Utiliser CMEK avec le moteur RAG Vertex AI

Cette page vous explique comment activer CMEK pour qu'il fonctionne avec le moteur RAG Vertex AI.

Présentation

Le moteur RAG Vertex AI offre des options robustes pour gérer le chiffrement de vos données au repos. Par défaut, toutes les données utilisateur de RagManagedDb sont chiffrées à l'aide de Google-owned and Google-managed encryption key, qui est le paramètre par défaut. Ce paramètre par défaut vous permet de vérifier que vos données sont sécurisées sans nécessiter de configuration spécifique.

Si vous avez besoin de plus de contrôle sur les clés utilisées pour le chiffrement, le moteur RAG Vertex AI est compatible avec les clés de chiffrement gérées par le client (CMEK). Avec CMEK, vous pouvez utiliser vos clés cryptographiques, gérées dans Cloud Key Management Service (KMS), pour protéger les données de votre corpus RAG.

Configurer la clé de chiffrement avec votre corpus RAG

Pour configurer une clé de chiffrement, suivez les étapes décrites dans Configurer votre clé KMS et accorder des autorisations.

Limites de CMEK pour le moteur RAG Vertex AI

Le moteur RAG de Vertex AI est compatible avec CMEK, mais présente les limites suivantes :

  • Avant de créer un corpus RAG, vous devez activer manuellement le compte de service RAG. Pour obtenir des instructions détaillées, consultez Accorder des autorisations à l'agent de service du moteur RAG Vertex AI.

  • Le chiffrement CMEK n'est compatible qu'avec les RagVectorDbConfig de type RagManagedDb.

  • Le champ encryption_spec définit la clé KMS. Il est immuable, ce qui signifie que la CMEK ne peut pas être activée ni désactivée une fois le corpus RAG créé.

  • Vous ne pouvez pas utiliser plus de 50 clés KMS uniques pour créer des corpus RAG par projet et par région.

Étapes suivantes