Per impostazione predefinita, tutti i dati at-rest in Cloud Firestore vengono criptati utilizzando la crittografia predefinita di Google. Cloud Firestore gestisce questa crittografia per conto tuo senza che tu debba fare altro.
Se hai requisiti normativi o di conformità specifici relativi alle chiavi che proteggono i tuoi dati, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) per Cloud Firestore. Invece di Google, sei tu a gestire le chiavi di crittografia che proteggono i tuoi dati. Il tuo database Cloud Firestore è protetto utilizzando una chiave che controlli e gestisci in Cloud Key Management Service (Cloud KMS).
In questa pagina viene descritto CMEK per Cloud Firestore. Per saperne di più sulle CMEK in generale, incluso quando e perché attivarle, consulta la seguente documentazione di Cloud KMS:
Per istruzioni sull'esecuzione di attività relative alle CMEK con Cloud Firestore, consulta Utilizza CMEK.
Funzionalità
- Controlli relativi ai dati: CMEK ti consente di gestire la chiave KMS. Puoi ruotare, disattivare e distruggere la chiave utilizzata per criptare i dati at-rest nel tuo database Cloud Firestore.
- Prestazioni: CMEK non influisce sullo SLA di Cloud Firestore.
- Controllabilità: se attivi l'audit logging per Cloud KMS, tutte le operazioni sulla chiave vengono registrate e sono visualizzabili in Cloud Logging.
- Vincoli delle policy dell'organizzazione: puoi utilizzare i vincoli delle policy dell'organizzazione CMEK per specificare i requisiti di conformità della crittografia per i database Cloud Firestore della tua organizzazione.
Prezzi
Cloud KMS addebita il costo della chiave e di tutte le operazioni di crittografia eseguite utilizzando la chiave. Per saperne di più, consulta Prezzi di Cloud KMS.
Ti vengono addebitati i costi delle operazioni quando Cloud Firestore chiede alla chiave Cloud KMS di eseguire un'operazione di crittografia o decriptazione. L'operazione di crittografia o decrittografia da parte della chiave gestita dal cliente viene eseguita ogni 5 minuti e non è sincronizzata con le richieste del database. I costi sono generalmente bassi, dato il numero previsto di operazioni crittografiche generate da Cloud Firestore. I costi per Cloud Audit Logs rappresentano una spesa aggiuntiva, ma si prevede che siano generalmente bassi, dato il numero previsto di operazioni di crittografia.
Non sono previsti costi aggiuntivi di Cloud Firestore per l'utilizzo del database protetto da CMEK e continuano ad applicarsi i prezzi di Cloud Firestore.
Se revochi la chiave di un database, il costo di archiviazione verrà addebitato in base alle dimensioni dell'ultimo giorno in cui la chiave era disponibile. Continuerai a sostenere i costi di archiviazione per le dimensioni del database fino a quando il database non verrà eliminato o la chiave non tornerà disponibile.
Cosa è protetto con CMEK
Quando crei un database Cloud Firestore protetto da CMEK, la tua chiave Cloud KMS viene utilizzata per proteggere i dati at-rest. Sono inclusi i dati che memorizzi su un disco o un'unità flash, inclusi indici e backup. Sono previste alcune eccezioni. I seguenti tipi di dati vengono criptati con la crittografia predefinita di Google e non con la chiave CMEK:
- Dati in transito o in memoria
- Metadati del database
Come viene gestito lo stato di una chiave non disponibile
Le operazioni di crittografia e decrittografia non vengono eseguite per ogni richiesta di dati. Invece, il sistema Cloud Firestore esegue il polling di Cloud KMS ogni 5 minuti per verificare se la chiave è ancora disponibile, quindi esegue le operazioni di crittografia e decriptazione se la chiave è disponibile.
Se il sistema rileva che la chiave non è disponibile, entro 10 minuti tutte le chiamate successive al database Cloud Firestore, incluse letture, scritture e query, restituiscono un errore INVALID_ARGUMENT con il seguente messaggio:
The customer-managed encryption key required by the requested
resource is not accessible.
Se il database ha policy di durata (TTL) e se vengono superate le date di scadenza mentre la chiave non è disponibile, l'eliminazione dei dati in base alla TTL verrà ritardata fino al reintegro della chiave. Se nel database sono in corso operazioni a lunga esecuzione, queste verranno interessate come segue:
- Le operazioni di creazione degli indici e le operazioni di attivazione di nuove policy TTL non verranno più eseguite. Le operazioni interrotte verranno ritentate se la chiave viene reintegrata.
Le chiavi sono considerate non disponibili in qualsiasi situazione che impedisca intenzionalmente a Cloud Firestore di accedere alla chiave. È incluso quanto segue:
- Disattivazione o distruzione della versione della chiave in uso. Fai attenzione quando elimini una versione della chiave, perché questa operazione può causare la perdita non recuperabile dei dati.
- Rimozione dell'autorizzazione per accedere alla chiave dal service account Cloud Firestore.
Se la chiave viene reintegrata, l'operazione di polling rileva che la chiave è di nuovo disponibile. L'accesso viene riattivato, di solito entro pochi minuti, ma in rari casi possono essere necessarie fino a poche ore. Tieni presente che la propagazione di alcune operazioni sulle chiavi Cloud KMS, come la disattivazione o l'eliminazione di una chiave, può richiedere fino a 3 ore. Cloud Firestore non rileva alcuna modifica finché non viene applicata in Cloud KMS.
