מפתחות הצפנה בניהול הלקוח

כברירת מחדל, Gemini Notebook Enterprise מצפין את התוכן של הלקוחות במצב מנוחה. ‫Gemini Notebook Enterprise מטפל בהצפנה בשבילכם בלי שתצטרכו לבצע פעולות נוספות. האפשרות הזו נקראת הצפנת ברירת המחדל של Google.

אם אתם רוצים לשלוט במפתחות ההצפנה, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים עם CMEK, כולל Gemini Notebook Enterprise. כשמשתמשים במפתחות של Cloud KMS, אפשר לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בהרשאות השימוש והגישה ובגבולות הקריפטוגרפיים שלהם. באמצעות Cloud KMS אפשר גם לעקוב אחרי השימוש במפתחות, לצפות ביומני ביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות להצפנת מפתחות (KEK) סימטריים ותנהל אותם כדי להגן על הנתונים שלכם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שמגדירים את המשאבים באמצעות CMEK, חוויית הגישה למשאבים של Gemini Notebook Enterprise דומה לשימוש בהצפנה שמוגדרת כברירת מחדל ב-Google. מידע נוסף על אפשרויות ההצפנה מופיע במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

כשמפתח CMEK נרשם, Gemini Notebook Enterprise קורא ל-Cloud KMS באופן תקופתי כדי לשמור על מופע מבודד לוגית של הנתונים שלכם. זה קורה גם אם הגדרת ה-CMEK לא מוגדרת כברירת מחדל ואין אפליקציות או מחברי נתונים שמשתמשים בה. השימוש נובע מההגדרה ומההפעלה של המכונה, ולא מנפח הנתונים או ממספר המשתמשים שניגשים אליה. ראו המחירון של Cloud Key Management Service.

כדי להפסיק לחלוטין את השימוש ב-Cloud KMS, צריך לבטל את הרישום של המפתח ב-Cloud KMS, להשבית את המפתח או לבטל את ההרשאות שלו. השבתת Gemini Notebook Enterprise API לא מוחקת את CmekConfig או את הנתונים שלכם, ואתם ממשיכים להיות מחויבים על השימוש ב-CMEK.

הערה: במכונות באזורים בארה"ב או באיחוד האירופי נדרשת הצפנת נתונים.

הערה: נתונים באחסון ב-Gemini Notebook Enterprise משתמשים ב-Google-owned and Google-managed encryption key (GMEK) כברירת מחדל. ‫CMEK, כפי שמתואר בדף הזה, מאפשר לכם להשתמש במפתחות משלכם במקום במפתחות GMEK.

הערה: כדי לוודא שהמשאבים של Gemini Notebook Enterprise תמיד מוגנים באמצעות CMEK, מומלץ מאוד להגדיר מדיניות ארגונית ל-CMEK. למידע נוסף, ראו אילוצים של מדיניות הארגון.

המגבלות של Cloud KMS ב-Gemini Notebook Enterprise

המגבלות הבאות חלות על מפתחות CMEK ‏ (Cloud KMS) ב-Gemini Notebook Enterprise:

• אי אפשר לשנות מפתחות שכבר הוחלו על מופע, אבל אפשר לבצע רוטציה של גרסאות המפתחות.

• אי אפשר לשנות את הגדרות ההצפנה של מחברות אחרי שיוצרים אותן. אי אפשר להגן על תיקיית Notebook לא מוגנת, ואי אפשר להסיר את ההגנה.

• הגנת CMEK עם Gemini Notebook Enterprise לא משולבת עם חיפוש ב-Cloud Asset Inventory.

• חובה להשתמש במופעים רב-אזוריים בארה"ב או באיחוד האירופי (ולא במופעים גלובליים). מידע נוסף על אזורים מרובים ועל מיקום נתונים, כולל מגבלות שקשורות לשימוש במיקומים לא גלובליים, זמין במאמר בנושא מיקומים.

• אם אתם צריכים לרשום יותר ממפתח אחד לפרויקט, פנו לצוות התמיכה של חשבון Google כדי לבקש הגדלה של המכסה להגדרות CMEK, וציינו את הסיבה לכך שאתם צריכים יותר ממפתח אחד.

  המגבלות הבאות חלות על EKM או HSM עם CMEK:

  • המכסה של EKM ו-HSM לקריאות הצפנה ופענוח צריכה להיות לפחות 1,000 QPM של מרווח. במאמר בדיקת המכסות של Cloud KMS מוסבר איך בודקים את המכסות.

