此页面由 Cloud Translation API 翻译。

创建 AML AI 实例

如需使用 AML AI，请创建实例。AML AI Instance 资源位于是所有其他 AML AI 资源的根目录。可以在 Google Cloud 项目的同一区域中创建。实例遵循以下：

每个实例都特定于某个 Google Cloud 区域，从而确保数据驻留 Google Cloud 区域内的 IP 地址。
每个实例要求所有输入和输出数据都存在于同一个 Google Cloud 区域和项目。
每个实例都需要 1 个关联的 CMEK（客户管理的加密密钥） (CMEK)，用于对 AML AI 创建的任何数据进行加密。
实例的子资源会继承父实例的位置和加密设置。
每个实例都支持自定义的访问权限管理。

如需查看可用 Google Cloud 区域的列表，请访问 AML AI 服务位置页面。根据您的政策，您可以将您运营的一个（或多个）地理位置映射到一个（或多个）可用的 AML AI 位置。您需要为每个集群至少创建一个 AML AI 实例您使用的 AML AI 位置。

您可以同时对商业客户和零售客户进行风险评分 AML AI 实例。不过，您需要创建一个单独的实例以下任意一项：

将对不同 AML 数据集的访问权限限制于贵组织中的不同成员
针对不同的 AML 数据集使用不同的 CMEK 密钥

步骤

如需创建 Google Cloud 项目并启用 API，请参阅设置项目和权限。

请按照以下步骤创建 CMEK 密钥和 AML AI 实例。

创建加密密钥

如需创建加密密钥，请先创建一个密钥环，然后执行以下操作：和键本身。如需了解详情，请参阅使用 Cloud KMS 创建加密密钥。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限：

权限

cloudkms.keyRings.create
cloudkms.cryptoKeys.create

创建密钥环

如需创建密钥环，请使用 projects.locations.keyRings.create 方法。

REST

在使用任何请求数据之前，请先进行以下替换：

KMS_PROJECT_ID：包含密钥串的项目的 Google Cloud 项目 ID
LOCATION：密钥环的位置；请使用支持的区域
显示营业地点
- us-central1
- us-east1
- asia-south1
- europe-west1
- europe-west2
- europe-west4
- northamerica-northeast1
- southamerica-east1
KEY_RING_ID：用户定义的标识符密钥环

如需发送请求，请选择以下方式之一：

curl

执行以下命令：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings?key_ring_id=KEY_RING_ID"

PowerShell

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings?key_ring_id=KEY_RING_ID" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID",
  "createTime": "2023-03-14T15:52:55.358979323Z"
}

gcloud

在使用下面的命令数据之前，请先进行以下替换：

KMS_PROJECT_ID：Google Cloud 项目包含密钥环的项目的 ID
LOCATION：密钥环的位置；请使用支持的区域
显示位置
- us-central1
- us-east1
- asia-south1
- europe-west1
- europe-west2
- europe-west4
- northamerica-northeast1
- southamerica-east1
KEY_RING_ID：用户定义的标识符密钥环

执行以下命令：

Linux、macOS 或 Cloud Shell

gcloud kms keyrings create KEY_RING_ID \
  --project KMS_PROJECT_ID --location LOCATION

Windows (PowerShell)

gcloud kms keyrings create KEY_RING_ID `
  --project KMS_PROJECT_ID --location LOCATION

Windows (cmd.exe)

gcloud kms keyrings create KEY_RING_ID ^
  --project KMS_PROJECT_ID --location LOCATION

您应该会收到空响应：

创建密钥

如需创建密钥，请使用 projects.locations.keyRings.cryptoKeys 方法。

REST

在使用任何请求数据之前，请先进行以下替换：

KMS_PROJECT_ID：Google Cloud 项目包含密钥环的项目的 ID
LOCATION：密钥环的位置；请使用支持的区域
显示位置
- us-central1
- us-east1
- asia-south1
- europe-west1
- europe-west2
- europe-west4
- northamerica-northeast1
- southamerica-east1
KEY_RING_ID：用户定义的 ID 密钥环
KEY_ID：用户定义的密钥标识符

请求 JSON 正文：

{
  "purpose": "ENCRYPT_DECRYPT"
}

如需发送请求，请选择以下方式之一：

curl

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中。在终端中运行以下命令，在当前目录中创建或覆盖此文件：

cat > request.json << 'EOF'
{
  "purpose": "ENCRYPT_DECRYPT"
}
EOF

然后，执行以下命令以发送 REST 请求：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys?crypto_key_id=KEY_ID"

PowerShell

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中。在终端中运行以下命令，在当前目录中创建或覆盖此文件：

@'
{
  "purpose": "ENCRYPT_DECRYPT"
}
'@  | Out-File -FilePath request.json -Encoding utf8

然后，执行以下命令以发送 REST 请求：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudkms.googleapis.com/v1/projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys?crypto_key_id=KEY_ID" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID",
  "primary": {
    "name": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID/cryptoKeyVersions/1",
    "state": "ENABLED",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "protectionLevel": "SOFTWARE",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION",
    "generateTime": "2023-03-14T15:52:55.358979323Z"
  },
  "purpose": "ENCRYPT_DECRYPT",
  "createTime": "2023-03-14T15:52:55.358979323Z",
  "versionTemplate": {
    "protectionLevel": "SOFTWARE",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION"
  },
  "destroyScheduledDuration": "86400s"
}

gcloud

在使用下面的命令数据之前，请先进行以下替换：

KMS_PROJECT_ID：包含密钥串的项目的 Google Cloud 项目 ID
LOCATION：密钥环的位置；请使用支持的区域
显示位置
- us-central1
- us-east1
- asia-south1
- europe-west1
- europe-west2
- europe-west4
- northamerica-northeast1
- southamerica-east1
KEY_RING_ID：用户定义的 ID 密钥环
KEY_ID：用户定义的键标识符

