Chaves de criptografia gerenciadas pelo cliente

Por padrão, o Gemini Notebook Enterprise criptografa o conteúdo do cliente em repouso. O Gemini Notebook Enterprise executa a criptografia, e você não precisa fazer nada. Essa opção é chamada de criptografia padrão do Google.

Se você quiser controlar suas chaves de criptografia, use chaves de criptografia gerenciadas pelo cliente (CMEKs) no Cloud KMS com serviços integrados a CMEKs, como o Gemini Notebook Enterprise. Ao usar chaves do Cloud KMS, é possível controlar o nível de proteção, o local, a programação de rotação, as permissões de uso e acesso e os limites criptográficos. Ao usar o Cloud KMS, é possível também monitorar o uso de chaves, ver registros de auditoria e controlar ciclos de vida de chaves. Em vez de o Google ser proprietário e responsável pelo gerenciamento das chaves de criptografia de chaves (KEKs) simétricas que protegem seus dados, você controla e gerencia essas chaves no Cloud KMS.

Depois de configurar os recursos com CMEKs, a experiência de acesso aos recursos do Gemini Notebook Enterprise é semelhante à criptografia padrão do Google. Para saber mais sobre suas opções de criptografia, consulte Chaves de criptografia gerenciadas pelo cliente (CMEK).

Quando uma chave CMEK é registrada, o Gemini Notebook Enterprise chama o Cloud KMS periodicamente para manter uma instância logicamente isolada dos seus dados. Isso acontece mesmo que a configuração da CMEK não seja definida como padrão e não haja apps ou conectores de dados usando ela. O uso vem da configuração e execução da instância, não do volume de dados ou do número de usuários que acessam ela. Consulte os preços do Cloud Key Management Service.

Para desativar completamente todo o uso do Cloud KMS, é necessário cancelar o registro da chave do Cloud KMS, desativar a chave ou revogar as permissões dela. Desativar a API Gemini Notebook Enterprise não exclui seu CmekConfig nem seus dados, e você continua recebendo cobranças pelo uso da CMEK.

Observação: as instâncias nas regiões dos EUA ou da UE exigem criptografia de dados.

Observação: os dados em repouso do Gemini Notebook Enterprise usam Google-owned and Google-managed encryption key (GMEK) por padrão. A CMEK, conforme descrito nesta página, permite usar suas próprias chaves em vez das chaves GMEK.

Observação: se quiser garantir que seus recursos do Gemini Notebook Enterprise estejam sempre protegidos pela CMEK, recomendamos configurar uma política da organização de CMEK. Para mais informações, consulte Restrições da política da organização.

Limitações do Cloud KMS no Gemini Notebook Enterprise

As seguintes limitações se aplicam às chaves CMEK (Cloud KMS) no Gemini Notebook Enterprise:

• As chaves já aplicadas a uma instância não podem ser alteradas, mas as versões de chave podem ser alternadas.

• Não é possível mudar as configurações de criptografia dos notebooks depois da criação. Não é possível proteger um notebook desprotegido depois, e a proteção não pode ser removida.

• A proteção da CMEK com o Gemini Notebook Enterprise não é integrada à pesquisa do Inventário de recursos do Cloud.

• Use instâncias multirregionais dos EUA ou da UE (não globais). Para mais informações sobre multirregiões e residência de dados, incluindo limites associados ao uso de locais não globais, consulte locais.

• Se você precisar registrar mais de uma chave para um projeto, entre em contato com a equipe da sua conta do Google para solicitar um aumento de cota para configurações de CMEK, justificando por que você precisa de mais de uma chave.

  As seguintes limitações se aplicam ao EKM ou HSM com CMEK:

  • Sua cota de EKM e HSM para chamadas de criptografia e descriptografia precisa ter pelo menos 1.000 QPM de headroom. Para saber como verificar suas cotas, consulte Verificar suas cotas do Cloud KMS.

  • Se você estiver usando o EKM, a chave precisa estar acessível por mais de 90% de qualquer período de mais de 30 segundos. Se a chave não estiver acessível por esse período, isso poderá afetar negativamente a indexação e a atualização da pesquisa.

