এই পৃষ্ঠায় Cloud Firestore-এর জন্য গ্রাহকের ম্যানেজ করা এনক্রিপশন কী (CMEK) সম্পর্কিত টাস্ক কীভাবে সম্পূর্ণ করতে হয় তা বর্ণনা করা হয়েছে। CMEK সম্পর্কে আরও তথ্য, যেমন কখন এবং কেন এটি চালু করতে হবে, Cloud KMS ডকুমেন্টেশন দেখুন।
আপনার CMEK কী প্রস্তুত করুন
CMEK-সুরক্ষিত Cloud Firestore ডেটাবেস তৈরি করার আগে, আপনাকে অবশ্যই নিম্নলিখিত ধাপগুলি সম্পূর্ণ করতে হবে:
- Cloud Firestore CMEK ফিচার অ্যাক্সেস করার জন্য অনুরোধ করুন।
- Cloud Firestore পরিষেবা এজেন্ট তৈরি (বা ফিরিয়ে আনা) করুন।
- CMEK কী তৈরি করুন।
- সেই 'কী'-এর জন্য IAM সেটিংস কনফিগার করুন।
CMEK-সুরক্ষিত Cloud Firestore ডেটাবেস থাকবে এমন প্রতিটি প্রোজেক্টের জন্য এইসব ধাপ সম্পূর্ণ করুন। আপনি পরে নতুন CMEK কী তৈরি করলে, আপনাকে অবশ্যই সেই কী-এর জন্য IAM সেটিংস কনফিগার করতে হবে।
অ্যাক্সেসের অনুরোধ করুন
Cloud Firestore পরিষেবা এজেন্ট তৈরি করার আগে, অ্যাক্সেসের অনুরোধ জানানোর ফর্ম পূরণ করে CMEK ফিচারে অ্যাক্সেসের জন্য অনুরোধ করুন।
Cloud Firestore পরিষেবা এজেন্ট তৈরি করুন
CMEK কী তৈরি করার আগে, আপনার কাছে একটি Cloud Firestore পরিষেবা এজেন্ট থাকতে হবে, যা এক ধরনের Google-পরিচালিত পরিষেবা অ্যাকাউন্ট যা Cloud Firestore কী অ্যাক্সেস করতে ব্যবহার করে।
আপনার হয়ে CMEK কী অ্যাক্সেস করার জন্য Cloud Firestore যে পরিষেবা এজেন্ট ব্যবহার করে, সেটি তৈরি করতে services identity create কমান্ড রান করুন। এই কমান্ডটি পরিষেবা অ্যাকাউন্টটি আগে থেকে না থাকলে তৈরি করে, তারপর এটি দেখায়।
gcloud beta services identity create \
--service=firestore.googleapis.com \
--project FIRESTORE_PROJECT
আপনার Cloud Firestore ডেটাবেসের জন্য যে প্রোজেক্ট ব্যবহার করার পরিকল্পনা করছেন,
সেটি দিয়ে FIRESTORE_PROJECT পরিবর্তন করুন।
কমান্ডটি পরিষেবা এজেন্টের আইডি দেখায়, যা ইমেল আইডির মতো ফর্ম্যাট করা থাকে। আউটপুট ইমেল স্ট্রিং রেকর্ড করুন, কারণ আপনি এটি পরের ধাপে ব্যবহার করবেন।
Service identity created:
service-xxx@gcp-sa-firestore.