  • אם משתמשים ב-EKM, המפתח חייב להיות נגיש במשך יותר מ-90% מכל חלון זמן שארוך מ-30 שניות. אם לא ניתן להגיע למפתח למשך הזמן הזה, הדבר עלול להשפיע לרעה על הוספה לאינדקס ועל רעננות החיפוש.

  • אם יש בעיות בחיוב, בעיות מתמשכות של חריגה מהמכסה או בעיות מתמשכות של חוסר נגישות במשך יותר מ-12 שעות, השירות משבית באופן אוטומטי את ה-CmekConfig שמשויך למפתח EKM או HSM.

• אתם יכולים להשתמש ב-Terraform כדי להגדיר CMEK ל-Gemini Notebook Enterprise. אפשר לעיין במאמר google_discovery_engine_cmek_config.

הערה: Podcast API (הוצא משימוש) הוא רכיב נפרד מ-Gemini Notebook Enterprise. פודקאסטים שנוצרים באמצעות Podcast API לא מוגנים על ידי CMEK. עם זאת, כל הפודקאסטים שנוצרים בתוך תיקיות Notebook ב-Gemini Notebook Enterprise מוגנים באמצעות CMEK.

לפני שמתחילים

צריך לוודא שמתקיימות הדרישות המוקדמות הבאות:

• יוצרים מפתח סימטרי של Cloud KMS במספר אזורים. במסמכי התיעוד של Cloud KMS מוסבר איך ליצור אוסף מפתחות וליצור מפתח.

  • מגדירים את תקופת הרוטציה לערך Never (Manual rotation).

  • בשדה Location, בוחרים באפשרות Multi-region, ובתפריט הנפתח בוחרים באפשרות europe או us.

• תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Discovery Engine. לחשבון סוכן השירות יש כתובת אימייל בפורמט הבא: [e-mail]. הוראות כלליות להוספת תפקיד לסוכן שירות מופיעות במאמר הקצאה או ביטול של תפקיד יחיד.

• תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Cloud Storage. אם לא מקצים את התפקיד הזה, אי אפשר לייבא נתונים למכונות שמוגנות באמצעות CMEK, כי Discovery Engine לא יכול ליצור את הקטגוריה והספרייה הזמניות שמוגנות באמצעות CMEK ונדרשות לייבוא.

• אל תגדירו מופעים שאתם רוצים שהמפתח ינהל עד שתשלימו את ההוראות לרישום המפתח בדף הזה.

רישום מפתח Cloud KMS

כדי להצפין נתונים באמצעות CMEK, צריך לרשום את המפתח במספר אזורים. אם הנתונים שלכם צריכים מפתחות לאזור יחיד, למשל כשמשתמשים במחברים של צד שלישי, אתם צריכים לרשום גם את המפתחות לאזור יחיד.

לפני שמתחילים

חשוב לוודא את הדברים הבאים:

• האזור לא מוגן כבר על ידי מפתח. התהליך הבא ייכשל אם כבר רשום מפתח לאזור באמצעות פקודת ה-REST. כדי לבדוק אם יש מפתח פעיל ב-Gemini Notebook Enterprise למיקום מסוים, קראו את המאמר הצגת מפתחות Cloud KMS.

• יש לכם את התפקיד אדמין ב-Gemini Notebook Enterprise (roles/discoveryengine.agentspaceAdmin).

התהליך

REST

כדי לרשום מפתח משלכם ל-Gemini Notebook Enterprise:

1. מבצעים קריאה ל-UpdateCmekConfig עם המפתח שרוצים לרשום.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫KMS_PROJECT_ID: מזהה הפרויקט שמכיל את המפתח. מספר הפרויקט לא יעבוד.
   • ‫KMS_LOCATION: האזור של המפתח: us או europe.
   • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
   • ‫KEY_NAME: שם המפתח.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את המכונה.
   • ‫LOCATION: האזור המרובה של המופע: us או eu.
   • ‫CMEK_CONFIG_ID: מגדירים מזהה ייחודי למשאב CmekConfig, לדוגמה default_cmek_config.

   • ‫SET_DEFAULT: מגדירים את הערך true כדי להשתמש במפתח כמפתח ברירת המחדל למכונות הבאות שנוצרות במספר האזורים.

     חשוב: נדרש SET_DEFAULT כדי להחיל באופן אוטומטי את CmekConfig על משאבים עוקבים.

   דוגמה לפקודה ולתוצאה

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. צריך להמתין עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. מפתח רשום לא יכול להגן על תיקיות Notebook עד שהוא מוכן. אם תפתחו את ממשק המשתמש במהלך חלון הזמן הזה של 24 שעות, יכול להיות שתיתקלו בשגיאות, או שמחברות חדשות לא יהיו מוגנות על ידי המפתח. אחרי 24 שעות, מוודאים שהמפתח פעיל לפי השלבים שמפורטים בקטע איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח.

