מפתחות הצפנה בניהול הלקוח

כברירת מחדל, Gemini Notebook Enterprise מצפין את תוכן הלקוחות במצב מנוחה. ‫Gemini Notebook Enterprise מטפל בהצפנה בשבילכם בלי שתצטרכו לבצע פעולות נוספות. האפשרות הזו נקראת הצפנה כברירת מחדל של Google.

אם אתם רוצים לשלוט במפתחות ההצפנה, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים ב-CMEK, כולל Gemini Notebook Enterprise. כשמשתמשים במפתחות של Cloud KMS, אפשר לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בהרשאות השימוש והגישה ובגבולות הקריפטוגרפיים שלהם. באמצעות Cloud KMS אתם יכולים גם לעקוב אחרי השימוש במפתחות, לצפות ביומני הביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות ההצפנה (KEK) הסימטריים שמגינים על הנתונים שלכם ותנהל אותם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שתגדירו את המשאבים עם מפתחות CMEK, חוויית הגישה למשאבים ב-Gemini Notebook Enterprise תהיה דומה לשימוש בהצפנת ברירת המחדל של Google. מידע נוסף על אפשרויות ההצפנה מופיע במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

כשמפתח CMEK רשום, Gemini Notebook Enterprise קורא ל-Cloud KMS מדי פעם כדי לשמור על מכונה מבודדת מבחינה לוגית של הנתונים שלכם. זה קורה גם אם הגדרת ה-CMEK לא מוגדרת כברירת מחדל ואין אפליקציות או מחברי נתונים שמשתמשים בה. השימוש נובע מההגדרה ומההפעלה של המכונה, ולא מנפח הנתונים או ממספר המשתמשים שניגשים אליה. ראו המחירון של Cloud Key Management Service.

כדי להפסיק לחלוטין את השימוש ב-Cloud KMS, צריך לבטל את הרישום של מפתח Cloud KMS, להשבית את המפתח או לבטל את ההרשאות שלו. השבתת Gemini Notebook Enterprise API לא מוחקת את CmekConfig או את הנתונים שלכם, ואתם ממשיכים להיות מחויבים על השימוש ב-CMEK.

הערה: במכונות באזורים בארה"ב או באיחוד האירופי נדרשת הצפנת נתונים.

הערה: נתונים באחסון ב-Gemini Notebook Enterprise משתמשים ב-Google-owned and Google-managed encryption key (GMEK) כברירת מחדל. ‫CMEK, כמו שמתואר בדף הזה, מאפשר לכם להשתמש במפתחות משלכם במקום במפתחות GMEK.

הערה: כדי לוודא שהמשאבים של Gemini Notebook Enterprise תמיד מוגנים באמצעות CMEK, מומלץ מאוד להגדיר מדיניות ארגונית ל-CMEK. מידע נוסף מופיע במאמר אילוצים של מדיניות הארגון.

מגבלות של Cloud KMS ב-Gemini Notebook Enterprise

המגבלות הבאות חלות על מפתחות CMEK‏ (Cloud KMS) ב-Gemini Notebook Enterprise:

• אי אפשר לשנות מפתחות שכבר הוחלו על מכונה, אבל אפשר להחליף גרסאות של מפתחות.

• אי אפשר לשנות את הגדרות ההצפנה של תיקיות Notebook אחרי שיוצרים אותן. אי אפשר להגן על תיקיית Notebook לא מוגנת, ואי אפשר להסיר את ההגנה.

• הגנת CMEK עם Gemini Notebook Enterprise לא משולבת עם חיפוש ב-מאגר משאבי ענן.

• צריך להשתמש במכונות במספר אזורים בארה"ב או באיחוד האירופי (ולא במכונות גלובליות). מידע נוסף על מספר אזורים ומיקום אחסון הנתונים, כולל מגבלות שקשורות לשימוש במיקומים לא גלובליים, זמין במאמר מיקומים.

• אם אתם צריכים לרשום יותר ממפתח אחד לפרויקט, פנו לצוות התמיכה של חשבון Google כדי לבקש הגדלה של המכסה להגדרות CMEK, וציינו את הסיבה לכך שאתם צריכים יותר ממפתח אחד.

  המגבלות הבאות חלות על EKM או HSM עם CMEK:

  • המכסה של EKM ו-HSM לקריאות הצפנה ופענוח צריכה להיות לפחות 1,000 QPM של מרווח. במאמר בדיקת המכסות של Cloud KMS מוסבר איך בודקים את המכסות.