'কী' তৈরি করুন
আপনি সরাসরি Cloud KMS-এ তৈরি করা 'কী' অথবা Cloud External Key Manager-এর মাধ্যমে উপলভ্য করা এক্সটার্নাল ম্যানেজ করা 'কী' ব্যবহার করতে পারবেন।
Cloud KMS কী লোকেশন অবশ্যই Cloud Firestore ডেটাবেসের লোকেশনের মতো একই হতে হবে যার সাথে এটি ব্যবহার করা হবে।
রিজিওনাল ডেটাবেস লোকেশনের জন্য, কী রিং, কী এবং ডেটাবেসের জন্য একই লোকেশনের নাম ব্যবহার করুন কারণ লোকেশনের নামের ওয়ান-টু-ওয়ান ম্যাপিং আছে।
যেমন, আপনি যদি
us-west1-এ CMEK-সুরক্ষিত ডেটাবেস তৈরি করতে চান, তাহলেus-west1-এ কী রিং ও কী তৈরি করুন।মাল্টি-রিজিয়ন ডেটাবেস লোকেশনের জন্য, KMS মাল্টি-রিজিয়ন লোকেশনের লোকেশন নাম ব্যবহার করুন:
Cloud Firestore
nam5মাল্টি-রিজিয়ন লোকেশনের জন্যusমাল্টি-রিজিয়ন লোকেশন Cloud KMS ব্যবহার করুন।Cloud Firestore
eur3মাল্টি-রিজিয়ন লোকেশনের জন্যeuropeমাল্টি-রিজিয়ন লোকেশন Cloud KMS ব্যবহার করুন।
যে Google Cloud প্রোজেক্টে আপনার 'কী' ম্যানেজ করতে চান, সেখানে নিম্নলিখিত ধাপগুলি সম্পূর্ণ করুন:
নিম্নলিখিত বিকল্পগুলির মধ্যে একটি ব্যবহার করে একটি কী রিং এবং একটি কী তৈরি করুন:
- সরাসরি Cloud KMS-এ 'কী' রিং ও 'কী' তৈরি করুন।
- এক্সটার্নালভাবে ম্যানেজ করা 'কী' ব্যবহার করুন। এক্সটার্নাল 'কী' তৈরি করুন এবং তারপরে Cloud KMS-এর মাধ্যমে 'কী' উপলভ্য করতে Cloud EKM 'কী' তৈরি করুন।
'কী'-এর জন্য IAM সেটিংস কনফিগার করুন
কনসোল
আপনার পরিষেবা এজেন্টকে Cloud KMS ভূমিকা প্রদান করতে, নিম্নলিখিত ধাপগুলি অনুসরণ করুন। আপনি যদি কম গ্র্যানুলারিটি চান, তাহলে কী বা কী-রিং লেভেলে অনুমতি দিতে পারবেন।
Google Cloud কনসোলে, IAM পৃষ্ঠায় যান।
যোগ করুন বিকল্পে ক্লিক করুন।
আপনার Cloud Firestore পরিষেবা এজেন্টের জন্য ইমেল-ফর্ম্যাট করা আইডি লিখুন।
Cloud KMS CryptoKey Encrypter/Decrypter ভূমিকা বেছে নিন।
সেভ করুন বিকল্পে ক্লিক করুন।
gcloud
আপনার পরিষেবা এজেন্টকে cloudkms.cryptoKeyEncrypterDecrypter ভূমিকা প্রদান করুন:
gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT
নিম্নলিখিতগুলি পরিবর্তন করুন:
KMS_KEY-এ আপনি 'কী'-এর যে নাম দিয়েছেনKMS_KEYRING-এর সাথে KMS কী রিং যাতে কী রয়েছে- কী রিং আছে এমন অঞ্চলের সাথে
KMS_LOCATION - আপনি যে পরিষেবা এজেন্টকে অ্যাক্সেস দিচ্ছেন তার জন্য
ইমেল-ফর্ম্যাট করা শনাক্তকারী সহ
SERVICE_AGENT_EMAIL KMS_PROJECT-এর সাথে সেই প্রোজেক্ট যাতে 'কী' আছে
টার্মিনালে নিম্নলিখিত উত্তরের মতো কিছু দেখতে পাবেন:
Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.
role: roles/cloudkms.cryptoKeyEncrypterDecrypter
CMEK-চালু করা ডেটাবেস তৈরি করুন
আপনার CMEK 'কী' তৈরি ও কনফিগার করার পরে, আপনি CMEK-সুরক্ষিত ডেটাবেস তৈরি করতে পারবেন। Google-এর ডিফল্ট এনক্রিপশন দ্বারা সুরক্ষিত আগে থেকে থাকা Cloud Firestore ডেটাবেস CMEK ব্যবহার করার জন্য কনভার্ট করা যাবে না।
আপনি শুধুমাত্র CMEK-চালু করা ডেটাবেস তৈরি করার সময় এনক্রিপশনের ধরন ও 'কী' বেছে নিতে পারবেন।
কনসোল
Google Cloud কনসোলে, ডেটাবেস পৃষ্ঠায় যান।
Firestore ডেটাবেস তৈরি করুন বিকল্পে ক্লিক করুন।
ডেটাবেসের আইডি লিখুন।
Enterprise Edition বেছে নিন।
আপনার ডেটাবেসের জন্য একটি লোকেশন বেছে নিন।
