مفاتيح التشفير المُدارة من العميل (CMEK)

يتم تلقائيًا تشفير جميع البيانات غير النشطة في Cloud Firestore باستخدام تشفير Google التلقائي. Cloud Firestore يتولّى إدارة هذا التشفير نيابةً عنك بدون الحاجة إلى اتّخاذ أي إجراء إضافي من جانبك.

إذا كانت لديك متطلبات امتثال أو متطلبات تنظيمية معيّنة تتعلّق بالمفاتيح التي تحمي بياناتك، يمكنك استخدام مفاتيح التشفير التي يديرها العميل (CMEK) في Cloud Firestore. بدلاً من أن تدير Google مفاتيح التشفير التي تحمي بياناتك، تتم حماية قاعدة بيانات Cloud Firestore باستخدام مفتاح تتحكّم فيه وتديره في Cloud Key Management Service (Cloud KMS).

توضّح هذه الصفحة مفاتيح التشفير التي يديرها العميل (CMEK) في Cloud Firestore. لمزيد من المعلومات حول مفاتيح CMEK بشكل عام، بما في ذلك حالات تفعيلها وأسباب ذلك، يُرجى الاطّلاع على مستندات Cloud KMS التالية:

للحصول على تعليمات حول تنفيذ المهام ذات الصلة بمفاتيح التشفير التي يديرها العميل (CMEK) باستخدام Cloud Firestore، يُرجى الاطّلاع على استخدام مفاتيح التشفير التي يديرها العميل (CMEK).

الميزات

  • عناصر التحكّم بالبيانات: تتيح لك "مفاتيح التشفير التي يديرها العميل" إدارة مفتاح KMS. يمكنك تدوير المفتاح المستخدَم لتشفير البيانات غير النشطة في قاعدة بيانات Cloud Firestore وإيقافه وإتلافه.
  • الأداء: لا يؤثر مفتاح CMEK في اتفاقية مستوى الخدمة في Cloud Firestore.
  • إمكانية التدقيق: في حال تفعيل سجلّ التدقيق في Cloud KMS، يتم تسجيل جميع العمليات التي تتم على المفتاح ويمكن الاطّلاع عليها في Cloud Logging.
  • قيود سياسة المؤسسة: يمكنك استخدام قيود سياسة المؤسسة لمفاتيح CMEK لتحديد متطلبات الامتثال للتشفير لقواعد بيانات Cloud Firestore في مؤسستك.

الأسعار

تحصّل خدمة Cloud KMS رسومًا مقابل تكلفة المفتاح وأي عمليات تشفير يتم إجراؤها باستخدام هذا المفتاح. لمزيد من المعلومات، يُرجى الاطّلاع على أسعار Cloud KMS.

يتم تحصيل تكاليف العمليات منك عندما يطلب Cloud Firestore من مفتاح Cloud KMS تنفيذ عملية تشفير أو فك تشفير. تحدث عملية التشفير أو فك التشفير باستخدام المفتاح الذي يديره العميل كل 5 دقائق ولا تتم مزامنتها مع طلبات قاعدة البيانات. تكون التكاليف منخفضة بشكل عام، نظرًا إلى العدد المتوقّع لعمليات التشفير التي يتم إنشاؤها بواسطة Cloud Firestore. تُعدّ تكاليف "سجلّات تدقيق Cloud" نفقات إضافية، ولكن من المتوقّع أيضًا أن تكون منخفضة بشكل عام، نظرًا للعدد المتوقّع لعمليات التشفير.

لا توجد تكاليف إضافية في Cloud Firestore لاستخدام قاعدة بيانات محمية بمفاتيح تشفير مُدارة من قِبل العميل، ويستمر تطبيق أسعار Cloud Firestore.

في حال إبطال مفتاحك لقاعدة بيانات، سيتم تحصيل تكلفة مساحة التخزين استنادًا إلى حجم آخر يوم كان فيه المفتاح متاحًا. ستستمر في تحمّل تكاليف التخزين بحجم قاعدة البيانات هذا إلى أن يتم حذف قاعدة البيانات أو يصبح المفتاح متاحًا مرة أخرى.

البيانات المحمية باستخدام مفاتيح التشفير المُدارة من العميل (CMEK)

عند إنشاء قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير مُدارة من العميل (CMEK)، يتم استخدام مفتاح Cloud KMS لحماية البيانات غير النشطة. ويشمل ذلك البيانات التي تخزّنها على قرص أو وحدة ذاكرة فلاش، بما في ذلك الفهارس والنسخ الاحتياطية. تنطبق بعض الاستثناءات. يتم تشفير أنواع البيانات التالية باستخدام التشفير التلقائي من Google وليس باستخدام مفتاح CMEK:

  • البيانات أثناء النقل أو في الذاكرة
  • البيانات الوصفية لقاعدة البيانات

كيفية التعامل مع حالة مفتاح غير متوفّر

لا يتم إصدار عمليات التشفير وفك التشفير في كل طلب بيانات. بدلاً من ذلك، يستطلع نظام Cloud Firestore خدمة Cloud KMS كل 5 دقائق للتحقّق مما إذا كان المفتاح لا يزال متاحًا، ثم ينفّذ عمليات التشفير وفك التشفير إذا كان المفتاح متاحًا.