3. מגדירים את המופע. איך מגדירים את Gemini Notebook Enterprise

המסוף

הערה: כשמשתמשים במסוף כדי לרשום את המפתחות, אי אפשר לשנות או להסיר מפתחות ממיקום באמצעות המסוף. צריך להפעיל את ה-method‏ DeleteCmekConfig כדי לבטל את הרישום של מפתח Cloud KMS.

התהליך

כדי לרשום מפתח משלכם ל-Gemini Notebook Enterprise:

1. נכנסים לדף Gemini Enterprise במסוף Google Cloud .

   ‫Gemini Enterprise

2. לוחצים על Settings ובוחרים בכרטיסייה CMEK.

3. לוחצים על Add key במיקום us או eu.

   

   לוחצים על 'הוספת מפתח'.

   1. לוחצים על התפריט הנפתח Select a Cloud KMS key ובוחרים את המפתח.

      • אם המפתח נמצא בפרויקט אחר, לוחצים על החלפת פרויקט, לוחצים על שם הפרויקט, מקלידים את שם המפתח שיצרתם ובוחרים את המפתח.

      • אם אתם יודעים את שם המשאב של המפתח, לוחצים על Enter manually, מדביקים את שם המשאב של המפתח ולוחצים על Save.

   2. לוחצים על אישור > שמירה.

4. לפני שמגדירים מכונה, צריך לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על תיקיות Notebook עד שהוא מוכן. יכול להיות שיעברו עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח

5. מגדירים את המכונה. הוראות מפורטות מופיעות במאמר בנושא הגדרת Gemini Notebook Enterprise.

הפעולה הזו רושמת את המפתח ויוצרת CmekResource בשם default_cmek_config.

יכול להיות שיחלפו כמה שעות עד שהנתונים שהוטמעו יופיעו בתוצאות החיפוש.

הערה: אחרי שמגדירים את המופעים, צריך לוודא שהם מוגנים על ידי המפתחות. מידע נוסף זמין במאמר אימות ההגנה על המופע באמצעות מפתח Cloud KMS.

ביטול הרישום של מפתח Cloud KMS

כדי לבטל את הרישום של המפתח ב-Gemini Notebook Enterprise, פועלים לפי השלבים הבאים:

1. מפעילים את השיטה DeleteCmekConfig עם שם המשאב של CmekConfig שרוצים לבטל את הרישום שלו.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור של המכונה: us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את המכונה.
   • ‫CMEK_CONFIG_ID: המזהה של המשאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

   דוגמה לקריאת curl ותגובה:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. אופציונלי: רושמים את הערך name שמוחזר מהשיטה ופועלים לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת כדי לראות מתי הפעולה הושלמה.

   מחיקה של CmekConfig היא פעולה ארוכת טווח שיכולה להימשך עד כמה ימים. הסיבה לכך היא שהמשאבים הבסיסיים המוצפנים מבוטלים באופן מלא לפני שה-CmekConfig מוסר.

הערה: אפשר למחוק משאב CmekConfig רק אם אין משאבים של Gemini Notebook Enterprise שמוגנים על ידי אותו משאב CmekConfig.

איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח

חשוב: רק נוטבוקים שנוצרו אחרי רישום המפתח מוגנים על ידי המפתח.

יכול להיות שיעברו עד 24 שעות עד שהמפתח הרשום יהיה מוכן לשימוש ב-Gemini Notebook Enterprise. לכן, משתמשים שפותחים את האפליקציה לפני שהמפתח מוכן עלולים להיתקל בשגיאות, או שתיקיות Notebook חדשות לא יהיו מוגנות באמצעות המפתח.

חשוב: אם המשתמשים רואים את השגיאה "Failed to fetch project", אל תנסו לרשום מחדש את המפתחות או לשנות את ההרשאות. השגיאה נפתרת באופן אוטומטי בסיום ההקצאה.

כדי לוודא שהמפתח מוכן לשימוש ושהוא מגן על Gemini Notebook Enterprise, פועלים לפי השלבים הבאים:

1. מבצעים קריאה ל-ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור המרובה של המופע: us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שמכיל את הנתונים.

   דוגמה לפקודה ולתוצאה

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. בודקים את הפלט של הפקודה.

   אם תהליך ההקצאה עדיין נמשך, הפלט מכיל את הערך "notebooklmState": NOTEBOOK_LM_NOT_READY.