এনক্রিপশন বিকল্প দেখুন-এ ক্লিক করুন এবং তারপরে Cloud KMS কী বেছে নিন।
আপনি ডেটাবেসের জন্য যে CMEK কী ব্যবহার করতে চান, সেটির রিসোর্সের নাম বেছে নিন বা লিখুন।
কী-এর তালিকা বর্তমান Google Cloud প্রোজেক্ট এবং আপনার বেছে নেওয়া ডেটাবেস লোকেশনের মধ্যে সীমাবদ্ধ। অন্য Google Cloud প্রোজেক্ট থেকে কোনও 'কী' ব্যবহার করতে, প্রোজেক্ট পাল্টান অথবা ম্যানুয়ালি 'কী' লিখুন বিকল্পে ক্লিক করুন।
আপনাকে Cloud Firestore পরিষেবা অ্যাকাউন্টে কী সংক্রান্ত অনুমতি দেওয়ার জন্য প্রম্পট করা হলে, অনুমতি দিন বিকল্পে ক্লিক করুন। CMEK ডেটাবেস তৈরি করতে, আপনার Cloud Firestore পরিষেবা অ্যাকাউন্টকে অবশ্যই
cloudkms.cryptoKeyEncrypterDecrypterভূমিকা প্রদান করতে হবে।মোবাইল ও ওয়েব ক্লায়েন্টের জন্য নিরাপত্তা সংক্রান্ত নিয়ম বেছে নিন।
ডেটাবেস তৈরি করুন বিকল্পে ক্লিক করুন।
ডেটাবেস তৈরি করার পরে, ডেটাবেসের বিবরণ দেখে আপনি যাচাই করতে পারবেন যে ডেটাবেসটি CMEK-চালু করা আছে কিনা:
- আপনার ডেটাবেস CMEK দ্বারা সুরক্ষিত থাকলে, এনক্রিপশনের ধরন ফিল্ডে গ্রাহকের ম্যানেজ করা হিসেবে দেখায় এবং এনক্রিপশন কী ফিল্ডে সংশ্লিষ্ট Cloud KMS এবং এই ডেটাবেস সুরক্ষিত করতে ব্যবহৃত কী ভার্সন তালিকাভুক্ত করে।
- আপনার ডেটাবেস CMEK দ্বারা সুরক্ষিত না থাকলে, এনক্রিপশনের ধরন ফিল্ডে Google-ম্যানেজ করা হিসেবে দেখায়।
gcloud
Google Cloud CLI-এর মাধ্যমে CMEK-চালু ডেটাবেস তৈরি করার আগে, লেটেস্ট ভার্সন ইনস্টল করুন এবং gcloud CLI-কে অনুমতি দিন। আরও তথ্যের জন্য, gcloud CLI ইনস্টল করুন দেখুন।
gcloud firestore databases create \
--location=FIRESTORE_DATABASE_LOCATION \
--database=DATABASE_ID \
--edition=enterprise \
--kms-key-name=KMS_KEY_NAME \
--project=FIRESTORE_PROJECT
নিম্নলিখিতগুলি পরিবর্তন করুন:
- ডেটাবেসের জন্য লোকেশন সহ
FIRESTORE_DATABASE_LOCATION - ডেটাবেসের জন্য আইডি সহ
DATABASE_ID KMS_KEY_NAME-এর সাথে আপনি 'কী'-এর জন্য যে নাম অ্যাসাইন করেছেন। নিম্নলিখিত ফর্ম্যাটে 'কী'-এর জন্য সম্পূর্ণ রিসোর্সের নাম ব্যবহার করুন:projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_IDFIRESTORE_PROJECTপ্রোজেক্টের সাথে আপনার Cloud Firestore ডেটাবেসের জন্য ব্যবহার করতে
CMEK-সুরক্ষিত ডেটাবেস অ্যাক্সেস করুন
CMEK-সুরক্ষিত ডেটাবেসে পাঠানো সমস্ত রিড, রাইট এবং কোয়েরি অপারেশন Google-এর ডিফল্ট এনক্রিপ্ট করা ডেটাবেসের মতোই কাজ করবে। যেমন, প্রতিটি অনুরোধের জন্য আপনাকে কী প্রদান করতে হবে না।
CMEK-সুরক্ষিত ডেটাবেস রিস্টোর করা
ব্যাক-আপ থেকে CMEK-সুরক্ষিত ডেটাবেস ফিরিয়ে আনার আগে:
- আপনি ডেটাবেস CMEK এনক্রিপশনে, Google-এর ডিফল্ট এনক্রিপশনে (নন-CMEK) নাকি ব্যাক-আপের মতো একই এনক্রিপশনে রিস্টোর করতে চান তা ঠিক করুন।
ব্যাক-আপ এনক্রিপ্ট করার জন্য আপনি যে 'কী' (প্রাথমিক-ভার্সন) এবং 'কী' ভার্সন ব্যবহার করেছেন তা প্রস্তুত করুন। কী এবং কী ভার্সন, দুটিই চালু করুন।
gcloud
CMEK-সুরক্ষিত ডেটাবেসকে CMEK এনক্রিপশনে ফিরিয়ে আনা
CMEK এনক্রিপশনে ফিরিয়ে আনতে, gcloud firestore databases restore
কমান্ডটি ঐচ্ছিক encryption-type এবং kms-key-name ফ্ল্যাগ সহ রান করুন যাতে
