Configurare Gemini Notebook Enterprise

Questa pagina descrive le attività di avvio che devi completare per configurare Gemini Notebook Enterprise.

Dopo aver eseguito le attività in questa pagina, i tuoi utenti possono iniziare a creare e utilizzare i notebook in Gemini Notebook Enterprise.

Informazioni sulla configurazione delle identità

Per completare la configurazione, devi aver configurato il provider di identità (IdP) della tua organizzazione in Google Cloud. La corretta configurazione dell'identità è importante per due motivi:

• Consente agli utenti aziendali di utilizzare le loro attuali credenziali aziendali per accedere all'interfaccia utente di Gemini Notebook Enterprise.

• In questo modo, gli utenti vedono solo i notebook di loro proprietà o che sono stati condivisi con loro.

Framework supportati

Sono supportati i seguenti framework di autenticazione:

• Cloud Identity:

  • Caso 1: se utilizzi Cloud Identity o Google Workspace, tutte le identità e i gruppi di utenti sono presenti e gestiti tramiteGoogle Cloud. Per saperne di più su Cloud Identity, consulta la documentazione di Cloud Identity.

  • Caso 2: utilizzi un IdP di terze parti e hai sincronizzato le identità con Cloud Identity. Gli utenti finali utilizzano Cloud Identity per autenticarsi prima di accedere alle risorse Google o a Google Workspace.

  • Caso 3: utilizzi un IdP di terze parti e hai sincronizzato le identità con Cloud Identity. Tuttavia, continui a utilizzare il tuo IdP di terze parti esistente per eseguire l'autenticazione. Hai configurato il Single Sign-On con Cloud Identity in modo che gli utenti inizino l'accesso utilizzando Cloud Identity e vengano poi indirizzati al tuo IdP di terze parti. (Potresti aver già eseguito questa sincronizzazione durante la configurazione di altre risorse Google Cloud o di Google Workspace.)

• Federazione delle identità per la forza lavoro: se utilizzi un provider di identità esterno (Microsoft Entra ID, Okta, Ping, PingFederate o un altro IdP OIDC o SAML 2.0), ma non vuoi sincronizzare le tue identità in Cloud Identity, devi configurare la federazione delle identità per la forza lavoro in Google Cloudprima di poter attivare il controllo dell'accesso alle origini dati per Gemini Notebook Enterprise.

  L'attributo google.subject deve essere mappato al campo dell'indirizzo email nell'IdP esterno. Di seguito sono riportati esempi di mappatura degli attributi google.subject e google.groups per gli IdP di uso comune:

  • Microsoft Entra ID

    • Microsoft Entra ID con protocollo OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Microsoft Entra ID con protocollo SAML

      google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]
      google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
      

    • Microsoft Entra ID con un numero elevato di gruppi

      Se utilizzi Microsoft Entra ID e hai più di circa 150 gruppi, devi seguire le procedure di configurazione per un numero elevato di gruppi.

      google.subject=user.emails[0].value.lowerAscii()
      google.groups=group.externalId
      

    Nota: se utilizzi System for Cross-domain Identity Management (SCIM) (o attributi estesi), la mappatura degli attributi google.groups viene ignorata.

  • Okta

    • Okta con protocollo OIDC

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • Okta con protocollo SAML

      google.subject=assertion.subject
      google.groups=assertion.attributes['groups']
      

Puoi selezionare un solo IdP per progetto Google Cloud .

Prima di iniziare

Prima di iniziare le procedure descritte in questa pagina, assicurati che una delle seguenti condizioni sia vera:

• Utilizzi Cloud Identity come IdP oppure

• Utilizzi un IdP di terze parti e hai configurato SSO con Cloud Identity oppure

• Utilizzi un IdP di terze parti diverso da Okta e hai:

  • Configura la federazione delle identità per la forza lavoro seguendo le istruzioni riportate in Configura la federazione delle identità per la forza lavoro con Microsoft Entra ID e accedi agli utenti o, se hai più di circa 150 gruppi, in Configura la federazione delle identità per la forza lavoro con Microsoft Entra ID con un numero elevato di gruppi.

    Se segui le istruzioni riportate in Configura la federazione delle identità per la forza lavoro con Microsoft Entra ID e accedi agli utenti, assicurati di seguire i passaggi relativi alle best practice di sicurezza consigliate per aggiungere un'attestazione di gruppo e selezionare Tutti i gruppi. Questo è un passaggio obbligatorio per Gemini Notebook Enterprise.

