Por padrão, o Google Cloud criptografa dados automaticamente usando chaves de criptografia gerenciadas pelo Google. Se você tiver requisitos regulatórios ou de conformidade específicos relacionados às chaves que protegem seus dados, use chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês).
Para mais informações sobre o CMEK, consulte o guia do CMEK na documentação do Cloud Key Management Service (KMS).
Dados protegidos
Todos os dados em repouso do agente do Dialogflow CX podem ser protegidos com CMEKs.
Limitações
- No momento, o Analytics está desativado para agentes com a CMEK ativada.
- No momento, a rotação de chaves não está disponível para agentes de repositório de dados. Os agentes do Dialogflow CX sem repositórios de dados são compatíveis com a rotação de chaves. Em nenhum dos cenários, não é possível fazer a nova criptografia de dados já criptografados com uma nova versão da chave.
- O local global não é aceito.
- É preciso usar uma chave por local do projeto.
- Para restaurar um agente com a CMEK ativada, escolha a opção do Cloud Storage.
- Os recursos atuais em projetos integrados que não são da CMEK não podem ser integrados retroativamente. Em vez disso, recomenda-se que os recursos sejam exportados e restaurados em um novo projeto para a CMEK.
Criar chaves
Para criar chaves, use o serviço KMS. Para instruções, consulte Como criar chaves simétricas. Ao criar ou escolher uma chave, você precisa configurar o seguinte:
- Certifique-se de selecionar o local que você usa para seu agente, caso contrário, as solicitações falharão.
- O Dialogflow não é compatível com a rotação de chaves. Quando você cria a chave, o período de rotação precisa ser definido como Nunca.
Configurar um agente para usar suas chaves
Ao criar um agente, é possível especificar o local dele e se ele usará uma chave gerenciada pelo cliente ou pelo Google. Selecione sua chave no momento.
Configurar sua conta de serviço ou de usuário
Crie a conta de serviço da CCAI CMEK para seu projeto com a Google Cloud CLI. Para mais informações, consulte a documentação de identidade dos serviços da gcloud.
gcloud beta services identity create --service=dialogflow.googleapis.com --project=PROJECT_ID
A conta de serviço será criada. Ele não será retornado na resposta de criação, mas terá o seguinte formato:
service-PROJECT_NUMBER@gcp-sa-ccai-cmek.iam.gserviceaccount.com
Conceda à conta de serviço da CCAI CMEK o papel Criptografador/Descriptografador do Cloud KMS CryptoKey para garantir que o serviço tenha permissões para criptografar e descriptografar com sua chave.
gcloud kms keys add-iam-policy-binding KMS_KEY_ID \ --project=PROJECT_ID \ --location=LOCATION_ID \ --keyring=KMS_KEY_RING \ --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-ccai-cmek.iam.gserviceaccount.com \ --role=roles/cloudkms.cryptoKeyEncrypterDecrypter