מפתחות הצפנה בניהול הלקוח

כברירת מחדל, חיפוש מבוסס סוכנים מצפין את התוכן של הלקוחות במנוחה. התכונה 'חיפוש מבוסס סוכנים' מטפלת בהצפנה בשבילכם, בלי שתצטרכו לבצע פעולות נוספות. האפשרות הזו נקראת הצפנת ברירת המחדל של Google.

אם אתם רוצים לשלוט במפתחות ההצפנה שלכם, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים עם CMEK, כולל חיפוש מבוסס סוכנים. שימוש במפתחות Cloud KMS מאפשר לכם לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בשימוש ובהרשאות הגישה, ובגבולות הקריפטוגרפיים. שימוש ב-Cloud KMS מאפשר גם לעקוב אחרי השימוש במפתחות, לצפות ביומני ביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של המפתחות הסימטריים להצפנת מפתחות (KEK) שמגנים על הנתונים שלכם ותנהל אותם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שמגדירים את המשאבים עם מפתחות CMEK, חוויית הגישה למשאבים של חיפוש מבוסס סוכנים דומה לשימוש בהצפנה שמוגדרת כברירת מחדל ב-Google. מידע נוסף על אפשרויות ההצפנה זמין במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

כשמפתח CMEK רשום, חיפוש מבוסס סוכנים מתקשר עם Cloud KMS באופן תקופתי כדי לשמור על מופע מבודד לוגית של הנתונים. זה קורה גם אם הגדרת ה-CMEK לא מוגדרת כברירת המחדל ואין אפליקציות או מחברי נתונים שמשתמשים בה. השימוש נובע מההגדרה וההפעלה של המופע, ולא מנפח הנתונים או ממספר המשתמשים שניגשים אליו. ראו המחירון של Cloud Key Management Service.

כדי להפסיק לחלוטין את השימוש ב-Cloud KMS, צריך לבטל את הרישום של מפתח Cloud KMS, להשבית את המפתח או לבטל את ההרשאות שלו. השבתה של Agent Search API לא מוחקת את CmekConfig או את הנתונים, ותמשיכו להיות מחויבים על השימוש ב-CMEK.

הערה: נתונים באחסון של אפליקציות או מאגרי נתונים באזורים בארה"ב או באיחוד האירופי מוצפנים.

הערה: נתונים באחסון של חיפוש מבוסס סוכנים מוצפנים באמצעות Google-owned and Google-managed encryption key (GMEK) כברירת מחדל. כפי שמתואר בדף הזה, CMEK מאפשר לכם להשתמש במפתחות משלכם במקום במפתחות GMEK.

הערה: כדי לוודא שהמשאבים של חיפוש מבוסס סוכנים תמיד מוגנים על ידי CMEK, מומלץ מאוד להגדיר כלל מדיניות של הארגון של CMEK. מידע נוסף מופיע במאמר בנושא אילוצים של מדיניות הארגון.

מגבלות של Cloud KMS בחיפוש מבוסס סוכנים

המגבלות הבאות חלות על מפתחות CMEK ‏ (Cloud KMS) ב-חיפוש מבוסס סוכנים:

• אי אפשר לשנות מפתחות שכבר הוחלו על אפליקציה או על מחבר נתונים, אבל אפשר לבצע רוטציה של גרסאות המפתחות.

• חובה להשתמש באפליקציות ובמאגרי נתונים רב-אזוריים בארה"ב או באיחוד האירופי (ולא גלובליים). מידע נוסף על מספר אזורים ועל מיקום אחסון הנתונים, כולל מגבלות שקשורות לשימוש במיקומים לא גלובליים, זמין במאמר בנושא מיקומים.

• אם אתם צריכים לרשום יותר ממפתח אחד לפרויקט, פנו לצוות של חשבון Google שלכם כדי לבקש להגדיל את המכסה של הגדרות CMEK, וציינו למה אתם צריכים יותר ממפתח אחד.

  ההגבלות הבאות חלות על EKM או HSM עם CMEK:

  • במכסת השימוש ב-EKM וב-HSM שלכם עבור קריאות הצפנה ופענוח, צריך להיות מרווח של לפחות 1,000 QPM. במאמר בדיקת המכסות של Cloud KMS מוסבר איך לבדוק את המכסות.

  • אם משתמשים ב-EKM, צריך לוודא שאפשר לגשת למפתח ביותר מ-90% מחלון זמן כלשהו שאורכו יותר מ-30 שניות. אם לא ניתן להגיע למפתח למשך הזמן הזה, הדבר עלול להשפיע לרעה על ההוספה לאינדקס ועל עדכניות החיפוש.

