Configura Gemini Notebook Enterprise

En esta página, se describen las tareas de inicio que debes completar para configurar Gemini Notebook Enterprise.

Después de realizar las tareas de esta página, tus usuarios podrán comenzar a crear y usar notebooks en Gemini Notebook Enterprise.

Acerca de la configuración de identidad

Para completar la configuración, debes tener el proveedor de identidad (IdP) de tu organización configurado en Google Cloud. La configuración correcta de la identidad es importante por dos motivos:

• Permite que tus usuarios usen sus credenciales corporativas actuales para acceder a la interfaz de usuario de Gemini Notebook Enterprise.

• Garantiza que los usuarios solo vean los notebooks de su propiedad o que se hayan compartido con ellos.

Frameworks compatibles

Se admiten los siguientes frameworks de autenticación:

• Cloud Identity:

  • Caso 1: Si usas Cloud Identity o Google Workspace, todas las identidades y los grupos de usuarios están presentes y se administran a través deGoogle Cloud. Para obtener más información sobre Cloud Identity, consulta la documentación de Cloud Identity.

  • Caso 2: Usas un IdP de terceros y sincronizaste las identidades con Cloud Identity. Tus usuarios finales usan Cloud Identity para autenticarse antes de acceder a los recursos de Google o a Google Workspace.

  • Caso 3: Usas un IdP de terceros y sincronizaste las identidades con Cloud Identity. Sin embargo, seguirás usando tu IdP de terceros existente para realizar la autenticación. Configuraste el SSO con Cloud Identity de modo que tus usuarios comiencen su acceso con Cloud Identity y, luego, se los dirija a tu IdP de terceros. (Es posible que ya hayas realizado esta sincronización cuando configuraste otros recursos de Google Cloud o Google Workspace).

• Federación de identidades de personal: Si usas un proveedor de identidad externo (Microsoft Entra ID, Okta, Ping, PingFederate o cualquier otro IdP de OIDC o SAML 2.0), pero no quieres sincronizar tus identidades con Cloud Identity, debes configurar la federación de identidades de personal en Google Cloud antes de poder activar el control de acceso a las fuentes de datos para Gemini Notebook Enterprise.

  El atributo google.subject debe asignarse al campo de dirección de correo electrónico en el IdP externo. A continuación, se muestran ejemplos de asignaciones de atributos google.subject y google.groups para IdP de uso frecuente:

  • Microsoft Entra ID

    • Microsoft Entra ID con el protocolo OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Microsoft Entra ID con el protocolo SAML

      google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]
      google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
      

    • Microsoft Entra ID con una gran cantidad de grupos

      Si usas Microsoft Entra ID y tienes más de 150 grupos, aproximadamente, debes seguir los procedimientos de configuración para una gran cantidad de grupos.

      google.subject=user.emails[0].value.lowerAscii()
      google.groups=group.externalId
      

    Nota: Si usas el Sistema para la administración de identidades entre dominios (SCIM) (o atributos extendidos), se ignorará la asignación de atributos google.groups.

  • Okta

    • Okta con el protocolo OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Okta con el protocolo SAML

      google.subject=assertion.subject
      google.groups=assertion.attributes['groups']
      

Solo puedes seleccionar un IdP por proyecto de Google Cloud .

Antes de comenzar

Antes de comenzar los procedimientos de esta página, asegúrate de que se cumpla una de las siguientes condiciones:

• Usas Cloud Identity como tu IdP.

• Usas un IdP de terceros y configuraste el SSO con Cloud Identity, o bien

• Usas un IdP de terceros que no es Okta y tienes lo siguiente:

  • Configura la federación de identidades de personal siguiendo las instrucciones en Configura la federación de identidades de personal con Microsoft Entra ID y permite el acceso de usuarios o, si tienes más de 150 grupos aproximadamente, en Configura la federación de identidades de personal con Microsoft Entra ID con una gran cantidad de grupos.

    Si sigues las instrucciones de Configura la federación de identidades de personal con Microsoft Entra ID y permite el acceso de usuarios, asegúrate de seguir los pasos recomendados de prácticas recomendadas de seguridad para agregar una reclamación de grupo y seleccionar Todos los grupos. Este es un paso obligatorio para Gemini Notebook Enterprise.

