הגדרה של Gemini Notebook Enterprise

בדף הזה מתוארות המשימות שצריך לבצע כדי להגדיר את Gemini Notebook Enterprise.

אחרי שתבצעו את המשימות שבדף הזה, המשתמשים שלכם יוכלו להתחיל ליצור תיקיות Notebook ולהשתמש בהן ב-Gemini Notebook Enterprise.

מידע על הגדרת הזהות

כדי להשלים את ההגדרה, צריך להגדיר את ספק הזהויות (IdP) של הארגון ב- Google Cloud. חשוב להגדיר את הזהות בצורה נכונה משתי סיבות:

• הוא מאפשר למשתמשים בגרסה הארגונית להשתמש בפרטי הכניסה הנוכחיים שלהם בארגון כדי לגשת לממשק המשתמש של Gemini Notebook Enterprise.

• היא מבטיחה שהמשתמשים יראו רק את ה-notebooks שבבעלותם או ששותפו איתם.

frameworks נתמכים

אלה מסגרות האימות שנתמכות:

• ‫Cloud Identity:

  • תרחיש 1: אם אתם משתמשים ב-Cloud Identity או ב-Google Workspace, כל זהויות המשתמשים וקבוצות המשתמשים קיימות ומנוהלות דרךGoogle Cloud. למידע נוסף על Cloud Identity, קראו את המאמר Cloud Identity.

  • תרחיש 2: אתם משתמשים ב-IdP של צד שלישי, וסנכרנתם את הזהויות עם Cloud Identity. משתמשי הקצה משתמשים ב-Cloud Identity כדי לבצע אימות לפני שהם ניגשים למשאבים של Google או ל-Google Workspace.

  • תרחיש 3: אתם משתמשים ב-IdP של צד שלישי וסנכרנתם את הזהויות עם Cloud Identity. עם זאת, אתם עדיין משתמשים ב-IdP הקיים של הצד השלישי כדי לבצע את האימות. הגדרתם כניסה יחידה (SSO) עם Cloud Identity, כך שהמשתמשים מתחילים את הכניסה באמצעות Cloud Identity ואז מופנים לספק הזהויות של הצד השלישי. (יכול להיות שכבר ביצעתם את הסנכרון הזה כשהגדרתם משאבים אחרים של Google Cloud או את Google Workspace).

• איחוד שירותי אימות הזהות של כוח עבודה: אם אתם משתמשים בספק זהויות חיצוני (Microsoft Entra ID,‏ Okta,‏ Ping,‏ PingFederate או ספק זהויות אחר שתומך ב-OIDC או ב-SAML 2.0), אבל לא רוצים לסנכרן את הזהויות שלכם עם Cloud Identity, אתם צריכים להגדיר את איחוד שירותי אימות הזהות של כוח עבודה ב- Google Cloudלפני שתוכלו להפעיל את בקרת הגישה למקורות נתונים ב-Gemini Notebook Enterprise.

  המאפיין google.subject צריך למפות לשדה של כתובת האימייל ב-IdP החיצוני. בהמשך מופיעות דוגמאות למיפוי המאפיינים google.subject ו-google.groups למזהי IdP הכי רווחיים:

  • Microsoft Entra ID

    • מזהה Microsoft Entra עם פרוטוקול OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • ‫Microsoft Entra ID עם פרוטוקול SAML

      google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]
      google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
      

    • ‫Microsoft Entra ID עם מספר גדול של קבוצות

      אם אתם משתמשים ב-Microsoft Entra ID ויש לכם יותר מ-150 קבוצות, אתם צריכים לפעול לפי ההוראות להגדרה של מספר גדול של קבוצות.

      google.subject=user.emails[0].value.lowerAscii()
      google.groups=group.externalId
      

    הערה: אם משתמשים ב-System for Cross-domain Identity Management (מערכת לניהול זהויות בין דומיינים, SCIM) (או במאפיינים מורחבים), המערכת מתעלמת ממיפוי המאפיינים של google.groups.

  • Okta

    • Okta עם פרוטוקול OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • ‫Okta עם פרוטוקול SAML

      google.subject=assertion.subject
      google.groups=assertion.attributes['groups']
      

אפשר לבחור רק ספק זהויות אחד לכל פרויקט ב- Google Cloud .

לפני שמתחילים

לפני שמתחילים את התהליכים שבדף הזה, צריך לוודא שאחד מהתנאים הבאים מתקיים:

• אתם משתמשים ב-Cloud Identity בתור ספק הזהויות, או

• אתם משתמשים ב-IdP של צד שלישי והגדרתם SSO עם Cloud Identity, או

• אתם משתמשים בספק זהויות של צד שלישי שהוא לא Okta, ויש לכם:

  • מגדירים את איחוד שירותי אימות הזהות של כוח העבודה לפי ההוראות במאמר הגדרת איחוד שירותי אימות הזהות של כוח העבודה באמצעות Microsoft Entra ID וכניסת משתמשים. אם יש לכם יותר מ-150 קבוצות, פועלים לפי ההוראות במאמר הגדרת איחוד שירותי אימות הזהות של כוח העבודה באמצעות Microsoft Entra ID עם מספר גדול של קבוצות.

    אם אתם פועלים לפי ההוראות במאמר הגדרה של איחוד שירותי אימות הזהות של כוח העבודה באמצעות Microsoft Entra ID וכניסת משתמשים, חשוב לבצע את השלבים המומלצים בשיטות המומלצות לאבטחה כדי להוסיף הצהרת קבוצה ולבחור באפשרות All groups. זהו שלב חובה ב-Gemini Notebook Enterprise.