  • אם יש בעיות בחיוב, בעיות מתמשכות בחריגה מהמכסה או בעיות מתמשכות בגישה שנמשכות יותר מ-12 שעות, השירות משבית באופן אוטומטי את CmekConfig שמשויך למפתח EKM או HSM.

• אי אפשר להגן באמצעות המפתח על אפליקציות או מחברים לנתונים שנוצרו לפני שהמפתח נרשם בפרויקט.

• אי אפשר לשפר את המודלים של החיפוש עבור אפליקציות ומחברי נתונים שמוגנים באמצעות מפתחות.

• באפליקציות עם כמה מחברי נתונים, אם מחבר נתונים אחד משתמש בהגדרת CMEK, כל שאר מחברי הנתונים חייבים להשתמש באותה הגדרת CMEK.

• כדי להשתמש בחיפוש מבוסס סוכנים, נדרשת מהדורת Enterprise. למידע על מהדורת Enterprise, אפשר לעיין במאמר מידע על תכונות מתקדמות.

• מחברים מאינטראקציה ישירה (First-Party) לא תואמים ל-CMEK, למעט אפליקציות ומחברים של נתונים ל-BigQuery ול-Cloud Storage מסוג import-once (ייבוא חד-פעמי) ו-periodic (מחזורי).

• אפליקציות לחיפוש נתונים ומחברים לנתונים בתחום הבריאות, ומחברים של צד שלישי, תואמים ל-CMEK. מידע כללי על אפליקציות בתחום הבריאות ומחברי נתונים זמין במאמר יצירת אפליקציה לחיפוש נתונים בתחום הבריאות או מחבר נתונים. מידע על הפיכת מחברים של צד שלישי לתואמים ל-CMEK זמין במאמר מידע על מפתחות של אזור יחיד למחברים של צד שלישי.

• המפתחות לא חלים על ממשקי ה-API הבאים של RAG כי ממשקי ה-API האלה לא מאחסנים תוכן במצב מנוחה: check grounding,‏ grounded generation ו-ranking.

• אתם יכולים להשתמש ב-Terraform כדי להגדיר CMEK לחיפוש מבוסס סוכנים. מידע נוסף זמין במאמר בנושא google_discovery_engine_cmek_config.

מידע על מפתחות של אזור יחיד למחברים של צד שלישי

אם אתם משתמשים במחברים של צד שלישי ורוצים להשתמש במפתחות משלכם כדי להגן על הנתונים המחוברים, אתם צריכים ליצור שלושה מפתחות נוספים של אזור יחיד בנוסף למפתח של מספר אזורים. הפקודות ליצירת מפתחות מפורטות בהליך הבא, רישום מפתח Cloud KMS.

צריך ליצור את המפתחות הבודדים לאזורים הבאים:

במספר אזורים	אזור יחיד
eu	europe-west1	europe-west4	europe-north1
us	us-east1	us-central1	us-west1

לפני שמתחילים

צריך לוודא שמתקיימות הדרישות המוקדמות הבאות:

• יוצרים מפתח סימטרי של Cloud KMS שכולל מספר אזורים. מידע נוסף זמין במאמרים בנושא יצירת אוסף מפתחות ויצירת מפתח במסמכי התיעוד של Cloud KMS.

  • מגדירים את תקופת הרוטציה לNever (Manual rotation) (לעולם לא (רוטציה ידנית)).

  • בשדה Location, בוחרים באפשרות Multi-region, ובתפריט הנפתח בוחרים באפשרות europe או us.

• התפקיד CryptoKey Encrypter/Decrypter ב-IAM ‏(roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוענק לסוכן השירות של Discovery Engine. לחשבון סוכן השירות יש כתובת אימייל בפורמט הבא: [e-mail]. הוראות כלליות להוספת תפקיד לסוכן שירות מופיעות במאמר הענקת תפקיד יחיד או ביטול ההרשאה שלו.

• תפקיד ה-IAM‏ CryptoKey Encrypter/Decrypter‏ (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוענק לסוכן השירות של Cloud Storage. אם התפקיד הזה לא מוענק, ייבוא הנתונים של אפליקציות ומחברי נתונים שמוגנים באמצעות CMEK ייכשל, כי ל-Discovery Engine אין אפשרות ליצור את הדלי והספרייה הזמניים שמוגנים באמצעות CMEK שנדרשים לייבוא.

