Gemini Notebook Enterprise einrichten

Auf dieser Seite werden die Startaufgaben beschrieben, die Sie ausführen müssen, um Gemini Notebook Enterprise einzurichten.

Nachdem Sie die Aufgaben auf dieser Seite ausgeführt haben, können Ihre Nutzer damit beginnen, Notebooks in Gemini Notebook Enterprise zu erstellen und zu verwenden.

Über die Identitätseinrichtung

Damit Sie die Einrichtung abschließen können, muss der Identitätsanbieter (IdP) Ihrer Organisation in Google Cloudkonfiguriert sein. Die korrekte Einrichtung der Identität ist aus zwei Gründen wichtig:

• Mit ihr können Ihre Nutzer mit ihren aktuellen Unternehmensanmeldedaten auf die Gemini Notebook Enterprise-Benutzeroberfläche zugreifen.

• Mit ihr wird sichergestellt, dass Nutzer nur die Notebooks sehen, die ihnen gehören oder die für sie freigegeben wurden.

Unterstützte Frameworks

Die folgenden Authentifizierungsframeworks werden unterstützt:

• Cloud Identity:

  • Fall 1: Wenn Sie Cloud Identity oder Google Workspace verwenden, sind alle Nutzeridentitäten und ‑gruppen vorhanden und werden überGoogle Cloudverwaltet. Weitere Informationen zu Cloud Identity finden Sie in der Cloud Identity-Dokumentation.

  • Fall 2: Sie verwenden einen externen IdP und haben Identitäten mit Cloud Identity synchronisiert. Ihre Endnutzer verwenden Cloud Identity zur Authentifizierung, bevor sie auf Google-Ressourcen oder Google Workspace zugreifen.

  • Fall 3: Sie verwenden einen externen IdP und haben Identitäten mit Cloud Identity synchronisiert. Sie verwenden jedoch weiterhin Ihren vorhandenen externen IdP für die Authentifizierung. Sie haben SSO mit Cloud Identity so konfiguriert, dass sich Ihre Nutzer zuerst über Cloud Identity anmelden und dann zu Ihrem externen IdP weitergeleitet werden. (Möglicherweise haben Sie diese Synchronisierung bereits beim Einrichten anderer Google Cloud Ressourcen oder Google Workspace durchgeführt.)

• Mitarbeiteridentitätsföderation: Wenn Sie einen externen Identitäts anbieter (Microsoft Entra ID, Okta, Ping, PingFederate oder einen anderen OIDC- oder SAML 2.0-IdP) verwenden, Ihre Identitäten aber nicht mit Cloud Identity synchronisieren möchten, müssen Sie die Mitarbeiteridentitätsföderation in Workforce Identity Federation in Google Cloud einrichten, bevor Sie die Zugriffssteuerung für Datenquellen für Gemini Notebook Enterprise aktivieren können.

  Das Attribut google.subject muss dem E-Mail-Adressfeld im externen IdP zugeordnet werden. Im Folgenden finden Sie Beispielzuordnungen für die Attribute google.subject und google.groups für häufig verwendete IdPs:

  • Microsoft Entra ID

    • Microsoft Entra ID mit OIDC-Protokoll

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Microsoft Entra ID mit SAML-Protokoll

      google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]
      google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
      

    • Microsoft Entra ID mit einer großen Anzahl von Gruppen

      Wenn Sie Microsoft Entra ID verwenden und mehr als etwa 150 Gruppen haben, sollten Sie die Einrichtungsschritte für eine große Anzahl von Gruppen ausführen.

      google.subject=user.emails[0].value.lowerAscii()
      google.groups=group.externalId
      

    Hinweis: Wenn Sie System for Cross-domain Identity Management (SCIM) (oder erweiterte Attribute) verwenden, wird die Zuordnung des Attributs google.groups ignoriert.

  • Okta

    • Okta mit OIDC-Protokoll

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Okta mit SAML-Protokoll

      google.subject=assertion.subject
      google.groups=assertion.attributes['groups']
      

Sie können nur einen Identitätsanbieter pro Google Cloud Projekt auswählen.

Hinweis

Bevor Sie mit den Verfahren auf dieser Seite beginnen, muss eine der folgenden Bedingungen erfüllt sein:

• Sie verwenden Cloud Identity als IdP oder

• Sie verwenden einen externen IdP und haben SSO mit Cloud Identity konfiguriert oder

• Sie verwenden einen externen IdP, der nicht Okta ist, und haben Folgendes getan:

  • Mitarbeiteridentitätsföderation eingerichtet. Folgen Sie dazu der Anleitung unter Mitarbeiteridentitätsföderation mit Microsoft Entra ID konfigurieren und Nutzer anmelden oder, wenn Sie mehr als etwa 150 Gruppen haben, unter Mitarbeiteridentitätsföderation mit Microsoft Entra ID und einer großen Anzahl von Gruppen konfigurieren.

    Wenn Sie der Anleitung unter Mitarbeiteridentitätsföderation mit Microsoft Entra ID konfigurieren und Nutzer anmelden folgen, führen Sie die empfohlenen Schritte für die Best Practices für die Sicherheit aus, um einenGruppenanspruch hinzuzufügen und Alle Gruppenauszuwählen. Dies ist ein erforderlicher Schritt für Gemini Notebook Enterprise.

