注意：Vertex AI Search 即将更名为 Agent Search。我们正在更新内容，以反映新品牌。

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

מפתחות הצפנה בניהול הלקוח

כברירת מחדל, התוכן של הלקוחות מוצפן בחיפוש אחר סוכן במנוחה. ההצפנה מתבצעת באופן אוטומטי ב"חיפוש מבוסס סוכנים", בלי שתצטרכו לעשות שום דבר. האפשרות הזו נקראת Google default encryption.

אם אתם רוצים לשלוט במפתחות ההצפנה שלכם, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים שמשולבים עם CMEK, כולל Agent Search. כשמשתמשים במפתחות של Cloud KMS, אפשר לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בהרשאות השימוש והגישה ובגבולות הקריפטוגרפיים שלהם. באמצעות Cloud KMS אפשר גם לראות יומני ביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות להצפנת מפתחות (KEK) סימטריים ותנהל אותם כדי להגן על הנתונים שלכם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.

אחרי שמגדירים את המשאבים עם מפתחות CMEK, חוויית הגישה למשאבים של Agent Search דומה לשימוש בהצפנה שמוגדרת כברירת מחדל ב-Google. מידע נוסף על אפשרויות ההצפנה מופיע במאמר מפתחות הצפנה בניהול הלקוח (CMEK).

אחרי שרושמים מפתח CMEK, חיפוש מבוסס סוכנים קורא ל-Cloud KMS מדי פעם כדי לשמור על מכונה מבודדת מבחינה לוגית של הנתונים שלכם. זה קורה גם אם הגדרת ה-CMEK לא מוגדרת כברירת מחדל ואין אפליקציות או מחברי נתונים שמשתמשים בה. השימוש נובע מההגדרה וההפעלה של המופע, ולא מנפח הנתונים או ממספר המשתמשים שניגשים אליו. ראו המחירון של Cloud Key Management Service.

כדי להפסיק לחלוטין את השימוש ב-Cloud KMS, צריך לבטל את הרישום של מפתח Cloud KMS, להשבית את המפתח או לבטל את ההרשאות שלו. השבתת Agent Search API לא מוחקת את CmekConfig או את הנתונים שלכם, ואתם ממשיכים להיות מחויבים על השימוש ב-CMEK.

מגבלות של Cloud KMS ב-Agent Search

המגבלות הבאות חלות על מפתחות CMEK ‏ (Cloud KMS) ב-Agent Search:

אי אפשר לשנות מפתחות שכבר הוחלו על אפליקציה או על מחבר נתונים, אבל אפשר לבצע רוטציה של גרסאות המפתחות.

הגנת CMEK עם 'חיפוש מבוסס סוכנים' לא משולבת עם החיפוש ב-מאגר משאבי ענן.

אתם צריכים להשתמש באפליקציות ובמאגרי נתונים במספר אזורים בארה"ב או באיחוד האירופי (ולא גלובליים). למידע נוסף על מספר אזורים ומיקום אחסון הנתונים, כולל מגבלות שקשורות לשימוש במיקומים לא גלובליים, ראו מיקומים.

אם אתם צריכים לרשום יותר ממפתח אחד לפרויקט, אתם יכולים לפנות לצוות של חשבון Google שלכם ולבקש להגדיל את המכסה של הגדרות CMEK. עליכם לספק נימוק למה אתם צריכים יותר ממפתח אחד.

המגבלות הבאות חלות על EKM או HSM עם CMEK:
- המכסה של EKM ו-HSM לקריאות הצפנה ופענוח צריכה להיות לפחות 1,000 QPM של מרווח. במאמר בדיקת המכסות של Cloud KMS מוסבר איך בודקים את המכסות.
- אם משתמשים ב-EKM, המפתח חייב להיות נגיש במשך יותר מ-90% מכל חלון זמן שארוך מ-30 שניות. אם לא ניתן להגיע למפתח למשך הזמן הזה, הדבר עלול להשפיע לרעה על הוספה לאינדקס ועל רעננות החיפוש.
- אם יש בעיות בחיוב, בעיות חוזרות של חריגה מהמכסה או בעיות חוזרות של חוסר אפשרות להגיע לשירות במשך יותר מ-12 שעות, השירות משבית באופן אוטומטי את CmekConfig שמשויך למפתח EKM או למפתח HSM.

