Clés de chiffrement gérées par le client

Par défaut, Agent Search chiffre le contenu client au repos. Agent Search gère le chiffrement sans intervention de votre part. Cette option est appelée chiffrement par défaut de Google.

Si vous souhaitez contrôler vos clés de chiffrement, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK) dans Cloud KMS avec des services bénéficiant d'une intégration des CMEK, y compris Agent Search. L'utilisation de clés Cloud KMS vous permet de contrôler leur niveau de protection, leur emplacement, leur calendrier de rotation, leurs autorisations d'utilisation et d'accès, ainsi que leurs limites cryptographiques. Grâce à Cloud KMS, vous pouvez également afficher les journaux d'audit et contrôler les cycles de vie des clés. Au lieu de laisser Google posséder et gérer les clés de chiffrement de clés (KEK) symétriques qui protègent vos données, c'est vous qui vous chargez de cette tâche dans Cloud KMS.

Une fois que vous avez configuré vos ressources avec des CMEK, l'accès à vos ressources Agent Search est semblable à celui du chiffrement par défaut de Google. Pour en savoir plus sur les options de chiffrement, consultez Clés de chiffrement gérées par le client (CMEK).

Lorsqu'une clé CMEK est enregistrée, Agent Search appelle régulièrement Cloud KMS pour conserver une instance de vos données isolée de manière logique. Cela se produit même si la configuration CMEK n'est pas définie par défaut et qu'aucune application ni aucun connecteur de données ne l'utilise. L'utilisation provient de la configuration et de l'exécution de l'instance, et non du volume de données ou du nombre d'utilisateurs qui y accèdent. Consultez les tarifs de Cloud Key Management Service.

Pour désactiver complètement l'utilisation de Cloud KMS, vous devez annuler l'enregistrement de votre clé Cloud KMS, désactiver la clé ou révoquer ses autorisations. La désactivation de l'API Agent Search ne supprime pas votre CmekConfig ni vos données, et l'utilisation de CMEK continue de vous être facturée.

Limites de Cloud KMS dans Agent Search

Les limites suivantes s'appliquent aux clés CMEK (Cloud KMS) dans Agent Search :

  • Les clés déjà appliquées à une application ou à un connecteur de données ne peuvent pas être modifiées, bien que les versions de clé puissent faire l'objet d'une rotation.
  • Vous devez utiliser des applications et des datastores multirégionaux aux États-Unis ou dans l'UE (et non des applications et des datastores mondiaux). Pour en savoir plus sur les emplacements multirégionaux et la résidence des données, y compris les limites associées à l'utilisation d'emplacements non globaux, consultez Emplacements.

  • Si vous devez enregistrer plusieurs clés pour un projet, contactez l'équipe de votre compte Google pour demander une augmentation de quota pour les configurations CMEK, en justifiant pourquoi vous avez besoin de plusieurs clés.

    Les limites suivantes s'appliquent à EKM ou HSM avec CMEK :

    • Votre quota EKM et HSM pour les appels de chiffrement et de déchiffrement doit disposer d'une marge d'au moins 1 000 RPM. Pour savoir comment vérifier vos quotas, consultez Vérifier vos quotas Cloud KMS.

    • Si vous utilisez EKM, la clé doit être accessible pendant plus de 90 % de toute période de plus de 30 secondes. Si la clé n'est pas accessible pendant cette période, cela peut avoir un impact négatif sur l'indexation et l'actualisation de la recherche.

    • En cas de problèmes de facturation, de dépassement de quota persistant ou d'indisponibilité persistante pendant plus de 12 heures, le service désactive automatiquement la ressource CmekConfig associée à la clé EKM ou HSM.

  • Les applications ou les connecteurs de données créés avant l'enregistrement d'une clé dans le projet ne peuvent pas être protégés par cette clé.
  • Pour les applications comportant plusieurs connecteurs de données, si l'un d'eux utilise une configuration CMEK, tous les autres connecteurs de données doivent également utiliser la même configuration CMEK.

À propos des clés à région unique pour les connecteurs tiers

Si vous utilisez des connecteurs tiers et que vous souhaitez utiliser vos propres clés pour protéger les données connectées, vous devez créer trois clés à région unique supplémentaires en plus de la clé multirégionale. Les commandes permettant de créer des clés sont indiquées dans la procédure suivante, Enregistrer votre clé Cloud KMS.

