שימוש במפתחות הצפנה בניהול הלקוח (CMEK)

כברירת מחדל, ב-Colab Enterprise התוכן של הלקוחות מוצפן במנוחה. ‫Colab Enterprise מטפל בהצפנה בשבילכם בלי שתצטרכו לבצע פעולות נוספות. האפשרות הזו נקראת Google default encryption.

אם אתם רוצים לשלוט במפתחות ההצפנה, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים עם CMEK, כולל Colab Enterprise. שימוש במפתחות Cloud KMS מאפשר לכם לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בשימוש ובהרשאות הגישה, ובגבולות הקריפטוגרפיים. בנוסף, באמצעות Cloud KMS תוכלו לצפות ביומני ביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות ההצפנה (KEK) הסימטריים שמגנים על הנתונים שלכם ותנהל אותם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שמגדירים את המשאבים באמצעות CMEK, חוויית הגישה למשאבים של Colab Enterprise דומה לשימוש בהצפנה שמוגדרת כברירת מחדל ב-Google. מידע נוסף על אפשרויות ההצפנה זמין במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

במדריך הזה מוסבר איך להשתמש ב-CMEK ב-Colab Enterprise.

למידע נוסף על השימוש ב-CMEK ב-Gemini Enterprise Agent Platform, קראו את הדף בנושא CMEK ב-Agent Platform.

CMEK ל-Colab Enterprise

אפשר להשתמש ב-CMEK כדי להצפין את זמני הריצה של Colab Enterprise, את קובצי המחברות (notebooks) ואת הנתונים של Data Science Agent.

סביבות זמן ריצה

כשמריצים קוד ב-notebook של Colab Enterprise, סביבת זמן הריצה מריצה את הקוד במכונה וירטואלית (VM) אחת או יותר שמנוהלת על ידי Colab Enterprise. כשמפעילים CMEK בסביבות זמן הריצה של Colab Enterprise, המפתח שאתם מציינים, ולא מפתח שמנוהל על ידי Google, משמש להצפנת הנתונים במכונות הווירטואליות האלה. מפתח ה-CMEK מצפין את סוגי הנתונים הבאים:

  • עותק של הקוד במכונות הווירטואליות.
  • כל הנתונים שנטענים על ידי הקוד.
  • כל נתון זמני שנשמר בדיסק המקומי על ידי הקוד שלכם.

אתם יכולים להתחיל, להפסיק ולשדרג את זמן הריצה בלי להשפיע על ההצפנה שלו באמצעות CMEK.

באופן כללי, מפתח ה-CMEK לא מצפין מטא-נתונים שמשויכים לפעולה שלכם, כמו השם של זמן הריצה או השם והאזור של מחברת ה-notebook. המטא-נתונים האלה תמיד מוצפנים באמצעות מנגנון ההצפנה שמוגדר כברירת מחדל ב-Google.

קובצי Notebook

ה-notebooks של Colab Enterprise מאוחסנים במאגרים של Dataform. כשיוצרים notebook, ‏ Colab Enterprise יוצר באופן אוטומטי מאגר Dataform מוסתר שבו ה-notebook נשמר. מאחר שהמאגר מוסתר, אי אפשר לשנות את הגדרות ההצפנה שלו כמו במאגרי Dataform אחרים.

כדי להשתמש ב-CMEK במחברות, צריך להגדיר מפתח CMEK של Dataform כברירת מחדל עבור Google Cloud הפרויקט שיכיל את המחברות. אחרי שמגדירים מפתח CMEK כברירת מחדל ב-Dataform, המערכת מחילה את המפתח על כל המאגרים החדשים שנוצרו ב Google Cloud פרויקט, כולל מאגרים נסתרים שנוצרו לאחסון המחברות.

מפתח ה-CMEK שמוגדר כברירת מחדל ב-Dataform לא חל על מאגרי נתונים קיימים. לכן, אם כבר יש לכם מחברות בפרויקט הזה, הן לא יוצפנו באמצעות מפתח ה-CMEK שמוגדר כברירת מחדל ב-Dataform. כדי להשתמש ב-CMEK עם notebook שנוצר לפני שהגדרתם את מפתח ברירת המחדל של Dataform CMEK בפרויקט, אתם יכולים לשמור את קובץ ה-notebook כ-notebook חדש של Colab Enterprise.

