Kunci enkripsi yang dikelola pelanggan

Secara default, Gemini Notebook Enterprise mengenkripsi konten pelanggan dalam penyimpanan. Gemini Notebook Enterprise menangani enkripsi untuk Anda tanpa tindakan tambahan dari Anda. Opsi ini disebut Enkripsi default Google.

Jika ingin mengontrol kunci enkripsi, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) di Cloud KMS dengan layanan yang terintegrasi dengan CMEK, termasuk Gemini Notebook Enterprise. Dengan menggunakan kunci Cloud KMS, Anda dapat mengontrol tingkat perlindungan , lokasi, jadwal rotasi, izin penggunaan dan akses, serta batasan kriptografisnya. Dengan Cloud KMS, Anda juga dapat melacak penggunaan kunci, melihat log audit, dan mengontrol siklus proses kunci. Bukan Google yang memiliki dan mengelola kunci enkripsi kunci (KEK) simetris yang melindungi data Anda. Andalah yang mengontrol dan mengelola kunci ini di Cloud KMS.

Setelah Anda menyiapkan resource dengan CMEK, pengalaman mengakses resource Gemini Notebook Enterprise Anda akan serupa dengan menggunakan enkripsi default Google. Untuk mengetahui informasi selengkapnya tentang opsi enkripsi, lihat Kunci enkripsi yang dikelola pelanggan (CMEK).

Saat kunci CMEK didaftarkan, Gemini Notebook Enterprise akan memanggil Cloud KMS secara berkala untuk mempertahankan instance data Anda yang terisolasi secara logis. Hal ini terjadi meskipun konfigurasi CMEK tidak ditetapkan sebagai default dan tidak ada aplikasi atau konektor data yang menggunakannya. Penggunaan berasal dari penyiapan dan menjalankan instance, bukan dari volume data atau jumlah pengguna yang mengaksesnya. Lihat Harga Cloud Key Management Service.

Untuk menonaktifkan sepenuhnya semua penggunaan Cloud KMS, Anda harus membatalkan pendaftaran kunci Cloud KMS, menonaktifkan kunci, atau mencabut izinnya. Menonaktifkan Gemini Notebook Enterprise API tidak akan menghapus CmekConfig atau data Anda, dan Anda akan terus ditagih untuk penggunaan CMEK.

Catatan: Instance di region AS atau Uni Eropa memerlukan enkripsi data.

Catatan: Data Gemini Notebook Enterprise dalam penyimpanan menggunakan Google-owned and Google-managed encryption key (GMEK) secara default. CMEK, seperti yang dijelaskan di halaman ini, memungkinkan Anda menggunakan kunci sendiri, bukan kunci GMEK.

Catatan: Jika ingin memastikan resource Gemini Notebook Enterprise Anda selalu dilindungi oleh CMEK, sebaiknya konfigurasikan kebijakan organisasi CMEK. Untuk mengetahui informasi selengkapnya, baca bagian Batasan kebijakan organisasi.

Batasan Cloud KMS di Gemini Notebook Enterprise

Batasan berikut berlaku untuk kunci CMEK (Cloud KMS) di Gemini Notebook Enterprise:

• Kunci yang sudah diterapkan ke instance tidak dapat diubah, meskipun versi kunci dapat dirotasi.

• Anda tidak dapat mengubah setelan enkripsi notebook setelah dibuat. Notebook yang tidak dilindungi tidak dapat dilindungi nanti, dan perlindungan tidak dapat dihapus.

• Perlindungan CMEK dengan Gemini Notebook Enterprise tidak terintegrasi dengan Inventaris Aset Cloud penelusuran.

• Anda harus menggunakan instance multi-region AS atau Uni Eropa (bukan global). Untuk mengetahui informasi selengkapnya tentang multi-region dan residensi data, termasuk batasan yang terkait dengan penggunaan lokasi non-global, lihat lokasi.

• Jika Anda perlu mendaftarkan lebih dari satu kunci untuk project, hubungi tim akun Google Anda untuk meminta penambahan kuota untuk konfigurasi CMEK, dengan memberikan alasan mengapa Anda memerlukan lebih dari satu kunci.

  Batasan berikut berlaku untuk EKM atau HSM dengan CMEK:

  • Kuota EKM dan HSM Anda untuk panggilan enkripsi dan dekripsi harus memiliki headroom minimal 1.000 QPM. Untuk mengetahui cara memeriksa kuota, lihat Memeriksa kuota Cloud KMS.