Les clés uniques doivent être créées pour les régions suivantes :

Multirégional Emplacements régionaux
eu europe-west1 europe-west4 europe-north1
us us-east1 us-central1 us-west1

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Créez une clé Cloud KMS symétrique multirégionale. Consultez Créer un trousseau de clés et Créer une clé dans la documentation Cloud KMS.

    • Définissez la période de rotation sur Jamais (rotation manuelle).

    • Pour Emplacement, sélectionnez Multirégional, puis europe ou us dans le menu déroulant.

  • Le rôle IAM de chiffreur/déchiffreur de CryptoKeys (roles/cloudkms.cryptoKeyEncrypterDecrypter) sur la clé a été attribué à l'agent de service Discovery Engine. Le compte de l'agent de service possède une adresse e-mail au format suivant : service-PROJECT_NUMBER@gcp-sa-discoveryengine.iam.. Pour obtenir des instructions générales sur l'ajout d'un rôle à un agent de service, consultez Attribuer ou révoquer un rôle unique.

  • Le rôle IAM "Chiffreur/Déchiffreur de CryptoKeys" (roles/cloudkms.cryptoKeyEncrypterDecrypter) sur la clé a été attribué à l'agent de service Cloud Storage. Si ce rôle n'est pas accordé, l'importation de données pour les datastores protégés par CMEK échouera, car Discovery Engine ne pourra pas créer le bucket et le répertoire temporaires protégés par CMEK requis pour l'importation.

  • Ne créez pas d'applications ni de connecteurs de données que vous souhaitez gérer avec votre clé tant que vous n'avez pas suivi les instructions d'enregistrement de la clé sur cette page.

Enregistrer votre clé Cloud KMS

Pour chiffrer des données à l'aide de CMEK, vous devez enregistrer votre clé multirégionale. Si vos données nécessitent des clés à région unique, par exemple lorsque vous utilisez des connecteurs tiers, vous devez également enregistrer vos clés à région unique.

Avant de commencer

Assurez-vous que :

  • La région n'est pas déjà protégée par une clé. La procédure ci-dessous échoue si une clé est déjà enregistrée pour la région via la commande REST. Pour déterminer s'il existe une clé active dans Agent Search pour un emplacement, consultez Afficher les clés Cloud KMS.

Procédure

REST

Pour enregistrer votre propre clé pour Agent Search, procédez comme suit :

  1. Appelez la méthode UpdateCmekConfig avec la clé que vous souhaitez enregistrer.

    curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"

    Remplacez les éléments suivants :

    • KMS_PROJECT_ID : ID du projet contenant la clé. Le numéro de projet ne fonctionnera pas.
    • KMS_LOCATION : emplacement multirégional de votre clé : us ou europe.
    • KEY_RING : nom du trousseau de clés qui contient la clé.
    • KEY_NAME : nom de la clé.
    • PROJECT_ID : ID de votre projet contenant l'application ou le connecteur de données.
    • LOCATION : emplacement multirégional de votre application ou de votre connecteur de données : us ou eu.
    • CMEK_CONFIG_ID : définissez un identifiant unique pour la ressource CmekConfig, par exemple default_cmek_config.

    • SET_DEFAULT : définissez cette option sur true pour utiliser la clé comme clé par défaut pour les applications et les connecteurs de données créés ultérieurement dans l'emplacement multirégional.

  2. Vérifiez que votre clé est prête à être utilisée avant de créer des applications ou des connecteurs de données. Une clé enregistrée ne peut pas protéger les ressources tant qu'elle n'est pas prête. L'enregistrement d'une clé prend généralement quelques minutes. Consultez Vérifier que votre clé Cloud KMS est prête à être utilisée.

    Pour suivre l'opération d'enregistrement, vous pouvez enregistrer la valeur name renvoyée par la méthode et suivre les instructions de la section Obtenir des détails sur une opération de longue durée.

    Une fois la clé prête, les nouvelles applications et les nouveaux connecteurs de données de cet emplacement multirégional sont protégés par la clé. Pour obtenir des informations générales sur la création d'applications, consultez À propos des applications et des datastores.

  3. Créez l'application. Pour obtenir des liens vers les instructions de création de différentes applications, consultez À propos des applications et des datastores.

