Configurer Gemini Notebook Enterprise

Cette page décrit les tâches de démarrage que vous devez effectuer pour configurer Gemini Notebook Enterprise.

Une fois les tâches de cette page effectuées, vos utilisateurs pourront commencer à créer et à utiliser des notebooks dans Gemini Notebook Enterprise.

À propos de la configuration de l'identité

Pour effectuer la configuration, vous devez configurer le fournisseur d'identité (IdP) de votre organisation dans Google Cloud. Une configuration correcte de l'identité est importante pour deux raisons :

• Elle permet à vos utilisateurs d'utiliser leurs identifiants d'entreprise actuels pour accéder à l'interface utilisateur de Gemini Notebook Enterprise.

• Elle garantit que les utilisateurs ne voient que les notebooks dont ils sont propriétaires ou qui ont été partagés avec eux.

Frameworks compatibles

Les frameworks d'authentification suivants sont compatibles :

• Cloud Identity:

  • Cas 1 : Si vous utilisez Cloud Identity ou Google Workspace, toutes les identités et tous les groupes d'utilisateurs sont présents et gérés via Google Cloud. Pour en savoir plus sur Cloud Identity, consultez la documentation Cloud Identity.

  • Cas 2 : Vous utilisez un IdP tiers et vous avez synchronisé les identités avec Cloud Identity. Vos utilisateurs finaux utilisent Cloud Identity pour s'authentifier avant d'accéder aux ressources Google ou à Google Workspace.

  • Cas 3 : Vous utilisez un IdP tiers et vous avez synchronisé les identités avec Cloud Identity. Toutefois, vous utilisez toujours votre IdP tiers existant pour effectuer l'authentification. Vous avez configuré la SSO avec Cloud Identity de sorte que vos utilisateurs commencent leur connexion à l'aide de Cloud Identity, puis soient redirigés vers votre IdP tiers. (Vous avez peut-être déjà effectué cette synchronisation lors de la configuration d'autres ressources ou de Google Workspace. Google Cloud )

• Fédération des identités des employés : si vous utilisez un fournisseur d'identité externe (Microsoft Entra ID, Okta, Ping, PingFederate ou un autre IdP OIDC ou SAML 2.0), mais que vous ne souhaitez pas synchroniser vos identités dans Cloud Identity, vous devez configurer la fédération des identités des employés dans Google Cloudavant de pouvoir activer le contrôle des accès aux sources de données pour Gemini Notebook Enterprise.

  L'attribut google.subject doit être mappé sur le champ d'adresse e-mail dans l'IdP externe. Vous trouverez ci-dessous des exemples de mappages d'attributs google.subject et google.groups pour les IdP couramment utilisés :

  • Microsoft Entra ID

    • Microsoft Entra ID avec le protocole OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Microsoft Entra ID avec le protocole SAML

      google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]
      google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
      

    • Microsoft Entra ID avec un grand nombre de groupes

      Si vous utilisez Microsoft Entra ID et que vous avez plus de 150 groupes environ, vous devez suivre les procédures de configuration pour un grand nombre de groupes.

      google.subject=user.emails[0].value.lowerAscii()
      google.groups=group.externalId
      

    Remarque : Si vous utilisez le System for Cross-domain Identity Management (SCIM) (ou des attributs étendus), le mappage d'attributs google.groups est ignoré.

  • Okta

    • Okta avec le protocole OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Okta avec le protocole SAML

      google.subject=assertion.subject
      google.groups=assertion.attributes['groups']
      

Vous ne pouvez sélectionner qu'un seul IdP par Google Cloud projet.

Avant de commencer

Avant de commencer les procédures décrites sur cette page, assurez-vous que l'une des conditions suivantes est remplie :

• Vous utilisez Cloud Identity comme IdP.

• Vous utilisez un IdP tiers et vous avez configuré la SSO avec Cloud Identity.

• Vous utilisez un IdP tiers qui n'est pas Okta et vous avez effectué les opérations suivantes :

  • Configurez la fédération des identités des employés en suivant les instructions de la section Configurer la fédération des identités des employés avec Microsoft Entra ID et connecter les utilisateurs ou, si vous avez plus de 150 groupes environ, dans Configurer la fédération des identités des employés avec Microsoft Entra ID avec un grand nombre de groupes.

    Si vous suivez les instructions de la section Configurer la fédération des identités des employés avec Microsoft Entra ID et connecter les utilisateurs, veillez à suivre les bonnes pratiques de sécurité recommandées pour ajouter une revendication de groupe et sélectionner Tous les groupes. Cette étape est obligatoire pour Gemini Notebook Enterprise.