La reintegrazione di una chiave prevede quanto segue, a seconda della situazione:
- Riattivazione di una versione della chiave disattivata.
- Ripristino di una versione della chiave eliminata. Prima di essere eliminata definitivamente, una versione della chiave viene pianificata per l'eliminazione. Puoi ripristinare una chiave solo durante il periodo in cui è pianificata la distruzione di una versione della chiave. Non puoi ripristinare una chiave che è già stata distrutta definitivamente.
- Concedi nuovamente l'autorizzazione all'agente di servizio Cloud Firestore per accedere alla chiave.
Considerazioni sulla rotazione delle chiavi
Quando ruoti la chiave CMEK, Cloud Firestore cripta nuovamente il database con l'ultima versione principale della chiave CMEK. Durante il processo di nuova crittografia, mantieni disponibili sia la versione precedente sia la nuova versione della chiave. Una volta completata la nuova crittografia, la disattivazione o l'eliminazione delle versioni precedenti della chiave CMEK non disattiverà l'accesso al database, poiché è criptato con la nuova versione della chiave primaria.
Puoi anche visualizzare le versioni delle chiavi utilizzate per proteggere un database. Per saperne di più, consulta Visualizza la chiave in uso.
Considerazioni principali sulle chiavi esterne
Quando utilizzi una chiave Cloud EKM, Google non ha alcun controllo sulla disponibilità della chiave gestita esternamente nel sistema partner di gestione delle chiavi esterne.
Se una chiave gestita esternamente non è disponibile, Cloud Firestore continua a supportare le operazioni complete sul database utilizzando una versione memorizzata nella cache della chiave per un massimo di un'ora.
Dopo un'ora, se Cloud Firestore non riesce ancora a connettersi a Cloud KMS, Cloud Firestore inizia a portare il database offline come misura di protezione. Le chiamate al database non andranno a buon fine e verrà visualizzato un errore INVALID_ARGUMENT che include ulteriori dettagli.
Consulta la documentazione di Cloud External Key Manager per ulteriori considerazioni sull'utilizzo delle chiavi esterne.
Backup e ripristino
Un backup utilizza lo stesso meccanismo di crittografia del database da cui lo hai creato. Quando un database Cloud Firestore protetto da CMEK crea un backup, lo cripta con la versione della chiave primaria utilizzata al momento della creazione del backup.
Cloud Firestore crea il primo backup di un database CMEK 24 ore dopo l'attivazione delle pianificazioni dei backup.
Per ulteriori informazioni sui backup di Cloud Firestore, consulta Esegui il backup e il ripristino dei dati.
Per impostazione predefinita, un database ripristinato da un backup utilizza lo stesso meccanismo di crittografia del backup. Quando ripristini un database, puoi specificare un tipo di crittografia diverso in uno dei seguenti modi:
- Esegui il ripristino in un database CMEK con una chiave appena specificata.
- Ripristina in un database non CMEK che utilizza la crittografia predefinita di Google.
- Esegui il ripristino in un database che utilizza la stessa crittografia del backup.
Per saperne di più sul ripristino di un database Cloud Firestore da un backup, consulta Ripristina i dati da un backup del database. Per saperne di più sul ripristino di un database Cloud Firestore protetto da CMEK da un backup, consulta Ripristina un database protetto da CMEK.
Clona
Per impostazione predefinita, un database clonato da un altro database utilizza lo stesso meccanismo di crittografia del database di origine. Quando cloni un database, puoi specificare un tipo di crittografia diverso in uno dei seguenti modi:
- Clona in un database CMEK con una chiave appena specificata.
- Clonare in un database non CMEK che utilizza la crittografia predefinita di Google.
- (Predefinito) Clona in un database che utilizza la stessa crittografia del database di origine.
Per saperne di più sulla clonazione di un database Cloud Firestore, consulta Clona un database. Per saperne di più sulla clonazione di un database Cloud Firestore protetto da CMEK, consulta Clona un database protetto da CMEK.
Monitoraggio delle chiavi
Puoi utilizzare il monitoraggio delle chiavi per visualizzare le risorse, ad esempio i database Cloud Firestore, protette da una chiave. Per saperne di più sul monitoraggio delle chiavi, consulta Visualizza l'utilizzo delle chiavi.
CMEK e disponibilità delle chiavi
Quando le chiavi non sono disponibili o sono disattivate, tieni presente i seguenti comportamenti che possono verificarsi nei database abilitati per CMEK:
Puoi eliminare un database CMEK con chiavi non disponibili.
Quando crei un database abilitato per CMEK, le chiavi disabilitate non vengono visualizzate nell'elenco delle chiavi disponibili nella console Google Cloud. Se inserisci manualmente una chiave disattivata, il processo di creazione del database non andrà a buon fine e verrà visualizzato un errore 400 di
INVALID_ARGUMENT.
Limitazioni
Non puoi modificare una chiave per un database protetto da CMEK. Puoi ruotare, attivare e disattivare le chiavi.
Non puoi attivare CMEK sui database esistenti. Puoi attivare CMEK solo sui nuovi database e devi farlo al momento della creazione del database. Per eseguire la migrazione dei dati di un database esistente non CMEK in un database protetto da CMEK, esporta i dati e poi importali in un nuovo database protetto da CMEK. Puoi anche ripristinare o clonare i dati da un database non CMEK a un database CMEK.
Cloud Firestore supporta un numero limitato di database protetti da CMEK.