  • Configura SCIM. Consulta Configura SCIM in Microsoft Entra ID. SCIM è necessario per il completamento automatico delle email degli utenti e dei nomi dei gruppi e per Microsoft Entra ID con un numero elevato di gruppi.

• Utilizzi Okta come IdP di terze parti e hai:

  • Seguito le istruzioni riportate in Configura la federazione delle identità per la forza lavoro con Okta.

  • Configura SCIM. Consulta Configura SCIM in Okta. SCIM è necessario per il completamento automatico delle email degli utenti e dei nomi dei gruppi.

Crea un progetto e abilita l'API

Se hai già un progetto Google Cloud che vuoi utilizzare, inizia dal passaggio 2.

Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment di workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Concedi il ruolo Cloud NotebookLM Admin

In qualità di Project Owner, devi assegnare il ruolo Cloud NotebookLM Admin a tutti gli utenti che vuoi che possano amministrare Gemini Notebook Enterprise in questo progetto:

1. Nella console Google Cloud vai alla pagina IAM.

   Vai a IAM
2. Seleziona il progetto.
3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, inserisci l'identificatore dell'utente. In genere si tratta dell'indirizzo email di un Account Google o di un gruppo di utenti.

5. Nell'elenco Seleziona un ruolo, seleziona Cloud NotebookLM Admin. Per saperne di più, consulta Ruoli utente.
6. Fai clic su Salva.

Imposta l'IdP per Gemini Notebook Enterprise

Il Project Owner o un utente con il ruolo Cloud NotebookLM Admin può configurare l'IdP.

1. Nella console Google Cloud , vai alla pagina Gemini Notebook Enterprise.

   Gemini Enterprise

2. Imposta Impostazioni identità su Google Identity o Provider di identità di terze parti.

   Per saperne di più, consulta la sezione Informazioni sulla configurazione dell'identità riportata sopra.

3. Se utilizzi un IdP di terze parti e la federazione delle identità per la forza lavoro, specifica il nome del pool di forza lavoro e il provider del pool di forza lavoro.

4. Copia il link.

   Invierai questo link a tutti gli utenti finali di Gemini Notebook Enterprise. Questo è il link all'interfaccia utente che utilizzeranno per creare, modificare e condividere i notebook.

(Facoltativo) Registra le chiavi di crittografia gestite dal cliente

Se vuoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) anziché la crittografia predefinita di Google, segui le istruzioni per registrare una chiave per Gemini Notebook Enterprise in Chiavi di crittografia gestite dal cliente.

In genere, devi utilizzare CMEK solo se la tua organizzazione ha requisiti normativi o policy interne rigorose che prevedono il controllo delle chiavi di crittografia. Nella maggior parte dei casi, la crittografia predefinita di Google è sufficiente. Per informazioni generali sulle CMEK, consulta la documentazione di Cloud Key Management Service.

Importante: registra la chiave prima che gli utenti inizino a creare i notebook. I notebook creati prima della configurazione della crittografia CMEK non saranno protetti.

Concedi i ruoli Gemini Notebook Enterprise agli utenti

Questa sezione descrive come assegnare agli utenti i ruoli IAM necessari per accedere, gestire e condividere i blocchi note.

1. Nella console Google Cloud vai alla pagina IAM.

   Vai a IAM
2. Seleziona il progetto.
3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, inserisci l'identificatore dell'utente. In genere si tratta dell'indirizzo email di un Account Google, di un gruppo di utenti o dell'identificatore di un utente in un pool di identità della forza lavoro. Per maggiori dettagli, consulta Rappresenta gli utenti del pool di forza lavoro nelle policy IAM o contatta l'amministratore.

5. Nell'elenco Seleziona un ruolo, seleziona il ruolo Cloud NotebookLM User.
6. Fai clic su Salva.

Oltre al ruolo Cloud NotebookLM User, gli utenti devono disporre di una licenza per Gemini Notebook Enterprise. Consulta Acquista le licenze per Gemini Notebook Enterprise.

Nota: la pagina dell'abbonamento mostra il nome precedente NotebookLM Enterprise.

Passaggi successivi

• Ottieni le licenze per Gemini Notebook Enterprise.