Chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Gemini Notebook Enterprise cripta i contenuti inattivi dei clienti. Gemini Notebook Enterprise gestisce la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con i servizi integrati con CMEK, incluso Gemini Notebook Enterprise. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione , la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre monitorare l'utilizzo delle chiavi, visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse di Gemini Notebook Enterprise è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Quando viene registrata una chiave CMEK, Gemini Notebook Enterprise chiama periodicamente Cloud KMS per mantenere un'istanza logicamente isolata dei tuoi dati. Questo accade anche se la configurazione CMEK non è impostata come predefinita e non ci sono app o connettori di dati che la utilizzano. L'utilizzo deriva dalla configurazione e dall'esecuzione dell'istanza, non dal volume di dati o dal numero di utenti che vi accedono. Consulta i prezzi di Cloud Key Management Service.

Per disattivare completamente tutto l'utilizzo di Cloud KMS, devi annullare la registrazione della chiave Cloud KMS, disattivarla o revocarne le autorizzazioni. La disattivazione dell'API Gemini Notebook Enterprise non elimina CmekConfig o i tuoi dati e la fatturazione per l'utilizzo di CMEK continua.

Nota: le istanze nelle regioni degli Stati Uniti o dell'UE richiedono la crittografia dei dati.

Nota: per impostazione predefinita, i dati inattivi di Gemini Notebook Enterprise utilizzano Google-owned and Google-managed encryption key (GMEK). CMEK, come descritto in questa pagina, ti consente di utilizzare le tue chiavi anziché le chiavi GMEK.

Nota: se vuoi assicurarti che le risorse di Gemini Notebook Enterprise siano sempre protette da CMEK, ti consigliamo vivamente di configurare una policy dell'organizzazione CMEK. Per saperne di più, consulta Vincoli delle policy dell'organizzazione.

Limitazioni di Cloud KMS in Gemini Notebook Enterprise

Le seguenti limitazioni si applicano alle chiavi CMEK (Cloud KMS) in Gemini Notebook Enterprise:

• Le chiavi già applicate a un'istanza non possono essere modificate, anche se le versioni delle chiavi possono essere ruotate.

• Non puoi modificare le impostazioni di crittografia dei notebook dopo la creazione. Un notebook non protetto non può essere protetto in un secondo momento e la protezione non può essere rimossa.

• La protezione CMEK con Gemini Notebook Enterprise non è integrata con la ricerca di Cloud Asset Inventory.

• Devi utilizzare istanze multi-regionali degli Stati Uniti o dell'UE (non globali). Per saperne di più sulle multi-regioni e sulla residenza dei dati, inclusi i limiti associati all'utilizzo di località non globali, consulta Località.

• Se devi registrare più di una chiave per un progetto, contatta il team dell'Account Google per richiedere un aumento della quota per le configurazioni CMEK, fornendo una motivazione per cui hai bisogno di più di una chiave.

  Le seguenti limitazioni si applicano a EKM o HSM con CMEK:

  • La quota EKM e HSM per le chiamate di crittografia e decrittografia deve avere almeno 1000 QPM di margine. Per scoprire come controllare le quote, consulta Controllare le quote di Cloud KMS.

  • Se utilizzi EKM, la chiave deve essere raggiungibile per più del 90% di qualsiasi finestra temporale superiore a 30 secondi. Se la chiave non è raggiungibile per questo periodo di tempo, può influire negativamente sull'indicizzazione e sulla freschezza della ricerca.

  • Se si verificano problemi di fatturazione, problemi di quota persistenti o problemi di irraggiungibilità persistenti per più di 12 ore, il servizio disattiva automaticamente CmekConfig associato alla chiave EKM o HSM.

• Puoi utilizzare Terraform per configurare CMEK per Gemini Notebook Enterprise. Consulta google_discovery_engine_cmek_config.

