource בשם default_cmek_config.

יכול להיות שיחלפו כמה שעות עד שהנתונים שהוטמעו יופיעו בתוצאות החיפוש.

הערה: אחרי שמגדירים את המופעים, צריך לוודא שהם מוגנים על ידי המפתחות. מידע נוסף זמין במאמר אימות שהמכונה מוגנת באמצעות מפתח Cloud KMS.

ביטול הרישום של מפתח Cloud KMS

כדי לבטל את הרישום של המפתח ב-Gemini Notebook Enterprise:

1. קוראים למתודה DeleteCmekConfig עם שם המשאב CmekConfig שרוצים לבטל את הרישום שלו.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור המרובה של המופע: us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את המכונה.
   • ‫CMEK_CONFIG_ID: המזהה של המשאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

   דוגמה לקריאת curl ותגובה:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. אופציונלי: מתעדים את הערך של name שהוחזר על ידי ה-method, ופועלים לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת כדי לראות מתי הפעולה הושלמה.

   מחיקת CmekConfig היא פעולה ממושכת שיכולה להימשך עד כמה ימים. הסיבה לכך היא שהמשאבים המוצפנים הבסיסיים מבוטלים לחלוטין לפני שה-CmekConfig מוסר.

הערה: אפשר למחוק משאב CmekConfig רק אם אין משאבים של Gemini Notebook Enterprise שמוגנים על ידי אותו משאב CmekConfig.

איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח

חשוב: רק נוטבוקים שנוצרו אחרי רישום המפתח מוגנים על ידי המפתח.

יכול להיות שיעברו עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. לכן, משתמשים שפותחים את האפליקציה לפני שהמפתח מוכן עלולים להיתקל בשגיאות, או שתיקיות Notebook חדשות לא יהיו מוגנות באמצעות המפתח.

חשוב: אם המשתמשים רואים את השגיאה "Failed to fetch project", אל תנסו לרשום מחדש את המפתחות או לשנות את ההרשאות. השגיאה נפתרת אוטומטית אחרי שהקצאת ההרשאות מסתיימת.

כדי לוודא שהמפתח מוכן לשימוש ושהוא מגן על Gemini Notebook Enterprise, פועלים לפי השלבים הבאים:

1. מפעילים את ה-method‏ ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור של המכונה: us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שמכיל את הנתונים.

   דוגמה לפקודה ולתוצאה

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. בודקים את הפלט של הפקודה.

   אם תהליך ההקצאה עדיין נמשך, הפלט מכיל את הערך "notebooklmState": NOTEBOOK_LM_NOT_READY.

   ה-CmekConfig מוכן לשימוש אם כל הפרטים הבאים מופיעים בפלט:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

החלפת מפתחות של Cloud KMS

אי אפשר לשנות את המפתח שמגן על מכונה קיימת, אבל אפשר להחליף את המפתח הזה בגרסת מפתח חדשה. כשאתם מגדירים גרסה חדשה של מפתח רשום בתור הגרסה הראשית, Gemini Notebook Enterprise מזהה את השינוי ומצפין מחדש את הנתונים שלכם באמצעות גרסת המפתח החדשה באופן אוטומטי. לא צריך להפעיל שיטה של Gemini Notebook Enterprise כדי להתחיל רוטציה.

מידע כללי על רוטציית מפתחות מופיע במאמר רוטציית מפתחות במדריך של Cloud KMS.

כדי לסובב מפתח:

1. יוצרים גרסת מפתח חדשה ומגדירים אותה כגרסה הראשית. הוראות מפורטות זמינות במאמר החלפת מפתח במדריך Cloud KMS.

   משאירים את גרסת המפתח הקודמת מופעלת. ההצפנה מחדש מתחילה באופן אוטומטי אחרי ש-Gemini Notebook Enterprise מזהה את הגרסה הראשית החדשה.

2. מוודאים ש-Gemini Notebook Enterprise זיהה את הגרסה החדשה של המפתח. כדי לראות את ה-CmekConfig, עיינו במאמר איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח. בודקים את השדות הבאים בפלט:

   • ‫kmsKeyVersion מציג את גרסת המפתח החדשה.
   • state הוא ACTIVE.
   • lastRotationTimestampMicros מראה מתי התחיל הרוטציה.

3. חשוב להשאיר את גרסת המפתח הקודמת מופעלת למשך 30 יום לפחות אחרי שגרסת המפתח החדשה מופיעה ב-kmsKeyVersion.

   אזהרה: ב-Gemini Notebook Enterprise לא מדווח מתי מסתיימת ההצפנה מחדש של כל האחסון הבסיסי. אם משביתים או משמידים את הגרסה הקודמת של המפתח לפני שההצפנה מחדש מסתיימת, לא תהיה גישה לנתונים שעדיין מוצפנים באמצעות הגרסה הזו.

4. משביתים את גרסת המפתח הקודמת ומוודאים שהכול פועל כמו קודם. מידע נוסף מופיע במאמר הפעלה והשבתה של גרסאות מפתח במדריך Cloud KMS.

5. כשבטוחים שהשבתת גרסת המפתח הקודמת לא גרמה לבעיות, משמידים אותה. איך משמידים ומשחזרים גרסאות של מפתחות במדריך של Cloud KMS.

   הערה: ההשמדה מתוזמנת ולא מיידית. בזמן שגרסת מפתח מתוזמנת להשמדה, היא מתנהגת כאילו היא מושבתת, ואפשר לשחזר אותה כדי לבטל את ההשמדה.

אם מפתח Cloud KMS מושבת או מבוטל

אם מפתח מושבת או שההרשאות למפתח מבוטלות, המכונה מפסיקה להטמיע נתונים ולהציג נתונים תוך 15 דקות. אתם יכולים להפעיל מחדש את המפתח תוך 30 יום כדי להמשיך את הפעולות לפני שתוקף ההגדרה של CMEK יפוג וכל הנתונים המשויכים יימחקו לצמיתות. עם זאת, הפעלה מחדש של מפתח או שחזור הרשאות לוקחים הרבה זמן. יכולות לחלוף עד 24 שעות לפני שהמופע יוכל לחזור להציג נתונים.

לכן, אל תשביתו מפתח אלא אם כן זה הכרחי. השבתה והפעלה של מפתח במופע הן פעולות שלוקחות זמן. לדוגמה, אם משנים את המצב של מפתח שוב ושוב בין מושבת למופעל, ייקח הרבה זמן עד שהמכונה תגיע למצב מוגן. אם משביתים מפתח ומפעילים אותו מחדש מיד לאחר מכן, יכול להיות שהמכונה תושבת למשך כמה ימים, כי המפתח מושבת קודם מהמכונה ורק לאחר מכן מופעל מחדש.