  • Se houver problemas de faturamento, problemas persistentes de falta de cota ou problemas persistentes de inacessibilidade por mais de 12 horas, o serviço vai desativar automaticamente o CmekConfig associado à chave do EKM ou HSM.

• É possível usar o Terraform para configurar o CMEK no Gemini Notebook Enterprise. Consulte google_discovery_engine_cmek_config.

Observação: a API Podcast (descontinuada) é um componente independente, separado do Gemini Notebook Enterprise. Os podcasts gerados com a API Podcast não são protegidos pela CMEK. No entanto, todos os podcasts criados nos notebooks do Gemini Notebook Enterprise são protegidos pela CMEK.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Crie uma chave simétrica multirregional do Cloud KMS. Consulte Criar um keyring e Criar uma chave na documentação do Cloud KMS.

  • Defina o período de rotação como Nunca (rotação manual).

  • Em Local, selecione Multirregional e escolha europe ou us no menu suspenso.

• O papel do IAM de criptografia/descriptografia de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) na chave foi concedido ao agente de serviço do Discovery Engine. A conta do agente de serviço tem um endereço de e-mail com o seguinte formato: [e-mail]. Para instruções gerais sobre como adicionar um papel a um agente de serviço, consulte Conceder ou revogar um único papel.

• O papel do IAM de criptografador/descriptografador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) na chave foi concedido ao agente de serviço do Cloud Storage. Se essa função não for concedida, a importação de dados para instâncias protegidas por CMEK vai falhar porque o Discovery Engine não consegue criar o bucket e o diretório temporários protegidos por CMEK necessários para a importação.

• Não configure nenhuma instância que você quer gerenciar com sua chave até depois de concluir as instruções de registro de chave nesta página.

Registrar sua chave do Cloud KMS

Para criptografar dados usando a CMEK, registre sua chave multirregional. Opcionalmente, se os dados precisarem de chaves de região única, por exemplo, ao usar conectores de terceiros, registre as chaves de região única.

Antes de começar

Certifique-se disto:

• A região ainda não está protegida por uma chave. O procedimento abaixo falha se uma chave já estiver registrada para a região usando o comando REST. Para determinar se há uma chave ativa no Gemini Notebook Enterprise para um local, consulte Ver chaves do Cloud KMS.

• Você tem o papel de Administrador do Gemini Notebook Enterprise (roles/discoveryengine.agentspaceAdmin).

Procedimento

REST

Para registrar sua própria chave no Gemini Notebook Enterprise, siga estas etapas:

1. Chame o método UpdateCmekConfig com a chave que você quer registrar.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   Substitua:

   • KMS_PROJECT_ID: o ID do projeto que contém a chave. O número do projeto não vai funcionar.
   • KMS_LOCATION: a multirregião da sua chave: us ou europe.
   • KEY_RING: o nome do keyring que contém a chave.
   • KEY_NAME: o nome da chave;
   • PROJECT_ID: o ID do projeto que contém a instância.
   • LOCATION: a multirregião da sua instância: us ou eu.
   • CMEK_CONFIG_ID: defina um ID exclusivo para o recurso CmekConfig, por exemplo, default_cmek_config.

   • SET_DEFAULT: defina como true para usar a chave como padrão para instâncias subsequentes criadas na multirregião.

     Importante: o SET_DEFAULT é necessário para aplicar automaticamente o CmekConfig em recursos subsequentes.

   Exemplo de comando e resultado

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. Aguarde até 24 horas para que a chave registrada esteja pronta para uso com o Gemini Notebook Enterprise. Uma chave registrada não pode proteger notebooks até que esteja pronta. Se você abrir a UI durante esse período de 24 horas, poderá encontrar erros ou os novos notebooks não serão protegidos pela chave. Após 24 horas, confirme se a chave está ativa seguindo as etapas em Verificar se o Gemini Notebook Enterprise está protegido por uma chave.