  • אם משתמשים ב-EKM, המפתח צריך להיות נגיש במשך יותר מ-90% מכל חלון זמן שארוך מ-30 שניות. אם המפתח לא נגיש במשך פרק הזמן הזה, יכולה להיות לכך השפעה שלילית על ההוספה לאינדקס ועל עדכניות החיפוש.

  • אם יש בעיות בחיוב, בעיות מתמשכות של חריגה מהמכסה או בעיות מתמשכות של חוסר נגישות במשך יותר מ-12 שעות, השירות משבית באופן אוטומטי את ה-CmekConfig שמשויך למפתח EKM או HSM.

• אתם יכולים להשתמש ב-Terraform כדי להגדיר CMEK ל-Gemini Notebook Enterprise. אפשר לעיין במאמר google_discovery_engine_cmek_config.

הערה: Podcast API (הוצא משימוש) הוא רכיב נפרד מ-Gemini Notebook Enterprise. פודקאסטים שנוצרים באמצעות Podcast API לא מוגנים על ידי CMEK. עם זאת, כל הפודקאסטים שנוצרים בתוך תיקיות Notebook ב-Gemini Notebook Enterprise מוגנים באמצעות CMEK.

לפני שמתחילים

חשוב לוודא שאתם עומדים בדרישות המוקדמות הבאות:

• יוצרים מפתח סימטרי של Cloud KMS במספר אזורים. אפשר לקרוא מידע נוסף במאמרים יצירת אוסף מפתחות ויצירת מפתח במסמכי התיעוד של Cloud KMS.

  • מגדירים את תקופת הרוטציה ל-Never (Manual rotation).

  • בשדה Location, בוחרים באפשרות Multi-region, ובתפריט הנפתח בוחרים באפשרות europe או us.

• תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Discovery Engine. כתובת האימייל של חשבון סוכן השירות היא בפורמט הבא: [e-mail]. במאמר הקצאה או ביטול של תפקיד יחיד מוסבר איך מקצים תפקיד לסוכן שירות.

• תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Cloud Storage. אם לא תקצו את התפקיד הזה, ייבוא הנתונים של מכונות שמוגנות באמצעות CMEK ייכשל כי Discovery Engine לא יוכל ליצור את הקטגוריה והספרייה הזמניות שמוגנות באמצעות CMEK ונדרשות לייבוא.

• אל תגדירו מכונות שאתם רוצים לנהל באמצעות המפתח עד שתשלימו את ההוראות לרישום המפתח שמופיעות בדף הזה.

רישום מפתח Cloud KMS

כדי להצפין נתונים באמצעות CMEK, צריך לרשום את המפתח במספר אזורים. אם הנתונים שלכם צריכים מפתחות לאזור יחיד, למשל כשמשתמשים במחברים של צד שלישי, אתם צריכים לרשום גם את המפתחות לאזור יחיד.

לפני שמתחילים

חשוב לוודא ש:

• האזור לא מוגן כבר באמצעות מפתח. התהליך הבא ייכשל אם כבר רשום מפתח לאזור באמצעות פקודת ה-REST. כדי לבדוק אם יש מפתח פעיל ב-Gemini Notebook Enterprise למיקום מסוים, קראו את המאמר הצגת מפתחות Cloud KMS.

• יש לכם את התפקיד אדמין ב-Gemini Notebook Enterprise (roles/discoveryengine.agentspaceAdmin).

התהליך

REST

כדי לרשום מפתח משלכם ל-Gemini Notebook Enterprise:

1. מפעילים את השיטה UpdateCmekConfig עם המפתח שרוצים לרשום.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫KMS_PROJECT_ID: מזהה הפרויקט שמכיל את המפתח. מספר הפרויקט לא יעבוד.
   • KMS_LOCATION: מספר האזורים של המפתח: us או europe.
   • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
   • ‫KEY_NAME: השם של המפתח.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את המכונה.
   • ‫LOCATION: האזור של המכונה: us או eu.
   • ‫CMEK_CONFIG_ID: מגדירים מזהה ייחודי למשאב CmekConfig, לדוגמה default_cmek_config.

   • ‫SET_DEFAULT: מגדירים את הערך true כדי להשתמש במפתח כמפתח ברירת המחדל למכונות הבאות שנוצרות במספר האזורים.

     חשוב: צריך את SET_DEFAULT כדי להחיל באופן אוטומטי את CmekConfig על משאבים עוקבים.