Nota: l'API Podcast (ritirata) è un componente autonomo, separato da Gemini Notebook Enterprise. I podcast generati utilizzando l'API Podcast non sono protetti da CMEK. Tuttavia, tutti i podcast creati all'interno dei notebook di Gemini Notebook Enterprise sono protetti da CMEK.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Crea una chiave Cloud KMS simmetrica multi-regionale. Consulta Creare chiavi automatizzate e Creare una chiave nella documentazione di Cloud KMS.

  • Imposta il periodo di rotazione su Mai (rotazione manuale).

  • Per Località, seleziona Multi-regione e seleziona europe o us dal menu a discesa.

• Il ruolo IAM Autore crittografia/decriptazione CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave è stato concesso all'agente di servizio di Discovery Engine. L'account dell'agente di servizio ha un indirizzo email che utilizza il seguente formato: [e-mail]. Per istruzioni generali su come aggiungere un ruolo a un agente di servizio, consulta Concedere o revocare un singolo ruolo.

• Il ruolo IAM Autore crittografia/decriptazione CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave è stato concesso all'agente di servizio di Cloud Storage. Se questo ruolo non viene concesso, l'importazione dei dati per le istanze protette da CMEK non riuscirà perché Discovery Engine non è in grado di creare il bucket e la directory temporanei protetti da CMEK necessari per l'importazione.

• Non configurare le istanze che vuoi gestire con la chiave finché non hai completato le istruzioni di registrazione della chiave in questa pagina.

Registrare la chiave Cloud KMS

Per criptare i dati utilizzando CMEK, devi registrare la chiave multi-regionale. (Facoltativo) Se i dati richiedono chiavi a singola regione, ad esempio quando utilizzi connettori di terze parti, devi anche registrare le chiavi a singola regione.

Prima di iniziare

Assicurati di quanto segue:

• La regione non è già protetta da una chiave. La procedura riportata di seguito non riesce se una chiave è già registrata per la regione tramite il comando REST. Per determinare se è presente una chiave attiva in Gemini Notebook Enterprise per una località, consulta Visualizzare le chiavi Cloud KMS.

• Hai il ruolo Amministratore di Gemini Notebook Enterprise (roles/discoveryengine.agentspaceAdmin).

Procedura

REST

Per registrare la tua chiave per Gemini Notebook Enterprise:

1. Chiama il UpdateCmekConfig metodo con la chiave che vuoi registrare.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Sostituisci quanto segue:

   • KMS_PROJECT_ID: l'ID del progetto che contiene la chiave. Il numero del progetto non funzionerà.
   • KMS_LOCATION: la multi-regione della chiave: us o europe.
   • KEY_RING: il nome delle chiavi automatizzate che contiene la chiave.
   • KEY_NAME: il nome della chiave.
   • PROJECT_ID: l'ID del progetto che contiene l'istanza.
   • LOCATION: la multi-regione dell'istanza: us o eu.
   • CMEK_CONFIG_ID: imposta un ID univoco per la risorsa CmekConfig, ad esempio default_cmek_config.

   • SET_DEFAULT: imposta su true per utilizzare la chiave come chiave predefinita per le istanze successive create nella multi-regione.

     Importante: SET_DEFAULT è obbligatorio per applicare automaticamente CmekConfig alle risorse successive.

   Esempio di comando e risultato

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Attendi fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise. Una chiave registrata non può proteggere i notebook finché non è pronta. Se apri l'interfaccia utente durante questa finestra di 24 ore, potresti riscontrare errori o i nuovi notebook potrebbero non essere protetti dalla chiave. Dopo 24 ore, verifica che la chiave sia attiva seguendo i passaggi descritti in Verificare che Gemini Notebook Enterprise sia protetto da una chiave.

3. Configura l'istanza. Per le istruzioni, consulta Configurare Gemini Notebook Enterprise.

Console

Nota: quando utilizzi la console per registrare le chiavi, non puoi modificare o rimuovere le chiavi da una località utilizzando la console. Devi chiamare il DeleteCmekConfig metodo per annullare la registrazione della chiave Cloud KMS.