  • SCIM eingerichtet. Weitere Informationen finden Sie unter SCIM in Microsoft Entra ID konfigurieren. SCIM ist für die automatische Vervollständigung von E‑Mail-Adressen von Nutzern und Gruppennamen sowie für Microsoft Entra ID mit einer großen Anzahl von Gruppen erforderlich.

• Sie verwenden Okta als externen IdP und haben Folgendes getan:

  • Der Anleitung unter Mitarbeiteridentitätsföderation mit Okta konfigurieren gefolgt.

  • SCIM eingerichtet. Weitere Informationen finden Sie unter SCIM in Okta konfigurieren. SCIM ist für die automatische Vervollständigung von E‑Mail-Adressen von Nutzern und Gruppen namen erforderlich.

Projekt erstellen und API aktivieren

Wenn Sie bereits ein Google Cloud Projekt haben, das Sie verwenden möchten, beginnen Sie mit Schritt 2.

Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie noch kein Google Cloud-Konto haben, erstellen Sie ein Konto, um die Leistung unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Rolle „Cloud NotebookLM Admin“ zuweisen

Als Projektinhaber müssen Sie allen Nutzern, die in der Lage sein sollen, Gemini Notebook Enterprise in diesem Projekt zu verwalten, die Rolle „Cloud NotebookLM Admin“ zuweisen:

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen
2. Wählen Sie das Projekt aus.
3. Klicken Sie auf Zugriffsrechte erteilen.

4. Geben Sie im Feld Neue Hauptkonten die Nutzer-ID ein. Dies ist in der Regel die E‑Mail-Adresse eines Google-Kontos oder einer Nutzergruppe.

5. Wählen Sie in der Liste Rolle auswählen die Option Cloud NotebookLM Admin aus. Weitere Informationen finden Sie unter Nutzerrollen.
6. Klicken Sie auf Speichern.

IdP für Gemini Notebook Enterprise festlegen

Der Projektinhaber oder ein Nutzer mit der Rolle „Cloud NotebookLM Admin“ kann den IdP einrichten.

1. Rufen Sie in der Google Cloud Console die Seite Gemini Notebook Enterprise auf.

   Gemini Enterprise

2. Setzen Sie Identitätseinstellungen auf Google-Identitätsanbieter oder Identitätsanbieter von Drittanbietern.

   Weitere Informationen finden Sie oben unter Über die Identitätseinrichtung.

3. Wenn Sie einen externen IdP und die Mitarbeiteridentitätsföderation verwenden, geben Sie den Namen Ihres Mitarbeiterpools und Ihres Mitarbeiterpoolanbieters an.

4. Kopieren Sie den Link.

   Diesen Link senden Sie an alle Endnutzer von Gemini Notebook Enterprise. Dies ist der Link zur Benutzeroberfläche, die sie zum Erstellen, Bearbeiten und Freigeben von Notebooks verwenden.

Optional: Kundenverwaltete Verschlüsselungsschlüssel registrieren

Wenn Sie kundenverwaltete Verschlüsselungsschlüssel (CMEK) anstelle der standardmäßigen Google Verschlüsselung verwenden möchten, folgen Sie der Anleitung zum Registrieren eines Schlüssels für Gemini Notebook Enterprise unter Kundenverwaltete Verschlüsselungsschlüssel.

Normalerweise müssen Sie CMEK nur verwenden, wenn Ihre Organisation strenge behördliche Anforderungen oder interne Richtlinien hat, die die Kontrolle über Verschlüsselungsschlüssel festlegen. In den meisten Fällen ist die Standardverschlüsselung von Google ausreichend. Allgemeine Informationen zu CMEK finden Sie in der Cloud Key Management Service-Dokumentation.

Wichtig: Registrieren Sie Ihren Schlüssel, bevor Ihre Nutzer mit dem Erstellen von Notebooks beginnen. Notebooks, die vor der Einrichtung der CMEK-Verschlüsselung erstellt wurden, sind nicht geschützt.

Nutzern Gemini Notebook Enterprise-Rollen zuweisen

In diesem Abschnitt wird beschrieben, wie Sie Ihren Nutzern die IAM-Rollen zuweisen, die sie für den Zugriff auf Notebooks, deren Verwaltung und Freigabe benötigen.

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen
2. Wählen Sie das Projekt aus.
3. Klicken Sie auf Zugriffsrechte erteilen.

4. Geben Sie im Feld Neue Hauptkonten die Nutzer-ID ein. Dies ist in der Regel die E-Mail-Adresse für ein Google-Konto, eine Nutzergruppe oder die Kennung für einen Nutzer in einem Mitarbeiteridentitätspool. Weitere Informationen erhalten Sie unter Mitarbeiterpoolnutzer in IAM-Richtlinien darstellen oder kontaktieren Sie Ihren Administrator.

5. Wählen Sie in der Liste Rolle auswählen die Rolle Cloud NotebookLM User aus.
6. Klicken Sie auf Speichern.

Zusätzlich zur Rolle Cloud NotebookLM User benötigen Nutzer eine Lizenz für Gemini Notebook Enterprise. Weitere Informationen finden Sie unter Lizenzen für Gemini Notebook Enterprise abrufen.

Hinweis: Auf der Aboseite wird der vorherige Name NotebookLM Enterprise angezeigt.

Nächste Schritte

• Lizenzen für Gemini Notebook Enterprise abrufen.