Gemini Notebook Enterprise を設定する

このページでは、Gemini Notebook Enterprise を設定するために完了する必要がある起動タスクについて説明します。

このページのタスクを完了すると、ユーザーは Gemini Notebook Enterprise でノートブックの作成と使用を開始できます。

ID の設定について

設定を完了するには、組織の ID プロバイダ（IdP）が Google Cloudで構成されている必要があります。ID の正しい設定が重要な理由は 2 つあります。

• ユーザーが現在の企業認証情報を使用して Gemini Notebook Enterprise ユーザー インターフェースにアクセスできるようになるため。

• ユーザーに、自身が所有しているノートブック、または自身と共有されているノートブックのみが表示されるようになるため。

サポートされているフレームワーク

次の認証フレームワークがサポートされています。

• Cloud Identity:

  • ケース 1: Cloud Identity または Google Workspace を使用している場合、すべてのユーザー ID とユーザー グループが存在し、Google Cloudを通じて管理されます。Cloud Identity の詳細については、Cloud Identity のドキュメントをご覧ください。

  • ケース 2: サードパーティの IdP を使用しており、ID を Cloud Identity と同期しています。エンドユーザーは、Google リソースまたは Google Workspace にアクセスする前に、Cloud Identity を使用して認証を行います。

  • ケース 3: サードパーティの IdP を使用しており、ID を Cloud Identity と同期しています。ただし、認証の実行には既存のサードパーティ IdP を使用しています。ユーザーが Cloud Identity を使用してログインを開始し、サードパーティ製 IdP にリダイレクトされるように、Cloud Identity で SSO を構成しています（他の Google Cloud リソースまたは Google Workspace の設定時に、この同期をすでに完了している可能性があります）。

• Workforce Identity 連携: 外部 ID プロバイダ（Microsoft Entra ID、Okta、Ping、PingFederate、別の OIDC または SAML 2.0 IdP）を使用しているが、ID を Cloud Identity に同期しない場合は、Gemini Notebook Enterprise のデータソース アクセス制御を有効にする前に、 Google Cloudで Workforce Identity 連携を設定する必要があります。

  google.subject 属性は、外部 IdP のメールアドレス フィールドにマッピングする必要があります。次に、一般的に使用される IdP の google.subject 属性と google.groups 属性のマッピングの例を示します。

  • Microsoft Entra ID

    • OIDC プロトコルを使用した Microsoft Entra ID

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • SAML プロトコルを使用した Microsoft Entra ID

      google.subject=assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]
      google.groups=assertion.attributes['http://schemas.microsoft.com/ws/2008/06/identity/claims/groups']
      

    • グループ数の多い Microsoft Entra ID

      Microsoft Entra ID を使用しており、グループ数が 150 を超える場合は、グループ数の多い場合のセットアップ手順に沿って操作する必要があります。

      google.subject=user.emails[0].value.lowerAscii()
      google.groups=group.externalId
      

    注: System for Cross-domain Identity Management（SCIM）（または拡張属性）を使用する場合、google.groups 属性マッピングは無視されます。

  • Okta

    • OIDC プロトコルを使用した Okta

      google.subject=assertion.email
      google.groups=assertion.groups
      

    • SAML プロトコルを使用した Okta

      google.subject=assertion.subject
      google.groups=assertion.attributes['groups']
      

Google Cloud プロジェクトごとに選択できる IdP は 1 つのみです。

始める前に

このページの手順を開始する前に、次のいずれかが当てはまることを確認してください。

• Cloud Identity を IdP として使用している。

• サードパーティの IdP を使用し、Cloud Identity で SSO を構成している。

• Okta 以外のサードパーティの IdP を使用している。

  • Microsoft Entra ID との Workforce Identity 連携を構成してユーザー ログインを行うの手順に沿って Workforce Identity 連携を設定します。グループが 150 個を超える場合は、Microsoft Entra ID と多数のグループを使用して Workforce Identity 連携を構成するの手順に沿って設定します。

    Microsoft Entra ID との Workforce Identity 連携を構成してユーザー ログインを行うの手順に沿って操作する場合は、推奨されるセキュリティのベスト プラクティスの手順に沿って、グループ クレームを追加し、[すべてのグループ] を選択してください。これは、Gemini Notebook Enterprise に必要な手順です。

