Configura claves de encriptación administradas por el cliente (CMEK) para zonas de pruebas

Encripta los datos en reposo de una zona de pruebas con una clave de Cloud Key Management Service que posees y controlas.

Descripción general

De forma predeterminada, Cloud de Confiance by S3NS encripta tus datos en reposo con Google Cloud-powered encryption keys. Las claves de encriptación administradas por el cliente (CMEK) te permiten crear y administrar una clave de encriptación de Cloud Key Management Service para que puedas auditar su uso, rotarla, inhabilitarla o destruirla para que los datos protegidos no se puedan leer.

La zona de pruebas de Gemini Enterprise Agent Platform ejecuta el código, el navegador o el contenedor personalizado de tu agente en un entorno aislado. Ese entorno escribe contenido del cliente en el disco y se puede marcar como punto de control en instantáneas, que CMEK protege cuando la habilitas en la instancia superior de Gemini Enterprise Agent Platform de la zona de pruebas.

Solo puedes configurar CMEK para las zonas de pruebas de Gemini Enterprise Agent Platform cuando creas la instancia de Gemini Enterprise Agent Platform. La clave CMEK protege la instancia de Gemini Enterprise Agent Platform y sus subrecursos, incluidos los entornos de zona de pruebas, las plantillas y las instantáneas.

Qué encripta CMEK para la zona de pruebas

Si habilitas CMEK en la instancia superior de Gemini Enterprise Agent Platform, se encriptan las superficies en reposo de la zona de pruebas con tu clave:

  • Disco de arranque del nodo de GKE o sistema de archivos raíz: Archivos que la sesión escribe en el tiempo de ejecución y estado en memoria paginado en el disco (CMEK del disco de arranque del nodo).
  • Bucket de Cloud Storage de instantáneas: Puntos de control de disco y memoria de una zona de pruebas (instantáneas) (encriptación predeterminada del bucket).

Los metadatos de recursos (nombres, etiquetas, estado, información de conexión) y las variables de entorno y los correos electrónicos de la cuenta de servicio no se encriptan con la clave CMEK.

Para encriptar imágenes de contenedores personalizados, configura CMEK en tu propio repositorio de Artifact Registry.

Limitaciones y consideraciones

  • Solo se admiten claves de una sola región para CMEK en Gemini Enterprise Agent Platform. No se admiten claves multirregionales, de dos regiones ni globales.
  • La clave es inmutable cuando creas la instancia de Gemini Enterprise Agent Platform. Para usar una clave diferente, debes crear una instancia nueva de Gemini Enterprise Agent Platform. Se admite la rotación a versiones nuevas de la misma clave y se aplica automáticamente.
  • Si inhabilitas o destruyes la versión de la clave, o revocas el rol de encriptador/desencriptador, no se podrán aprovisionar ni reanudar las zonas de pruebas, y fallarán las escrituras de instantáneas. Restablece el acceso a la clave para recuperar los recursos de la zona de pruebas.

Antes de comenzar

  • Ten o crea un llavero de claves y una clave de Cloud Key Management Service key ring and key. Como práctica recomendada, mantén las claves en un proyecto independiente de tus cargas de trabajo de Gemini Enterprise Agent Platform, administradas por un administrador diferente.
  • Confirma que tienes los roles para crear y administrar claves (roles/cloudkms.admin) y para crear la instancia de Gemini Enterprise Agent Platform.

  • Crea un agente de servicio de Agent Runtime, si aún no lo hiciste:

    # Create the service agent if needed
gcloud beta services identity create \
    --service=aiplatform.googleapis.com \
    --project=PROJECT_ID

Crea una clave de Cloud Key Management Service

Crea una clave de una sola región en la misma región que tu instancia de Gemini Enterprise Agent Platform:

# Key ring (once per region)
gcloud kms keyrings create sandbox-keyring \
    --location=REGION

# Key
gcloud kms keys create sandbox-key \
    --location=REGION \
    --keyring=sandbox-keyring \
    --purpose=encryption

Reemplaza lo siguiente:

  • REGION: La Cloud de Confiance región de tu instancia de Gemini Enterprise Agent Platform (por ejemplo, us-central1).

Otorga al agente de servicio de Agent Platform acceso a tu clave

Otorga al agente de servicio de Agent Runtime el rol de encriptador/desencriptador de CryptoKey de Cloud Key Management Service (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave:

# Grant Encrypter/Decrypter on the key
gcloud kms keys add-iam-policy-binding sandbox-key \
    --location=REGION \
    --keyring=sandbox-keyring \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-aiplatform-re.s3ns-system.iam.gserviceaccount.com" \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Reemplaza lo siguiente:

  • PROJECT_NUMBER: Tu Cloud de Confiance by S3NS número de proyecto.

Habilita CMEK en la instancia de Agent Platform

Establece encryption_spec.kms_key_name cuando crees la instancia de Gemini Enterprise Agent Platform. Cada plantilla de zona de pruebas y zona de pruebas que crees en ella hereda esta clave.

Python SDK

import vertexai

client = vertexai.Client(project="PROJECT_ID", location="REGION",
                        http_options={"api_version": "v1beta1"})
agent_instance = client.agent_engines.create(
    config={
        "encryption_spec": {
            "kms_key_name":
                "projects/PROJECT_ID/locations/REGION/keyRings/sandbox-keyring/cryptoKeys/sandbox-key"
        }
    },
)

REST

Con la API de REST, establece el mismo valor en reasoningEngines.encryptionSpec.kmsKeyName en la creación:

curl -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  https://REGION-aiplatform.googleapis.com/v1beta1/projects/PROJECT_ID/locations/REGION/reasoningEngines \
  -d '{
    "display_name": "cmek-protected-engine",
    "encryption_spec": {
      "kms_key_name": "projects/PROJECT_ID/locations/REGION/keyRings/sandbox-keyring/cryptoKeys/sandbox-key"
    }
  }'

Crea una zona de pruebas y verifica la configuración de CMEK

  1. Crea tu plantilla de zona de pruebas y zona de pruebas en la instancia de Gemini Enterprise Agent Platform protegida por CMEK.
  2. Confirma que la instancia de Gemini Enterprise Agent Platform informe tu clave en encryption_spec.kms_key_name mediante la obtención de los detalles de la instancia.
  3. De manera opcional, verifica los registros de auditoría de Cloud Key Management Service para confirmar que las operaciones de encriptación y desencriptación se realicen cuando se inician las zonas de pruebas y se escriben las instantáneas.

¿Qué sigue?