Usar claves de encriptación administradas por el cliente

De forma predeterminada, Google Cloud encripta los datos cuando están en reposo de manera automática mediante claves de encriptación administradas por Google. Si tienes requisitos normativos o de cumplimiento específicos relacionados con las claves que protegen los datos, puedes usar claves de encriptación administradas por el cliente (CMEK) para tus instancias de notebooks administrados de Vertex AI Workbench.

En esta página, se describen algunos beneficios y limitaciones específicos del uso de CMEK con notebooks administrados y se muestra cómo configurar una instancia de notebook nueva administrada para usar CMEK.

Para obtener información sobre las CMEK en general, incluso cuándo y por qué habilitarlas, consulta Claves de encriptación administradas por el cliente.

Beneficios de CMEK

En general, las CMEK son más útiles si necesitas control total sobre las claves que se usan para encriptar los datos. Mediante CMEK, puedes administrar las claves dentro de Cloud Key Management Service. Por ejemplo, puedes rotar o inhabilitar una clave, o bien puedes configurar una programación de rotación mediante la API de Cloud KMS.

Cuando ejecutas una instancia de notebooks administrados, esta se ejecuta en una infraestructura de procesamiento administrada por Google. Cuando habilitas CMEK para una instancia de notebooks administrados, Vertex AI Workbench usa la clave que designes, en lugar de una clave administrada por Google, para encriptar tus datos de usuario.

La clave CMEK no encripta los metadatos, como el nombre y la región de la instancia, asociados con tu instancia de notebook administrada. Los metadatos asociados con las instancias de notebooks administrados siempre se encriptan mediante el mecanismo de encriptación predeterminado de Google.

Limitaciones de CMEK

Para disminuir la latencia y evitar que los recursos dependan de los servicios distribuidos en varios dominios con fallas, Google recomienda proteger las instancias de notebooks regionales administrados con claves en la misma ubicación.

  • Puedes encriptar instancias de notebooks administrados regionales mediante claves en la misma ubicación o en la ubicación global. Por ejemplo, puedes encriptar datos del usuario en la región us-west1 mediante una clave en us-west1 o global.
  • La configuración de CMEK para notebooks administrados no configura de forma automática las CMEK en otros productos de Google Cloud que uses. Para usar CMEK a fin de encriptar datos en otros productos de Google Cloud, debes completar la configuración adicional.

Configura CMEK para la instancia de notebooks administrados

En las siguientes secciones, se describe cómo crear un llavero de claves y una clave en Cloud Key Management Service, cómo otorgar permisos de encriptador y desencriptador de cuenta de servicio para tu clave y cómo crear una instancia de notebooks administrados que use CMEK.

Antes de comenzar

Recomendamos usar una configuración que admita una separación de obligaciones. Si deseas configurar CMEK para notebooks administrados, puedes usar dos proyectos de Google Cloud diferentes:

  • Un proyecto de Cloud KMS: un proyecto para administrar tu clave de encriptación
  • Un proyecto de notebooks administrado: un proyecto para acceder a instancias de notebooks administrados y, también, interactuar con cualquier otro producto de Google Cloud que necesites para tu caso de uso

Como alternativa, puedes usar un solo proyecto de Google Cloud. Para hacerlo, usa el mismo proyecto para todas las tareas siguientes.

Configura el proyecto de Cloud KMS

  1. Accede a tu cuenta de Google Cloud. Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

  2. En la página del selector de proyectos de la consola de Google Cloud, selecciona o crea un proyecto de Google Cloud.

    Ir al selector de proyectos

  3. Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.

  4. Habilita la API de Cloud KMS.

    Habilita la API

    5.

  5. En la página del selector de proyectos de la consola de Google Cloud, selecciona o crea un proyecto de Google Cloud.

    Ir al selector de proyectos

  6. Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.

  7. Habilita la API de Cloud KMS.

    Habilita la API

    8.

Configura el proyecto de notebooks administrados

  1. Accede a tu cuenta de Google Cloud. Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

  2. En la página del selector de proyectos de la consola de Google Cloud, selecciona o crea un proyecto de Google Cloud.

    Ir al selector de proyectos

  3. Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.

  4. Habilita Notebooks API.

    Habilita la API

    5.

  5. En la página del selector de proyectos de la consola de Google Cloud, selecciona o crea un proyecto de Google Cloud.

    Ir al selector de proyectos

  6. Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.

  7. Habilita Notebooks API.

    Habilita la API

    8.

Configura la CLI de Google Cloud

La CLI de gcloud es obligatoria en algunos pasos de esta página y opcional en otros.

Instala Google Cloud CLI y, luego, inicializa la ejecución del siguiente comando: 

gcloud init

Crea un llavero de claves y una clave

Cuando crees un llavero de claves y una clave, ten en cuenta los siguientes requisitos:

  • Cuando elijas la ubicación de tu llavero de claves, usa global o la ubicación en la que se encuentra la instancia de notebooks administrados.

  • Asegúrate de crear el llavero de claves y la clave en el proyecto de Cloud KMS.

Para crear un llavero de claves y una clave, consulta Crea claves de encriptación simétricas.

Otorga permisos de notebooks administrados

Si configuras tu instancia con acceso de usuario único, debes otorgar permiso a tu proyecto de instancia de notebooks administrados para encriptar y desencriptar datos con tu clave. Otorgas este permiso al agente de servicio de tu proyecto. La dirección de correo electrónico de este agente de servicio se ve de la siguiente manera:

service-NOTEBOOKS_PROJECT_NUMBER@gcp-sa-notebooks.iam.gserviceaccount.com

Reemplaza NOTEBOOKS_PROJECT_NUMBER por el número del proyecto de la instancia de notebooks administrados.

Toma nota de la dirección de correo electrónico de tu agente de servicio. La usarás en los siguientes pasos para otorgar permiso al proyecto de tu instancia de notebooks administrados para