   ההגדרה CmekConfig מוכנה לשימוש אם כל השורות הבאות מופיעות בפלט:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

החלפת מפתחות של Cloud KMS

תצוגה מקדימה

השימוש במוצר או בתכונה כפוף לתנאי השימוש במוצרים בשלב טרום-GA, בחלק "תנאים כלליים לשירות" של התנאים הספציפיים לשירות. השימוש בתכונות ובמוצרים בגרסת טרום-GA הוא "כפי שהם" (As is), ויכול להיות שהתמיכה בהם תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

אי אפשר לשנות את המפתח שמגן על מכונה קיימת, אבל אפשר להחליף את המפתח הזה בגרסת מפתח חדשה. כשאתם מגדירים גרסה חדשה של מפתח רשום בתור הגרסה הראשית, Gemini Notebook Enterprise מזהה את השינוי ומצפין מחדש את הנתונים שלכם באמצעות גרסת המפתח החדשה באופן אוטומטי. לא צריך להפעיל שיטה של Gemini Notebook Enterprise כדי להתחיל רוטציה.

מידע כללי על רוטציית מפתחות מופיע במאמר רוטציית מפתחות במדריך של Cloud KMS.

כדי להחליף מפתח, פועלים לפי השלבים הבאים:

1. יוצרים גרסת מפתח חדשה ומגדירים אותה כגרסה הראשית. הוראות מפורטות זמינות במאמר החלפת מפתח במדריך Cloud KMS.

   משאירים את גרסת המפתח הקודמת מופעלת. ההצפנה מחדש מתחילה באופן אוטומטי אחרי ש-Gemini Notebook Enterprise מזהה את הגרסה הראשית החדשה.

2. מוודאים ש-Gemini Notebook Enterprise זיהה את גרסת המפתח החדשה. כדי לראות את ה-CmekConfig, עיינו במאמר איך מוודאים ש-Gemini Notebook Enterprise מוגן באמצעות מפתח. בודקים את השדות הבאים בפלט:

   • ‫kmsKeyVersion מציג את גרסת המפתח החדשה.
   • state הוא ACTIVE.
   • התאריך lastRotationTimestampMicros מציין מתי התחיל הסבב.

3. חשוב להשאיר את גרסת המפתח הקודמת מופעלת למשך 30 יום לפחות אחרי שגרסת המפתח החדשה מופיעה ב-kmsKeyVersion.

   שימו לב: ב-Gemini Notebook Enterprise אין דיווח על השלמת ההצפנה מחדש של כל האחסון הבסיסי. אם תשביתו או תשמידו את גרסת המפתח הקודמת לפני שההצפנה מחדש תסתיים, לא תוכלו לגשת לנתונים שעדיין מוצפנים באמצעות הגרסה הזו.

4. משביתים את גרסת המפתח הקודמת ומוודאים שהכול פועל כמו קודם. מידע נוסף מופיע במאמר הפעלה והשבתה של גרסאות מפתח במדריך Cloud KMS.

5. אחרי שמוודאים שהשבתת גרסת המפתח הקודמת לא גרמה לבעיות, משמידים אותה. איך משמידים ומשחזרים גרסאות של מפתחות במדריך של Cloud KMS.

   טיפ: ההשמדה מתוזמנת ולא מתבצעת באופן מיידי. בזמן שגרסת מפתח מתוזמנת להשמדה, היא מתנהגת כאילו היא מושבתת, ואפשר לשחזר אותה כדי לבטל את ההשמדה.

אם מפתח Cloud KMS מושבת או מבוטל

אם מפתח מושבת או שההרשאות למפתח מבוטלות, המכונה מפסיקה להטמיע נתונים ולהציג נתונים תוך 15 דקות. אפשר להפעיל מחדש את המפתח תוך 30 יום כדי להמשיך בפעולות לפני שתצורת ה-CMEK תפוג וכל הנתונים המשויכים יימחקו באופן סופי. עם זאת, הפעלה מחדש של מפתח או שחזור הרשאות נמשכים זמן רב. יכול להיות שיעברו עד 24 שעות לפני שהמכונה תוכל להמשיך להציג נתונים.

לכן, אל תשביתו מפתח אלא אם כן זה הכרחי. השבתה והפעלה של מפתח במופע הן פעולות שלוקחות זמן. לדוגמה, אם משנים את המצב של מפתח שוב ושוב בין מושבת למופעל, ייקח הרבה זמן עד שהמכונה תגיע למצב מוגן. אם משביתים מפתח ומפעילים אותו מחדש מיד לאחר מכן, יכול להיות שהמכונה תושבת למשך כמה ימים, כי המפתח מושבת קודם מהמכונה ורק לאחר מכן מופעל מחדש.