  • Configura SCIM. Consulta Configura SCIM en Microsoft Entra ID. SCIM es necesario para la función de autocompletar de los correos electrónicos de los usuarios y los nombres de los grupos y para Microsoft Entra ID con una gran cantidad de grupos.

• Usas Okta como tu IdP de terceros y tienes lo siguiente:

  • Seguiste las instrucciones que se indican en Configura la federación de identidades de personal con Okta.

  • Configura SCIM. Consulta Configura SCIM en Okta. SCIM es necesario para autocompletar los correos electrónicos de los usuarios y los nombres de los grupos.

Crea un proyecto y habilita la API

Si ya tienes un proyecto de Google Cloud que quieres usar, comienza en el paso 2.

Accede a tu cuenta de Google Cloud . Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Otorga el rol de administrador de Cloud NotebookLM

Como propietario del proyecto, debes asignar el rol de administrador de NotebookLM de Cloud a cualquier usuario que quieras que pueda administrar Gemini Notebook Enterprise en este proyecto:

1. En la consola de Google Cloud , dirígete a la página IAM.

   Ir a IAM
2. Selecciona el proyecto.
3. Haz clic en Otorgar acceso.

4. En el campo Principales nuevas, ingresa el identificador de usuario. Por lo general, es la dirección de correo electrónico de una Cuenta de Google o un grupo de usuarios.

5. En la lista Selecciona un rol, elige Administrador de Cloud NotebookLM. Para obtener más información, consulta Roles de usuario.
6. Haz clic en Guardar.

Establece el IdP para Gemini Notebook Enterprise

El propietario del proyecto o un usuario que tenga el rol de administrador de NotebookLM de Cloud puede configurar el IdP.

1. En la consola de Google Cloud , ve a la página Gemini Notebook Enterprise.

   Gemini Enterprise

2. Establece la Configuración de identidad en Proveedor de identidad de Google o Proveedor de identidad de terceros.

   Para obtener más información, consulta Acerca de la configuración de la identidad más arriba.

3. Si usas un IdP de terceros y la federación de identidades de personal, especifica el nombre de tu grupo de personal y tu proveedor de grupo de personal.

4. Copia el vínculo.

   Enviarás este vínculo a todos los usuarios finales de Gemini Notebook Enterprise. Este es el vínculo a la interfaz de usuario que usarán para crear, editar y compartir notebooks.

Opcional: Registra claves de encriptación administradas por el cliente

Si quieres usar claves de encriptación administradas por el cliente (CMEK) en lugar de la encriptación predeterminada de Google, sigue las instrucciones para registrar una clave para Gemini Notebook Enterprise en Claves de encriptación administradas por el cliente.

Por lo general, solo necesitas usar CMEK si tu organización tiene requisitos regulatorios estrictos o políticas internas que estipulan el control de las claves de encriptación. En la mayoría de las situaciones, la encriptación predeterminada de Google es suficiente. Para obtener información general sobre las CMEK, consulta la documentación de Cloud Key Management Service.

Importante: Registra tu clave antes de que los usuarios comiencen a crear notebooks. Los notebooks creados antes de que se configure la encriptación de CMEK no estarán protegidos.

Otorga roles de Gemini Notebook Enterprise a los usuarios

En esta sección, se describe cómo otorgar a los usuarios los roles de IAM que necesitan para acceder a los notebooks, administrarlos y compartirlos.

1. En la consola de Google Cloud , dirígete a la página IAM.

   Ir a IAM
2. Selecciona el proyecto.
3. Haz clic en Otorgar acceso.

4. En el campo Principales nuevas, ingresa el identificador de usuario. Por lo general, es la dirección de correo electrónico de una Cuenta de Google, un grupo de usuarios o el identificador de un usuario en un grupo de identidades de personal. Para obtener más información, consulta Representa a los usuarios del grupo de personal en políticas de IAM o comunícate con el administrador.

5. En la lista Seleccionar un rol, elige el rol Cloud NotebookLM User.
6. Haz clic en Guardar.

Además del rol Cloud NotebookLM User, los usuarios necesitan una licencia para Gemini Notebook Enterprise. Consulta Obtén licencias para Gemini Notebook Enterprise.

Nota: En la página de suscripción, se muestra el nombre anterior, NotebookLM Enterprise.

¿Qué sigue?

• Obtén licencias para Gemini Notebook Enterprise.