Console

Procédure

Pour enregistrer votre propre clé pour Agent Search, procédez comme suit :

  1. Dans la console Google Cloud , accédez à la page Applications d'IA.

    AI Applications

  2. Cliquez sur Paramètres, puis sélectionnez l'onglet CMEK.

  3. Cliquez sur Ajouter une clé pour l'emplacement us ou eu.

    Cliquez sur "Ajouter une clé" pour un emplacement.
    Cliquez sur "Ajouter une clé".

    1. Cliquez sur le menu déroulant Sélectionner une clé Cloud KMS, puis sélectionnez la clé.

      • Si la clé se trouve dans un autre projet, cliquez sur Changer de projet, cliquez sur le nom de votre projet, saisissez le nom de la clé que vous avez créée, puis sélectionnez-la.

      • Si vous connaissez le nom de ressource de la clé, cliquez sur Saisir manuellement, collez le nom de ressource de la clé, puis cliquez sur Enregistrer.

    2. Cliquez sur OK > Enregistrer.

  4. Vérifiez que votre clé est prête à être utilisée avant de créer des applications ou des connecteurs de données. Une clé enregistrée ne peut pas protéger les ressources tant qu'elle n'est pas prête. Consultez Vérifier que votre clé Cloud KMS est prête à être utilisée.

  5. Créez l'application. Pour obtenir des liens vers les instructions de création de différentes applications, consultez À propos des applications et des datastores.

Cette action enregistre votre clé en créant une ressource CmekResource appelée default_cmek_config.

L'affichage des données ingérées dans les résultats de recherche peut prendre plusieurs heures.

Afficher les clés Cloud KMS

Pour afficher une clé enregistrée pour la recherche d'agent, effectuez l'une des opérations suivantes :

  • Si vous disposez du nom de la ressource CmekConfig, appelez la méthode GetCmekConfig :

    curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"

    Remplacez les éléments suivants :

    • LOCATION : emplacement multirégional de votre application ou de votre connecteur de données : us ou eu.
    • PROJECT_ID : ID du projet contenant les données.
    • CMEK_CONFIG_ID : ID de la ressource CmekConfig. Si vous avez enregistré votre clé à l'aide de la console, l'ID est default_cmek_config.

    Voici un exemple d'appel et de réponse curl : 

    $ curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"

    
{
  "name":
  "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
  "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
  "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
  "state": "ACTIVE",
  "isDefault": true,
  "lastRotationTimestampMicros": "1788220800000000"
}

  • Si vous ne disposez pas du nom de la ressource CmekConfig, appelez la méthode ListCmekConfigs :

    curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"

    Remplacez les éléments suivants :

    • LOCATION : emplacement multirégional de votre application ou de votre connecteur de données : us ou eu.
    • PROJECT_ID : ID du projet contenant les données.

    Voici un exemple d'appel et de réponse curl : 

    $ curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs"

    
{
  "cmek_configs": [
    {
      "name":
      "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
      "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
      "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
      "state": "ACTIVE",
      "isDefault": true,
      "lastRotationTimestampMicros": "1788220800000000"
    }
  ]
}

Vérifier que votre clé Cloud KMS est prête à être utilisée

Après avoir enregistré une clé, vous devez vérifier qu'elle est prête à être utilisée avant qu'elle ne puisse protéger des ressources :

  1. Affichez vos clés Cloud KMS enregistrées. Consultez Afficher les clés Cloud KMS.

  2. Examinez le résultat de la commande. La ressource CmekConfig est prête à être utilisée si toutes les valeurs suivantes figurent dans le résultat :

    • "state": "ACTIVE"
    • "isDefault": true

    Si la valeur est "isDefault": true, la clé est automatiquement appliquée pour protéger les nouvelles applications et les nouveaux connecteurs de données.

Vous pouvez également vérifier qu'une configuration CMEK par défaut est définie (c'est-à-dire "isDefault": true) à l'aide de la console Google Cloud  :

  1. Dans la console Google Cloud , accédez à la page Applications d'IA.

  2. Cliquez sur Paramètres, puis sélectionnez l'onglet CMEK.

  3. Vérifiez que l'état de configuration de votre emplacement affiche votre clé enregistrée.

Annuler l'enregistrement de votre clé Cloud KMS

Pour annuler l'enregistrement de votre clé dans Agent Search, procédez comme suit :

  1. Appelez la méthode DeleteCmekConfig avec le nom de la ressource CmekConfig dont vous souhaitez annuler l'enregistrement.

    curl -X DELETE \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"

    Remplacez les éléments suivants :

    • LOCATION : emplacement multirégional de votre application ou de votre connecteur de données : us ou eu.
    • PROJECT_ID : ID de votre projet contenant l'application ou le connecteur de données.
    • CMEK_CONFIG_ID : ID de la ressource CmekConfig. Si vous avez enregistré votre clé à l'aide de la console, l'ID est default_cmek_config.