  • Jika menggunakan EKM, kunci harus dapat dijangkau selama lebih dari 90% dari jangka waktu lebih dari 30 detik. Jika kunci tidak dapat dijangkau selama jangka waktu ini, hal tersebut dapat berdampak negatif pada pengindeksan dan kesegaran penelusuran.

  • Jika ada masalah penagihan, masalah di luar kuota yang persisten, atau masalah ketidakmampuan untuk dijangkau yang persisten selama lebih dari 12 jam, layanan akan otomatis menolak CmekConfig yang terkait dengan kunci EKM atau HSM.

• Anda dapat menggunakan Terraform untuk mengonfigurasi CMEK untuk Gemini Notebook Enterprise. Lihat google_discovery_engine_cmek_config.

Catatan: Podcast API (tidak digunakan lagi) adalah komponen mandiri, terpisah dari Gemini Notebook Enterprise. Podcast yang dibuat menggunakan Podcast API tidak dilindungi oleh CMEK. Namun, semua podcast yang dibuat dari dalam notebook Gemini Notebook Enterprise dilindungi CMEK.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Buat kunci Cloud KMS simetris multi-region. Lihat Membuat key ring dan Membuat kunci di dokumentasi Cloud KMS.

  • Tetapkan periode rotasi ke Never (Manual rotation).

  • Untuk Location, pilih Multi-region, dan pilih europe atau us dari menu drop-down.

• Peran IAM CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) pada kunci telah diberikan kepada agen layanan Discovery Engine. Akun agen layanan memiliki alamat email yang menggunakan format berikut: format: [e-mail]. Untuk petunjuk umum tentang cara menambahkan peran ke agen layanan, lihat Memberikan atau mencabut satu peran.

• Peran IAM CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) pada kunci telah diberikan kepada agen layanan Cloud Storage. Jika peran ini tidak diberikan, impor data untuk instance yang dilindungi CMEK akan gagal karena Discovery Engine tidak dapat membuat bucket dan direktori sementara yang dilindungi CMEK yang diperlukan untuk impor.

• Jangan siapkan instance yang ingin Anda kelola dengan kunci Anda hingga setelah Anda menyelesaikan pendaftaran kunci petunjuk di halaman ini.

Mendaftarkan kunci Cloud KMS

Untuk mengenkripsi data menggunakan CMEK, Anda harus mendaftarkan kunci multi-region. Secara opsional, jika data Anda memerlukan kunci satu region, misalnya, saat menggunakan konektor pihak ketiga, Anda juga perlu mendaftarkan kunci satu region.

Sebelum memulai

Pastikan hal berikut:

• Region belum dilindungi oleh kunci. Prosedur di bawah akan gagal jika kunci sudah terdaftar untuk region melalui perintah REST. Untuk menentukan apakah ada kunci aktif di Gemini Notebook Enterprise untuk suatu lokasi, lihat Melihat kunci Cloud KMS.

• Anda memiliki peran Gemini Notebook Enterprise Admin (roles/discoveryengine.agentspaceAdmin).

Prosedur

REST

Untuk mendaftarkan kunci Anda sendiri untuk Gemini Notebook Enterprise, ikuti langkah-langkah berikut:

1. Panggil UpdateCmekConfig metode dengan kunci yang ingin Anda daftarkan.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Ganti kode berikut:

   • KMS_PROJECT_ID: ID project Anda yang berisi kunci. Nomor project tidak akan berfungsi.
   • KMS_LOCATION: multi-region kunci Anda: us atau europe.
   • KEY_RING: nama key ring yang menyimpan kunci.
   • KEY_NAME: nama kunci.
   • PROJECT_ID: ID project Anda yang berisi instance.
   • LOCATION: multi-region instance Anda: us atau eu.
   • CMEK_CONFIG_ID: tetapkan ID unik untuk resource CmekConfig, misalnya, default_cmek_config.

   • SET_DEFAULT: tetapkan ke true untuk menggunakan kunci sebagai kunci default untuk instance berikutnya yang dibuat di multi-region.

     Penting: SET_DEFAULT diperlukan untuk menerapkan CmekConfig secara otomatis pada resource berikutnya.

   Contoh perintah dan hasil

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Tunggu hingga 24 jam hingga kunci terdaftar Anda siap digunakan dengan Gemini Notebook Enterprise. Kunci terdaftar tidak dapat melindungi notebook hingga siap. Jika Anda membuka UI selama jangka waktu 24 jam ini, Anda mungkin akan mengalami error, atau notebook baru mungkin tidak dilindungi oleh kunci. Setelah 24 jam, konfirmasi bahwa kunci aktif dengan mengikuti langkah-langkah di Memverifikasi bahwa Gemini Notebook Enterprise dilindungi oleh kunci.