  • SCIM を設定します。Microsoft Entra ID で SCIM を構成するをご覧ください。SCIM は、ユーザーのメールアドレスとグループ名のオートコンプリートと、グループ数の多い Microsoft Entra ID に必要です。

• サードパーティの IdP として Okta を使用している。

  • Okta との Workforce Identity 連携を構成するの手順に沿って操作しました。

  • SCIM を設定します。Okta で SCIM を構成するをご覧ください。SCIM は、ユーザーのメールアドレスとグループ名のオートコンプリートに必要です。

プロジェクトを作成して API を有効にする

使用する Google Cloud プロジェクトがすでに存在する場合は、ステップ 2 から開始します。

Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、 アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Discovery Engine API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Cloud NotebookLM 管理者ロールを付与する

プロジェクト オーナーは、このプロジェクトで Gemini Notebook Enterprise を管理できるようにするユーザーに Cloud NotebookLM 管理者ロールを割り当てる必要があります。

1. Google Cloud コンソールで、[IAM] ページに移動します。

   [IAM] に移動
2. プロジェクトを選択します。
3. [アクセスを許可] をクリックします。

4. [新しいプリンシパル] フィールドに、ユーザー ID を入力します。通常は、Google アカウントまたはユーザー グループのメールアドレスです。

5. [ロールを選択] リストで、[Cloud NotebookLM 管理者] を選択します。詳細については、ユーザーロールをご覧ください。
6. [保存] をクリックします。

Gemini Notebook Enterprise の IdP を設定する

プロジェクト オーナーまたは Cloud NotebookLM 管理者ロールを付与されているユーザーは、IdP を設定できます。

1. Google Cloud コンソールで、[Gemini Notebook Enterprise] ページに移動します。

   Gemini Enterprise

2. [ID 設定] を [Google ID プロバイダ] または [サードパーティの ID プロバイダ] に設定します。

   詳細については、上記の ID の設定についてをご覧ください。

3. サードパーティの IdP と Workforce Identity 連携を使用している場合は、Workforce プールの名前と Workforce プール プロバイダを指定します。

4. リンクをコピーします。

   このリンクを Gemini Notebook Enterprise のすべてのエンドユーザーに送信します。これは、ユーザーがノートブックの作成、編集、共有に使用するユーザー インターフェースへのリンクです。

省略可: 顧客管理の暗号鍵を登録する

Google のデフォルトの暗号化ではなく、顧客管理の暗号鍵（CMEK）を使用する場合は、顧客管理の暗号鍵の手順に沿って Gemini Notebook Enterprise の鍵を登録します。

通常、CMEK を使用する必要があるのは、組織に暗号鍵の制御を規定する厳格な規制要件または内部ポリシーがある場合のみです。ほとんどの場合、Google のデフォルトの暗号化で十分です。CMEK の一般的な情報については、Cloud Key Management Service のドキュメントをご覧ください。

重要: ユーザーがノートブックの作成を開始する前に、鍵を登録してください。CMEK 暗号化の設定前に作成されたノートブックは保護されません。

Gemini Notebook Enterprise のロールをユーザーに付与する

このセクションでは、ノートブックへのアクセス、ノートブックの管理、共有に必要な IAM ロールをユーザーに付与する方法について説明します。

1. Google Cloud コンソールで、[IAM] ページに移動します。

   [IAM] に移動
2. プロジェクトを選択します。
3. [アクセスを許可] をクリックします。

4. [新しいプリンシパル] フィールドに、ユーザー ID を入力します。通常は、Google アカウントのメールアドレス、ユーザー グループ、または Workforce Identity プール内のユーザーの ID です。詳細については、IAM ポリシーで Workforce プールユーザーを表すをご覧いただくか、管理者にお問い合わせください。

5. [ロールを選択] リストで Cloud NotebookLM User ロールを選択します。
6. [保存] をクリックします。

Cloud NotebookLM User ロールに加えて、Gemini Notebook Enterprise のライセンスも必要です。Gemini Notebook Enterprise のライセンスを取得するをご覧ください。

注: サブスクリプション ページには、以前の名前である NotebookLM Enterprise が表示されます。

次のステップ

• Gemini Notebook Enterprise のライセンスを取得する。