Configurer Gemini Notebook Enterprise

Cette page décrit les tâches de démarrage que vous devez effectuer pour configurer Gemini Notebook Enterprise.

Une fois que vous avez effectué les tâches de cette page, vos utilisateurs peuvent commencer à créer et à utiliser des notebooks dans Gemini Notebook Enterprise.

À propos de la configuration de l'identité

Pour terminer la configuration, vous devez avoir configuré le fournisseur d'identité (IdP) de votre organisation dans Google Cloud. Il est important de configurer correctement l'identité pour deux raisons :

• Il permet à vos utilisateurs d'utiliser leurs identifiants d'entreprise actuels pour accéder à l'interface utilisateur de Gemini Notebook Enterprise.

• Cela garantit que les utilisateurs ne voient que les notebooks dont ils sont propriétaires ou qui ont été partagés avec eux.

Frameworks compatibles

Les frameworks d'authentification suivants sont compatibles :

• Cloud Identity :

  • Cas 1 : Si vous utilisez Cloud Identity ou Google Workspace, toutes les identités utilisateur et tous les groupes d'utilisateurs sont présents et gérés viaGoogle Cloud. Pour en savoir plus sur Cloud Identity, consultez la documentation Cloud Identity.

  • Cas 2 : Vous utilisez un IdP tiers et vous avez synchronisé les identités avec Cloud Identity. Vos utilisateurs finaux utilisent Cloud Identity pour s'authentifier avant d'accéder aux ressources Google ou à Google Workspace.

  • Cas 3 : Vous utilisez un IdP tiers et vous avez synchronisé les identités avec Cloud Identity. Toutefois, vous utilisez toujours votre IdP tiers existant pour effectuer l'authentification. Vous avez configuré l'authentification unique avec Cloud Identity de sorte que vos utilisateurs commencent à se connecter à l'aide de Cloud Identity, puis soient redirigés vers votre IdP tiers. (Vous avez peut-être déjà effectué cette synchronisation lors de la configuration d'autres ressources Google Cloud ou de Google Workspace.)

• Fédération d'identité de personnel : si vous utilisez un fournisseur d'identité externe (Microsoft Entra ID, Okta, Ping, PingFederate ou un autre fournisseur d'identité OIDC ou SAML 2.0), mais que vous ne souhaitez pas synchroniser vos identités dans Cloud Identity, vous devez configurer la fédération d'identité de personnel dans Google Cloudavant de pouvoir activer le contrôle des accès aux sources de données pour Gemini Notebook Enterprise.

  L'attribut google.subject doit être mappé sur le champ d'adresse e-mail du fournisseur d'identité externe. Vous trouverez ci-dessous des exemples de mappages d'attributs google.subject et google.groups pour les fournisseurs d'identité couramment utilisés :

  • Microsoft Entra ID

    • Microsoft Entra ID avec le protocole OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Microsoft Entra ID avec le protocole SAML

      google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]
      google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
      

    • Microsoft Entra ID avec un grand nombre de groupes

      Si vous utilisez Microsoft Entra ID et que vous avez plus de 150 groupes environ, vous devez suivre les procédures de configuration pour un grand nombre de groupes.

      google.subject=user.emails[0].value.lowerAscii()
      google.groups=group.externalId
      

    Remarque : Si vous utilisez le système de gestion des identités interdomaines (SCIM) (ou des attributs étendus), le mappage d'attributs google.groups est ignoré.

  • Okta

    • Okta avec le protocole OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Okta avec le protocole SAML

      google.subject=assertion.subject
      google.groups=assertion.attributes['groups']
      

Vous ne pouvez sélectionner qu'un seul IdP par projet Google Cloud .

Avant de commencer

Avant de commencer les procédures décrites sur cette page, assurez-vous que l'une des conditions suivantes est remplie :

• Vous utilisez Cloud Identity comme IdP.

• Vous utilisez un IdP tiers et avez configuré l'authentification unique avec Cloud Identity.

• Vous utilisez un IdP tiers autre qu'Okta et vous disposez des éléments suivants :

  • Configurez la fédération d'identité de personnel en suivant les instructions de la page Configurer la fédération d'identité de personnel avec Microsoft Entra ID et connecter les utilisateurs ou, si vous avez plus de 150 groupes environ, de la page Configurer la fédération d'identité de personnel avec Microsoft Entra ID avec un grand nombre de groupes.

    Si vous suivez les instructions de la section Configurer la fédération des identités des employés avec Microsoft Entra ID et connecter les utilisateurs, veillez à suivre les bonnes pratiques de sécurité recommandées pour ajouter une revendication de groupe et sélectionnez Tous les groupes. Cette étape est obligatoire pour Gemini Notebook Enterprise.

