注意：Vertex AI Search 即将更名为 Agent Search。我们正在更新内容，以反映新品牌。

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

מפתחות הצפנה בניהול הלקוח

כברירת מחדל, Agent Search מצפין את תוכן הלקוחות במצב מנוחה. ההצפנה מתבצעת באופן אוטומטי, בלי שתצטרכו לעשות שום דבר. האפשרות הזו נקראת הצפנת ברירת המחדל של Google.

אם אתם רוצים לשלוט במפתחות ההצפנה, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים ב-CMEK, כולל Agent Search. כשמשתמשים במפתחות של Cloud KMS, אפשר לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בהרשאות השימוש והגישה ובגבולות הקריפטוגרפיים שלהם. באמצעות Cloud KMS אפשר גם לראות יומני ביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות ההצפנה (KEK) הסימטריים שמגינים על הנתונים שלכם ותנהל אותם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שתגדירו את המשאבים עם מפתחות CMEK, חוויית הגישה למשאבים של "חיפוש מבוסס סוכנים" תהיה דומה לשימוש בהצפנת ברירת המחדל של Google. מידע נוסף על אפשרויות ההצפנה מופיע במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

כשרושמים מפתח CMEK, חיפוש מבוסס סוכנים קורא ל-Cloud KMS מדי פעם כדי לשמור על מכונה מבודדת מבחינה לוגית של הנתונים שלכם. זה קורה גם אם הגדרת ה-CMEK לא מוגדרת כברירת מחדל ואין אפליקציות או מחברי נתונים שמשתמשים בה. השימוש נובע מההגדרה ומההפעלה של המכונה, ולא מנפח הנתונים או ממספר המשתמשים שניגשים אליה. ראו המחירון של Cloud Key Management Service.

כדי להפסיק לחלוטין את השימוש ב-Cloud KMS, צריך לבטל את הרישום של מפתח Cloud KMS, להשבית את המפתח או לבטל את ההרשאות שלו. השבתת Agent Search API לא מוחקת את CmekConfig או את הנתונים שלכם, ואתם ממשיכים להיות מחויבים על השימוש ב-CMEK.

המגבלות של Cloud KMS ב-Agent Search

המגבלות הבאות חלות על מפתחות CMEK ‏ (Cloud KMS) ב-Agent Search:

אי אפשר לשנות מפתחות שכבר הוחלו על אפליקציה או על מחבר נתונים, אבל אפשר להחליף גרסאות של מפתחות.

הגנת CMEK עם "חיפוש מבוסס סוכנים" לא משולבת עם חיפוש במאגר משאבי ענן.

צריך להשתמש באפליקציות ובמאגרי נתונים במספר אזורים בארה"ב או באיחוד האירופי (לא גלובליים). מידע נוסף על מספר אזורים ומיקום אחסון הנתונים, כולל מגבלות שקשורות לשימוש במיקומים לא גלובליים, זמין במאמר מיקומים.

אם אתם צריכים לרשום יותר ממפתח אחד לפרויקט, פנו לצוות התמיכה של חשבון Google כדי לבקש הגדלה של המכסה להגדרות CMEK, וציינו את הסיבה לכך שאתם צריכים יותר ממפתח אחד.

המגבלות הבאות חלות על EKM או HSM עם CMEK:
- המכסה של EKM ו-HSM לקריאות הצפנה ופענוח צריכה להיות לפחות 1,000 QPM של מרווח. במאמר בדיקת המכסות של Cloud KMS מוסבר איך בודקים את המכסות.
- אם משתמשים ב-EKM, המפתח צריך להיות נגיש במשך יותר מ-90% מכל חלון זמן שארוך מ-30 שניות. אם המפתח לא נגיש במשך פרק הזמן הזה, יכולה להיות לכך השפעה שלילית על ההוספה לאינדקס ועל עדכניות החיפוש.
- אם יש בעיות בחיוב, בעיות מתמשכות של חריגה מהמכסה או בעיות מתמשכות של חוסר נגישות במשך יותר מ-12 שעות, השירות משבית באופן אוטומטי את ה-CmekConfig שמשויך למפתח EKM או HSM.

אי אפשר להגן באמצעות המפתח על אפליקציות או מחברי נתונים שנוצרו לפני שהמפתח נרשם בפרויקט.

אי אפשר לכוונן מודלים של חיפוש באפליקציות ובמחברי נתונים שמוגנים באמצעות מפתחות.