מידע נוסף על מפתחות CMEK שמוגדרים כברירת מחדל ב-Dataform זמין במאמר שימוש במפתחות CMEK שמוגדרים כברירת מחדל ב-Dataform.

כדי להשתמש ב-CMEK ב-Notebooks, קראו את המאמר הגדרת מפתח CMEK שמשמש כברירת מחדל ב-Dataform.

Data Science Agent

הסוכן Data Science Agent משתמש באופן אוטומטי במפתח Cloud KMS שהוגדר בתבנית ברירת המחדל של זמן הריצה כדי להצפין נתונים של סשנים במצב לא פעיל, כמו היסטוריית שיחות. לא צריך להגדיר CMEK בנפרד ל-Data Science Agent.

שינויים מרכזיים והסרות ב-Data Science Agent

כשמשנים או מסירים את מפתח ה-CMEK בתבנית ברירת המחדל של זמן הריצה (או מוחקים תבנית ברירת מחדל של זמן הריצה שהוגדר לה CMEK), הגדרות ההצפנה מוחלות על Data Science Agent כשמתחילים סשן חדש. ההשפעה על הנתונים והסשן של Data Science Agent תלויה בסוג השינוי:

  • שינוי המפתח: הנתונים מהסשנים הקודמים נמחקים, והסשנים החדשים מוצפנים באמצעות המפתח המעודכן.
  • הסרת המפתח: הנתונים מסשנים קודמים נמחקים, ובסשנים הבאים נעשה שימוש בהצפנה שמוגדרת כברירת מחדל ב-Google (אלא אם יש הגבלה במדיניות הארגון).
  • המפתח לא זמין: אם מפתח Cloud KMS מושבת, נמחק או שההרשאות שלו בוטלו, Data Science Agent לא יכול לעבד בקשות עד שהגישה למפתח תשוחזר.
  • מדיניות הארגון: אם הארגון שלכם אוכף את האילוץ constraints/gcp.restrictNonCmekServices עבור aiplatform.googleapis.com, אתם צריכים להגדיר מפתח Cloud KMS בתבנית ברירת המחדל של סביבת זמן הריצה כדי להשתמש ב-Data Science Agent.

מפתחות נתמכים

‫Colab Enterprise תומך בסוגים הבאים של מפתחות CMEK:

הזמינות של המפתחות משתנה לפי סוג המפתח והאזור. מידע נוסף על הזמינות הגיאוגרפית של מפתחות CMEK מופיע במאמר מיקומים ב-Cloud KMS.

הגבלות ומגבלות

‫Colab Enterprise תומך ב-CMEK עם ההגבלות והמגבלות הבאות:

  • מכסת מפתחות הצפנה: מכסת ברירת המחדל בפלטפורמת הסוכנים היא מפתח הצפנה אחד לכל פרויקט ואזור. אם אתם צריכים לרשום יותר ממפתח אחד לאזור בפרויקט, פנו לצוות ניהול החשבון שלכם ב-Google כדי לבקש הגדלה של המכסה להגדרות אישיות של CMEK, וציינו את הסיבה לכך שאתם צריכים יותר ממפתח אחד.
  • הגדרת Data Science Agent: ל-Data Science Agent אין הגדרת CMEK נפרדת. הוא מקבל בירושה רק הגדרות CMEK מתבנית ברירת המחדל של זמן הריצה עבור הפרויקט והאזור שלכם. תבניות זמן ריצה בהתאמה אישית שהן לא ברירת המחדל לא חלות על Data Science Agent.
  • עדכונים בסשן של Data Science Agent: שינויים בהגדרות של CMEK בתבנית ברירת המחדל של זמן הריצה (כמו עדכון או הסרה של המפתח) נכנסים לתוקף כשמתחילים סשן חדש עם Data Science Agent. נתוני הסשן הקודם נמחקים והגדרת ההצפנה המעודכנת מופעלת בתחילת הסשן הבא.

מכסות Cloud KMS ו-Colab Enterprise

כשאתם משתמשים ב-CMEK ב-Colab Enterprise, הפרויקטים שלכם יכולים לצרוך מכסות של בקשות קריפטוגרפיות ב-Cloud KMS. פעולות הצפנה ופענוח באמצעות מפתחות CMEK משפיעות על המכסות של Cloud KMS רק אם משתמשים במפתחות חיצוניים (Cloud EKM). מידע נוסף זמין במאמר בנושא מכסות ב-Cloud KMS.