• אל תיצרו אפליקציות או מחברים לנתונים שאתם רוצים שהמפתח ינהל עד שתסיימו את ההוראות לרישום המפתח שבדף הזה.

• התכונות של מהדורת Enterprise מופעלות באפליקציה. כך מפעילים או משביתים את מהדורת Enterprise.

רישום מפתח Cloud KMS

כדי להצפין נתונים באמצעות CMEK, צריך לרשום את המפתח הרב-אזורי. אם הנתונים שלכם צריכים מפתחות של אזור יחיד, למשל כשמשתמשים במחברים של צד שלישי, אתם צריכים לרשום גם את המפתחות האלה.

לפני שמתחילים

חשוב לוודא את הדברים הבאים:

• האזור לא מוגן כבר על ידי מפתח. התהליך שמתואר בהמשך ייכשל אם מפתח כבר רשום לאזור באמצעות פקודת REST. כדי לבדוק אם יש מפתח פעיל בחיפוש מבוסס סוכנים במיקום מסוים, אפשר לעיין במאמר בנושא הצגת מפתחות Cloud KMS.

• יש לכם את התפקיד אדמין של Discovery Engine (roles/discoveryengine.admin).

התהליך

REST

כדי לרשום מפתח משלכם לחיפוש בסוכן:

1. מבצעים קריאה ל-UpdateCmekConfig עם המפתח שרוצים לרשום.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫KMS_PROJECT_ID: מזהה הפרויקט שמכיל את המפתח. מספר הפרויקט לא יעבוד.
   • ‫KMS_LOCATION: האזור המרובה של המפתח: us או europe.
   • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
   • ‫KEY_NAME: השם של המפתח.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
   • ‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: us או eu.
   • ‫CMEK_CONFIG_ID: הגדרת מזהה ייחודי למשאב CmekConfig, לדוגמה, default_cmek_config.

   • ‫SET_DEFAULT: צריך להגדיר את הערך true כדי להשתמש במפתח כמפתח ברירת המחדל לאפליקציות ולמחברי נתונים שייווצרו בהמשך באחסון במספר אזורים.

     חשוב: נדרש SET_DEFAULT כדי להחיל באופן אוטומטי את CmekConfig על משאבים עוקבים.

   דוגמה לפקודה ולתוצאה

   $ curl -X PATCH
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"
   
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
    }
   }
   

2. לפני שיוצרים אפליקציות או מחברי נתונים, צריך לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על משאבים עד שהוא מוכן. בדרך כלל לוקח כמה דקות לרשום מפתח. ראו אימות המפתח של Cloud KMS מוכן לשימוש.

   כדי לעקוב אחרי פעולת ההרשמה, אפשר לתעד את הערך name שמוחזר מהשיטה ולפעול לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת.

   אחרי שהמפתח מוכן, אפליקציות חדשות ומחברים של נתונים באזור הרב-אזורי הזה מוגנים על ידי המפתח. מידע כללי על יצירת אפליקציות זמין במאמר מידע על אפליקציות ומאגרי נתונים.

3. יוצרים את האפליקציה. קישורים להוראות ליצירת אפליקציות שונות זמינים במאמר מידע על אפליקציות ומאגרי נתונים.

המסוף

הערה: כשמשתמשים במסוף כדי לרשום את המפתחות, אי אפשר לשנות או להסיר מפתחות ממיקום באמצעות המסוף. צריך להפעיל את השיטה DeleteCmekConfig כדי לבטל את הרישום של מפתח Cloud KMS.

התהליך

כדי לרשום מפתח משלכם לחיפוש בסוכן:

1. נכנסים לדף AI Applications במסוף Google Cloud .

   אפליקציות AI

2. לוחצים על הגדרות ובוחרים בכרטיסייה CMEK.

3. לוחצים על הוספת מפתח למיקום us או eu.

   

   לוחצים על 'הוספת מפתח'.

   1. לוחצים על התפריט הנפתח Select a Cloud KMS key ובוחרים את המפתח.

      • אם המפתח נמצא בפרויקט אחר, לוחצים על החלפת פרויקט, לוחצים על שם הפרויקט, מקלידים את שם המפתח שיצרתם ובוחרים את המפתח.

      • אם אתם יודעים את שם המשאב של המפתח, לוחצים על הזנה ידנית, מדביקים את שם המשאב של המפתח ולוחצים על שמירה.