إذا رصد النظام أنّ المفتاح غير متاح، ستعرض أي طلبات لاحقة لقاعدة بيانات Cloud Firestore، بما في ذلك عمليات القراءة والكتابة وطلبات البحث، خطأ INVALID_ARGUMENT مع الرسالة التالية في غضون 10 دقائق:

The customer-managed encryption key required by the requested
resource is not accessible.

إذا كانت قاعدة البيانات تتضمّن سياسات مدة البقاء (TTL)، وإذا تم تجاوز أي أوقات انتهاء صلاحية أثناء عدم توفّر المفتاح، سيتم تأخير حذف البيانات حسب مدة البقاء إلى أن تتم إعادة المفتاح. إذا كانت قاعدة البيانات تتضمّن عمليات طويلة قيد التنفيذ، ستتأثر على النحو التالي:

تُعتبر المفاتيح غير متاحة في أي حالة تمنع Cloud Firestore عمدًا من الوصول إلى المفتاح. ويشمل ذلك ما يلي:

في حال استعادة المفتاح، ترصد عملية الاستطلاع أنّ المفتاح متاح مرة أخرى. تتم إعادة تفعيل إمكانية الوصول، عادةً في غضون دقائق، ولكن قد يستغرق ذلك ما يصل إلى بضع ساعات في حالات نادرة. يُرجى العِلم أنّ بعض العمليات على مفاتيح Cloud KMS، مثل إيقاف مفتاح أو تدميره، يمكن أن تستغرق ما يصل إلى 3 ساعات لنشرها. لا يرصد Cloud Firestore أي تغييرات إلا بعد أن تسري في Cloud KMS.

تتضمّن عملية إعادة تفعيل المفتاح ما يلي، حسب الحالة:

  • إعادة تفعيل إصدار مفتاح تم إيقافه
  • استعادة إصدار مفتاح تم تدميره قبل تدمير نسخة مفتاح بشكل نهائي، يتم تحديد موعد لتدميرها. يمكنك استعادة مفتاح فقط خلال الفترة التي يكون فيها إصدار المفتاح مجدولاً للتدمير. لا يمكنك استعادة مفتاح تم تدميره نهائيًا.
  • إعادة منح وكيل خدمة Cloud Firestore الإذن بالوصول إلى المفتاح

اعتبارات تدوير المفاتيح

عند تدوير مفتاح CMEK، يعيد Cloud Firestore تشفير قاعدة البيانات باستخدام أحدث إصدار أساسي من مفتاح CMEK. أثناء عملية إعادة التشفير، يجب إبقاء كل من إصدار المفتاح السابق والجديد متاحَين. بعد انتهاء إعادة التشفير، لن يؤدي إيقاف أو حذف الإصدارات السابقة من مفتاح CMEK إلى إيقاف الوصول إلى قاعدة البيانات لأنّها مشفّرة باستخدام إصدار المفتاح الأساسي الجديد.

يمكنك أيضًا الاطّلاع على نُسخ المفاتيح التي يتم استخدامها لحماية قاعدة بيانات. لمزيد من المعلومات، يُرجى الاطّلاع على عرض المفتاح قيد الاستخدام.

الاعتبارات الأساسية للمفاتيح الخارجية

عند استخدام مفتاح Cloud EKM، لا تملك Google أي تحكّم في مدى توفّر مفتاحك المُدار خارجيًا في نظام شريك إدارة المفاتيح الخارجية.

إذا لم يكن المفتاح المُدار خارجيًا متاحًا، يواصل Cloud Firestore إتاحة عمليات قاعدة البيانات الكاملة باستخدام نسخة مخزّنة مؤقتًا من المفتاح، لمدة تصل إلى ساعة واحدة.

بعد ساعة، إذا ظلّ تعذُّر اتصال "Cloud Firestore" بخدمة Cloud KMS قائمًا، سيبدأ "Cloud Firestore" في إيقاف قاعدة البيانات كإجراء وقائي. ستتعذّر الطلبات المرسَلة إلى قاعدة البيانات مع ظهور الخطأ INVALID_ARGUMENT الذي يتضمّن تفاصيل إضافية.

يمكنك الاطّلاع على مستندات Cloud External Key Manager لمزيد من الاعتبارات عند استخدام المفاتيح الخارجية.

الاحتفاظ بنسخة احتياطية والاستعادة

تستخدم النسخة الاحتياطية آلية التشفير نفسها التي تستخدمها قاعدة البيانات التي أنشأتها منها. عندما تنشئ قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير تديرها العميل نسخة احتياطية، يتم تشفير النسخة الاحتياطية باستخدام إصدار المفتاح الأساسي المستخدَم في وقت إنشاء النسخة الاحتياطية.

ينشئ Cloud Firestore النسخة الاحتياطية الأولى من قاعدة بيانات مفتاح التشفير المُدار من العميل بعد مرور 24 ساعة من لحظة تفعيل جداول الاحتفاظ بنسخة احتياطية.