הגדרת CMEK לסביבות זמן הריצה

בקטעים הבאים מוסבר איך ליצור אוסף מפתחות ומפתח ב-Cloud Key Management Service, איך להעניק ל-Colab Enterprise הרשאות הצפנה ופענוח למפתח ואיך ליצור תבנית זמן ריצה שמוגדרת לשימוש ב-CMEK. כל סביבת זמן ריצה שנוצרת ב-Colab Enterprise מהתבנית הזו מוצפנת באמצעות CMEK.

לפני שמתחילים

במדריך הזה אנחנו מניחים שאתם משתמשים בשני פרויקטים נפרדים ב- Google Cloud כדי להגדיר CMEK לסביבות זמן ריצה של Colab Enterprise:

  • פרויקט לניהול מפתח ההצפנה (נקרא 'פרויקט Cloud KMS').
  • פרויקט לגישה למשאבים של Colab Enterprise ולשימוש במוצרים אחרים של Google Cloud שאתם צריכים (נקרא 'פרויקט Notebook').

ההגדרה המומלצת הזו תומכת בהפרדה בין תחומי אחריות.

לחלופין, אתם יכולים להשתמש בפרויקט אחד ב- Google Cloud לכל המדריך. כדי לעשות את זה, צריך להשתמש באותו פרויקט לכל המשימות הבאות שמתייחסות לפרויקט ב-Cloud KMS ולמשימות שמתייחסות לפרויקט ב-Notebook.

הגדרת הפרויקט ב-Cloud KMS

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Enable the Cloud KMS API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

הגדרת הפרויקט ב-Notebook

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Enable the Gemini Enterprise Agent Platform API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

הגדרת Google Cloud CLI

חלק מהשלבים במדריך הזה מחייבים שימוש ב-CLI של gcloud, ואחרים לא.

מתקינים את ה-CLI של Google Cloud ואז נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה: 

gcloud init

יצירה של אוסף מפתחות ומפתח

פועלים לפי המדריך ליצירת מפתחות סימטריים ב-Cloud KMS כדי ליצור אוסף מפתחות ומפתח. כשיוצרים את אוסף המפתחות, צריך לציין אזור שתומך בפעולות של Colab Enterprise בתור המיקום של אוסף המפתחות. ‫Colab Enterprise תומך ב-CMEK רק אם זמן הריצה (או Data Science Agent) והמפתח משתמשים באותו אזור. אסור לציין מיקום גלובלי, מיקום במספר אזורים או מיקום בשני אזורים עבור אוסף המפתחות.

חשוב ליצור את אוסף המפתחות והמפתח בפרויקט Cloud KMS.

מתן הרשאות ל-Colab Enterprise

כדי להשתמש ב-CMEK עבור המשאבים שלכם, אתם צריכים להעניק ל-Colab Enterprise הרשאה להצפין ולפענח נתונים באמצעות המפתח שלכם. ‫Colab Enterprise משתמש בסוכן שירות שמנוהל על ידי Google כדי להפעיל פעולות באמצעות המשאבים שלכם. חשבון השירות הזה מזוהה באמצעות כתובת אימייל בפורמט הבא: service-PROJECT_NUMBER@gcp-sa-aiplatform..

כדי למצוא את חשבון השירות המתאים לפרויקט Notebook, נכנסים לדף IAM במסוףGoogle Cloud ומוצאים את החבר שתואם לפורמט של כתובת האימייל הזו, עם מספר הפרויקט של פרויקט Notebook במקום המשתנה NOTEBOOK_PROJECT_NUMBER. לחשבון השירות יש גם את השם Vertex AI Service Agent.

מעבר לדף IAM

רושמים את כתובת האימייל של חשבון השירות הזה ומשתמשים בה בשלבים הבאים כדי לתת לו הרשאה להצפין ולפענח נתונים באמצעות המפתח. אפשר להעניק הרשאה באמצעות מסוף Google Cloud או באמצעות Google Cloud CLI:

מסוף Google Cloud

  1. במסוף Google Cloud , לוחצים על Security ובוחרים באפשרות Key Management. כך תועברו לדף מפתחות קריפטוגרפיים, שבו תוכלו לבחור את הפרויקט ב-Cloud KMS.