באפליקציות עם כמה מחברי נתונים, אם אחד ממחברי הנתונים משתמש בהגדרת CMEK, כל שאר מחברי הנתונים חייבים להשתמש באותה הגדרת CMEK.

כדי להשתמש ב"חיפוש מבוסס סוכנים", צריך את מהדורת Enterprise. מידע נוסף על מהדורת Enterprise זמין במאמר מידע על תכונות מתקדמות.
מחברים של צד ראשון לא תואמים ל-CMEK, חוץ מאפליקציות ומחברי נתונים "לייבוא חד-פעמי" ו "תקופתיים" ל-BigQuery ול-Cloud Storage.
אפליקציות לחיפוש בתחום הבריאות, מחברי נתונים ומחברים של צד שלישי תואמים ל-CMEK. מידע כללי על אפליקציות ומחברי נתונים בתחום הבריאות מופיע במאמר יצירת אפליקציית חיפוש או מחבר נתונים בתחום הבריאות. במאמר מידע על מפתחות לאזור יחיד למחברים של צד שלישי מוסבר איך להפוך מחברים של צד שלישי לתואמים ל-CMEK.
המפתחות לא חלים על ממשקי ה-API הבאים של RAG, כי הם לא מאחסנים תוכן במנוחה: בדיקת ביסוס, יצירה מבוססת-קרקע ודירוג.

אתם יכולים להשתמש ב-Terraform כדי להגדיר CMEK לחיפוש מבוסס סוכנים. אפשר לעיין במאמר google_discovery_engine_cmek_config.

מידע על מפתחות לאזור יחיד למחברים של צד שלישי

אם אתם משתמשים במחברים של צד שלישי ורוצים להשתמש במפתחות משלכם כדי להגן על הנתונים המקושרים, אתם צריכים ליצור שלושה מפתחות משלימים לאזור יחיד בנוסף למפתח למספר אזורים. הפקודות ליצירת מפתחות מפורטות בתהליך הבא, רישום מפתח Cloud KMS.

צריך ליצור את המפתחות הבודדים לאזורים הבאים:

במספר אזורים	אזור יחיד
`eu`	`europe-west1`	`europe-west4`	`europe-north1`
`us`	`us-east1`	`us-central1`	`us-west1`

לפני שמתחילים

חשוב לוודא שאתם עומדים בדרישות המוקדמות הבאות:

יוצרים מפתח סימטרי של Cloud KMS במספר אזורים. אפשר לקרוא מידע נוסף במאמרים יצירת אוסף מפתחות ויצירת מפתח במסמכי התיעוד של Cloud KMS.
- מגדירים את תקופת הרוטציה ל-Never (Manual rotation).
- בשדה Location, בוחרים באפשרות Multi-region, ובתפריט הנפתח בוחרים באפשרות europe או us.

תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Discovery Engine. כתובת האימייל של חשבון סוכן השירות היא בפורמט הבא: service-PROJECT_NUMBER@gcp-sa-discoveryengine.iam.. במאמר הקצאה או ביטול של תפקיד יחיד מוסבר איך מקצים תפקיד לסוכן שירות.
תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Cloud Storage. אם לא תקצו את התפקיד הזה, ייבוא הנתונים למאגרי נתונים שמוגנים באמצעות CMEK ייכשל, כי Discovery Engine לא יוכל ליצור את הקטגוריה והספרייה הזמניות שמוגנות באמצעות CMEK ונדרשות לייבוא.
אל תיצרו אפליקציות או מחברי נתונים שאתם רוצים לנהל באמצעות המפתח, עד שתשלימו את ההוראות לרישום המפתח שמופיעות בדף הזה.

התכונות של מהדורת Enterprise מופעלות באפליקציה. אפשר לעיין במאמר הפעלה או השבתה של מהדורת Enterprise.

רישום מפתח Cloud KMS

כדי להצפין נתונים באמצעות CMEK, צריך לרשום את המפתח במספר אזורים. אם הנתונים שלכם צריכים מפתחות לאזור יחיד, למשל כשמשתמשים במחברים של צד שלישי, אתם צריכים לרשום גם את המפתחות לאזור יחיד.

לפני שמתחילים

חשוב לוודא ש:

האזור לא מוגן כבר באמצעות מפתח. התהליך הבא ייכשל אם כבר רשום מפתח לאזור באמצעות פקודת ה-REST. כדי לבדוק אם יש מפתח פעיל בחיפוש מבוסס סוכנים למיקום מסוים, ראו הצגת מפתחות Cloud KMS.