ফিরিয়ে আনা ডেটাবেসের জন্য এনক্রিপশনের ধরন কনফিগার করা যায়। আপনি এনক্রিপশনের ধরন উল্লেখ না করলে, রিস্টোর করা ডেটাবেস ব্যাক-আপের মতো একই এনক্রিপশন
কনফিগারেশন ব্যবহার করবে।
gcloud firestore databases restore \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME
KMS_KEY_NAME-এর জায়গায় আপনার 'কী'-এর জন্য অ্যাসাইন করা নাম
লিখুন। নিম্নলিখিত ফর্ম্যাটে 'কী'-এর জন্য সম্পূর্ণ রিসোর্স নাম ব্যবহার করুন:
projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
CMEK-সুরক্ষিত ডেটাবেস ডিফল্ট এনক্রিপশনে ফিরিয়ে আনা
Google-এর ডিফল্ট এনক্রিপশন (CMEK নয়) রিস্টোর করতে,
encryption-type ফ্ল্যাগটি এইভাবে সেট করুন:
gcloud firestore databases restore \
--encryption-type=google-default-encryption
ব্যাক-আপের মতো একই এনক্রিপশন টাইপে CMEK-সুরক্ষিত ডেটাবেস ফিরিয়ে আনা
ব্যাক-আপের মতো একই ধরনের এনক্রিপশন ফিরিয়ে আনতে, encryption-type ফ্ল্যাগটি এইভাবে সেট করুন:
gcloud firestore databases restore --encryption-type=use-source-encryption
Firebase CLI
CMEK-সুরক্ষিত ডেটাবেসকে CMEK এনক্রিপশনে ফিরিয়ে আনা
CMEK এনক্রিপশনে ফিরিয়ে আনতে, ঐচ্ছিক encryption-type এবং
kms-key-name ফ্ল্যাগ ব্যবহার করুন। আপনি এনক্রিপশনের ধরন উল্লেখ না করলে, রিস্টোর করা
ডেটাবেস ব্যাক-আপের মতো একই এনক্রিপশন কনফিগারেশন ব্যবহার করবে।
firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT
নিম্নলিখিতগুলি পরিবর্তন করুন:
- আপনার ডেটাবেসের আইডির সাথে
DATABASE_ID FIRESTORE_PROJECTপ্রোজেক্টের সাথে আপনার Cloud Firestore ডেটাবেসের জন্য ব্যবহার করতে- আপনার Cloud Firestore ডেটাবেসের
লোকেশন সহ
FIRESTORE_LOCATION - আপনার ব্যাক-আপের আইডি সহ
BACKUP_ID - আপনার CMEK 'কী' আছে এমন প্রোজেক্টের সাথে
KMS_PROJECT KMS_LOCATION-এ আপনার CMEK কী ও কী রিং সহ লোকেশন উল্লেখ করুনKMS_KEYRING_IDআপনার CMEK কী রিংয়ের আইডি সহ
আপনার ফিরিয়ে আনা Cloud Firestore ডেটাবেস CMEK-এনক্রিপ্ট করা কিনা তা কনফার্ম করুন:
firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT
CMEK-সুরক্ষিত ডেটাবেস ডিফল্ট এনক্রিপশনে ফিরিয়ে আনা
Google-এর ডিফল্ট এনক্রিপশন (CMEK নয়) রিস্টোর করতে,
encryption-type ফ্ল্যাগটি এইভাবে সেট করুন:
firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT
নিম্নলিখিতগুলি পরিবর্তন করুন:
- আপনার ডেটাবেসের আইডির সাথে
DATABASE_ID FIRESTORE_PROJECTপ্রোজেক্টের সাথে আপনার Cloud Firestore ডেটাবেসের জন্য ব্যবহার করতে- আপনার Cloud Firestore ডেটাবেসের
লোকেশন সহ
FIRESTORE_LOCATION - আপনার ব্যাক-আপের আইডি সহ
BACKUP_ID
ব্যাক-আপের মতো একই এনক্রিপশন টাইপে CMEK-সুরক্ষিত ডেটাবেস ফিরিয়ে আনা
ব্যাক-আপের মতো একই ধরনের এনক্রিপশন ফিরিয়ে আনতে, নিম্নলিখিত উপায়ে
encryption-type ফ্ল্যাগ সেট করুন:
firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION
নিম্নলিখিতগুলি পরিবর্তন করুন:
- আপনার ডেটাবেসের আইডির সাথে
DATABASE_ID FIRESTORE_PROJECTপ্রোজেক্টের সাথে আপনার Cloud Firestore ডেটাবেসের জন্য ব্যবহার করতে- আপনার Cloud Firestore ডেটাবেসের
লোকেশন সহ
FIRESTORE_LOCATION - আপনার ব্যাক-আপের আইডি সহ
BACKUP_ID
CMEK-সুরক্ষিত ডেটাবেস ক্লোন করুন