אי אפשר להגן באמצעות המפתח על אפליקציות או מחברי נתונים שנוצרו לפני שהמפתח נרשם בפרויקט.

אי אפשר לשפר את המודלים של החיפוש עבור אפליקציות ומחברי נתונים שמוגנים באמצעות מפתחות.

באפליקציות עם כמה מחברי נתונים, אם מחבר נתונים אחד משתמש בהגדרת CMEK, כל שאר מחברי הנתונים חייבים להשתמש באותה הגדרת CMEK.

כדי להשתמש בחיפוש סוכנים, צריך מהדורת Enterprise. מידע נוסף על מהדורת Enterprise זמין במאמר מידע על תכונות מתקדמות.
מחברים של צד ראשון לא תואמים ל-CMEK, למעט אפליקציות ומחברים של נתונים ל-BigQuery ול-Cloud Storage מסוג import-once (ייבוא חד-פעמי) ו-periodic (מחזורי).
אפליקציות לחיפוש בתחום הבריאות, מחברי נתונים ומחברים של צד שלישי תואמים ל-CMEK. מידע כללי על אפליקציות בתחום הבריאות ומחברי נתונים זמין במאמר יצירת אפליקציה לחיפוש נתונים בתחום הבריאות או מחבר נתונים. מידע על הפיכת מחברים של צד שלישי לתואמים ל-CMEK זמין במאמר מידע על מפתחות של אזור יחיד למחברים של צד שלישי.
המפתחות לא חלים על ממשקי ה-API הבאים של RAG, כי הם לא מאחסנים תוכן במנוחה: בדיקת ביסוס, יצירה מבוססת-קרקע ודירוג.

אתם יכולים להשתמש ב-Terraform כדי להגדיר CMEK ל-Agent Search. אפשר לעיין במאמר google_discovery_engine_cmek_config.

מידע על מפתחות של אזור יחיד למחברים של צד שלישי

אם אתם משתמשים במחברים של צד שלישי ורוצים להשתמש במפתחות משלכם כדי להגן על הנתונים המקושרים, אתם צריכים ליצור שלושה מפתחות משלימים לאזור יחיד בנוסף למפתח למספר אזורים. הפקודות ליצירת מפתחות מפורטות בהליך הבא, רישום מפתח Cloud KMS.

צריך ליצור את המפתחות הבודדים לאזורים הבאים:

במספר אזורים	אזור יחיד
`eu`	`europe-west1`	`europe-west4`	`europe-north1`
`us`	`us-east1`	`us-central1`	`us-west1`

לפני שמתחילים

צריך לוודא שמתקיימות הדרישות המוקדמות הבאות:

יוצרים מפתח סימטרי של Cloud KMS שכולל מספר אזורים. במסמכי התיעוד של Cloud KMS מוסבר איך ליצור אוסף מפתחות וליצור מפתח.
- מגדירים את תקופת הרוטציה לNever (Manual rotation) (אף פעם (רוטציה ידנית)).
- בשדה Location, בוחרים באפשרות Multi-region, ובתפריט הנפתח בוחרים באפשרות europe או us.

תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Discovery Engine. כתובת האימייל של חשבון סוכן השירות היא בפורמט הבא: service-PROJECT_NUMBER@gcp-sa-discoveryengine.iam.. הוראות כלליות להוספת תפקיד לסוכן שירות מופיעות במאמר הקצאה או ביטול של תפקיד יחיד.
תפקיד ה-IAM של CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) במפתח הוקצה לסוכן השירות של Cloud Storage. אם לא תקצו את התפקיד הזה, ייבוא הנתונים של אפליקציות ומחברי נתונים שמוגנים באמצעות CMEK ייכשל, כי Discovery Engine לא יוכל ליצור את הקטגוריה והספרייה הזמניות שמוגנות באמצעות CMEK ונדרשות לייבוא.
אל תיצרו אפליקציות או מחברי נתונים שאתם רוצים לנהל באמצעות המפתח, עד שתשלימו את ההוראות לרישום המפתח שמופיעות בדף הזה.

