מפתחות הצפנה בניהול הלקוח (CMEK)

כברירת מחדל, Gemini Enterprise Agent Platform Workbench מצפין את תוכן הלקוחות במצב מנוחה. ‫Agent Platform Workbench מטפל בהצפנה בשבילכם בלי שתצטרכו לבצע פעולות נוספות. האפשרות הזו נקראת הצפנה כברירת מחדל של Google.

אם אתם רוצים לשלוט במפתחות ההצפנה, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים ב-CMEK, כולל Agent Platform Workbench. כשמשתמשים במפתחות של Cloud KMS, אפשר לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בהרשאות השימוש והגישה ובגבולות הקריפטוגרפיים שלהם. באמצעות Cloud KMS אתם יכולים גם לעקוב אחרי השימוש במפתחות, לצפות ביומני הביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות ההצפנה (KEK) הסימטריים שמגינים על הנתונים שלכם ותנהל אותם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שתגדירו את המשאבים באמצעות מפתחות CMEK, חוויית הגישה למשאבים של Agent Platform Workbench תהיה דומה לשימוש בהצפנה שמוגדרת כברירת מחדל ב-Google. מידע נוסף על אפשרויות ההצפנה מופיע במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

בדף הזה מתוארים כמה יתרונות ומגבלות ספציפיים של השימוש ב-CMEK עם Gemini Enterprise Agent Platform Workbench, ומוסבר איך להגדיר מכונה חדשה של Agent Platform Workbench לשימוש ב-CMEK.

מידע נוסף על השימוש ב-CMEK ב-Gemini Enterprise Agent Platform זמין בדף CMEK ב-Agent Platform.

היתרונות של CMEK

באופן כללי, מפתחות CMEK הכי שימושיים אם אתם צריכים שליטה מלאה על המפתחות שמשמשים להצפנת הנתונים שלכם. באמצעות CMEK, אתם יכולים לנהל את המפתחות ב-Cloud Key Management Service. לדוגמה, אתם יכולים להחליף או להשבית מפתח, או להגדיר לוח זמנים להחלפה באמצעות Cloud KMS API.

כשמפעילים מכונה של Agent Platform Workbench, המכונה פועלת במכונה וירטואלית (VM) שמנוהלת על ידי Gemini Enterprise Agent Platform Workbench. כשמפעילים CMEK במכונה של Agent Platform Workbench, המערכת משתמשת במפתח שאתם מגדירים במקום במפתח שמנוהל על ידי Google כדי להצפין את הנתונים בדיסקי האתחול של ה-VM.

מפתח ה-CMEK לא מצפין מטא-נתונים, כמו השם והאזור של המכונה, שמשויכים למכונה של Agent Platform Workbench. המטא-נתונים שמשויכים למכונות של Agent Platform Workbench תמיד מוצפנים באמצעות מנגנון ההצפנה שמוגדר כברירת מחדל ב-Google.

המגבלות של CMEK

כדי לצמצם את זמן האחזור ולמנוע מקרים שבהם משאבים תלויים בשירותים שפרוסים על פני כמה דומיינים של כשל, Google ממליצה להגן על מכונות אזוריות של Agent Platform Workbench באמצעות מפתחות באותו מיקום.

  • אתם יכולים להצפין מכונות אזוריות של Agent Platform Workbench באמצעות מפתחות באותו מיקום או במיקום הגלובלי. לדוגמה, אתם יכולים להצפין נתונים בדיסק באזור us-west1-a באמצעות מפתח ב-us-west1 או ב-global.
  • אתם יכולים להצפין מכונות גלובליות באמצעות מפתחות בכל מיקום.
  • הגדרת CMEK ל-Agent Platform Workbench לא מגדירה באופן אוטומטי את CMEK למוצרים אחרים של Google Cloud שבהם אתם משתמשים. כדי להשתמש ב-CMEK להצפנת נתונים במוצרים אחרים של Google Cloud , צריך לבצע הגדרות נוספות.

הגדרת CMEK למכונה של Agent Platform Workbench

בקטעים הבאים מוסבר איך ליצור אוסף מפתחות ומפתח ב-Cloud KMS, לתת לחשבון השירות הרשאות הצפנה ופענוח למפתח, וליצור מכונה של Agent Platform Workbench שמשתמשת ב-CMEK.

לפני שמתחילים

מומלץ להשתמש בהגדרה שתומכת בהפרדת תפקידים. כדי להגדיר מפתחות CMEK ל-Agent Platform Workbench, אתם יכולים להשתמש בשני פרויקטים נפרדים ב- Google Cloud :

  • פרויקט ב-Cloud KMS: פרויקט לניהול מפתח ההצפנה
  • פרויקט ב-Agent Platform Workbench: פרויקט שמאפשר לגשת למכונות של Agent Platform Workbench ולקיים אינטראקציה עם מוצרים אחרים של Google Cloud שנדרשים לתרחיש לדוגמה שלכם

אפשר גם להשתמש בפרויקט Google Cloud אחד. כדי לעשות זאת, השתמשו באותו פרויקט לכל המשימות הבאות.