CMEK-সুরক্ষিত ডেটাবেস ক্লোন করার আগে:
- আপনি CMEK এনক্রিপশন, Google-এর ডিফল্ট এনক্রিপশন (নন-CMEK) বা সোর্স ডেটাবেসের মতো একই এনক্রিপশনে ডেটাবেস ক্লোন করতে চান কিনা তা ঠিক করুন।
সোর্স ডেটাবেস এনক্রিপ্ট করার জন্য আপনি যে 'কী' (প্রাইমারি-ভার্সন) এবং 'কী' ভার্সন ব্যবহার করেছেন তা প্রস্তুত করুন। কী এবং কী ভার্সন, দুটিই চালু করুন।
gcloud
CMEK-সুরক্ষিত ডেটাবেস CMEK এনক্রিপশনে ক্লোন করা
CMEK এনক্রিপশনে ক্লোন করতে, ক্লোন করা ডেটাবেসের জন্য এনক্রিপশনের ধরন কনফিগার করতে ঐচ্ছিক encryption-type এবং kms-key-name ফ্ল্যাগ সহ
gcloud firestore databases clone
কমান্ড রান করুন। আপনি এনক্রিপশনের ধরন উল্লেখ না করলে, ক্লোন করা ডেটাবেস সোর্স ডেটাবেসের মতো একই এনক্রিপশন কনফিগারেশন ব্যবহার করবে।
gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME
KMS_KEY_NAME-এর জায়গায় আপনার 'কী'-এর জন্য অ্যাসাইন করা নাম
লিখুন। নিম্নলিখিত ফর্ম্যাটে 'কী'-এর জন্য সম্পূর্ণ রিসোর্স নাম ব্যবহার করুন:
projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
CMEK-সুরক্ষিত ডেটাবেস ডিফল্ট এনক্রিপশনে ক্লোন করুন
Google-এর ডিফল্ট এনক্রিপশন (CMEK নয়) ক্লোন করতে,
encryption-type ফ্ল্যাগটি এইভাবে সেট করুন:
gcloud firestore databases clone \
--encryption-type=google-default-encryption
সোর্স ডেটাবেসের মতো একই এনক্রিপশন টাইপে CMEK-সুরক্ষিত ডেটাবেস ক্লোন করুন
সোর্স ডেটাবেসের মতো একই এনক্রিপশন টাইপে ক্লোন করতে, encryption-type ফ্ল্যাগটি নিম্নলিখিত উপায়ে সেট করুন:
gcloud firestore databases clone \
--encryption-type=use-source-encryption
--encryption-type নির্দিষ্ট করা না থাকলে, এটিও ডিফল্ট অ্যাকশন।
Firebase CLI
CMEK-সুরক্ষিত ডেটাবেস CMEK এনক্রিপশনে ক্লোন করা
CMEK এনক্রিপশনে ক্লোন করতে, ক্লোন করা ডেটাবেসের জন্য এনক্রিপশনের ধরন কনফিগার করতে
firebase firestore:databases:clone
কমান্ডটি ঐচ্ছিক encryption-type এবং kms-key-name ফ্ল্যাগ সহ রান করুন। আপনি এনক্রিপশনের ধরন উল্লেখ না করলে, ক্লোন করা ডেটাবেস সোর্স ডেটাবেসের মতো একই এনক্রিপশন কনফিগারেশন ব্যবহার করবে।
firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME
KMS_KEY_NAME-এর জায়গায় আপনার 'কী'-এর জন্য অ্যাসাইন করা নাম
লিখুন। নিম্নলিখিত ফর্ম্যাটে 'কী'-এর জন্য সম্পূর্ণ রিসোর্স নাম ব্যবহার করুন:
projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
CMEK-সুরক্ষিত ডেটাবেস ডিফল্ট এনক্রিপশনে ক্লোন করুন
Google-এর ডিফল্ট এনক্রিপশন (CMEK নয়) ক্লোন করতে,
encryption-type ফ্ল্যাগটি এইভাবে সেট করুন:
firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION
সোর্স ডেটাবেসের মতো একই এনক্রিপশন টাইপে CMEK-সুরক্ষিত ডেটাবেস ক্লোন করুন
সোর্স ডেটাবেসের মতো একই এনক্রিপশন টাইপে ক্লোন করতে, encryption-type ফ্ল্যাগটি নিম্নলিখিত উপায়ে সেট করুন:
firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION
--encryption-type নির্দিষ্ট করা না থাকলে, এটিও ডিফল্ট অ্যাকশন।
ব্যবহার করা হচ্ছে এমন 'কী' দেখুন
gcloud
আপনি databases describe gcloud CLI কমান্ড ব্যবহার করে ডেটাবেস CMEK কনফিগারেশন কনফার্ম করতে পারেন:
gcloud firestore databases describe \
--database=DATABASE_ID \
--project=FIRESTORE_PROJECT
আপনি উত্তরে cmekConfig ফিল্ডে CMEK তথ্য দেখতে পাবেন
যা নিম্নলিখিত তথ্যের মতো:
cmekConfig:
activeKeyVersion:
- projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
locationId: nam5
name: projects/PROJECT_ID/databases/DATABASE_ID
উত্তরে নিম্নলিখিত তথ্য অন্তর্ভুক্ত থাকে:
kmsKeyName: আপনার CMEK-সুরক্ষিত ডেটাবেস এনক্রিপ্ট করতে ব্যবহৃত কীয়ের সম্পূর্ণ কী রিসোর্স নাম।activeKeyVersion: CMEK-সুরক্ষিত ডেটাবেস ব্যবহার করছে এমন সব কী ভার্সনের তালিকা। কী রোটেশন চলাকালীন, আপনার কাছে একাধিক অ্যাক্টিভ কী ভার্সন থাকতে পারে। কী রোটেশনের সময় পুরনো কী ভার্সন এবং নতুন কী ভার্সন দুটিই উপলভ্য থাকতে হবে।activeKeyVersionফিল্ডে আর দেখা না যাওয়া পর্যন্ত পুরনো কী ভার্সন বন্ধ করবেন না।
REST API
HTTP অনুরোধ:
GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}
অনুরোধের বডিতে cmek_config.kms_key_name ফিল্ডে CMEK কনফিগার করুন।
Cloud KMS কী-এর সম্পূর্ণ রিসোর্স আইডিতে সেট করা। এই ডেটাবেসের মতো একই লোকেশনে থাকা
'কী' শুধুমাত্র অনুমোদিত।
এই ভ্যালু Cloud KMS কী রিসোর্স আইডি হতে হবে এবং এর ফর্ম্যাট হবে
projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}।
অন্যান্য ফিল্ডের ব্যাপারে আরও জানতে, database create পৃষ্ঠা দেখুন।
অনুরোধের উদাহরণ:
curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"
উত্তরের উদাহরণ:
{
"name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
"locationId": "{FIRESTORE_DATABASE_LOCATION}",
"type": "FIRESTORE_NATIVE",
"cmekConfig": {
"kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
"activeKeyVersion": [
"projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
]
},
...
}
'কী' বন্ধ করা
কোনও ডেটাবেসের সাথে যুক্ত 'কী' বন্ধ করতে, নিম্নলিখিত ধাপগুলি সম্পূর্ণ করুন:
- কোনও ডেটাবেসের জন্য ব্যবহার করা হচ্ছে এমন 'কী' ভার্সন দেখুন
- সেইসব 'কী' ভার্সন বন্ধ করুন
- পরিবর্তন কার্যকর হওয়ার জন্য অপেক্ষা করুন এবং ডেটা আর অ্যাক্সেস করা যাচ্ছে না কিনা তা চেক করুন। পরিবর্তনগুলি সাধারণত কয়েক মিনিটের মধ্যে কার্যকর হয়, তবে ৩ ঘণ্টা পর্যন্ত সময় লাগতে পারে।
ডেটাবেসের ব্যবহার করা কোনও 'কী' বন্ধ করা হলে, INVALID_ARGUMENT ব্যতিক্রম সহ সমস্যার মেসেজে অতিরিক্ত বিবরণ পাওয়ার আশা করুন,
যেমন:
{
"error": {
"code": 400,
"message": "Failed: (InvalidArgument) The customer-managed encryption key required by the requested resource is not accessible. Error reason: projects/{FIRESTORE_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1 is not enabled, current state is: DISABLED.",
"status": "INVALID_ARGUMENT",
"details": [
{
"@type": "type.googleapis.com/google.rpc.DebugInfo",
"detail": "Failed: (InvalidArgument) The customer-managed encryption key required by the requested resource is not accessible. Error reason: projects/{FIRESTORE_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1 is not enabled, current state is: DISABLED."