  • Configurez SCIM. Consultez Configurer SCIM dans Microsoft Entra ID. SCIM est nécessaire pour la saisie semi-automatique des adresses e-mail des utilisateurs et des noms de groupes et pour Microsoft Entra ID avec un grand nombre de groupes.

• Vous utilisez Okta comme IdP tiers et vous disposez des éléments suivants :

  • Suivez les instructions de la section Configurer la fédération d'identité de personnel avec Okta.

  • Configurez SCIM. Consultez Configurer SCIM dans Okta. SCIM est nécessaire pour la saisie semi-automatique des adresses e-mail des utilisateurs et des noms de groupes.

Créer un projet et activer l'API

Si vous disposez déjà d'un projet Google Cloud que vous souhaitez utiliser, commencez à l'étape 2.

Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Attribuer le rôle d'administrateur Cloud NotebookLM

En tant que propriétaire du projet, vous devez attribuer le rôle "Administrateur Cloud NotebookLM" à tous les utilisateurs que vous souhaitez autoriser à administrer Gemini Notebook Enterprise dans ce projet :

1. Dans la console Google Cloud , accédez à la page IAM.

   Accéder à IAM
2. Sélectionnez le projet.
3. Cliquez sur  Accorder l'accès.

4. Dans le champ Nouveaux comptes principaux, saisissez l'identifiant utilisateur. Il s'agit généralement de l'adresse e-mail d'un compte Google ou d'un groupe d'utilisateurs.

5. Dans la liste Sélectionner un rôle, sélectionnez Administrateur Cloud NotebookLM. Pour en savoir plus, consultez Rôles utilisateur.
6. Cliquez sur Enregistrer.

Définir le fournisseur d'identité pour Gemini Notebook Enterprise

Le propriétaire du projet ou un utilisateur disposant du rôle d'administrateur Cloud NotebookLM peut configurer l'IdP.

1. Dans la console Google Cloud , accédez à la page Gemini Notebook Enterprise.

   Gemini Enterprise

2. Définissez Paramètres d'identité sur Fournisseur d'identité Google ou Fournisseur d'identité tiers.

   Pour en savoir plus, consultez la section À propos de la configuration de l'identité ci-dessus.

3. Si vous utilisez un IdP tiers et la fédération des identités des employés, spécifiez le nom de votre pool d'employés et de votre fournisseur de pool d'employés.

4. Copiez le lien.

   Vous enverrez ce lien à tous les utilisateurs finaux de Gemini Notebook Enterprise. Il s'agit du lien vers l'interface utilisateur qu'ils utiliseront pour créer, modifier et partager des notebooks.

Facultatif : Enregistrer des clés de chiffrement gérées par le client

Si vous souhaitez utiliser des clés de chiffrement gérées par le client (CMEK) au lieu du chiffrement par défaut de Google, suivez les instructions pour enregistrer une clé pour Gemini Notebook Enterprise dans Clés de chiffrement gérées par le client.

En règle générale, vous n'avez besoin d'utiliser des CMEK que si votre organisation est soumise à des exigences réglementaires strictes ou à des règles internes qui stipulent le contrôle des clés de chiffrement. Dans la plupart des cas, le chiffrement par défaut de Google est suffisant. Pour en savoir plus sur les CMEK, consultez la documentation de Cloud Key Management Service.

Important : Enregistrez votre clé avant que vos utilisateurs ne commencent à créer des notebooks. Les notebooks créés avant la configuration du chiffrement CMEK ne seront pas protégés.

Attribuer des rôles Gemini Notebook Enterprise aux utilisateurs

Cette section explique comment attribuer aux utilisateurs les rôles IAM dont ils ont besoin pour accéder aux notebooks, les gérer et les partager.

1. Dans la console Google Cloud , accédez à la page IAM.

   Accéder à IAM
2. Sélectionnez le projet.
3. Cliquez sur  Accorder l'accès.

4. Dans le champ Nouveaux comptes principaux, saisissez l'identifiant utilisateur. Il s'agit généralement de l'adresse e-mail d'un compte Google, d'un groupe d'utilisateurs ou de l'identifiant d'un utilisateur dans un pool d'identités de personnel. Pour en savoir plus, consultez Représenter les utilisateurs de pools de personnel dans les stratégies IAM ou contactez votre administrateur.

5. Dans la liste Sélectionner un rôle, sélectionnez le rôle Cloud NotebookLM User.
6. Cliquez sur Enregistrer.

En plus du rôle Cloud NotebookLM User, les utilisateurs ont besoin d'une licence pour Gemini Notebook Enterprise. Consultez Obtenir des licences pour Gemini Notebook Enterprise.

Remarque : La page d'abonnement affiche l'ancien nom, NotebookLM Enterprise.

Étapes suivantes

• Obtenez des licences pour Gemini Notebook Enterprise.