התכונות של מהדורת Enterprise מופעלות באפליקציה. מידע נוסף זמין במאמר הפעלה או השבתה של מהדורת Enterprise.

רישום מפתח Cloud KMS

כדי להצפין נתונים באמצעות CMEK, צריך לרשום את המפתח במספר אזורים. אם הנתונים שלכם צריכים מפתחות של אזור יחיד, למשל כשמשתמשים במחברים של צד שלישי, אתם צריכים גם לרשום את המפתחות של האזור היחיד.

לפני שמתחילים

חשוב לוודא את הדברים הבאים:

האזור לא מוגן כבר על ידי מפתח. התהליך הבא ייכשל אם כבר רשום מפתח לאזור באמצעות פקודת ה-REST. כדי לבדוק אם יש מפתח פעיל ב-Agent Search למיקום מסוים, קראו את המאמר הצגת מפתחות Cloud KMS.

יש לכם את התפקיד אדמין ב-Discovery Engine (roles/discoveryengine.admin).

התהליך

REST

כדי לרשום מפתח משלכם לחיפוש מבוסס סוכנים:

מבצעים קריאה ל-UpdateCmekConfig עם המפתח שרוצים לרשום.
```
curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{"kmsKey":"projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"}' \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID?set_default=SET_DEFAULT"
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫KMS_PROJECT_ID: מזהה הפרויקט שמכיל את המפתח. מספר הפרויקט לא יעבוד.
- KMS_LOCATION: האזור במספר אזורים של המפתח: us או europe.
- ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
- ‫KEY_NAME: שם המפתח.
- ‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
- ‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: us או eu.
- ‫CMEK_CONFIG_ID: מגדירים מזהה ייחודי למשאב CmekConfig, לדוגמה default_cmek_config.
- ‫SET_DEFAULT: מגדירים את הערך true כדי להשתמש במפתח כמפתח ברירת המחדל לאפליקציות ולמחברי נתונים שייווצרו בהמשך במספר האזורים.
  
  חשוב: צריך את SET_DEFAULT כדי להחיל באופן אוטומטי את CmekConfig על משאבים עוקבים.
דוגמה לפקודה ולתוצאה
```
$ curl -X PATCH
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-d '{"kmsKey":"projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"}'
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config?set_default=true"