}
]
}
}
'কী' চালু করা
কোনও ডেটাবেসের সাথে যুক্ত 'কী' আবার চালু করতে, নিম্নলিখিত ধাপগুলি সম্পূর্ণ করুন:
- কোনও ডেটাবেসের জন্য ব্যবহার করা হচ্ছে এমন 'কী' ভার্সন দেখুন
- সেইসব 'কী' ভার্সন চালু করুন
- পরিবর্তন কার্যকর হওয়ার জন্য অপেক্ষা করুন এবং ডেটা আর অ্যাক্সেস করা যাচ্ছে না কিনা তা চেক করুন। পরিবর্তনগুলি সাধারণত কয়েক মিনিটের মধ্যে কার্যকর হয়, তবে ৩ ঘণ্টা পর্যন্ত সময় লাগতে পারে।
Cloud KMS 'কী'-এর জন্য অডিট লগ দেখা
Cloud KMS ডেটা অ্যাক্সেস অডিট লগ চালু করার আগে, আপনাকে Cloud অডিট লগ সম্পর্কে জানতে হবে।
Cloud KMS ডেটা অ্যাক্সেস অডিট লগ থেকে আপনি জানতে পারবেন যে কখন Cloud Firestore বা আপনার CMEK কী ব্যবহার করার জন্য কনফিগার করা অন্য কোনও প্রোডাক্ট Cloud KMS-এ এনক্রিপ্ট বা ডিক্রিপ্ট করার কল করে। Cloud Firestore প্রতিটি ডেটা অনুরোধে এনক্রিপ্ট বা ডিক্রিপ্ট কল ইস্যু করে না, পরিবর্তে একটি পোলার বজায় রাখে যা পর্যায়ক্রমে কী চেক করে। পোলিংয়ের ফলাফল অডিট লগে দেখা যায়।
আপনি Google Cloud কনসোল-এ অডিট লগ সেট-আপ করতে এবং ইন্টার্যাক্ট করতে পারবেন:
আপনার প্রোজেক্টে Cloud KMS API-এর জন্য লগিং চালু করা আছে কিনা তা ভাল করে দেখে নিন।
Google Cloud Console-এ Cloud Logging-এ যান।
কোয়েরি বিল্ডারে নিম্নলিখিত লাইনগুলি যোগ করে আপনার Cloud KMS কী-তে লগ এন্ট্রি সীমিত করুন:
resource.type="cloudkms_cryptokey" resource.labels.key_ring_id = KMS_KEYRING resource.labels.crypto_key_id = KMS_KEY resource.labels.location=KMS_LOCATIONনিম্নলিখিতগুলি পরিবর্তন করুন:
- CMEK কী-এর নাম সহ
KMS_KEY KMS_KEYRING-এর সাথে KMS কী রিং যাতে কী রয়েছেKMS_LOCATION-এর সাথে 'কী' ও 'কী রিং'-এর লোকেশন
লগটি প্রতি ডেটাবেসে প্রতি পাঁচ মিনিটে প্রায় কয়েকটি লগ এন্ট্রি দেখায়। লগ এন্ট্রিগুলি এই উদাহরণগুলির মতো দেখায়:
Info 2021-03-20 08:02:24.869 EDT Cloudkms.googleapis.com Decrypt projects/cloud-kms-project/locations/us-central1/keyRings/firestore-keys/cryptoKeys/my-cmek-key service-123456789123@gcp-sa-firestore. audit_log, method: "Decrypt", principal_email: "service-1234567891011@gcp-sa-firestore." Info 2021-03-20 08:02:24.913 EDT Cloudkms.googleapis.com Encrypt projects/cloud-kms-project/locations/us-central1/keyRings/firestore-keys/cryptoKeys/my-cmek-key service-123456789123@gcp-sa-firestore. audit_log, method: "Encrypt", principal_email: "service-123456789123@gcp-sa-firestore."- CMEK কী-এর নাম সহ
অডিট লগ ব্যাখ্যা করার বিষয়ে বিস্তারিত জানতে অডিট লগ বোঝা দেখুন।
CMEK-এর জন্য একটি সাংগঠনিক নীতি কনফিগার করুন
আপনার প্রতিষ্ঠানের Cloud Firestore ডেটাবেসের জন্য এনক্রিপশন সংক্রান্ত সম্মতি প্রয়োজনীয়তা নির্দিষ্ট করতে, CMEK প্রতিষ্ঠান নীতি সংক্রান্ত সীমাবদ্ধতা ব্যবহার করুন।
CMEK সুরক্ষা প্রয়োজন
Cloud Firestore ডেটাবেস তৈরির জন্য
CMEK প্রয়োজন হলে constraints/gcp.restrictNonCmekServices কনফিগার করুন। বাধ্যবাধকতা deny-এ সেট করুন এবং