הגדרת הפרויקט ב-Cloud KMS

  1. נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Cloud KMS API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Cloud KMS API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    8.

הגדרת הפרויקט ב-Agent Platform Workbench

  1. נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Notebooks API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Notebooks API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    8.

הגדרת Google Cloud CLI

בחלק מהשלבים בדף הזה צריך להשתמש ב-CLI של gcloud, ובחלק מהשלבים אפשר להשתמש בו.

התקינו את ה-CLI של Google Cloud. אחר כך, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה: 

gcloud init

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

יצירה של אוסף מפתחות ומפתח

כשיוצרים אוסף מפתחות ומפתח, חשוב לזכור את הדרישות הבאות:

  • כשבוחרים את המיקום של אוסף המפתחות, משתמשים ב-global או במיקום שבו יהיה המכונה של Agent Platform Workbench.

  • חשוב ליצור את אוסף המפתחות ואת המפתח בפרויקט Cloud KMS.

כדי ליצור אוסף מפתחות ומפתח, קראו את המאמר יצירת מפתחות הצפנה סימטריים.

מתן הרשאות ל-Agent Platform Workbench

כדי להשתמש ב-CMEK במכונה של Agent Platform Workbench, צריך לתת למכונה הרשאה להצפין ולפענח נתונים באמצעות המפתח. אתם נותנים את ההרשאה הזו לסוכן השירות של הפרויקט ולחשבון השירות של Compute Engine.

כדי למצוא את החשבונות הספציפיים לפרויקט שלכם ב-Agent Platform Workbench, אתם יכולים להשתמש במסוף Google Cloud .

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. בוחרים באפשרות Include Google-provided role grants.

  3. חיפוש חברים שתואמים לפורמטים הבאים של כתובות אימייל. שימו לב לכתובות האימייל, כי תצטרכו להשתמש בהן בשלבים הבאים.

    • כתובת האימייל של סוכן השירות של הפרויקט נראית כך:

      service-NOTEBOOKS_PROJECT_NUMBER@gcp-sa-notebooks.iam.gserviceaccount.com

    • כתובת האימייל של חשבון השירות של Compute Engine נראית כך:

      service-NOTEBOOKS_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com

    מחליפים את NOTEBOOKS_PROJECT_NUMBER במספר הפרויקט של הפרויקט ב-Agent Platform Workbench.

    כדי לתת לחשבונות האלה הרשאה להצפין ולפענח נתונים באמצעות המפתח, אתם יכולים להשתמש במסוף Google Cloud או ב-CLI של gcloud.

    המסוף

    1. נכנסים לדף Key management במסוף Google Cloud .

      כניסה לדף Key management

    2. בוחרים את הפרויקט ב-Cloud KMS.

    3. לוחצים על השם של אוסף המפתחות שיצרתם בקטע יצירה של אוסף מפתחות ומפתח. נפתח הדף Key ring details.

    4. מסמנים את התיבה של המפתח שיצרתם בקטע יצירת אוסף מפתחות ומפתח. אם חלונית המידע עם שם המפתח לא פתוחה, לוחצים על Show info panel.

    5. בחלונית המידע, לוחצים על  Add member. תיפתח תיבת הדו-שיח הוספת חברים אל "KEY_NAME". בתיבת הדו-שיח הזו, מבצעים את הפעולות הבאות:

      1. בשדה רק הצטרפתי, מזינים את כתובת האימייל של סוכן השירות של הפרויקט:

        service-NOTEBOOKS_PROJECT_NUMBER@gcp-sa-notebooks.iam.gserviceaccount.com

      2. ברשימה Select a role, לוחצים על Cloud KMS ובוחרים את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter.

      3. לוחצים על Save.

    6. חוזרים על השלבים האלה בשביל סוכן השירות של Compute Engine:

      service-NOTEBOOKS_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com

    gcloud

    1. כדי לתת לסוכן השירות של הפרויקט הרשאה להצפין ולפענח נתונים באמצעות המפתח, מריצים את הפקודה הבאה:

      gcloud kms keys add-iam-policy-binding KEY_NAME \
  --keyring=KEY_RING_NAME \
  --location=REGION \
  --project=KMS_PROJECT_ID \
  --member=serviceAccount:service-NOTEBOOKS_PROJECT_NUMBER@gcp-sa-notebooks.iam.gserviceaccount.com \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫KEY_NAME: שם המפתח שיצרתם בקטע יצירת אוסף מפתחות ומפתח
      • ‫KEY_RING_NAME: אוסף המפתחות שיצרתם בקטע יצירת אוסף מפתחות ומפתח
      • ‫REGION: האזור שבו יצרתם את אוסף המפתחות
      • ‫KMS_PROJECT_ID: מזהה הפרויקט ב-Cloud KMS
      • ‫NOTEBOOKS_PROJECT_NUMBER: מספר הפרויקט של Agent Platform Workbench, שציינתם בקטע הקודם כחלק מכתובת האימייל של חשבון השירות.