{
 "name": "projects/my-ai-app-project-123/locations/us/operations/update-cmek-config-56789",
 "metadata": {
  "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.UpdateCmekConfigMetadata"
 }
}
```
לפני שיוצרים אפליקציות או מחברי נתונים, חשוב לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על משאבים עד שהוא מוכן. בדרך כלל, רישום מפתח נמשך כמה דקות. איך מוודאים שמפתח Cloud KMS מוכן לשימוש

כדי לעקוב אחרי פעולת הרישום, אפשר לתעד את הערך name שמוחזר מהשיטה ולפעול לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת.

אחרי שהמפתח מוכן, אפליקציות ומחברי נתונים חדשים באותו אזור מוגנים על ידי המפתח. מידע כללי על יצירת אפליקציות זמין במאמר מידע על אפליקציות ומאגרי נתונים.
יוצרים את האפליקציה. בקישורים שבמאמר מידע על אפליקציות ומאגרי נתונים מוסבר איך יוצרים אפליקציות שונות.

המסוף

התהליך

כדי לרשום מפתח משלכם לחיפוש בסוכן:

נכנסים לדף AI Applications במסוף Google Cloud .

אפליקציות AI
לוחצים על Settings ובוחרים בכרטיסייה CMEK.
לוחצים על Add key במיקום us או eu.

לוחצים על "הוספת מפתח".
1. לוחצים על התפריט הנפתח Select a Cloud KMS key ובוחרים את המפתח.
  - אם המפתח נמצא בפרויקט אחר, לוחצים על Switch project, לוחצים על שם הפרויקט, מקלידים את שם המפתח שיצרתם ובוחרים את המפתח.
  - אם אתם יודעים את שם המשאב של המפתח, לוחצים על Enter manually, מדביקים את שם המשאב של המפתח ולוחצים על Save.
2. לוחצים על אישור > שמירה.
לפני שיוצרים אפליקציות או מחברי נתונים, חשוב לוודא שהמפתח מוכן לשימוש. מפתח רשום לא יכול להגן על משאבים עד שהוא מוכן. ראו אימות המוכנות של מפתח Cloud KMS לשימוש.
יוצרים את האפליקציה. בקישורים להוראות ליצירת אפליקציות שונות, ראו מידע על אפליקציות ומאגרי נתונים.

המפתח נרשם ונוצר CmekResource בשם default_cmek_config.

יכול להיות שיחלפו כמה שעות עד שהנתונים שהוטמעו יופיעו בתוצאות החיפוש.

הצגת מפתחות Cloud KMS

כדי לראות מפתח רשום לחיפוש מבוסס סוכנים, מבצעים אחת מהפעולות הבאות:

אם יש לכם את שם המשאב CmekConfig, אתם יכולים להשתמש בשיטה GetCmekConfig:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"

מחליפים את מה שכתוב בשדות הבאים:

‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את הנתונים.
‫CMEK_CONFIG_ID: המזהה של המשאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

דוגמה לקריאה ולתגובה של curl:

$ curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"

{
  "name":
  "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
  "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
  "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
  "state": "ACTIVE",
  "isDefault": true,
  "lastRotationTimestampMicros": "1788220800000000"
}

אם אין לכם את שם המשאב של CmekConfig, הפעילו את ה-method‏ ListCmekConfigs:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs"

מחליפים את מה שכתוב בשדות הבאים:

‫LOCATION: האזור המרובה של האפליקציה או מחבר הנתונים: ‫us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את הנתונים.

דוגמה לקריאת curl ותגובה:

$ curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs"

{
  "cmek_configs": [
    {
      "name":
      "projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config",
      "kmsKey": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key",