    כניסה לדף Cryptographic Keys

  2. לוחצים על השם של אוסף המפתחות שיצרתם בחלק הקודם של המדריך כדי לעבור לדף Key ring details.

  3. מסמנים את התיבה של המפתח שיצרתם בקטע הקודם של המדריך הזה. אם חלונית המידע עם השם של המפתח לא פתוחה, לוחצים על Show info panel.

  4. בחלונית המידע, לוחצים על הוספת חברים כדי לפתוח את תיבת הדו-שיח הוספת חברים לKEY_NAME. בתיבת הדו-שיח הזו: מבצעים את הפעולות הבאות:

    1. בתיבה New members, מזינים את כתובת האימייל של חשבון השירות שרשמתם בקטע הקודם: service-NOTEBOOK_PROJECT_NUMBER@gcp-sa-aiplatform.

    2. בתפריט הנפתח Select a role, לוחצים על Cloud KMS ואז בוחרים בתפקיד Cloud KMS CryptoKey Encrypter/Decrypter.

    3. לוחצים על Save.

gcloud

מריצים את הפקודה הבאה:

gcloud kms keys add-iam-policy-binding KEY_NAME \
  --keyring=KEY_RING_NAME \
  --location=REGION \
  --project=KMS_PROJECT_ID \
  --member=serviceAccount:service-NOTEBOOK_PROJECT_NUMBER@gcp-sa-aiplatform. \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

בפקודה הזו, מחליפים את הערכים של משתני המיקום הבאים:

  • ‫KEY_NAME: השם של המפתח שיצרתם בקטע הקודם של המדריך הזה.
  • ‫KEY_RING_NAME: אוסף המפתחות שיצרתם בחלק הקודם של המדריך הזה.
  • ‫REGION: האזור שבו יצרתם את אוסף המפתחות.
  • ‫KMS_PROJECT_ID: מזהה הפרויקט ב-Cloud KMS.
  • ‫NOTEBOOK_PROJECT_NUMBER: מספר הפרויקט של פרויקט Notebook, שרשמתם בקטע הקודם כחלק מכתובת האימייל של חשבון השירות.

הגדרת תבנית בזמן ריצה עם מפתח KMS

כשיוצרים משאב חדש שתומך ב-CMEK, אפשר לציין את המפתח כאחד מהפרמטרים של היצירה. כדי ליצור סביבת זמן ריצה ב-Colab Enterprise, יוצרים תבנית של סביבת זמן ריצה עם מפתח ה-CMEK שצוין כפרמטר. כל סביבת זמן ריצה שנוצרת ב-Colab Enterprise מתבנית סביבת זמן הריצה הזו משתמשת בהצפנת CMEK.

כדי ליצור תבנית בזמן ריצה באמצעות מסוף Google Cloud , מציינים את המפתח בתיבת הדו-שיח יצירת תבנית חדשה בזמן ריצה. מבצעים את הפעולות הבאות:

  1. במסוף Google Cloud , נכנסים לדף Runtime templates של Colab Enterprise.

    כניסה לדף Runtime templates

  2. לוחצים על  תבנית חדשה.

    מופיעה תיבת הדו-שיח Create new runtime template.

  3. בקטע Configure compute, באפשרות Encryption, בוחרים באפשרות Cloud KMS key.

  4. בשדה Key type, בוחרים באפשרות Cloud KMS, ואז בשדה הבא בוחרים את מפתח ההצפנה בניהול הלקוח.

  5. ממלאים את שאר הפרטים בתיבת הדו-שיח ליצירת מכונה ולוחצים על Create.

    תבנית זמן הריצה מופיעה ברשימה בכרטיסייה Runtime templates.

הגדרת CMEK לסוכן Data Science

כדי להפעיל את CMEK ב-Data Science Agent, צריך להגדיר את מפתח Cloud KMS בתבנית ברירת המחדל של סביבת זמן הריצה של הפרויקט והאזור. הסוכן Data Science מקבל בירושה את הגדרות ההצפנה רק מתבנית ברירת המחדל של זמן הריצה, ולא מתבניות מותאמות אישית שאינן ברירת המחדל.

כדי להגדיר CMEK ל-Data Science Agent, פועלים לפי השלבים במאמר הגדרת תבנית של סביבת זמן ריצה באמצעות מפתח KMS כשיוצרים או עורכים את תבנית ברירת המחדל של סביבת זמן הריצה באזור שלכם.

המאמרים הבאים