3. Siapkan instance. Untuk mengetahui petunjuknya, lihat Menyiapkan Gemini Notebook Enterprise.

Konsol

Catatan: Saat menggunakan konsol untuk mendaftarkan kunci, Anda tidak dapat mengubah atau menghapus kunci dari lokasi menggunakan konsol. Anda harus memanggil metode DeleteCmekConfig untuk membatalkan pendaftaran kunci Cloud KMS.

Prosedur

Untuk mendaftarkan kunci Anda sendiri untuk Gemini Notebook Enterprise, ikuti langkah-langkah berikut:

1. Di Google Cloud konsol, buka halaman Gemini Enterprise.

   Gemini Enterprise

2. Klik Settings, lalu pilih tab CMEK.

3. Klik Add key untuk lokasi us atau eu.

   

   Klik Add key.

   1. Klik drop-down Select a Cloud KMS key, lalu pilih kunci.

      • Jika kunci berada di project lain, klik Switch project, klik nama project Anda, ketik nama kunci yang Anda buat, lalu pilih kunci.

      • Jika Anda mengetahui nama resource kunci, klik Enter manually, tempel nama resource kunci, lalu klik Save.

   2. Klik OK > Save.

4. Pastikan kunci Anda siap digunakan sebelum Anda menyiapkan instance. Kunci terdaftar tidak dapat melindungi notebook hingga siap. Perlu waktu hingga 24 jam hingga kunci terdaftar Anda siap digunakan dengan Gemini Notebook Enterprise. Lihat Memverifikasi bahwa Gemini Notebook Enterprise dilindungi oleh kunci.

5. Siapkan instance. Untuk mengetahui petunjuknya, lihat Menyiapkan Gemini Notebook Enterprise.

Tindakan ini akan mendaftarkan kunci Anda, sehingga membuat CmekResource yang disebut default_cmek_config.

Perlu waktu beberapa jam hingga data yang diserap muncul di hasil penelusuran.

Catatan: Setelah menyiapkan instance, pastikan instance tersebut dilindungi oleh kunci. Untuk mengetahui informasi selengkapnya, lihat memverifikasi bahwa instance dilindungi oleh kunci Cloud KMS kunci.

Membatalkan pendaftaran kunci Cloud KMS

Untuk membatalkan pendaftaran kunci dari Gemini Notebook Enterprise, ikuti langkah-langkah berikut:

1. Panggil metode DeleteCmekConfig dengan nama resource CmekConfig yang ingin Anda batalkan pendaftarannya.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Ganti kode berikut:

   • LOCATION: multi-region instance Anda: us atau eu.
   • PROJECT_ID: ID project Anda yang berisi instance.
   • CMEK_CONFIG_ID: ID resource CmekConfig. Jika Anda mendaftarkan kunci menggunakan konsol, ID-nya adalah default_cmek_config.

   Contoh panggilan dan respons curl terlihat seperti ini:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. Opsional: Catat nilai name yang ditampilkan oleh metode dan ikuti petunjuk di Mendapatkan detail tentang operasi yang berjalan lama untuk melihat kapan operasi selesai.

   Menghapus CmekConfig adalah operasi yang berjalan lama dan dapat memerlukan waktu hingga beberapa hari untuk diselesaikan. Hal ini karena resource terenkripsi yang mendasarinya sepenuhnya dihentikan penyediaannya sebelum CmekConfig dihapus.

Catatan: Resource CmekConfig hanya dapat dihapus jika tidak ada resource Gemini Notebook Enterprise yang dilindungi oleh resource CmekConfig tersebut.

Memverifikasi bahwa Gemini Notebook Enterprise dilindungi oleh kunci

**Penting:** Hanya notebook yang dibuat setelah kunci didaftarkan yang dilindungi oleh kunci.

Karena kunci terdaftar mungkin memerlukan waktu hingga 24 jam untuk siap digunakan dengan Gemini Notebook Enterprise, pengguna yang membuka aplikasi sebelum kunci siap mungkin akan mengalami error, atau notebook baru mungkin tidak dilindungi oleh kunci.

Penting: Jika pengguna Anda melihat error "Failed to fetch project", jangan coba mendaftarkan ulang kunci atau mengubah izin. Error akan otomatis teratasi setelah penyediaan selesai.