3. Configure a instância. Para instruções, consulte Configurar o Gemini Notebook Enterprise.

Console

Observação: quando você usa o console para registrar as chaves, não é possível modificar ou remover chaves de um local usando o console. É necessário chamar o método DeleteCmekConfig para cancelar o registro da chave do Cloud KMS.

Procedimento

Para registrar sua própria chave para o Gemini Notebook Enterprise, siga estas etapas:

1. No console Google Cloud , acesse a página Gemini Enterprise.

   Gemini Enterprise

2. Clique em Configurações e selecione a guia CMEK.

3. Clique em Adicionar chave para o local us ou eu.

   

   Clique em "Adicionar chave".

   1. Clique no menu suspenso Selecionar uma chave do Cloud KMS e escolha a chave.

      • Se a chave estiver em outro projeto, clique em Alternar projeto, clique no nome do projeto, digite o nome da chave que você criou e selecione a chave.

      • Se você souber o nome de recurso da chave, clique em Inserir manualmente, cole o nome de recurso da chave e clique em Salvar.

   2. Clique em OK > Salvar.

4. Verifique se a chave está pronta para uso antes de configurar uma instância. Uma chave registrada não pode proteger notebooks até que esteja pronta. Pode levar até 24 horas para que a chave registrada esteja pronta para uso com o Gemini Notebook Enterprise. Consulte Verificar se o Gemini Notebook Enterprise está protegido por uma chave.

5. Configure a instância. Para instruções, consulte Configurar o Gemini Notebook Enterprise.

Isso registra sua chave, criando um CmekResource chamado default_cmek_config.

Pode levar várias horas para que os dados ingeridos apareçam nos resultados da pesquisa.

Observação: depois de configurar as instâncias, verifique se elas estão protegidas pelas chaves. Para mais informações, consulte verificar se a instância está protegida por uma chave do Cloud KMS.

Cancelar o registro da chave do Cloud KMS

Para cancelar o registro da sua chave do Gemini Notebook Enterprise, siga estas etapas:

1. Chame o método DeleteCmekConfig com o nome do recurso CmekConfig que você quer cancelar o registro.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   Substitua:

   • LOCATION: a multirregião da sua instância: us ou eu.
   • PROJECT_ID: o ID do projeto que contém a instância.
   • CMEK_CONFIG_ID: o ID do recurso CmekConfig. Se você registrou a chave usando o console, o ID é default_cmek_config.

   Exemplo de chamada e resposta do curl:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. Opcional: registre o valor name retornado pelo método e siga as instruções em Receber detalhes sobre uma operação de longa duração para ver quando a operação será concluída.

   A exclusão de um CmekConfig é uma operação de longa duração que pode levar até alguns dias para ser concluída. Isso acontece porque os recursos criptografados subjacentes são totalmente desprovisionados antes da remoção do CmekConfig.

Observação: um recurso CmekConfig só pode ser excluído se nenhum recurso do Gemini Notebook Enterprise estiver sendo protegido por ele.

Verificar se o Gemini Notebook Enterprise está protegido por uma chave

Importante: somente os notebooks criados depois do registro da chave são protegidos por ela.

Como pode levar até 24 horas para que uma chave registrada esteja pronta para uso com o Gemini Notebook Enterprise, os usuários que abrirem o app antes que a chave esteja pronta poderão encontrar erros, ou os novos notebooks poderão não ser protegidos pela chave.

Importante: se os usuários encontrarem o erro "Não foi possível buscar o projeto", não tente registrar chaves novamente nem mudar permissões. O erro é resolvido automaticamente quando o provisionamento é concluído.

Para confirmar se a chave está pronta para uso e se o Gemini Notebook Enterprise está protegido por ela, siga estas etapas:

1. Chame o método ListCmekConfigs:

     curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
   

   Substitua:

   • LOCATION: a multirregião da sua instância: us ou eu.
   • PROJECT_ID: o ID do seu projeto do Google Cloud que contém os dados.