   2. לוחצים על אישור > שמירה.

4. לפני שיוצרים אפליקציות או מחברי נתונים, צריך לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על משאבים עד שהוא מוכן. ראו אימות המוכנות של מפתח Cloud KMS לשימוש.

5. יוצרים את האפליקציה. קישורים להוראות ליצירת אפליקציות שונות זמינים במאמר מידע על אפליקציות ומאגרי נתונים.

המפתח נרשם ונוצר CmekResource בשם default_cmek_config.

יכול להיות שיחלפו כמה שעות עד שהנתונים שהוטמעו יופיעו בתוצאות החיפוש.

הערה: אחרי שיוצרים את האפליקציה או את מאגרי הנתונים, צריך לוודא שהם מוגנים על ידי המפתחות. מידע נוסף זמין במאמר בנושא אימות ההגנה על אפליקציה או מחבר נתונים באמצעות מפתח Cloud KMS.

צפייה במפתחות Cloud KMS

כדי לראות מפתח רשום לחיפוש מבוסס סוכנים, מבצעים אחת מהפעולות הבאות:

• אם יש לכם את שם המשאב CmekConfig, אתם יכולים להשתמש בשיטה GetCmekConfig:

  curl -X GET \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: us או eu.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את הנתונים.
  • ‫CMEK_CONFIG_ID: המזהה של משאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

  דוגמה לקריאת curl ותגובה:

  $ curl -X GET
  -H "Authorization: Bearer $(gcloud auth print-access-token)"
  "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
  
  {
    "name":
    "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
    "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
    "state": "ACTIVE"
    "isDefault": true
  }
  

• אם אין לכם את שם המשאב CmekConfig, צריך לקרוא לשיטה ListCmekConfigs:

  curl -X GET \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: ‫us או eu.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את הנתונים.

  דוגמה לקריאת curl ותגובה:

  $ curl -X GET
  -H "Authorization: Bearer $(gcloud auth print-access-token)"
  "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs"
  
  {
    "cmek_configs": [
      {
        "name":
        "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
        "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
        "state": "ACTIVE"
        "isDefault": true
      }
    ]
  }
  

בדיקה שהמפתח של Cloud KMS מוכן לשימוש

אחרי שרושמים מפתח, צריך לוודא שהוא מוכן לשימוש לפני שהוא יכול להגן על משאבים כלשהם:

1. צפייה במפתחות Cloud KMS הרשומים. איך צופים במפתחות Cloud KMS

2. בודקים את הפלט של הפקודה. ההגדרה CmekConfig מוכנה לשימוש אם כל הערכים הבאים מופיעים בפלט:

   • "state": "ACTIVE"
   • "isDefault": true

   אם "isDefault": true, המפתח יוחל באופן אוטומטי כדי להגן על אפליקציות חדשות ומחברי נתונים.

אפשר גם לבדוק אם מוגדרת הגדרת ברירת מחדל של CMEK (כלומר, "isDefault": true) באמצעות המסוף: Google Cloud

1. נכנסים לדף AI Applications במסוף Google Cloud .

2. לוחצים על הגדרות ובוחרים בכרטיסייה CMEK.

3. בודקים שסטטוס ההגדרה של המיקום מציג את המפתח הרשום.

ביטול הרישום של מפתח Cloud KMS

כדי לבטל את הרישום של המפתח בחיפוש מבוסס סוכנים, פועלים לפי השלבים הבאים:

1. קוראים לשיטה DeleteCmekConfig עם שם המשאב CmekConfig שרוצים לבטל את הרישום שלו.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: ‫us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
   • ‫CMEK_CONFIG_ID: המזהה של משאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

   דוגמה לקריאת curl ותגובה:

   $ curl -X DELETE
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
    
   {
    "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
    "metadata": {
     "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
    }
   }
   

2. אופציונלי: מתעדים את הערך name שמוחזר על ידי השיטה ופועלים לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת כדי לראות מתי הפעולה מסתיימת.

   מחיקה של CmekConfig היא פעולה ארוכת טווח שיכולה להימשך עד כמה ימים. הסיבה לכך היא שהמשאבים המוצפנים הבסיסיים מבוטלים באופן מלא לפני שמסירים את CmekConfig.

הערה: אפשר למחוק משאב CmekConfig רק אם משאבי חיפוש מבוסס סוכנים לא מוגנים על ידי משאב CmekConfig הזה.