      "kmsKeyVersion": "projects/key-project-456/locations/us/keyRings/my-key-ring/cryptoKeys/my-key/cryptoKeyVersions/2",
      "state": "ACTIVE",
      "isDefault": true,
      "lastRotationTimestampMicros": "1788220800000000"
    }
  ]
}

בדיקה שהמפתח של Cloud KMS מוכן לשימוש

אחרי שרושמים מפתח, צריך לוודא שהוא מוכן לשימוש לפני שאפשר להגן באמצעותו על משאבים:

צפייה במפתחות Cloud KMS הרשומים. איך רואים את המפתחות של Cloud KMS?
בודקים את הפלט של הפקודה. ההגדרה CmekConfig מוכנה לשימוש אם כל הערכים הבאים מופיעים בפלט:
- "state": "ACTIVE"
- "isDefault": true
אם "isDefault": true, המפתח מוחל באופן אוטומטי כדי להגן על אפליקציות ומחברי נתונים חדשים.

אתם יכולים גם לבדוק אם מוגדרת הגדרת ברירת מחדל של CMEK (כלומר, "isDefault": true) באמצעות מסוף Google Cloud :

נכנסים לדף AI Applications במסוף Google Cloud .
לוחצים על הגדרות ובוחרים בכרטיסייה CMEK.
בודקים שסטטוס ההגדרה של המיקום מציג את המפתח הרשום.

ביטול הרישום של מפתח Cloud KMS

כדי לבטל את הרישום של המפתח ב-Agent Search:

מפעילים את השיטה DeleteCmekConfig עם שם המשאב של CmekConfig שרוצים לבטל את הרישום שלו.

curl -X DELETE \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/cmekConfigs/CMEK_CONFIG_ID"

מחליפים את מה שכתוב בשדות הבאים:

‫LOCATION: האזור של האפליקציה או של מחבר הנתונים: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
‫CMEK_CONFIG_ID: המזהה של משאב CmekConfig. אם רשמתם את המפתח באמצעות המסוף, המזהה הוא default_cmek_config.

דוגמה לקריאת curl ותגובה:

$ curl -X DELETE
-H "Authorization: Bearer $(gcloud auth print-access-token)"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/cmekConfigs/default_cmek_config"
 
{
 "name": "projects/my-ai-app-project-123/locations/us/operations/delete-cmek-config-56789",
 "metadata": {
  "@type": "type.googleapis.com/google.cloud.discoveryengine.v1.DeleteCmekConfigMetadata"
 }
}

אופציונלי: מתעדים את הערך של name שהשיטה מחזירה, ופועלים לפי ההוראות במאמר קבלת פרטים על פעולה ממושכת כדי לראות מתי הפעולה מסתיימת.

מחיקת CmekConfig היא פעולה ממושכת שיכולה להימשך עד כמה ימים. הסיבה לכך היא שהמשאבים הבסיסיים המוצפנים מבוטלים באופן מלא לפני שה-CmekConfig מוסר.

אימות ההגנה על אפליקציה או על מחבר נתונים באמצעות מפתח

אפליקציות ומחברי נתונים שנוצרים אחרי רישום המפתח מוגנים על ידי המפתח. כדי לוודא שאפליקציה או מחבר נתונים מסוימים מוגנים באמצעות המפתח שלכם, בצעו את השלבים הבאים:

אימות באמצעות מסוף Google Cloud

כדי לבדוק אם מחבר נתונים מוגן באמצעות מפתח:
1. נכנסים לדף AI Applications במסוף Google Cloud .
2. לוחצים על מאגרי נתונים ובוחרים את מחבר הנתונים.
3. מוודאים שבשדה KMS key מופיע המפתח הרשום.

אימות באמצעות CLI או API

כדי לאמת מאגר נתונים:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "x-goog-user-project: PROJECT_ID" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID"

מחליפים את מה שכתוב בשדות הבאים:

LOCATION: מספר האזורים של הפרויקט: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה או את מחבר הנתונים.
‫DATA_STORE_ID: המזהה של מאגר הנתונים שמשויך לאפליקציה או למחבר הנתונים.

דוגמה לקריאת curl:

curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-H "x-goog-user-project: my-ai-app-project-123"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/dataStores/my-data-store-1"