Jika Anda ingin mengonfirmasi bahwa kunci Anda siap digunakan dan Gemini Notebook Enterprise dilindungi oleh kunci Anda, ikuti langkah-langkah berikut:

1. Panggil metode ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Ganti kode berikut:

   • LOCATION: multi-region instance Anda: us atau eu.
   • PROJECT_ID: ID Google Cloud project Anda yang berisi data.

   Contoh perintah dan hasil

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Tinjau output dari perintah.

   Jika proses penyediaan masih berlangsung, output akan berisi "notebooklmState": NOTEBOOK_LM_NOT_READY.

   CmekConfig siap digunakan jika semua hal berikut ada dalam output:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Merotasi kunci Cloud KMS

Anda tidak dapat mengubah kunci yang melindungi instance yang ada, tetapi Anda dapat merotasi kunci tersebut ke versi kunci baru. Saat Anda menjadikan versi baru kunci terdaftar sebagai versi utama, Gemini Notebook Enterprise akan mendeteksi perubahan tersebut dan mengenkripsi ulang data Anda dengan versi kunci baru secara otomatis. Anda tidak perlu memanggil metode Gemini Notebook Enterprise untuk memulai rotasi.

Untuk mengetahui informasi umum tentang merotasi kunci, lihat Rotasi kunci dalam panduan Cloud KMS.

Untuk merotasi kunci, ikuti langkah-langkah berikut:

1. Buat versi kunci baru dan jadikan versi utama. Untuk mengetahui petunjuknya, lihat Merotasi kunci dalam panduan Cloud KMS.

   Biarkan versi kunci sebelumnya diaktifkan. Enkripsi ulang akan dimulai secara otomatis setelah Gemini Notebook Enterprise mendeteksi versi utama baru.

2. Konfirmasi bahwa Gemini Notebook Enterprise mendeteksi versi kunci baru. Untuk melihat CmekConfig, lihat Memverifikasi bahwa Gemini Notebook Enterprise dilindungi oleh kunci. Periksa kolom berikut dalam output:

   • kmsKeyVersion menampilkan versi kunci baru.
   • state adalah ACTIVE.
   • lastRotationTimestampMicros menampilkan waktu rotasi dimulai.

3. Biarkan versi kunci sebelumnya diaktifkan selama minimal 30 hari setelah kmsKeyVersion menampilkan versi kunci baru.

   Perhatian: Gemini Notebook Enterprise tidak melaporkan kapan enkripsi ulang semua penyimpanan yang mendasarinya selesai. Jika Anda menonaktifkan atau menghancurkan versi kunci sebelumnya sebelum enkripsi ulang selesai, data yang masih dienkripsi di bawah versi tersebut tidak akan dapat diakses.

4. Nonaktifkan versi kunci sebelumnya, dan pastikan semuanya berfungsi seperti sebelumnya. Lihat Mengaktifkan dan menonaktifkan versi kunci dalam panduan Cloud KMS.

5. Jika Anda yakin tidak ada masalah yang disebabkan oleh penonaktifan versi kunci sebelumnya, hancurkan versi tersebut. Lihat Menghancurkan dan memulihkan versi kunci dalam panduan Cloud KMS.

   Tips: Penghancuran dijadwalkan, bukan langsung. Saat versi kunci dijadwalkan untuk dihancurkan, versi tersebut akan berperilaku seolah-olah dinonaktifkan, dan Anda dapat memulihkannya untuk membatalkan penghancuran.

Jika kunci Cloud KMS dinonaktifkan atau dicabut

Jika kunci dinonaktifkan atau izin untuk kunci dicabut, instance akan berhenti menyerap data dan berhenti menayangkan data dalam waktu 15 menit. Anda dapat mengaktifkan kembali kunci dalam waktu 30 hari untuk melanjutkan operasi sebelum konfigurasi CMEK berakhir masa berlakunya dan data terkait dihapus secara permanen. Namun, mengaktifkan kembali kunci atau memulihkan izin memerlukan waktu yang lama. Perlu waktu hingga 24 jam sebelum instance dapat melanjutkan penayangan data.

Oleh karena itu, jangan nonaktifkan kunci kecuali jika diperlukan. Menonaktifkan dan mengaktifkan kunci pada instance adalah operasi yang memakan waktu. Misalnya, jika kunci berulang kali dialihkan antara dinonaktifkan dan diaktifkan, instance akan memerlukan waktu yang lama untuk mencapai status terlindungi. Menonaktifkan kunci dan mengaktifkannya kembali segera setelahnya dapat menyebabkan waktu nonaktif selama berhari-hari karena kunci pertama-tama dinonaktifkan dari instance dan kemudian diaktifkan kembali.