יש לכם את התפקיד אדמין ב-Discovery Engine (roles/discoveryengine.admin).

התהליך

REST

כדי לרשום מפתח משלכם לחיפוש מבוסס סוכנים:

מפעילים את השיטה UpdateCmekConfig עם המפתח שרוצים לרשום.
```
curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫KMS_PROJECT_ID: מזהה הפרויקט שמכיל את המפתח. מספר הפרויקט לא יעבוד.
- KMS_LOCATION: מספר האזורים של המפתח: us או europe.
- ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
- ‫KEY_NAME: השם של המפתח.
- ‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
- ‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: us או eu.
- ‫CMEK_CONFIG_ID: מגדירים מזהה ייחודי למשאב CmekConfig, לדוגמה default_cmek_config.
- ‫SET_DEFAULT: מגדירים את הערך true כדי להשתמש במפתח כמפתח ברירת המחדל לאפליקציות ולמחברי נתונים שייווצרו בהמשך במספר האזורים.
  
  חשוב: צריך את SET_DEFAULT כדי להחיל באופן אוטומטי את CmekConfig על משאבים עוקבים.
דוגמה לפקודה ולתוצאה
```
$ curl -X PATCH
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"

{
 "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
 "metadata": {
  "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
 }
}
```
לפני שיוצרים אפליקציות או מחברי נתונים, צריך לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על משאבים עד שהוא מוכן. בדרך כלל, רישום מפתח נמשך כמה דקות. איך מוודאים שמפתח Cloud KMS מוכן לשימוש

כדי לעקוב אחרי פעולת הרישום, אתם יכולים לתעד את הערך של name שהוחזר על ידי ה-method, ולפעול לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת.

אחרי שהמפתח מוכן, אפליקציות ומחברי נתונים חדשים באותו אזור מוגנים על ידי המפתח. מידע כללי על יצירת אפליקציות זמין במאמר מידע על אפליקציות ומאגרי נתונים.
יוצרים את האפליקציה. בקישורים שבמאמר מידע על אפליקציות ומאגרי נתונים מוסבר איך יוצרים אפליקציות שונות.

המסוף

התהליך

כדי לרשום מפתח משלכם לחיפוש מבוסס סוכנים:

נכנסים לדף AI Applications במסוף Google Cloud .

אפליקציות AI
לוחצים על Settings ובוחרים בכרטיסייה CMEK.
לוחצים על Add key במיקום us או eu.

לוחצים על "הוספת מפתח".
1. לוחצים על התפריט הנפתח Select a Cloud KMS key ובוחרים את המפתח.
  - אם המפתח נמצא בפרויקט אחר, לוחצים על Switch project, לוחצים על שם הפרויקט, מקלידים את שם המפתח שיצרתם ובוחרים את המפתח.
  - אם אתם יודעים את שם המשאב של המפתח, לוחצים על Enter manually, מדביקים את שם המשאב של המפתח ולוחצים על Save.
2. לוחצים על אישור > שמירה.
לפני שיוצרים אפליקציות או מחברי נתונים, צריך לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על משאבים עד שהוא מוכן. איך מוודאים שהמפתח של Cloud KMS מוכן לשימוש
יוצרים את האפליקציה. במאמר מידע על אפליקציות ומאגרי נתונים יש קישורים להוראות ליצירת אפליקציות שונות.

הפעולה הזו רושמת את המפתח ויוצרת CmekResource בשם default_cmek_config.

יכול להיות שיעברו כמה שעות עד שהנתונים שהוטמעו יופיעו בתוצאות החיפוש.

הצגת מפתחות Cloud KMS

כדי לראות מפתח רשום לחיפוש מבוסס סוכנים, מבצעים אחת מהפעולות הבאות:

אם יש לכם את שם המשאב CmekConfig, אתם יכולים להפעיל את ה-method‏ GetCmekConfig:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"

מחליפים את מה שכתוב בשדות הבאים:

‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את הנתונים.
‫CMEK_CONFIG_ID: המזהה של המשאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

דוגמה לקריאה ולתגובה של curl:

$ curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"

{
  "name":
  "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
