Configurer les clés de chiffrement gérées par le client (CMEK) pour les bacs à sable

Chiffrez les données au repos d'un bac à sable avec une clé Cloud Key Management Service que vous possédez et contrôlez.

Présentation

Par défaut, Cloud de Confiance by S3NS chiffre vos données au repos avec Google Cloud-powered encryption keys. Les clés de chiffrement gérées par le client (CMEK) vous permettent de créer et de gérer une clé de chiffrement Cloud Key Management Service afin de pouvoir auditer son utilisation, la faire alterner, et la désactiver ou la détruire pour rendre les données protégées illisibles.

Le bac à sable Gemini Enterprise Agent Platform exécute le code, le navigateur ou le conteneur personnalisé de votre agent dans un environnement isolé. Cet environnement écrit le contenu client sur le disque et peut être vérifié par des instantanés, que CMEK protège lorsque vous l'activez sur l'instance Gemini Enterprise Agent Platform parente du bac à sable.

Vous ne pouvez configurer CMEK pour les bacs à sable Gemini Enterprise Agent Platform que lorsque vous créez l'instance Gemini Enterprise Agent Platform. La clé CMEK sécurise l'instance Gemini Enterprise Agent Platform et ses sous-ressources, y compris les environnements de bac à sable, les modèles et les instantanés.

Ce que CMEK chiffre pour le bac à sable

L'activation de CMEK sur l'instance Gemini Enterprise Agent Platform parente chiffre les surfaces au repos du bac à sable avec votre clé :

  • Disque de démarrage du nœud GKE / système de fichiers racine : fichiers que la session écrit au moment de l'exécution et état en mémoire paginé sur le disque (CMEK du disque de démarrage du nœud).
  • Bucket Cloud Storage d'instantanés : points de contrôle du disque et de la mémoire d'un bac à sable (instantanés) (chiffrement par défaut du bucket).

Les métadonnées de ressources (noms, libellés, état, informations de connexion), les variables d'environnement et les adresses e-mail des comptes de service ne sont pas chiffrées avec la clé CMEK.

Pour chiffrer des images de conteneurs personnalisées, définissez CMEK sur votre propre dépôt Artifact Registry.

Limites et points à noter

  • Seules les clés à région unique sont compatibles avec CMEK sur Gemini Enterprise Agent Platform. Les clés multirégionales, birégionales et mondiales ne sont pas compatibles.
  • La clé est immuable lorsque vous créez l'instance Gemini Enterprise Agent Platform. Pour utiliser une autre clé, vous devez créer une instance Gemini Enterprise Agent Platform. L'alternance vers de nouvelles versions de la même clé est compatible et appliquée automatiquement.
  • Si vous désactivez ou détruisez la version de la clé, ou si vous révoquez le rôle de chiffreur/déchiffreur, les bacs à sable ne peuvent pas être provisionnés ni repris, et les écritures d'instantanés échouent. Restaurez l'accès à la clé pour récupérer les ressources du bac à sable.

Avant de commencer

  • Disposez d'un trousseau et d'une clé Cloud Key Management Service key ring and key, ou créez-en un. Nous vous recommandons de conserver les clés dans un projet distinct de vos charges de travail Gemini Enterprise Agent Platform, géré par un autre administrateur.
  • Vérifiez que vous disposez des rôles nécessaires pour créer et gérer des clés (roles/cloudkms.admin) et pour créer l'instance Gemini Enterprise Agent Platform.

  • Si vous ne l'avez pas déjà fait, créez un agent de service Agent Runtime :

    # Create the service agent if needed
gcloud beta services identity create \
    --service=aiplatform.googleapis.com \
    --project=PROJECT_ID

Créer une clé Cloud Key Management Service

Créez une clé à région unique dans la même région que votre instance Gemini Enterprise Agent Platform :

# Key ring (once per region)
gcloud kms keyrings create sandbox-keyring \
    --location=REGION

# Key
gcloud kms keys create sandbox-key \
    --location=REGION \
    --keyring=sandbox-keyring \
    --purpose=encryption

Remplacez les éléments suivants :

  • REGION : Cloud de Confiance région de votre instance Gemini Enterprise Agent Platform (par exemple, us-central1).

Autoriser l'agent de service Agent Platform à accéder à votre clé

Accordez à l'agent de service Agent Runtime le rôle Cloud Key Management Service CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) sur la clé :

# Grant Encrypter/Decrypter on the key
gcloud kms keys add-iam-policy-binding sandbox-key \
    --location=REGION \
    --keyring=sandbox-keyring \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-aiplatform-re.s3ns-system.iam.gserviceaccount.com" \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Remplacez les éléments suivants :

  • PROJECT_NUMBER : numéro de votre Cloud de Confiance by S3NS projet.

Activer CMEK sur l'instance Agent Platform

Définissez encryption_spec.kms_key_name lorsque vous créez l'instance Gemini Enterprise Agent Platform. Chaque modèle de bac à sable et chaque bac à sable que vous créez sous celui-ci hérite de cette clé.

SDK Python

import vertexai

client = vertexai.Client(project="PROJECT_ID", location="REGION",
                        http_options={"api_version": "v1beta1"})
agent_instance = client.agent_engines.create(
    config={
        "encryption_spec": {
            "kms_key_name":
                "projects/PROJECT_ID/locations/REGION/keyRings/sandbox-keyring/cryptoKeys/sandbox-key"
        }
    },
)

REST

À l'aide de l'API REST, définissez la même valeur sur reasoningEngines.encryptionSpec.kmsKeyName lors de la création :

curl -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  https://REGION-aiplatform.googleapis.com/v1beta1/projects/PROJECT_ID/locations/REGION/reasoningEngines \
  -d '{
    "display_name": "cmek-protected-engine",
    "encryption_spec": {
      "kms_key_name": "projects/PROJECT_ID/locations/REGION/keyRings/sandbox-keyring/cryptoKeys/sandbox-key"
    }
  }'

Créer un bac à sable et vérifier la configuration CMEK

  1. Créez votre modèle de bac à sable et votre bac à sable sous l'instance Gemini Enterprise Agent Platform protégée par CMEK.
  2. Vérifiez que l'instance Gemini Enterprise Agent Platform signale votre clé dans encryption_spec.kms_key_name en obtenant les détails de l'instance.
  3. Vous pouvez également consulter les journaux d'audit Cloud Key Management Service pour vérifier que les opérations de chiffrement et de déchiffrement se produisent au démarrage des bacs à sable et à l'écriture des instantanés.

Étape suivante