لمزيد من المعلومات حول النُسخ الاحتياطية من "Cloud Firestore"، يُرجى الاطّلاع على مقالة الاحتفاظ بنسخة احتياطية من البيانات واستعادتها.

تستخدم قاعدة البيانات التي تمت استعادتها من نسخة احتياطية آلية التشفير نفسها التي تستخدمها النسخة الاحتياطية تلقائيًا. عند استعادة قاعدة بيانات، يمكنك تحديد نوع تشفير مختلف بإحدى الطرق التالية:

  • استعادة قاعدة بيانات CMEK باستخدام مفتاح محدّد حديثًا
  • استعادة البيانات إلى قاعدة بيانات لا تستخدم مفاتيح CMEK وتستخدم تشفير Google التلقائي
  • استعادة البيانات إلى قاعدة بيانات تستخدم التشفير نفسه المستخدَم في النسخة الاحتياطية

لمزيد من المعلومات حول استعادة قاعدة بيانات Cloud Firestore من نسخة احتياطية، يُرجى الاطّلاع على استعادة البيانات من نسخة احتياطية لقاعدة بيانات. لمزيد من المعلومات حول استعادة قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير يديرها العميل من نسخة احتياطية، يُرجى الاطّلاع على استعادة قاعدة بيانات محمية بمفاتيح تشفير يديرها العميل.

استنساخ

بشكل تلقائي، تستخدم قاعدة البيانات المستنسخة من قاعدة بيانات أخرى آلية التشفير نفسها التي تستخدمها قاعدة البيانات المصدر. عند استنساخ قاعدة بيانات، يمكنك تحديد نوع تشفير مختلف بإحدى الطرق التالية:

  • استنسِخ قاعدة البيانات إلى قاعدة بيانات CMEK باستخدام مفتاح محدّد حديثًا.
  • الاستنساخ إلى قاعدة بيانات لا تستخدم مفاتيح تشفير تديرها العميل وتستخدم تشفير Google التلقائي.
  • (تلقائي) الاستنساخ إلى قاعدة بيانات تستخدم التشفير نفسه المستخدَم في قاعدة البيانات المصدر

لمزيد من المعلومات حول استنساخ قاعدة بيانات Cloud Firestore، يُرجى الاطّلاع على مقالة استنساخ قاعدة بيانات. لمزيد من المعلومات حول استنساخ قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير يديرها العميل، يُرجى الاطّلاع على استنساخ قاعدة بيانات محمية بمفاتيح تشفير يديرها العميل.

تتبُّع المفاتيح

يمكنك استخدام ميزة تتبُّع المفاتيح لعرض الموارد، مثل قواعد بيانات Cloud Firestore، التي يحميها المفتاح. لمزيد من المعلومات حول تتبُّع المفاتيح، يُرجى الاطّلاع على عرض استخدام المفاتيح.

مفاتيح التشفير المُدارة من العميل ومدى توفّر المفاتيح

عندما تكون المفاتيح غير متاحة أو غير مفعَّلة، يُرجى الانتباه إلى السلوكيات التالية التي يمكن أن تحدث في قواعد البيانات التي تم تفعيل ميزة "المفاتيح المُدارة من العميل" فيها:

  • يمكنك حذف قاعدة بيانات CMEK تحتوي على مفاتيح غير متاحة.

  • عند إنشاء قاعدة بيانات تم تفعيل ميزة "مفاتيح التشفير التي يديرها العميل" فيها، لا تظهر المفاتيح غير المفعَّلة في قائمة المفاتيح المتاحة في وحدة تحكّم Google Cloud. في حال إدخال مفتاح غير مفعَّل يدويًا، ستتعذّر عملية إنشاء قاعدة البيانات وسيظهر الخطأ 400 في INVALID_ARGUMENT.

القيود

  • لا يمكنك تغيير مفتاح لقاعدة بيانات محمية بمفتاح CMEK. يمكنك تدوير المفاتيح وتفعيلها وإيقافها.

  • لا يمكنك تفعيل ميزة "مفاتيح التشفير التي يديرها العميل" في قواعد البيانات الحالية. يمكنك تفعيل مفتاح التشفير المُدار من العميل (CMEK) على قواعد البيانات الجديدة فقط، ويجب تفعيله عند إنشاء قاعدة البيانات. لنقل البيانات في قاعدة بيانات حالية غير محمية بمفتاح تشفير يديره العميل إلى قاعدة بيانات محمية بمفتاح تشفير يديره العميل، عليك تصدير بياناتك ثم استيرادها إلى قاعدة بيانات جديدة محمية بمفتاح تشفير يديره العميل. يمكنك أيضًا استعادة البيانات أو استنساخها من قاعدة بيانات لا تستخدم مفاتيح CMEK إلى قاعدة بيانات تستخدم هذه المفاتيح.

  • يتيح Cloud Firestore استخدام عدد محدود من قواعد البيانات المحمية بمفاتيح التشفير المُدارة من العميل (CMEK).

الخطوات التالية