כדי לאמת אפליקציה:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "x-goog-user-project: PROJECT_ID" \
"https://LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/ENGINE_ID"

מחליפים את מה שכתוב בשדות הבאים:

LOCATION: מספר האזורים של הפרויקט: us או eu.
‫PROJECT_ID: מזהה הפרויקט שמכיל את האפליקציה.
‫ENGINE_ID: מזהה האפליקציה.

דוגמה לקריאת curl:

curl -X GET
-H "Authorization: Bearer $(gcloud auth print-access-token)"
-H "Content-Type: application/json"
-H "x-goog-user-project: my-ai-app-project-123"
"https://us-discoveryengine.googleapis.com/v1/projects/my-ai-app-project-123/locations/us/collections/default_collection/engines/my-app"

בודקים את הפלט של הפקודה: אם השדה cmekConfig מופיע בפלט ובשדה kmsKey מוצג המפתח שרשמתם, האפליקציה או מחבר הנתונים מוגנים באמצעות המפתח.

דוגמה לתשובה של מאגר נתונים:

{
 "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1",
 "displayName": "my-data-store-1",
 "industryVertical": "GENERIC",
 "createTime": "2023-09-05T21:20:21.520552Z",
 "solutionTypes": [
   "SOLUTION_TYPE_SEARCH"
 ],
 "defaultSchemaId": "default_schema",
 "cmekConfig": {
   "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
   "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
 }
}

דוגמה לתגובה לאפליקציה:

{
  "name": "projects/969795412903/locations/us/collections/default_collection/engines/my-app",
  "displayName": "my-app",
  "dataStoreIds": [
    "my-data-store-1"
  ],
  "solutionType": "SOLUTION_TYPE_SEARCH",
  "searchEngineConfig": {
    "searchTier": "SEARCH_TIER_STANDARD"
  },
  "industryVertical": "GENERIC",
  "appType": "APP_TYPE_INTRANET",
  "cmekConfig": {
   "name": "projects/969795412903/locations/us/collections/default_collection/dataStores/my-data-store-1/cmekConfigs/default_cmek_config",
   "kmsKey": "projects/my-ai-app-project-123/locations/us/keyRings/my-key-ring/cryptoKeys/my-key"
 }
}

נתונים אחרים שמוגנים על ידי מפתח Cloud KMS

בנוסף לנתונים באפליקציות ובמחברי הנתונים, המפתחות יכולים להגן על סוגים אחרים של מידע ליבה בבעלות האפליקציה שנמצא ב-Agent Search, כמו נתוני הסשן שנוצרו במהלך חיפוש עם שאלות המשך. המידע הבסיסי הזה מוגן באמצעות CMEK אם האפליקציות ומחברי הנתונים מוגנים באמצעות CMEK.

אי אפשר להריץ פקודה ספציפית כדי לוודא שהסשנים מוגנים, אבל אפשר לבדוק אם האפליקציה מוגנת. מריצים את הפקודה אימות שאפליקציה או מחבר נתונים מוגנים באמצעות מפתח כדי לראות את המפתח במשאב cmekConfig. כך תדעו שנתוני הסשן מוגנים.

החלפת מפתחות Cloud KMS

אי אפשר לשנות את המפתח שמגן על אפליקציה קיימת או על מחבר נתונים, אבל אפשר לבצע רוטציה של המפתח לגרסה חדשה של המפתח. כשיוצרים גרסה חדשה של מפתח רשום והופכים אותה לגרסה הראשית, Agent Search מזהה את השינוי ומצפין מחדש את הנתונים באמצעות גרסת המפתח החדשה באופן אוטומטי. לא צריך להפעיל שיטה של Agent Search כדי להתחיל רוטציה.

מידע כללי על רוטציית מפתחות מופיע במאמר רוטציית מפתחות במדריך של Cloud KMS.

חשוב: אל תבצעו רוטציה של מפתחות באפליקציות או במחברי נתונים שמשויכים להמלצות או לאפליקציות שזקוקות לניתוח נתונים, ואל תבצעו רוטציה של המפתחות של אזור יחיד שמשמשים למחברים של צד שלישי. אפשר לעיין במגבלות של Cloud KMS ב-Agent Search.

כדי לסובב מפתח:

יוצרים גרסת מפתח חדשה ומגדירים אותה כגרסה הראשית. הוראות מפורטות זמינות במאמר החלפת מפתח במדריך של Cloud KMS.