   דוגמה לפקודה ולתוצאה

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. צריך להמתין עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. מפתח רשום לא יכול להגן על תיקיות Notebook עד שהוא מוכן. אם תפתחו את ממשק המשתמש במהלך חלון הזמן הזה של 24 שעות, יכול להיות שתיתקלו בשגיאות או שמחברות חדשות לא יהיו מוגנות באמצעות המפתח. אחרי 24 שעות, מוודאים שהמפתח פעיל לפי השלבים שמפורטים בקטע איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח.

3. מגדירים את המכונה. איך מגדירים את Gemini Notebook Enterprise

המסוף

הערה: כשמשתמשים במסוף כדי לרשום את המפתחות, אי אפשר לשנות או להסיר מפתחות ממיקום באמצעות המסוף. צריך להפעיל את ה-method‏ DeleteCmekConfig כדי לבטל את הרישום של מפתח Cloud KMS.

התהליך

כדי לרשום מפתח משלכם ל-Gemini Notebook Enterprise, בצעו את השלבים הבאים:

1. נכנסים לדף Gemini Enterprise במסוף Google Cloud .

   Gemini Enterprise

2. לוחצים על Settings ובוחרים בכרטיסייה CMEK.

3. לוחצים על Add key במיקום us או eu.

   

   לוחצים על "הוספת מפתח".

   1. לוחצים על התפריט הנפתח Select a Cloud KMS key ובוחרים את המפתח.

      • אם המפתח נמצא בפרויקט אחר, לוחצים על Switch project, לוחצים על שם הפרויקט, מקלידים את שם המפתח שיצרתם ובוחרים את המפתח.

      • אם אתם יודעים את שם המשאב של המפתח, לוחצים על Enter manually, מדביקים את שם המשאב של המפתח ולוחצים על Save.

   2. לוחצים על אישור > שמירה.

4. לפני שמגדירים מכונה, צריך לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על תיקיות Notebook עד שהוא מוכן. יכול להיות שיעברו עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח

5. מגדירים את המכונה. איך מגדירים את Gemini Notebook Enterprise

הפעולה הזו רושמת את המפתח ויוצרת CmekResource בשם default_cmek_config.

יכול להיות שיעברו כמה שעות עד שהנתונים שהוטמעו יופיעו בתוצאות החיפוש.

הערה: אחרי שמגדירים את המכונות, צריך לוודא שהן מוגנות באמצעות המפתחות. מידע נוסף זמין במאמר איך מוודאים שהמכונה מוגנת באמצעות מפתח Cloud KMS.

ביטול הרישום של מפתח Cloud KMS

כדי לבטל את הרישום של המפתח ב-Gemini Notebook Enterprise:

1. מפעילים את השיטה DeleteCmekConfig עם שם המשאב של CmekConfig שרוצים לבטל את הרישום שלו.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור של המכונה: us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את המכונה.
   • ‫CMEK_CONFIG_ID: המזהה של המשאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

   דוגמה לקריאה ולתגובה של curl:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. אופציונלי: מתעדים את הערך של name שהוחזר על ידי ה-method, ופועלים לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת כדי לראות מתי הפעולה הושלמה.

   מחיקת CmekConfig היא פעולה ממושכת שיכולה להימשך עד כמה ימים. הסיבה לכך היא שההקצאה של המשאבים המוצפנים הבסיסיים מבוטלת לחלוטין לפני שההגדרה CmekConfig מוסרת.

הערה: אפשר למחוק משאב CmekConfig רק אם אין משאבים של Gemini Notebook Enterprise שמוגנים על ידי אותו משאב CmekConfig.

איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח

חשוב: רק תיקיות Notebook שנוצרו אחרי רישום המפתח מוגנות על ידי המפתח.

יכול להיות שיעברו עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. לכן, משתמשים שפותחים את האפליקציה לפני שהמפתח מוכן עלולים להיתקל בשגיאות, או שהמפתח לא יגן על תיקיות Notebook חדשות.

חשוב: אם המשתמשים רואים את השגיאה "Failed to fetch project", אל תנסו לרשום מחדש את המפתחות או לשנות את ההרשאות. השגיאה נפתרת באופן אוטומטי אחרי שההקצאה מסתיימת.

כדי לוודא שהמפתח מוכן לשימוש ושהוא מגן על Gemini Notebook Enterprise, בצעו את הפעולות הבאות:

1. מבצעים קריאה ל-ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור של המכונה: us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שמכיל את הנתונים.