执行以下命令：

Linux、macOS 或 Cloud Shell

gcloud kms keys create KEY_ID \
  --keyring KEY_RING_ID \
  --project KMS_PROJECT_ID \
  --location LOCATION \
  --purpose "encryption"

Windows (PowerShell)

gcloud kms keys create KEY_ID `
  --keyring KEY_RING_ID `
  --project KMS_PROJECT_ID `
  --location LOCATION `
  --purpose "encryption"

Windows (cmd.exe)

gcloud kms keys create KEY_ID ^
  --keyring KEY_RING_ID ^
  --project KMS_PROJECT_ID ^
  --location LOCATION ^
  --purpose "encryption"

您应该会收到一个空响应：

创建实例

为数据应驻留的特定区域创建实例。这个实例会引用您创建的加密密钥。如需了解详情，请参阅客户管理的加密密钥 (CMEK)。

如需创建实例，请使用 projects.locations.instances.create 方法。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限：

权限

financialservices.v1instances.create

（您也可以参阅创建和管理实例了解以下信息。）

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：IAM 设置中列出的 Google Cloud 项目 ID
LOCATION：密钥环的位置和实例；请使用某个受支持的区域
显示位置
- us-central1
- us-east1
- asia-south1
- europe-west1
- europe-west2
- europe-west4
- northamerica-northeast1
- southamerica-east1
INSTANCE_ID：用户定义的实例标识符
KMS_PROJECT_ID：Google Cloud 项目包含密钥环的项目的 ID
KEY_RING_ID：用户定义的 ID 密钥环
KEY_ID：用户定义的键标识符
注意：实例创建后，您将无法更改为其他 CMEK 密钥创建。

请求 JSON 正文：

{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}

如需发送请求，请选择以下方式之一：

curl

将请求正文保存在名为 request.json 的文件中。在终端中运行以下命令，在当前目录中创建或覆盖此文件：

cat > request.json << 'EOF'
{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}
EOF

然后，执行以下命令以发送 REST 请求：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID"

PowerShell

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中。在终端中运行以下命令，在当前目录中创建或覆盖此文件：

@'
{
  "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID"
}
'@  | Out-File -FilePath request.json -Encoding utf8

然后，执行以下命令以发送 REST 请求：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.OperationMetadata",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "target": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": false
}

如果成功，响应正文将包含一个长时间运行的操作包含可用于检索当前状态的异步操作。复制返回的 OPERATION_ID（在接下来的）中使用部分。

查看结果

使用 projects.locations.operations.get 方法来检查实例是否已创建。如果响应包含 "done": false，重复该命令，直到响应包含 "done": true。这些操作可能需要几分钟到几个小时才能完成。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限：

权限

financialservices.operations.get

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：IAM 设置中列出的 Google Cloud 项目 ID
LOCATION：实例的位置；请使用支持的区域
显示位置
- us-central1
- us-east1
- asia-south1
- europe-west1
- europe-west2
- europe-west4
- northamerica-northeast1
- southamerica-east1
OPERATION_ID：操作的标识符

如需发送请求，请选择以下方式之一：

curl

执行以下命令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID"

PowerShell

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://financialservices.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.OperationMetadata",
    "createTime": "2023-03-14T15:52:55.358979323Z",
    "endTime": "2023-03-14T16:52:55.358979323Z",
    "target": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.financialservices.v1.Instance",
    "name": "projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID",
    "createTime": CREATE_TIME,
    "updateTime": UPDATE_TIME,
    "kmsKey": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID",
    "state": "ACTIVE"
  }
}

授予对 CMEK 密钥的访问权限

该 API 会自动在您的项目中创建一个服务账号。服务账号需要访问 CMEK 密钥，以便使用该密钥进行加密和对底层数据进行解密。授予对密钥的访问权限。

对于 PROJECT_NUMBER，请使用与以下项目关联的项目编号： PROJECT_ID。您可以在这里找到编号（位于 IAM 设置页面上）。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限：

权限

cloudkms.cryptoKeys.getIamPolicy
cloudkms.cryptoKeys.setIamPolicy

gcloud kms keys add-iam-policy-binding "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID/cryptoKeys/KEY_ID" \
  --keyring "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_ID" \
  --location "LOCATION" \
  --member "serviceAccount:service-PROJECT_NUMBER@gcp-sa-financialservices.iam.gserviceaccount.com" \
  --role="roles/cloudkms.cryptoKeyEncrypterDecrypter" \
  --project="PROJECT_ID"

与支持团队联系

每次创建 AML AI 实例时请与支持团队联系。请提供以下信息， AML AI 产品团队能以最优方式配置您的实例，：

项目 ID
Google Cloud 区域
实例 ID
此实例中数据集中 Party 表中的预期派对数量
交易中每年的预期交易次数此实例中数据集内包含的表

如需申请额外的配额限制，请参阅配额。

AML AI 提供多种类型的日志，包括平台日志、审核日志和数据访问日志。详细了解每种日志记录类型：