אימות ההגנה על אפליקציה או על מחבר נתונים באמצעות מפתח

אפליקציות ומחברי נתונים שנוצרו אחרי רישום המפתח מוגנים על ידי המפתח. כדי לוודא שאפליקציה מסוימת או מחבר נתונים מסוים מוגנים על ידי המפתח שלכם, פועלים לפי השלבים הבאים:

אימות באמצעות מסוף Google Cloud

1. כדי לבדוק אם מחבר נתונים מוגן על ידי מפתח:

   1. נכנסים לדף AI Applications במסוף Google Cloud .

   2. לוחצים על מאגרי נתונים ובוחרים את מחבר הנתונים.

   3. בודקים שבשדה מפתח KMS מופיע המפתח הרשום.

אימות באמצעות CLI או API

1. כדי לאמת מאגר נתונים:

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: PROJECT_ID" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור המרובה של הפרויקט: us או eu.
   • ‫PROJECT_ID: המזהה של הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
   • ‫DATA_STORE_ID: המזהה של מאגר הנתונים שמשויך לאפליקציה או לכלי לחיבור נתונים.

   דוגמה לקריאת curl:

   curl -X GET
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -H "x-goog-user-project: my-ai-app-project-123"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/dataStores/my-data-store-1"
   

2. כדי לאמת אפליקציה:

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: PROJECT_ID" \
   "https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/ENGINE_ID"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫LOCATION: האזור המרובה של הפרויקט: us או eu.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה.
   • ‫ENGINE_ID: מזהה האפליקציה.

   דוגמה לקריאת curl:

   curl -X GET
   -H "Authorization: Bearer $(gcloud auth print-access-token)"
   -H "Content-Type: application/json"
   -H "x-goog-user-project: my-ai-app-project-123"
   "https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/engines/my-app"
   

3. בודקים את הפלט של הפקודה: אם השדה cmekConfig מופיע בפלט והשדה kmsKey מציג את המפתח שרשמתם, סימן שהמפתח מגן על האפליקציה או על מחבר הנתונים.

   דוגמה לתגובה של מאגר נתונים:

   {
    "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1",
    "displayName": "my-data-store-1",
    "industryVertical": "GENERIC",
    "createTime": "2023-09-05T21:20:21.520552Z",
    "solutionTypes": [
      "SOLUTION_TYPE_SEARCH"
    ],
    "defaultSchemaId": "default_schema",
    "cmekConfig": {
      "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
      "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
    }
   }
   

   דוגמה לתגובה עבור אפליקציה:

   {
     "name": "projects/969795412903/locations/us/collections/default_collection/engines/my-app",
     "displayName": "my-app",
     "dataStoreIds": [
       "my-data-store-1"
     ],
     "solutionType": "SOLUTION_TYPE_SEARCH",
     "searchEngineConfig": {
       "searchTier": "SEARCH_TIER_STANDARD"
     },
     "industryVertical": "GENERIC",
     "appType": "APP_TYPE_INTRANET",
     "cmekConfig": {
      "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
      "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
    }
   }
   

נתונים אחרים שמוגנים על ידי מפתח Cloud KMS

בנוסף לנתונים באפליקציות ובמחברי הנתונים, המפתחות יכולים להגן על סוגים אחרים של מידע ליבה בבעלות האפליקציה שמאוחסן בחיפוש עם סוכן, כמו נתוני הסשן שנוצרו במהלך חיפוש עם שאלות המשך. המידע הבסיסי הזה מוגן באמצעות CMEK אם האפליקציות ומחברי הנתונים מוגנים באמצעות CMEK.

אי אפשר להריץ פקודה ספציפית כדי לוודא שהסשנים מוגנים, אבל אפשר לוודא שהאפליקציה מוגנת. מריצים את הפקודה Verify that an app or מחבר נתונים is protected by a key כדי שהאפליקציה תוכל לראות את המפתח במשאב cmekConfig. כך תוכלו לדעת שהנתונים של הפעילות מוגנים.

החלפת מפתחות Cloud KMS

תצוגה מקדימה

השימוש במוצר או בתכונה כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, בחלק "תנאים כלליים לשירות" של התנאים הספציפיים לשירות. השימוש בתכונות ובמוצרים בגרסת טרום-GA הוא "כפי שהם" (As is), ויכול להיות שהתמיכה בהם תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

כשמבצעים רוטציה למפתחות, יוצרים גרסה חדשה של המפתח ומגדירים את הגרסה החדשה כגרסה הראשית. כדאי להשאיר את הגרסה המקורית של המפתח מופעלת למשך זמן מה לפני שמשביתים אותה. כך ניתנת לכל הפעולות ארוכות הטווח שאולי משתמשות במפתח הישן אפשרות להסתיים.

