הגדרת מפתחות הצפנה בניהול הלקוח (CMEK) לארגזי חול

הצפנת הנתונים במנוחה בארגז חול באמצעות מפתח של Cloud Key Management Service שנמצא בבעלותכם ובשליטתכם.

סקירה כללית

כברירת מחדל, Cloud de Confiance by S3NS מצפין את הנתונים במנוחה באמצעות Google Cloud-powered encryption keys. מפתחות הצפנה בניהול הלקוח (CMEK) מאפשרים לכם ליצור מפתח הצפנה של Cloud Key Management Service ולנהל אותו. כך תוכלו לבדוק את השימוש בו, לבצע רוטציה שלו ולהשבית או להשמיד אותו כדי שהנתונים המוגנים לא יהיו קריאים.

ארגז החול של Gemini Enterprise Agent Platform מריץ את הקוד, הדפדפן או מאגר מותאם אישית של הסוכן בסביבה מבודדת. בסביבה הזו נכתב תוכן של לקוחות לדיסק, ואפשר ליצור ממנה נקודות ביקורת לתמונות מצב. מפתחות הצפנה בניהול הלקוח (CMEK) מגנים על התוכן הזה כשמפעילים אותם במופע הראשי של Gemini Enterprise Agent Platform בסביבת הארגז.

אפשר להגדיר CMEK לארגז חול של Gemini Enterprise Agent Platform רק כשיוצרים את המופע של Gemini Enterprise Agent Platform. מפתח ה-CMEK מאבטח את המופע של Gemini Enterprise Agent Platform ואת משאבי המשנה שלו, כולל סביבות הארגז, התבניות והתמונות.

מה מוצפן ב-CMEK בארגז החול

הפעלת CMEK במופע האב של Gemini Enterprise Agent Platform מצפינה את הפלטפורמות של ארגז החול במצב מנוחה באמצעות המפתח שלכם:

  • דיסק האתחול של צומת GKE / מערכת קבצים בסיסית: קבצים שהסשן כותב בזמן הריצה ומצב בזיכרון שמועבר לדף בדיסק (CMEK של דיסק האתחול של הצומת).
  • קטגוריה של Cloud Storage של תמונת מצב: נקודות ביקורת של דיסק וזיכרון של ארגז חול (תמונות מצב) (הצפנה שמוגדרת כברירת מחדל בקטגוריה).

מטא-נתונים של משאבים (שמות, תוויות, מצב, פרטי חיבור), משתני סביבה וכתובות אימייל של חשבונות שירות לא מוצפנים באמצעות מפתח ה-CMEK.

כדי להצפין תמונות קונטיינר בהתאמה אישית, צריך להגדיר CMEK במאגר Artifact Registry שלכם.

מגבלות ושיקולים

  • יש תמיכה ב-CMEK ב-Gemini Enterprise Agent Platform רק במפתחות של אזור יחיד. אין תמיכה במפתחות גלובליים, במפתחות של אזורים גיאוגרפיים מרובים ובמפתחות של צמדים מוגדרים מראש של שני אזורים.
  • המפתח הוא בלתי ניתן לשינוי כשיוצרים את המופע של Gemini Enterprise Agent Platform. כדי להשתמש במפתח אחר, צריך ליצור מופע חדש של Gemini Enterprise Agent Platform. המערכת תומכת במעבר לגרסאות חדשות של אותו מפתח ומבצעת את המעבר באופן אוטומטי.
  • אם משביתים או משמידים את גרסת המפתח, או מבטלים את ההרשאה Encrypter/Decrypter, אי אפשר להקצות או לחדש את ארגזי החול, והכתיבה של תמונות המצב נכשלת. כדי לשחזר את המשאבים בארגז החול, צריך לשחזר את הגישה למפתחות.

לפני שמתחילים

  • צריך ליצור אוסף מפתחות ומפתח של Cloud Key Management Service או לוודא שיש לכם כאלה. מומלץ לשמור את המפתחות בפרויקט נפרד מעומסי העבודה של Gemini Enterprise Agent Platform, בניהול של אדמין אחר.
  • מוודאים שיש לכם את התפקידים שמאפשרים ליצור ולנהל מפתחות (roles/cloudkms.admin) וליצור את המופע של Gemini Enterprise Agent Platform.

  • אם עדיין לא עשיתם זאת, יוצרים סוכן שירות של Agent Runtime:

    # Create the service agent if needed
gcloud beta services identity create \
    --service=aiplatform.googleapis.com \
    --project=PROJECT_ID

יצירת מפתח Cloud Key Management Service

יוצרים מפתח באזור יחיד באותו אזור שבו נמצא המופע של Gemini Enterprise Agent Platform:

# Key ring (once per region)
gcloud kms keyrings create sandbox-keyring \
    --location=REGION

# Key
gcloud kms keys create sandbox-key \
    --location=REGION \
    --keyring=sandbox-keyring \
    --purpose=encryption

מחליפים את מה שכתוב בשדות הבאים:

  • ‫REGION: ה Cloud de Confiance אזור של מופע Gemini Enterprise Agent Platform (לדוגמה, us-central1).

איך נותנים לסוכן השירות של Agent Platform גישה למפתח

מקצים לסוכן השירות של Agent Runtime את התפקיד Cloud Key Management Service CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח:

# Grant Encrypter/Decrypter on the key
gcloud kms keys add-iam-policy-binding sandbox-key \
    --location=REGION \
    --keyring=sandbox-keyring \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-aiplatform-re.s3ns-system.iam.gserviceaccount.com" \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_NUMBER: מספר הפרויקט ב- Cloud de Confiance by S3NS .

הפעלת CMEK במופע של Agent Platform

מגדירים את encryption_spec.kms_key_name כשיוצרים את המופע של Gemini Enterprise Agent Platform. כל תבנית ארגז חול וכל ארגז חול שיוצרים תחתיה מקבלים בירושה את המפתח הזה.

Python SDK

import vertexai

client = vertexai.Client(project="PROJECT_ID", location="REGION",
                        http_options={"api_version": "v1beta1"})
agent_instance = client.agent_engines.create(
    config={
        "encryption_spec": {
            "kms_key_name":
                "projects/PROJECT_ID/locations/REGION/keyRings/sandbox-keyring/cryptoKeys/sandbox-key"
        }
    },
)

REST

באמצעות ה-API בארכיטקטורת REST, מגדירים את אותו הערך ב-reasoningEngines.encryptionSpec.kmsKeyName בעת היצירה:

curl -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  https://REGION-aiplatform.googleapis.com/v1beta1/projects/PROJECT_ID/locations/REGION/reasoningEngines \
  -d '{
    "display_name": "cmek-protected-engine",
    "encryption_spec": {
      "kms_key_name": "projects/PROJECT_ID/locations/REGION/keyRings/sandbox-keyring/cryptoKeys/sandbox-key"
    }
  }'

יצירת ארגז חול ואימות ההגדרה של CMEK

  1. יוצרים את תבנית הארגז ואת הארגז מתחת למופע של Gemini Enterprise Agent Platform שמוגן באמצעות CMEK.
  2. כדי לוודא שמופע Gemini Enterprise Agent Platform מדווח על המפתח שלכם ב-encryption_spec.kms_key_name, צריך לקבל את פרטי המופע.
  3. אפשר גם לבדוק את יומני הביקורת של Cloud Key Management Service כדי לוודא שפעולות ההצפנה והפענוח מתבצעות כשהארגזים מתחילים לפעול והתמונות נכתבות.

המאמרים הבאים