    Voici un exemple d'appel et de réponse curl : 

    $ curl -X DELETE
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
 
{
 "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
 "metadata": {
  "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
 }
}

  2. Facultatif : Enregistrez la valeur name renvoyée par la méthode et suivez les instructions de la section Obtenir des détails sur une opération de longue durée pour savoir quand l'opération est terminée.

    La suppression d'une ressource CmekConfig est une opération de longue durée qui peut prendre jusqu'à quelques jours. En effet, les ressources chiffrées sous-jacentes sont entièrement déprovisionnées avant la suppression de la ressource CmekConfig.

Vérifier qu'une application ou un connecteur de données est protégé par une clé

Les applications et les connecteurs de données créés après l'enregistrement de votre clé sont protégés par celle-ci. Si vous souhaitez confirmer qu'une application ou un connecteur de données spécifique est protégé par votre clé, procédez comme suit :

Vérifier à l'aide de la console Google Cloud

  1. Pour vérifier si un connecteur de données est protégé par une clé :

    1. Dans la console Google Cloud , accédez à la page Applications d'IA.

    2. Cliquez sur Datastores, puis sélectionnez votre connecteur de données.

    3. Vérifiez que le champ Clé KMS affiche votre clé enregistrée.

Vérifier à l'aide de la CLI/l'API

  1. Pour vérifier un data store :

    curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "x-goog-user-project: PROJECT_ID" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID"

    Remplacez les éléments suivants :

    • LOCATION : emplacement multirégional de votre projet (us ou eu).
    • PROJECT_ID : ID du projet contenant l'application ou le connecteur de données.
    • DATA_STORE_ID : ID du data store associé à votre application ou à votre connecteur de données.

    Voici un exemple d'appel curl : 

    curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-H "x-goog-user-project: my-ai-app-project-123"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/dataStores/my-data-store-1"

  2. Pour valider une application :

    curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "x-goog-user-project: PROJECT_ID" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/ENGINE_ID"

    Remplacez les éléments suivants :

    • LOCATION : emplacement multirégional de votre projet (us ou eu).
    • PROJECT_ID : ID du projet contenant l'application.
    • ENGINE_ID : ID de votre application.

    Voici un exemple d'appel curl : 

    curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-H "x-goog-user-project: my-ai-app-project-123"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/engines/my-app"

  3. Examinez le résultat de la commande : si le champ cmekConfig figure dans le résultat et que le champ kmsKey affiche la clé que vous avez enregistrée, l'application ou le connecteur de données est protégé par la clé.

    Voici un exemple de réponse pour un data store :

    {
 "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1",
 "displayName": "my-data-store-1",
 "industryVertical": "GENERIC",
 "createTime": "2023-09-05T21:20:21.520552Z",
 "solutionTypes": [
   "SOLUTION_TYPE_SEARCH"
 ],
 "defaultSchemaId": "default_schema",
 "cmekConfig": {
   "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
   "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
 }
}

    Voici un exemple de réponse pour une application :

    {
  "name": "projects/969795412903/locations/us/collections/default_collection/engines/my-app",
  "displayName": "my-app",
  "dataStoreIds": [
    "my-data-store-1"
  ],
  "solutionType": "SOLUTION_TYPE_SEARCH",
  "searchEngineConfig": {
    "searchTier": "SEARCH_TIER_STANDARD"
  },
  "industryVertical": "GENERIC",
  "appType": "APP_TYPE_INTRANET",
  "cmekConfig": {
   "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
   "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
 }
}

Autres données protégées par la clé Cloud KMS

En plus des données des applications et des connecteurs de données, vos clés peuvent protéger d'autres types d'informations de base appartenant à l'application et détenues par Agent Search, comme les données de session générées lors d'une recherche avec suivi. Ce type d'informations de base est protégé par CMEK si les applications et les connecteurs de données sont protégés par CMEK.

