Chaves de criptografia gerenciadas pelo cliente (CMEK)

Por padrão, o Google Cloud criptografa dados automaticamente usando chaves de criptografia gerenciadas pelo Google. Se você tiver requisitos regulatórios ou de conformidade específicos relacionados às chaves que protegem seus dados, use chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês).

Para mais informações sobre o CMEK, consulte o guia do CMEK na documentação do Cloud Key Management Service (KMS).

Dados protegidos

Todos os dados em repouso do agente do Dialogflow CX podem ser protegidos com CMEKs.

Limitações

  • No momento, o Analytics está desativado para agentes com a CMEK ativada.
  • No momento, a rotação de chaves não está disponível para agentes de repositório de dados. Os agentes do Dialogflow CX sem repositórios de dados são compatíveis com a rotação de chaves. Em nenhum dos cenários, não é possível fazer a nova criptografia de dados já criptografados com uma nova versão da chave.
  • O local global não é aceito.
  • É preciso usar uma chave por local do projeto.
  • Para restaurar um agente com a CMEK ativada, escolha a opção do Cloud Storage.

Criar chaves

Para criar chaves, use o serviço KMS. Para instruções, consulte Como criar chaves simétricas. Ao criar ou escolher uma chave, você precisa configurar o seguinte:

  • Certifique-se de selecionar o local que você usa para seu agente, caso contrário, as solicitações falharão.
  • O Dialogflow não é compatível com a rotação de chaves. Quando você cria a chave, o período de rotação precisa ser definido como Nunca.

Configurar um agente para usar suas chaves

Ao criar um agente, é possível especificar o local dele e se ele usará uma chave gerenciada pelo cliente ou pelo Google. Selecione sua chave no momento.

Configurar sua conta de serviço ou de usuário

A conta de serviço ou de usuário usada ao chamar o Dialogflow precisa ter permissões para criptografar e descriptografar as chaves. Verifique se a conta tem o papel Criptografador/Descriptografador do Cloud KMS CryptoKey.