  "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
  "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
  "state": "ACTIVE",
  "isDefault": true,
  "lastRotationTimestampMicros": "1788220800000000"
}

אם אין לכם את שם המשאב של CmekConfig, הפעילו את ה-method‏ ListCmekConfigs:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"

מחליפים את מה שכתוב בשדות הבאים:

‫LOCATION: האזור של האפליקציה או של מחבר הנתונים: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את הנתונים.

דוגמה לקריאה ולתגובה של curl:

$ curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs"

{
  "cmek_configs": [
    {
      "name":
      "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
      "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
      "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
      "state": "ACTIVE",
      "isDefault": true,
      "lastRotationTimestampMicros": "1788220800000000"
    }
  ]
}

איך מוודאים שמפתח Cloud KMS מוכן לשימוש

אחרי שרושמים מפתח, צריך לוודא שהוא מוכן לשימוש לפני שאפשר להגן באמצעותו על משאבים:

לראות את מפתחות Cloud KMS שרשומים. איך רואים את המפתחות של Cloud KMS?
בודקים את הפלט של הפקודה. ה-CmekConfig מוכן לשימוש אם כל הערכים הבאים מופיעים בפלט:
- "state": "ACTIVE"
- "isDefault": true
אם הערך הוא "isDefault": true, המפתח מוחל באופן אוטומטי כדי להגן על אפליקציות ומחברי נתונים חדשים.

אפשר גם לבדוק אם מוגדרת הגדרת ברירת מחדל של CMEK (כלומר, "isDefault": true) באמצעות מסוף Google Cloud :

נכנסים לדף AI Applications במסוף Google Cloud .
לוחצים על Settings ובוחרים בכרטיסייה CMEK.
מוודאים שבסטטוס ההגדרה של המיקום מוצג המפתח הרשום.

ביטול הרישום של מפתח Cloud KMS

כדי לבטל את הרישום של המפתח ב-Agent Search:

מפעילים את השיטה DeleteCmekConfig עם שם המשאב של CmekConfig שרוצים לבטל את הרישום שלו.

curl -X DELETE \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"

מחליפים את מה שכתוב בשדות הבאים:

‫LOCATION: האזור של האפליקציה או של מחבר הנתונים: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
‫CMEK_CONFIG_ID: המזהה של המשאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

דוגמה לקריאה ולתגובה של curl:

$ curl -X DELETE
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
 
{
 "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
 "metadata": {
  "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
 }
}

אופציונלי: מתעדים את הערך של name שהוחזר על ידי ה-method, ופועלים לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת כדי לראות מתי הפעולה הושלמה.

מחיקת CmekConfig היא פעולה ממושכת שיכולה להימשך עד כמה ימים. הסיבה לכך היא שההקצאה של המשאבים המוצפנים הבסיסיים מבוטלת לחלוטין לפני שההגדרה CmekConfig מוסרת.

איך מוודאים שאפליקציה או מחבר נתונים מוגנים באמצעות מפתח

אפליקציות ומחברי נתונים שנוצרים אחרי רישום המפתח מוגנים על ידי המפתח. כדי לוודא שאפליקציה או מחבר נתונים מסוימים מוגנים באמצעות המפתח שלכם, בצעו את השלבים הבאים:

אימות באמצעות מסוף Google Cloud

כדי לבדוק אם מחבר נתונים מוגן באמצעות מפתח:
1. נכנסים לדף AI Applications במסוף Google Cloud .
2. לוחצים על מאגרי נתונים ובוחרים את מחבר הנתונים.
3. מוודאים שבשדה KMS key מוצג המפתח הרשום.

אימות באמצעות CLI או API

כדי לאמת מאגר נתונים:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "x-goog-user-project: PROJECT_ID" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID"