    2. כדי לתת לחשבון השירות של Compute Engine הרשאה להצפין ולפענח נתונים באמצעות המפתח, מריצים את הפקודה הבאה:

      gcloud kms keys add-iam-policy-binding KEY_NAME \
  --keyring=KEY_RING_NAME \
  --location=REGION \
  --project=KMS_PROJECT_ID \
  --member=serviceAccount:service-NOTEBOOKS_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

יצירת מכונה של Agent Platform Workbench באמצעות CMEK

אחרי שנותנים למכונה של Agent Platform Workbench הרשאה להצפין ולפענח נתונים באמצעות המפתח, אפשר ליצור מכונה של Agent Platform Workbench שמצפינה נתונים באמצעות המפתח הזה.

בדוגמה הבאה מוסבר איך להצפין ולפענח נתונים באמצעות המפתח שלכם דרך מסוף Google Cloud .

כדי ליצור מכונה של Agent Platform Workbench עם מפתחות הצפנה בניהול הלקוח, אתם יכולים להשתמש במסוף Google Cloud או ב-CLI של gcloud:

המסוף

  1. נכנסים לדף Instances במסוף Google Cloud .

    כניסה לדף Instances

  2. לוחצים על  יצירת פריט חדש.

  3. בתיבת הדו-שיח New instance, לוחצים על Advanced options.

  4. בתיבת הדו-שיח Create instance, בקטע Details, מזינים את הפרטים הבאים של המכונה החדשה:

    • ‫Name: שם למכונה החדשה
    • ‫Region: האזור שבו נמצאים המפתח ואוסף המפתחות
    • Zone: אזור בתוך המחוז שבחרתם

  5. בקטע Disks, בשדה Encryption בוחרים באפשרות Customer-managed encryption key (CMEK).

  6. לוחצים על בחירת מפתח בניהול הלקוח.

    • אם המפתח בניהול הלקוח שבו רוצים להשתמש מופיע ברשימה, בוחרים אותו.

    • אם המפתח בניהול הלקוח שבו אתם רוצים להשתמש לא מופיע ברשימה, הזינו את מזהה המשאב של המפתח בניהול הלקוח. מזהה המשאב של המפתח בניהול הלקוח נראה כך:

      projects/NOTEBOOKS_PROJECT_NUMBER/locations/REGION/keyRings/KEY_RING_NAME/cryptoKeys/KEY_NAME

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫NOTEBOOKS_PROJECT_NUMBER: מזהה הפרויקט ב-Agent Platform Workbench
      • ‫REGION: האזור שבו יצרתם את אוסף המפתחות ושבו אתם מתכננים ליצור את המכונה של Agent Platform Workbench
      • ‫KEY_RING_NAME: אוסף המפתחות שיצרתם בקטע יצירת אוסף מפתחות ומפתח
      • ‫KEY_NAME: שם המפתח שיצרתם בקטע יצירת אוסף מפתחות ומפתח

  7. ממלאים את שאר הפרטים בתיבת הדו-שיח ליצירת מכונה ולוחצים על Create.

gcloud

כדי ליצור מכונה של Agent Platform Workbench עם מפתחות הצפנה בניהול הלקוח באמצעות ה-CLI של gcloud, מריצים את הפקודה הבאה. בדוגמה הזו, נניח שאתם רוצים ליצור מכונה של Agent Platform Workbench עם סוג מכונה n1-standard-1 ודיסק אתחול מתמיד סטנדרטי בנפח 100GB.

gcloud notebooks instances create notebook-vm-cmek \
    --location=REGION \
    --vm-image-family=IMAGE_FAMILY \
    --vm-image-project=cloud-notebooks-managed \
    --machine-type="n1-standard-1" \
    --boot-disk-type="PD_STANDARD" \
    --boot-disk-size=100 \
    --kms-key=KEY_NAME \
    --kms-project=KMS_PROJECT_ID \
    --kms-location=REGION \
    --kms-keyring=KEY_RING_NAME \
    --disk-encryption=CMEK \
    --metadata='proxy-mode=project_editors'

מחליפים את מה שכתוב בשדות הבאים:

  • ‫REGION: האזור שבו יצרתם את אוסף המפתחות ושבו אתם מתכננים ליצור את המכונה של Agent Platform Workbench
  • ‫IMAGE_FAMILY: משפחת התמונות שרוצים להשתמש בה כדי ליצור את מכונת Agent Platform Workbench
  • ‫KEY_NAME: שם המפתח שיצרתם בקטע יצירת אוסף מפתחות ומפתח
  • ‫KMS_PROJECT_ID: מזהה הפרויקט ב-Cloud KMS
  • ‫KEY_RING_NAME: אוסף המפתחות שיצרתם בקטע יצירת אוסף מפתחות ומפתח

המאמרים הבאים