Procedura

Per registrare la tua chiave per Gemini Notebook Enterprise:

1. Nella Google Cloud console, vai alla pagina Gemini Enterprise.

   Gemini Enterprise

2. Fai clic su Impostazioni e seleziona la scheda CMEK.

3. Fai clic su Aggiungi chiave per la località us o eu.

   

   Fai clic su Aggiungi chiave.

   1. Fai clic sul menu a discesa Seleziona una chiave Cloud KMS e seleziona la chiave.

      • Se la chiave si trova in un altro progetto, fai clic su Cambia progetto, fai clic sul nome del progetto, digita il nome della chiave che hai creato e seleziona la chiave.

      • Se conosci il nome risorsa della chiave, fai clic su Inserisci manualmente, incolla il nome risorsa della chiave e fai clic su Salva.

   2. Fai clic su OK > Salva.

4. Verifica che la chiave sia pronta per l'uso prima di configurare un'istanza. Una chiave registrata non può proteggere i notebook finché non è pronta. Potrebbero essere necessarie fino a 24 ore prima che la chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise. Consulta Verificare che Gemini Notebook Enterprise sia protetto da una chiave.

5. Configura l'istanza. Per le istruzioni, consulta Configurare Gemini Notebook Enterprise.

In questo modo, la chiave viene registrata e viene creata una risorsa CmekResource denominata default_cmek_config.

Potrebbero essere necessarie diverse ore prima che i dati importati vengano visualizzati nei risultati di ricerca.

Nota: dopo aver configurato le istanze, verifica che siano protette dalle chiavi. Per saperne di più, consulta verificare che l'istanza sia protetta da una chiave Cloud KMS key.

Annullare la registrazione della chiave Cloud KMS

Per annullare la registrazione della chiave da Gemini Notebook Enterprise:

1. Chiama il metodo DeleteCmekConfig con il nome della risorsa CmekConfig di cui vuoi annullare la registrazione.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Sostituisci quanto segue:

   • LOCATION: la multi-regione dell'istanza: us o eu.
   • PROJECT_ID: l'ID del progetto che contiene l'istanza.
   • CMEK_CONFIG_ID: l'ID della risorsa CmekConfig. Se hai registrato la chiave utilizzando la console, l'ID è default_cmek_config.

   Un esempio di chiamata e risposta curl è il seguente:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. (Facoltativo) Registra il valore name restituito dal metodo e segui le istruzioni riportate in Ottenere i dettagli di un'operazione a lunga esecuzione per vedere quando l'operazione è completata.

   L'eliminazione di CmekConfig è un'operazione a lunga esecuzione che può richiedere fino a un paio di giorni. Questo perché le risorse criptate sottostanti vengono completamente deprovisionate prima della rimozione di CmekConfig.

Nota: una risorsa CmekConfig può essere eliminata solo se nessuna risorsa di Gemini Notebook Enterprise è protetta da quella risorsa CmekConfig.

Verificare che Gemini Notebook Enterprise sia protetto da una chiave

**Importante:** solo i notebook creati dopo la registrazione della chiave sono protetti dalla chiave.

Poiché potrebbero essere necessarie fino a 24 ore prima che una chiave registrata sia pronta per l'uso con Gemini Notebook Enterprise, gli utenti che aprono l'app prima che la chiave sia pronta potrebbero riscontrare errori o i nuovi notebook potrebbero non essere protetti dalla chiave.

Importante: se gli utenti visualizzano l'errore "Impossibile recuperare il progetto", non provare a registrare nuovamente le chiavi o a modificare le autorizzazioni. L'errore si risolve automaticamente al termine del provisioning.

Se vuoi verificare che la chiave sia pronta per l'uso e che Gemini Notebook Enterprise sia protetto dalla chiave:

1. Chiama il metodo ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Sostituisci quanto segue:

   • LOCATION: la multi-regione dell'istanza: us o eu.
   • PROJECT_ID: l'ID del tuo Google Cloud progetto che contiene i dati.