מחליפים את מה שכתוב בשדות הבאים:

LOCATION: מספר האזורים של הפרויקט: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
‫DATA_STORE_ID: המזהה של מאגר הנתונים שמשויך לאפליקציה או למחבר הנתונים.

דוגמה לקריאת curl:

curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-H "x-goog-user-project: my-ai-app-project-123"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/dataStores/my-data-store-1"

כדי לבדוק אם יש מודעות שקשורות לפוליטיקה באיחוד באפליקציה ספציפית:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "x-goog-user-project: PROJECT_ID" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/ENGINE_ID"

מחליפים את מה שכתוב בשדות הבאים:

LOCATION: מספר האזורים של הפרויקט: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה.
‫ENGINE_ID: מזהה האפליקציה.

דוגמה לקריאת curl:

curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-H "x-goog-user-project: my-ai-app-project-123"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/engines/my-app"

בודקים את הפלט של הפקודה: אם השדה cmekConfig מופיע בפלט ובשדה kmsKey מוצג המפתח שרשמתם, סימן שהאפליקציה או מחבר הנתונים מוגנים באמצעות המפתח.

דוגמה לתגובה למאגר נתונים:

{
 "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1",
 "displayName": "my-data-store-1",
 "industryVertical": "GENERIC",
 "createTime": "2023-09-05T21:20:21.520552Z",
 "solutionTypes": [
   "SOLUTION_TYPE_SEARCH"
 ],
 "defaultSchemaId": "default_schema",
 "cmekConfig": {
   "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
   "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
 }
}

דוגמה לתגובה לאפליקציה:

{
  "name": "projects/969795412903/locations/us/collections/default_collection/engines/my-app",
  "displayName": "my-app",
  "dataStoreIds": [
    "my-data-store-1"
  ],
  "solutionType": "SOLUTION_TYPE_SEARCH",
  "searchEngineConfig": {
    "searchTier": "SEARCH_TIER_STANDARD"
  },
  "industryVertical": "GENERIC",
  "appType": "APP_TYPE_INTRANET",
  "cmekConfig": {
   "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
   "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
 }
}

נתונים אחרים שמוגנים באמצעות המפתח של Cloud KMS

בנוסף לנתונים באפליקציות ובמחברי הנתונים, המפתחות יכולים להגן על סוגים אחרים של מידע ליבה בבעלות האפליקציה ששמור ב"חיפוש מבוסס סוכנים", כמו נתוני הסשן שנוצרו במהלך חיפוש עם שאלות המשך. המידע הבסיסי הזה מוגן באמצעות CMEK אם האפליקציות ומחברי הנתונים מוגנים באמצעות CMEK.

אי אפשר להריץ פקודה ספציפית כדי לוודא שהסשנים מוגנים, אבל אפשר לבדוק אם האפליקציה מוגנת. מריצים את הפקודה אימות שאפליקציה או מחבר נתונים מוגנים באמצעות מפתח כדי לראות את המפתח במשאב cmekConfig. כך תדעו שנתוני הסשן מוגנים.

החלפת מפתחות של Cloud KMS

אי אפשר לשנות את המפתח שמגן על אפליקציה או על מחבר נתונים קיימים, אבל אפשר להחליף את המפתח הזה בגרסת מפתח חדשה. כשאתם הופכים גרסה חדשה של מפתח רשום לגרסה הראשית, המערכת של Agent Search מזהה את השינוי ומצפינה מחדש את הנתונים באופן אוטומטי באמצעות גרסת המפתח החדשה. לא צריך להפעיל שיטה של Agent Search כדי להתחיל רוטציה.

מידע כללי על רוטציית מפתחות מופיע במאמר רוטציית מפתחות במדריך של Cloud KMS.

חשוב: אל תחליפו מפתחות באפליקציות או במחברי נתונים שמשויכים להמלצות או לאפליקציות שצריכות ניתוח נתונים, ואל תחליפו את המפתחות באזור יחיד שמשמשים למחברים של צד שלישי. המגבלות של Cloud KMS ב-Agent Search

כדי להחליף מפתח, פועלים לפי השלבים הבאים:

יוצרים גרסת מפתח חדשה ומגדירים אותה כגרסה הראשית. הוראות מפורטות זמינות במאמר רוטציה של מפתח במדריך של Cloud KMS.

משאירים את גרסת המפתח הקודמת מופעלת. ההצפנה מחדש מתחילה באופן אוטומטי אחרי ש-Agent Search מזהה את הגרסה הראשית החדשה.
מוודאים שגרסת המפתח החדשה זוהתה בחיפוש מבוסס סוכנים. כדי לראות את ה-CmekConfig, קראו את המאמר הצגת מפתחות Cloud KMS. בודקים את השדות הבאים בפלט:
- ‫kmsKeyVersion מציג את גרסת המפתח החדשה.
- state הוא ACTIVE.
- lastRotationTimestampMicros מראה מתי התחיל הסבב.
חשוב להשאיר את גרסת המפתח הקודמת פעילה למשך 30 יום לפחות אחרי שגרסת המפתח החדשה מופיעה ב-kmsKeyVersion.

אזהרה: בחיפוש מבוסס סוכנים לא מדווח מתי מסתיימת ההצפנה מחדש של כל האחסון הבסיסי. אם תשביתו או תשמידו את גרסת המפתח הקודמת לפני שההצפנה מחדש תסתיים, לא תהיה לכם גישה לנתונים שעדיין מוצפנים באמצעות הגרסה הזו.
משביתים את גרסת המפתח הקודמת ומוודאים שהכול פועל כמו קודם. למידע נוסף, קראו את המאמר הפעלה והשבתה של גרסאות מפתחות במדריך של Cloud KMS.
אחרי שמוודאים שהשבתת גרסת המפתח הקודמת לא גרמה לבעיות, משמידים אותה. במדריך של Cloud KMS מוסבר איך משמידים ומשחזרים גרסאות של מפתחות.

טיפ: ההשמדה מתוזמנת ולא מתבצעת באופן מיידי. בזמן שגרסת מפתח מתוזמנת להשמדה, היא מתנהגת כאילו היא מושבתת, ואפשר לשחזר אותה כדי לבטל את ההשמדה.

אם מפתח Cloud KMS מושבת או מבוטל

אם המפתח מושבת או שההרשאות שלו מבוטלות, האפליקציה או מחבר הנתונים מפסיקים להטמיע נתונים ולהציג נתונים תוך 15 דקות. אפשר להפעיל מחדש את המפתח תוך 30 יום כדי להמשיך בפעולות לפני שתצורת ה-CMEK תפוג וכל הנתונים המשויכים יימחקו באופן סופי. עם זאת, הפעלה מחדש של מפתח או שחזור הרשאות נמשכים זמן רב. יכול להיות שיעברו עד 24 שעות לפני שהאפליקציה או מחבר הנתונים יוכלו להמשיך להציג נתונים.

לכן, אל תשביתו מפתח אלא אם יש צורך בכך. השבתה והפעלה של מפתח באפליקציה או במחבר נתונים הן פעולות שאורכות זמן. לדוגמה, אם משביתים ומפעילים מפתח שוב ושוב, ייקח הרבה זמן עד שהאפליקציה או מחבר הנתונים יגיעו למצב מוגן. אם משביתים מפתח ומפעילים אותו מחדש מיד לאחר מכן, יכול להיות שיהיו כמה ימים של השבתה כי המפתח מושבת קודם באפליקציה או במחבר הנתונים, ורק אחר כך מופעל מחדש.

פתרון בעיות: השגיאה "לא נמצאו פרויקטים של מפתחות KMS"

הבעיה: כשמנסים ליצור אפליקציה או מחבר נתונים באמצעות מפתח KMS, מופיעה הודעת שגיאה דומה לזו:

KMS key projects/[...] not found for location: [...] and project number: [...]

הבעיה: הודעת השגיאה הזו יכולה להטעות. זה לא בהכרח אומר שהמפתח לא קיים. במקום זאת, יכול להיות שהמפתח של KMS לא רשום לשימוש עם "חיפוש מבוסס סוכנים" במיקום שצוין.

פתרון: כדי לפתור את הבעיה, צריך לרשום את המפתח לפי השלבים שמפורטים במאמר רישום מפתח Cloud KMS. אחרי שהרישום מסתיים, אפשר ליצור אפליקציות או מחברי נתונים שמוגנים באמצעות המפתח הזה.

מפתחות הצפנה בניהול הלקוח קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

המגבלות של Cloud KMS ב-Agent Search

מידע על מפתחות לאזור יחיד למחברים של צד שלישי

לפני שמתחילים

רישום מפתח Cloud KMS

לפני שמתחילים

התהליך

REST

דוגמה לפקודה ולתוצאה

המסוף

התהליך

הצגת מפתחות Cloud KMS

איך מוודאים שמפתח Cloud KMS מוכן לשימוש

ביטול הרישום של מפתח Cloud KMS

איך מוודאים שאפליקציה או מחבר נתונים מוגנים באמצעות מפתח

אימות באמצעות מסוף Google Cloud

אימות באמצעות CLI או API

נתונים אחרים שמוגנים באמצעות המפתח של Cloud KMS

החלפת מפתחות של Cloud KMS

אם מפתח Cloud KMS מושבת או מבוטל

פתרון בעיות: השגיאה "לא נמצאו פרויקטים של מפתחות KMS"

מפתחות הצפנה בניהול הלקוח