בתהליך הבא מפורטים השלבים להחלפת מפתחות באפליקציית חיפוש מבוסס סוכנים או במחבר נתונים. מידע כללי על רוטציית מפתחות זמין במאמר רוטציית מפתחות במדריך Cloud KMS.

חשוב: אל תבצעו רוטציה של מפתחות באפליקציות או במחברי נתונים שמשויכים להמלצות או לאפליקציות שזקוקות לניתוח נתונים, ואל תבצעו רוטציה של המפתחות של אזור יחיד שמשמשים למחברים של צד שלישי. אפשר לעיין במגבלות של Cloud KMS ב-Agent Search.

1. צריך לרשום מחדש את המפתח. כדי לעשות זאת, חוזרים על שלב 1 של רישום מפתח Cloud KMS.

   הערה: רישום מחדש מהיר בהרבה מרישום. לא צריך לעקוב אחרי הרישום מחדש כפעולה ארוכת טווח.

2. בקטע ניהול מפתחות במדריך Cloud KMS מפורטות הוראות לביצוע הפעולות הבאות:

   1. יוצרים גרסה חדשה של המפתח, מפעילים אותה והופכים אותה לראשית.

      אחרי שהמפתח החדש הופך למפתח הראשי, מסמכים באפליקציה או במחבר הנתונים מוצפנים מחדש באמצעות המפתח החדש, ומסמכים נוספים שמוסיפים לאפליקציה או למחבר הנתונים מוצפנים באמצעות המפתח החדש.

   2. משאירים את הגרסה הישנה יותר של המפתח מופעלת.

   3. אחרי שבוע בערך, משביתים את הגרסה הישנה יותר של המפתח ומוודאים שהכול פועל כמו קודם.

   4. בשלב מאוחר יותר, כשתהיו בטוחים שהשבתת גרסת המפתח הישנה לא גרמה לבעיות, תוכלו להשמיד את גרסת המפתח הישנה.

אם מפתח Cloud KMS מושבת או מבוטל

אם מפתח מושבת או שההרשאות שלו מבוטלות, האפליקציה או מחבר הנתונים מפסיקים להטמיע נתונים ולהציג נתונים תוך 15 דקות. אתם יכולים להפעיל מחדש את המפתח תוך 30 יום כדי להמשיך בפעולות לפני שתוקף ההגדרה של CMEK יפוג וכל הנתונים המשויכים יימחקו לצמיתות. עם זאת, הפעלה מחדש של מפתח או שחזור הרשאות לוקחים הרבה זמן. יכול להיות שיחלפו עד 24 שעות לפני שהאפליקציה או מחבר הנתונים יוכלו להמשיך להציג נתונים.

לכן, לא כדאי להשבית מקש אלא אם יש צורך בכך. השבתה והפעלה של מפתח באפליקציה או במחבר נתונים היא פעולה שלוקחת זמן. לדוגמה, אם מעבירים מפתח שוב ושוב בין מצב מושבת למצב מופעל, ייקח הרבה זמן עד שהאפליקציה או מחבר הנתונים יגיעו למצב מוגן. השבתה של מפתח והפעלה מחדש שלו מיד לאחר מכן עלולה לגרום להשבתה של המפתח למשך ימים, כי המפתח מושבת קודם באפליקציה או בכלי לחיבור נתונים ואז מופעל מחדש.

פתרון בעיות: שגיאה 'לא נמצאו פרויקטים של מפתח KMS'

תסמין: כשמנסים ליצור אפליקציה או מחבר נתונים באמצעות מפתח KMS, מוצגת שגיאה שדומה לזו:

KMS key projects/[...] not found for location: [...] and project number: [...]

הבעיה: הודעת השגיאה הזו עלולה להטעות. זה לא בהכרח אומר שהמפתח לא קיים. במקום זאת, יכול להיות שהיא מציינת שמפתח ה-KMS לא נרשם לשימוש בחיפוש מבוסס סוכנים במיקום שצוין.

פתרון: כדי לפתור את הבעיה, צריך לרשום את המפתח לפי השלבים במאמר רישום המפתח של Cloud KMS. אחרי שההרשמה תושלם, תוכלו ליצור אפליקציות או מחברי נתונים שמוגנים באמצעות המפתח הזה.