Utiliser les CMEK avec le moteur RAG sur Gemini Enterprise Agent Platform

Cette page vous explique comment activer CMEK pour qu'il fonctionne avec le moteur RAG sur Gemini Enterprise Agent Platform.

Présentation

Le moteur RAG offre des options robustes pour gérer le chiffrement de vos données au repos. Par défaut, toutes les données utilisateur dans RagManagedDb sont chiffrées à l'aide d'un Google Cloud-powered encryption key, qui est le paramètre par défaut. Ce paramètre par défaut vous permet de vérifier que vos données sont sécurisées sans nécessiter de configuration spécifique.

Si vous avez besoin de plus de contrôle sur les clés utilisées pour le chiffrement, le moteur RAG est compatible avec les clés de chiffrement gérées par le client (CMEK). Avec CMEK, vous pouvez utiliser vos clés cryptographiques, gérées dans Cloud Key Management Service (KMS), pour protéger les données de votre corpus RAG.

Configurer la clé de chiffrement avec votre corpus RAG

Pour configurer une clé de chiffrement, suivez les étapes décrites dans Configurer votre clé KMS et accorder des autorisations.

Limites du CMEK pour le moteur RAG sur Gemini Enterprise Agent Platform

Le moteur RAG sur Gemini Enterprise Agent Platform est compatible avec CMEK, mais présente les limites suivantes :

  • Avant de créer un corpus RAG, vous devez activer manuellement le compte de service RAG. Pour obtenir des instructions détaillées, consultez Accorder des autorisations à l'agent de service du moteur RAG.

  • Le chiffrement CMEK n'est compatible qu'avec les RagVectorDbConfig de type RagManagedDb.

  • Le champ encryption_spec définit la clé KMS. Il est immuable, ce qui signifie que CMEK ne peut pas être activé ni désactivé une fois le corpus RAG créé.

  • Vous ne pouvez pas utiliser plus de 50 clés KMS uniques pour créer des corpus RAG par projet et par région.

Étapes suivantes