  • Configurez SCIM. Consultez la section Configurer SCIM dans Microsoft Entra ID. SCIM est nécessaire pour l'autocomplétion des adresses e-mail des utilisateurs et des noms de groupes et pour Microsoft Entra ID avec un grand nombre de groupes.

• Vous utilisez Okta comme IdP tiers et vous avez effectué les opérations suivantes :

  • Suivez les instructions de la section Configurer la fédération des identités des employés avec Okta.

  • Configurez SCIM. Consultez la section Configurer SCIM dans Okta. SCIM est nécessaire pour l'autocomplétion des adresses e-mail des utilisateurs et des noms de groupes.

Créer un projet et activer l'API

Si vous disposez déjà d'un Google Cloud projet que vous souhaitez utiliser, passez à l'étape 2.

Connectez-vous à votre Google Cloud compte. Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Attribuer le rôle d'administrateur Cloud NotebookLM

En tant que propriétaire du projet, vous devez attribuer le rôle d'administrateur Cloud NotebookLM à tous les utilisateurs que vous souhaitez autoriser à administrer Gemini Notebook Enterprise dans ce projet :

1. Dans la Google Cloud console, accédez à la page IAM.

   Accéder à IAM
2. Sélectionnez le projet.
3. Cliquez sur Accorder l'accès.

4. Dans le champ Nouveaux comptes principaux, saisissez l'identifiant de l'utilisateur. Il s'agit généralement de l'adresse e-mail d'un compte Google ou d'un groupe d'utilisateurs.

5. Dans la liste Sélectionner un rôle, sélectionnez Administrateur Cloud NotebookLM. Pour en savoir plus, consultez la section Rôles utilisateur.
6. Cliquez sur Enregistrer.

Définir l'IdP pour Gemini Notebook Enterprise

Le propriétaire du projet ou un utilisateur disposant du rôle d'administrateur Cloud NotebookLM peut configurer l'IdP.

1. Dans la Google Cloud console, accédez à la page Gemini Notebook Enterprise.

   Gemini Enterprise

2. Définissez Paramètres d'identité sur Fournisseur d'identité Google ou Fournisseur d'identité tiers.

   Pour en savoir plus, consultez la section À propos de la configuration de l'identité ci-dessus.

3. Si vous utilisez un IdP tiers et la fédération des identités des employés, spécifiez le nom de votre pool de personnel et votre Fournisseur de pool de personnel.

4. Copiez le lien.

   Vous enverrez ce lien à tous les utilisateurs finaux de Gemini Notebook Enterprise. Il s'agit du lien vers l'interface utilisateur qu'ils utiliseront pour créer, modifier et partager des notebooks.

Facultatif : Enregistrer les clés de chiffrement gérées par le client

Si vous souhaitez utiliser des clés de chiffrement gérées par le client (CMEK) au lieu du chiffrement par défaut de Google, suivez les instructions pour enregistrer une clé pour Gemini Notebook Enterprise dans Clés de chiffrement gérées par le client.

En règle générale, vous n'avez besoin d'utiliser CMEK que si votre organisation est soumise à des exigences réglementaires strictes ou à des règles internes qui stipulent un contrôle sur les clés de chiffrement. Dans la plupart des cas, le chiffrement par défaut de Google est suffisant. Pour obtenir des informations générales sur CMEK, consultez la documentation Cloud Key Management Service.

Important : Enregistrez votre clé avant que vos utilisateurs ne commencent à créer des notebooks. Les notebooks créés avant la configuration du chiffrement CMEK ne seront pas protégés.

Accorder des rôles Gemini Notebook Enterprise aux utilisateurs

Cette section explique comment attribuer à vos utilisateurs les rôles IAM dont ils ont besoin pour accéder aux notebooks, les gérer et les partager.

1. Dans la Google Cloud console, accédez à la page IAM.

   Accéder à IAM
2. Sélectionnez le projet.
3. Cliquez sur Accorder l'accès.

4. Dans le champ Nouveaux comptes principaux, saisissez l'identifiant de l'utilisateur. Il s'agit généralement de l'adresse e-mail d'un compte Google, d'un groupe d'utilisateurs ou de l' identifiant d'un utilisateur dans un pool d'identités de personnel. Pour en savoir plus, consultez Représenter les utilisateurs de pools de personnel dans les stratégies IAM ou contactez votre administrateur.

5. Dans la liste Sélectionner un rôle, sélectionnez le rôle Cloud NotebookLM User.
6. Cliquez sur Enregistrer.

En plus du rôle Cloud NotebookLM User, les utilisateurs ont besoin d'une licence pour Gemini Notebook Enterprise. Consultez Obtenir des licences pour Gemini Notebook Enterprise.

Remarque : La page d'abonnement affiche le nom précédent, NotebookLM Enterprise.

Étape suivante

• Obtenir des licences pour Gemini Notebook Enterprise.