Bien que vous ne puissiez pas exécuter de commande spécifique pour vérifier que les sessions sont protégées, vous pouvez vérifier si l'application est protégée. Exécutez la commande Vérifier qu'une application ou un connecteur de données est protégé par une clé pour que l'application voie la clé dans la ressource cmekConfig. Vous saurez alors que les données de session sont protégées.

Effectuer une rotation des clés Cloud KMS

Vous ne pouvez pas modifier la clé qui protège une application ou un connecteur de données existants, mais vous pouvez effectuer une rotation de cette clé vers une nouvelle version. Lorsque vous définissez une nouvelle version d'une clé enregistrée comme version principale, Agent Search détecte la modification et rechiffre automatiquement vos données avec la nouvelle version de la clé. Vous n'avez pas besoin d'appeler une méthode Agent Search pour démarrer une rotation.

Pour obtenir des informations générales sur la rotation des clés, consultez Rotation des clés dans le guide Cloud KMS.

Important : Ne procédez pas à la rotation des clés sur les applications ou les connecteurs de données associés à des recommandations ou à des applications nécessitant des analyses, et ne procédez pas à la rotation des clés d'une seule région utilisées pour les connecteurs tiers. Consultez Limites de Cloud KMS dans Agent Search.

Pour effectuer la rotation d'une clé, procédez comme suit :

  1. Créez une version de clé et définissez-la comme version principale. Pour obtenir des instructions, consultez Effectuer la rotation d'une clé dans le guide Cloud KMS.

    Laissez la version de clé précédente activée. Le rechiffrement démarre automatiquement après que l'agent de recherche a détecté la nouvelle version principale.

  2. Vérifiez qu'Agent Search a détecté la nouvelle version de la clé. Pour afficher votre CmekConfig, consultez Afficher les clés Cloud KMS. Vérifiez les champs suivants dans le résultat :

    • kmsKeyVersion affiche la nouvelle version de la clé.
    • state est ACTIVE.
    • lastRotationTimestampMicros indique quand la rotation a commencé.

  3. Laissez la version de clé précédente activée pendant au moins 30 jours après que kmsKeyVersion affiche la nouvelle version de clé.

  4. Désactivez la version de clé précédente et assurez-vous que tout fonctionne comme avant. Consultez Activer et désactiver des versions de clé dans le guide Cloud KMS.

  5. Lorsque vous êtes certain que la désactivation de la version de clé précédente n'a pas causé de problèmes, détruisez-la. Consultez Détruire et restaurer des versions de clé dans le guide Cloud KMS.

Si une clé Cloud KMS est désactivée ou révoquée

Si une clé est désactivée ou si les autorisations associées sont révoquées, l'application ou le connecteur de données cesse d'ingérer et de diffuser des données dans un délai de 15 minutes. Vous pouvez réactiver votre clé dans un délai de 30 jours pour reprendre les opérations avant l'expiration de la configuration CMEK et la suppression définitive des données associées. Cependant, la réactivation d'une clé ou la restauration des autorisations prend beaucoup de temps. Un délai de 24 heures peut être nécessaire avant que l'application ou le connecteur de données ne puisse reprendre la diffusion des données.

Par conséquent, ne désactivez une clé que si cela est nécessaire. La désactivation et l'activation d'une clé sur une application ou un connecteur de données sont des opérations chronophages. Par exemple, si vous activez et désactivez une clé à plusieurs reprises, l'application ou le connecteur de données mettra beaucoup de temps à atteindre un état protégé. La désactivation d'une clé et sa réactivation immédiate peuvent entraîner plusieurs jours d'indisponibilité, car la clé est d'abord désactivée de l'application ou du connecteur de données, puis réactivée.

Résoudre les problèmes : erreur "Projets de clé KMS introuvables"

Symptôme : Lorsque vous essayez de créer une application ou un connecteur de données à l'aide d'une clé KMS, vous recevez une erreur semblable à celle-ci :

KMS key projects/[...] not found for location: [...] and project number: [...]

Problème : ce message d'erreur peut être trompeur. Cela ne signifie pas nécessairement que la clé n'existe pas. Cela peut plutôt indiquer que la clé KMS n'a pas été enregistrée pour être utilisée avec Agent Search à l'emplacement spécifié.

Solution : pour résoudre ce problème, enregistrez votre clé en suivant la procédure décrite dans Enregistrer votre clé Cloud KMS. Une fois l'enregistrement terminé, vous pouvez créer des applications ou des connecteurs de données protégés par cette clé.