   Esempio di comando e risultato

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Esamina l'output del comando.

   Se il processo di provisioning è ancora in corso, l'output contiene "notebooklmState": NOTEBOOK_LM_NOT_READY.

   CmekConfig è pronto per l'uso se nell'output sono presenti tutti i seguenti elementi:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Ruotare le chiavi Cloud KMS

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Non puoi modificare la chiave che protegge un'istanza esistente, ma puoi ruotare la chiave a una nuova versione della chiave. Quando imposti una nuova versione di una chiave registrata come versione principale, Gemini Notebook Enterprise rileva la modifica e ricripta automaticamente i dati con la nuova versione della chiave. Non devi chiamare un metodo Gemini Notebook Enterprise per avviare una rotazione.

Per informazioni generali sulla rotazione delle chiavi, consulta Rotazione delle chiavi nella guida di Cloud KMS.

Per ruotare una chiave:

1. Crea una nuova versione della chiave e impostala come versione principale. Per le istruzioni, consulta Ruotare una chiave nella guida di Cloud KMS.

   Lascia abilitata la versione precedente della chiave. La ricrittografia inizia automaticamente dopo che Gemini Notebook Enterprise rileva la nuova versione principale.

2. Verifica che Gemini Notebook Enterprise abbia rilevato la nuova versione della chiave. Per visualizzare il tuo CmekConfig, consulta Verificare che Gemini Notebook Enterprise sia protetto da una chiave. Controlla i seguenti campi nell'output:

   • kmsKeyVersion mostra la nuova versione della chiave.
   • state è ACTIVE.
   • lastRotationTimestampMicros mostra quando è iniziata la rotazione.

3. Mantieni abilitata la versione precedente della chiave per almeno 30 giorni dopo che kmsKeyVersion mostra la nuova versione della chiave.

   **Attenzione:** Gemini Notebook Enterprise non segnala quando la ricrittografia di tutto lo spazio di archiviazione sottostante è completata. Se disabiliti o elimini la versione precedente della chiave prima del completamento della ricrittografia, i dati ancora criptati in quella versione diventano inaccessibili.

4. Disabilita la versione precedente della chiave e assicurati che tutto funzioni come prima. Consulta Abilitare e disabilitare le versioni delle chiavi nella guida di Cloud KMS.

5. Quando hai la certezza che la disabilitazione della versione precedente della chiave non ha causato problemi, eliminala. Consulta Eliminare e ripristinare le versioni delle chiavi nella guida di Cloud KMS.

   Suggerimento: l'eliminazione è pianificata anziché immediata. Mentre una versione della chiave è pianificata per l'eliminazione, si comporta come se fosse disabilitata e puoi ripristinarla per annullare l'eliminazione.

Se una chiave Cloud KMS è disabilitata o revocata

Se una chiave è disabilitata o le autorizzazioni per la chiave vengono revocate, l'istanza smette di importare e pubblicare i dati entro 15 minuti. Puoi riattivare la chiave entro 30 giorni per riprendere le operazioni prima della scadenza della configurazione CMEK e dell'eliminazione definitiva di tutti i dati associati. Tuttavia, la riattivazione di una chiave o il ripristino delle autorizzazioni richiede molto tempo. Potrebbero essere necessarie fino a 24 ore prima che l'istanza possa riprendere a pubblicare i dati.

Pertanto, non disabilitare una chiave a meno che non sia necessario. La disabilitazione e l'abilitazione di una chiave su un'istanza è un'operazione che richiede molto tempo. Ad esempio, se una chiave viene attivata e disattivata ripetutamente, l'istanza impiegherà molto tempo per raggiungere uno stato protetto. La disabilitazione di una chiave e la sua riattivazione immediata potrebbero comportare giorni di inattività perché la chiave viene prima disabilitata dall'istanza e poi riattivata.