משאירים את גרסת המפתח הקודמת מופעלת. ההצפנה מחדש מתחילה באופן אוטומטי אחרי ש-Agent Search מזהה את הגרסה הראשית החדשה.
מוודאים ש"חיפוש מבוסס סוכנים" זיהה את גרסת המפתח החדשה. כדי לראות את ה-CmekConfig, קראו את המאמר הצגת מפתחות Cloud KMS. בודקים את השדות הבאים בפלט:
- ‫kmsKeyVersion מציג את גרסת המפתח החדשה.
- state הוא ACTIVE.
- התאריך lastRotationTimestampMicros מציין מתי התחיל הסבב.
חשוב להשאיר את הגרסה הקודמת של המפתח מופעלת למשך 30 ימים לפחות אחרי שמוצגת הגרסה החדשה של המפתח ב-kmsKeyVersion.

שימו לב: Agent Search לא מדווח על סיום ההצפנה מחדש של כל האחסון הבסיסי. אם תשביתו או תשמידו את גרסת המפתח הקודמת לפני שההצפנה מחדש תסתיים, לא תוכלו לגשת לנתונים שעדיין מוצפנים באמצעות הגרסה הזו.
משביתים את גרסת המפתח הקודמת ומוודאים שהכול פועל כמו קודם. מידע נוסף מופיע במאמר הפעלה והשבתה של גרסאות מפתח במדריך Cloud KMS.
כשבטוחים שהשבתת גרסת המפתח הקודמת לא גרמה לבעיות, משמידים אותה. מידע נוסף מופיע במאמר השמדה ושחזור של גרסאות מפתח במדריך Cloud KMS.

טיפ: ההשמדה מתוזמנת ולא מתבצעת באופן מיידי. בזמן שגרסת מפתח מתוזמנת להשמדה, היא מתנהגת כאילו היא מושבתת, ואפשר לשחזר אותה כדי לבטל את ההשמדה.

אם מפתח Cloud KMS מושבת או מבוטל

אם מפתח מושבת או שההרשאות שלו מבוטלות, האפליקציה או מחבר הנתונים מפסיקים להטמיע נתונים ולהציג נתונים תוך 15 דקות. אפשר להפעיל מחדש את המפתח תוך 30 יום כדי להמשיך בפעולות לפני שתצורת ה-CMEK תפוג וכל הנתונים המשויכים יימחקו באופן סופי. עם זאת, הפעלה מחדש של מפתח או שחזור הרשאות נמשכים זמן רב. יכול להיות שיעברו עד 24 שעות לפני שהאפליקציה או מחבר הנתונים יוכלו להמשיך להציג נתונים.

לכן, אל תשביתו מפתח אלא אם כן זה הכרחי. השבתה והפעלה של מפתח באפליקציה או במחבר נתונים היא פעולה שלוקחת זמן. לדוגמה, אם משביתים ומפעילים מפתח שוב ושוב, ייקח הרבה זמן עד שהאפליקציה או מחבר הנתונים יגיעו למצב מוגן. השבתת מפתח והפעלה מחדש שלו מיד לאחר מכן עלולות לגרום להשבתה של כמה ימים, כי המפתח מושבת קודם מהאפליקציה או ממחבר הנתונים, ורק לאחר מכן מופעל מחדש.

פתרון בעיות: השגיאה "לא נמצאו פרויקטים של מפתחות KMS"

תסמין: כשמנסים ליצור אפליקציה או מחבר נתונים באמצעות מפתח KMS, מוצגת שגיאה שדומה לזו:

KMS key projects/[...] not found for location: [...] and project number: [...]

הבעיה: הודעת השגיאה הזו יכולה להטעות. זה לא בהכרח אומר שהמפתח לא קיים. במקום זאת, יכול להיות שהשגיאה מציינת שמפתח ה-KMS לא נרשם לשימוש בחיפוש מבוסס סוכנים במיקום שצוין.

פתרון: כדי לפתור את הבעיה, צריך לרשום את המפתח לפי השלבים שמפורטים במאמר רישום מפתח Cloud KMS. אחרי שההרשמה תושלם, תוכלו ליצור אפליקציות או מחברים לנתונים שמוגנים על ידי המפתח הזה.

מפתחות הצפנה בניהול הלקוח קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

מגבלות של Cloud KMS ב-Agent Search

מידע על מפתחות של אזור יחיד למחברים של צד שלישי

לפני שמתחילים

רישום מפתח Cloud KMS

לפני שמתחילים

התהליך

REST

דוגמה לפקודה ולתוצאה

המסוף

התהליך

הצגת מפתחות Cloud KMS

בדיקה שהמפתח של Cloud KMS מוכן לשימוש

ביטול הרישום של מפתח Cloud KMS

אימות ההגנה על אפליקציה או על מחבר נתונים באמצעות מפתח

אימות באמצעות מסוף Google Cloud

אימות באמצעות CLI או API

נתונים אחרים שמוגנים על ידי מפתח Cloud KMS

החלפת מפתחות Cloud KMS

אם מפתח Cloud KMS מושבת או מבוטל

פתרון בעיות: השגיאה "לא נמצאו פרויקטים של מפתחות KMS"

מפתחות הצפנה בניהול הלקוח