伺服器端加密

Cloud Firestore 會在資料寫入磁碟前，自動加密所有資料。您不需做額外的安裝或設定，也無須調整您存取此服務的方式。資料會在獲得授權的使用者讀取時自動透明地解密資料。

金鑰管理

使用伺服器端加密時，您可以讓 Google 代為管理加密編譯金鑰，也可以使用客戶自行管理的加密金鑰 (CMEK) 自行管理金鑰。

根據預設，Google 會使用與我們加密自家資料相同的強化金鑰管理系統，代表您管理加密編譯金鑰，包括嚴格的金鑰存取控管和稽核。每個 Cloud Firestore 物件的資料和中繼資料都會加密，且每個加密金鑰本身都會以一組定期輪替的主金鑰加密。

如要瞭解如何自行管理金鑰，請參閱「Cloud Firestore 的 CMEK」。

用戶端加密

伺服器端加密可與用戶端加密搭配使用。在用戶端加密中，您必須自行管理加密金鑰，並在將資料寫入 Cloud Firestore 之前加密資料。在這種情況下，資料會加密兩次，一次使用您的金鑰，另一次使用伺服器端金鑰。

為了在讀取和寫入作業期間保護透過網際網路傳輸的資料，我們使用傳輸層安全標準 (TLS)。如要進一步瞭解支援的 TLS 版本，請參閱「Google Cloud 的傳輸中資料加密」。

後續步驟

如要進一步瞭解 Cloud Firestore 和其他 Google Cloud 產品的靜態資料加密，請參閱「Google Cloud 的靜態資料加密」。