   Exemplo de comando e resultado

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/cmekConfigs"
   
   {
     "cmekConfigs": [
       {
       "name": "projects/123456/locations/us/cmekConfigs/cmek-config-1",
       "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
       "state": "ACTIVE",
       "isDefault": true,
       "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/1",
       "notebooklmState": "NOTEBOOK_LM_READY"
       }
     ]
   }
   
   

2. Analise a saída do comando.

   Se o processo de provisionamento ainda estiver em andamento, a saída vai conter "notebooklmState": NOTEBOOK_LM_NOT_READY.

   O CmekConfig está pronto para uso se todos os itens a seguir estiverem na saída:

   • "state": "ACTIVE"
   • "isDefault": true
   • "notebooklmState": NOTEBOOK_LM_READY

Fazer rotação de chaves do Cloud KMS

Visualizar

Este produto ou recurso está sujeito aos "Termos das Soluções Pré-GA" na seção "Termos Gerais de Serviço" dos Termos Específicos de Serviço. Os produtos e recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Não é possível mudar a chave que protege uma instância atual, mas é possível alternar essa chave para uma nova versão. Quando você cria uma nova versão de uma chave registrada como a principal, o Gemini Notebook Enterprise detecta a mudança e recriptografa seus dados automaticamente com a nova versão da chave. Não é necessário chamar um método do Gemini Notebook Enterprise para iniciar uma rotação.

Para informações gerais sobre a rotação de chaves, consulte Rotação de chaves no guia do Cloud KMS.

Para girar uma chave, siga estas etapas:

1. Crie uma nova versão da chave e defina como principal. Para instruções, consulte Fazer rotação de uma chave no guia do Cloud KMS.

   Deixe a versão de chave anterior ativada. A recriptografia começa automaticamente depois que o Gemini Notebook Enterprise detecta a nova versão principal.

2. Confirme se o Gemini Notebook Enterprise detectou a nova versão da chave. Para conferir seu CmekConfig, consulte Verificar se o Gemini Notebook Enterprise está protegido por uma chave. Verifique os seguintes campos na saída:

   • kmsKeyVersion mostra a nova versão da chave.
   • state é ACTIVE.
   • lastRotationTimestampMicros mostra quando a rotação começou.

3. Mantenha a versão anterior da chave ativada por pelo menos 30 dias depois que kmsKeyVersion mostrar a nova versão.

   Atenção: o Gemini Notebook Enterprise não informa quando a reencriptação de todo o armazenamento subjacente é concluída. Se você desativar ou destruir a versão anterior da chave antes da conclusão da recriptografia, os dados que ainda estiverem criptografados nessa versão vão ficar inacessíveis.

4. Desative a versão anterior da chave e verifique se tudo está funcionando como antes. Consulte Ativar e desativar versões de chave no guia do Cloud KMS.

5. Quando tiver certeza de que não houve problemas causados pela desativação da versão anterior da chave, destrua-a. Consulte Destruir e restaurar versões de chave no guia do Cloud KMS.

   Dica: a destruição é programada, não imediata. Enquanto uma versão de chave está programada para destruição, ela se comporta como se estivesse desativada, e você pode restaurá-la para cancelar a destruição.

Se uma chave do Cloud KMS for desativada ou revogada

Se uma chave for desativada ou as permissões dela forem revogadas, a instância vai parar de ingerir e veicular dados em 15 minutos. Você pode reativar a chave em até 30 dias para retomar as operações antes que a configuração da CMEK expire e os dados associados sejam excluídos permanentemente. No entanto, reativar uma chave ou restaurar permissões leva muito tempo. Pode levar até 24 horas para que a instância retome a veiculação de dados.

Portanto, não desative uma chave a menos que seja necessário. Desativar e ativar uma chave em uma instância é uma operação demorada. Por exemplo, alternar repetidamente uma chave entre desativada e ativada significa que vai levar muito tempo para a instância atingir um estado protegido. Desativar e reativar uma chave imediatamente depois pode resultar em dias de inatividade, porque a chave é primeiro desativada da instância e depois reativada.