  • מגדירים את ה-SCIM. איך מגדירים SCIM ב-Microsoft Entra ID צריך להשתמש ב-SCIM כדי להשלים אוטומטית כתובות אימייל של משתמשים ושמות של קבוצות, וגם כדי להשתמש ב-Microsoft Entra ID עם מספר גדול של קבוצות.

• אתם משתמשים ב-Okta בתור ספק הזהויות של הצד השלישי, ויש לכם:

  • פעלתם לפי ההוראות במאמר הגדרת איחוד שירותי אימות הזהות של כוח עבודה באמצעות Okta.

  • מגדירים את ה-SCIM. איך מגדירים SCIM ב-Okta צריך להשתמש ב-SCIM כדי להשלים אוטומטית כתובות אימייל של משתמשים ושמות של קבוצות.

יצירת פרויקט והפעלת ה-API

אם כבר יש לכם פרויקט ב- Google Cloud שאתם רוצים להשתמש בו, התחילו בשלב 2.

נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

הקצאת התפקיד "אדמין ב-Cloud NotebookLM"

כבעלי הפרויקט, אתם צריכים להקצות את התפקיד "אדמין ב-Cloud NotebookLM" לכל המשתמשים שאתם רוצים שיוכלו לנהל את Gemini Notebook Enterprise בפרויקט הזה:

1. נכנסים לדף IAM במסוף Google Cloud .

   כניסה לדף IAM
2. בוחרים את הפרויקט.
3. לוחצים על Grant access.

4. בשדה New principals, מזינים את מזהה המשתמש. בדרך כלל מזהה המשתמש הוא כתובת האימייל של חשבון Google או של קבוצת משתמשים.

5. ברשימה Select a role לוחצים על Cloud NotebookLM Admin. מידע נוסף זמין במאמר תפקידי משתמשים.
6. לוחצים על Save.

הגדרת ה-IdP ל-Gemini Notebook Enterprise

בעלי הפרויקט או משתמש עם התפקיד "אדמין ב-Cloud NotebookLM" יכולים להגדיר את ה-IdP.

1. נכנסים לדף Gemini Notebook Enterprise במסוף Google Cloud .

   Gemini Enterprise

2. מגדירים את הגדרות הזהות לGoogle Identity או לספק זהויות של צד שלישי.

   מידע נוסף זמין בקטע מידע על הגדרת הזהות שלמעלה.

3. אם אתם משתמשים ב-IdP של צד שלישי ובאיחוד שירותי אימות הזהות של כוח עבודה, ציינו את השם של מאגר הזהויות של כוח העבודה ואת הספק של מאגר הזהויות של כוח העבודה.

4. מעתיקים את הקישור.

   אתם תשלחו את הקישור הזה לכל משתמשי הקצה של Gemini Notebook Enterprise. זהו הקישור לממשק המשתמש שבו הם ישתמשו כדי ליצור, לערוך ולשתף קובצי notebook.

אופציונלי: רישום מפתחות הצפנה בניהול הלקוח

אם אתם רוצים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) במקום בהצפנת ברירת המחדל של Google, אתם צריכים לרשום מפתח ל-Gemini Notebook Enterprise לפי ההוראות שבמאמר מפתחות הצפנה בניהול הלקוח.

בדרך כלל, צריך להשתמש ב-CMEK רק אם לארגון יש דרישות רגולטוריות מחמירות או מדיניות פנימית שקובעת שליטה על מפתחות ההצפנה. ברוב המקרים, הצפנת ברירת המחדל של Google מספיקה. מידע כללי על CMEK זמין במסמכי התיעוד של Cloud Key Management Service.

חשוב: צריך לרשום את המפתח לפני שהמשתמשים מתחילים ליצור תיקיות Notebook. כל תיקיות ה-Notebook שנוצרו לפני שהוגדרה הצפנת CMEK לא יהיו מוגנות.

הקצאת תפקידים ב-Gemini Notebook Enterprise למשתמשים

בקטע הזה מוסבר איך לתת למשתמשים את התפקידים ב-IAM שהם צריכים כדי לגשת ל-notebooks, לנהל אותם ולשתף אותם.

1. נכנסים לדף IAM במסוף Google Cloud .

   כניסה לדף IAM
2. בוחרים את הפרויקט.
3. לוחצים על Grant access.

4. בשדה New principals, מזינים את מזהה המשתמש. בדרך כלל מזהה המשתמש הוא כתובת האימייל של חשבון Google, קבוצת משתמשים או המזהה של משתמש במאגר זהויות של כוח עבודה. למידע נוסף, קראו את המאמר ייצוג המשתמשים במאגרי כוח עבודה בכללי מדיניות IAM או פנו לאדמין שלכם.

5. ברשימה Select a role, בוחרים את התפקיד Cloud NotebookLM User.
6. לוחצים על Save.

בנוסף לתפקיד Cloud NotebookLM User, המשתמשים צריכים רישיון ל-Gemini Notebook Enterprise. איך מקבלים רישיונות ל-Gemini Notebook Enterprise

הערה: בדף המינוי מוצג השם הקודם, NotebookLM Enterprise.

המאמרים הבאים

• איך מקבלים רישיונות ל-Gemini Notebook Enterprise