   דוגמה לפקודה ולתוצאה

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. בודקים את הפלט של הפקודה.

   אם תהליך ההקצאה עדיין נמשך, הפלט מכיל את הערך "notebooklmState": NOTEBOOK_LM_NOT_READY.

   אם כל הפרטים הבאים מופיעים בפלט, ה-CmekConfig מוכן לשימוש:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

החלפת מפתחות של Cloud KMS

אי אפשר לשנות את המפתח שמגן על מכונה קיימת, אבל אפשר להחליף את המפתח הזה בגרסת מפתח חדשה. כשאתם הופכים גרסה חדשה של מפתח רשום לגרסה הראשית, Gemini Notebook Enterprise מזהה את השינוי ומצפין מחדש את הנתונים שלכם באמצעות גרסת המפתח החדשה באופן אוטומטי. לא צריך להפעיל שיטה של Gemini Notebook Enterprise כדי להתחיל רוטציה.

מידע כללי על רוטציית מפתחות מופיע במאמר רוטציית מפתחות במדריך של Cloud KMS.

כדי להחליף מפתח, פועלים לפי השלבים הבאים:

1. יוצרים גרסת מפתח חדשה ומגדירים אותה כגרסה הראשית. הוראות מפורטות זמינות במאמר רוטציה של מפתח במדריך של Cloud KMS.

   משאירים את גרסת המפתח הקודמת מופעלת. ההצפנה מחדש מתחילה באופן אוטומטי אחרי ש-Gemini Notebook Enterprise מזהה את הגרסה הראשית החדשה.

2. מוודאים ש-Gemini Notebook Enterprise זיהה את גרסת המפתח החדשה. כדי לראות את ה-CmekConfig, עיינו במאמר איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח. בודקים את השדות הבאים בפלט:

   • ‫kmsKeyVersion מציג את גרסת המפתח החדשה.
   • state הוא ACTIVE.
   • lastRotationTimestampMicros מראה מתי התחיל הסבב.

3. חשוב להשאיר את גרסת המפתח הקודמת פעילה למשך 30 יום לפחות אחרי שגרסת המפתח החדשה מופיעה ב-kmsKeyVersion.

   זהירות: ב-Gemini Notebook Enterprise לא מדווח מתי מסתיימת ההצפנה מחדש של כל האחסון הבסיסי. אם תשביתו או תשמידו את גרסת המפתח הקודמת לפני שההצפנה מחדש תסתיים, לא תהיה לכם גישה לנתונים שעדיין מוצפנים באמצעות הגרסה הזו.

4. משביתים את גרסת המפתח הקודמת ומוודאים שהכול פועל כמו קודם. למידע נוסף, קראו את המאמר הפעלה והשבתה של גרסאות מפתחות במדריך של Cloud KMS.

5. אחרי שמוודאים שהשבתת גרסת המפתח הקודמת לא גרמה לבעיות, משמידים אותה. במדריך של Cloud KMS מוסבר איך משמידים ומשחזרים גרסאות של מפתחות.

   טיפ: ההשמדה מתוזמנת ולא מתבצעת באופן מיידי. בזמן שגרסת מפתח מתוזמנת להשמדה, היא מתנהגת כאילו היא מושבתת, ואפשר לשחזר אותה כדי לבטל את ההשמדה.

אם מפתח Cloud KMS מושבת או מבוטל

אם מפתח מושבת או שההרשאות למפתח מבוטלות, המכונה מפסיקה להטמיע נתונים ולהציג נתונים תוך 15 דקות. אפשר להפעיל מחדש את המפתח תוך 30 יום כדי להמשיך בפעולות לפני שתצורת ה-CMEK תפוג וכל הנתונים המשויכים יימחקו באופן סופי. עם זאת, הפעלה מחדש של מפתח או שחזור הרשאות נמשכים זמן רב. יכול להיות שיעברו עד 24 שעות לפני שהמכונה תוכל להמשיך להציג נתונים.

לכן, אל תשביתו מפתח אלא אם יש צורך בכך. השבתה והפעלה של מפתח במכונה הן פעולות שאורכות זמן. לדוגמה, אם משביתים ומפעילים מפתח שוב ושוב, ייקח הרבה זמן עד שהמכונה תגיע למצב מוגן. אם משביתים מפתח ומפעילים אותו מחדש מיד לאחר מכן, יכול להיות שיהיה זמן השבתה של כמה ימים, כי המפתח מושבת קודם מהמכונה ורק לאחר מכן מופעל מחדש.