Secara default, Google Cloud otomatis mengenkripsi data menggunakan kunci enkripsi yang dikelola oleh Google. Jika Anda memiliki persyaratan kepatuhan atau peraturan khusus terkait kunci yang melindungi data, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK).
Untuk informasi selengkapnya tentang CMEK, lihat panduan CMEK dalam dokumentasi Cloud Key Management Service (KMS).
Data yang dilindungi
Semua data dalam penyimpanan agen Agen Percakapan (Dialogflow CX) dapat dilindungi dengan CMEK.
Batasan
- Agen penyimpanan data tidak mendukung rotasi kunci. Agen Agen Percakapan (Dialogflow CX) tanpa penyimpanan data mendukung rotasi kunci sehingga data baru dienkripsi dengan versi kunci baru. Mengenkripsi ulang data yang sebelumnya dienkripsi dengan versi kunci baru tidak didukung.
- Wilayah
berikut
tidak didukung:
globaleu
- Satu kunci harus digunakan per lokasi project.
- Untuk memulihkan agen dengan CMEK diaktifkan, Anda harus memilih opsi Cloud Storage.
- Resource yang ada dalam project terintegrasi non-CMEK tidak dapat diintegrasikan CMEK secara retroaktif. Sebagai gantinya, sebaiknya resource diekspor dan dipulihkan dalam project baru untuk CMEK.
Membuat kunci
Untuk membuat kunci, Anda menggunakan layanan KMS. Untuk mengetahui petunjuknya, lihat Membuat kunci simetris. Saat membuat atau memilih kunci, Anda harus mengonfigurasi hal berikut:
- Pastikan untuk memilih lokasi yang Anda gunakan untuk agen, jika tidak, permintaan akan gagal.
- Agen Percakapan (Dialogflow CX) tidak mendukung rotasi kunci untuk agen penyimpanan data. Jika Anda menggunakan agen jenis ini, periode rotasi harus disetel ke Never saat Anda membuat kunci.
Mengonfigurasi agen untuk menggunakan kunci Anda
Saat membuat agen, Anda dapat menentukan lokasi agen dan apakah agen akan menggunakan kunci yang dikelola Google atau kunci yang dikelola pelanggan yang telah dikonfigurasi untuk lokasi tersebut. Tentukan pilihan Anda saat ini.
Mengonfigurasi akun layanan atau akun pengguna
Buat Akun Layanan CCAI CMEK untuk project Anda dengan Google Cloud CLI. Untuk informasi selengkapnya, lihat dokumentasi identitas layanan gcloud.
gcloud beta services identity create --service=dialogflow.googleapis.com --project=PROJECT_ID
Akun layanan akan dibuat. ID ini tidak akan ditampilkan dalam respons pembuatan, tetapi akan memiliki format berikut:
service-PROJECT_NUMBER@gcp-sa-ccai-cmek.
Berikan peran Pengenkripsi/Pendekripsi Cloud KMS CryptoKey ke Akun Layanan CMEK CCAI untuk memastikan bahwa layanan memiliki izin untuk mengenkripsi dan mendekripsi dengan kunci Anda.
gcloud kms keys add-iam-policy-binding KMS_KEY_ID \ --project=PROJECT_ID \ --location=LOCATION_ID \ --keyring=KMS_KEY_RING \ --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-ccai-cmek. \ --role=roles/cloudkms.cryptoKeyEncrypterDecrypter