অস্বীকার করার তালিকায় firestore.googleapis.com যোগ করুন, যেমন:
gcloud resource-manager org-policies deny gcp.restrictNonCmekServices is:firestore.googleapis.com --project=FIRESTORE_PROJECT
যে প্রোজেক্টে বিধিনিষেধ আরোপ করতে চান, FIRESTORE_PROJECT-এর জায়গায় সেটি লিখুন।
প্রতিষ্ঠান সংক্রান্ত নীতি কনফিগার করার ব্যাপারে আরও জানতে, নীতি তৈরি ও এডিট করা দেখুন।
নীতি কার্যকর হওয়ার পরে, আপনি প্রভাবিত প্রোজেক্টের অধীনে CMEK-নয় এমন ডেটাবেস তৈরি করার চেষ্টা করলে,
আপনি FAILED_PRECONDITION ব্যতিক্রম
এবং ত্রুটি মেসেজ পাবেন। যেমন, ব্যতিক্রম দেখতে এইরকম হয়:
{
"error": {
"code": 400,
"message": "Constraint 'constraints/gcp.restrictNonCmekServices' violated for 'projects/FIRESTORE_PROJECT' attempting to perform the operation 'google.firestore.admin.v1.FirestoreAdmin.CreateDatabase' with violated value 'firestore.googleapis.com'. See https://cloud.google.com/resource-manager/docs/organization-policy/org-policy-constraints for more information.",
"status": "FAILED_PRECONDITION",
"details": [
{
"@type": "type.googleapis.com/google.rpc.PreconditionFailure",
"violations": [
{
"type": "constraints/gcp.restrictNonCmekServices",
"subject": "orgpolicy:projects/FIRESTORE_PROJECT",
"description": "Constraint 'constraints/gcp.restrictNonCmekServices' violated for 'projects/FIRESTORE_PROJECT' attempting to perform the operation 'google.firestore.admin.v1.FirestoreAdmin.CreateDatabase' with violated value 'firestore.googleapis.com'. See https://cloud.google.com/resource-manager/docs/organization-policy/org-policy-constraints for more information."
}
]
CMEK-এর জন্য 'কী'-এর ব্যবহার সীমিত করুন
CMEK সুরক্ষার জন্য কোন Cloud KMS কী ব্যবহার করা হবে তা সীমিত করতে,
constraints/gcp.restrictCmekCryptoKeyProjects কনস্ট্রেন্ট কনফিগার করুন।
তালিকার সীমাবদ্ধতা হিসেবে, গ্রহণযোগ্য ভ্যালু হল রিসোর্স হায়ারার্কি ইন্ডিকেটর (যেমন,
projects/PROJECT_ID, under:folders/FOLDER_ID এবং
under:organizations/ORGANIZATION_ID)। রিসোর্স হায়ারার্কি ইন্ডিকেটরের একটি তালিকা কনফিগার করে এবং সীমাবদ্ধতাটি অনুমতি দিন-এ সেট করে এই সীমাবদ্ধতা ব্যবহার করুন।
এই কনফিগারেশন কাজ করে এমন পরিষেবাগুলিকে সীমাবদ্ধ করে যাতে CMEK কীগুলি শুধুমাত্র তালিকাভুক্ত প্রোজেক্ট, ফোল্ডার এবং সংস্থা থেকে বেছে নেওয়া যায়। অনুমোদিত রিসোর্সগুলির মধ্যে একটি থেকে Cloud Firestore কী ছাড়া কনফিগার করা পরিষেবাগুলিতে CMEK-সুরক্ষিত রিসোর্স তৈরি করার অনুরোধ সফল হয় না।
নিম্নলিখিত উদাহরণটি নির্দিষ্ট প্রোজেক্টে CMEK-সুরক্ষিত ডেটাবেসের জন্য শুধুমাত্র ALLOWED_KEY_PROJECT_ID থেকে কী ব্যবহারের অনুমতি দেয়:
gcloud resource-manager org-policies allow gcp.restrictCmekCryptoKeyProjects \
under:projects/<var>ALLOWED_KEY_PROJECT_ID</var> \
--project=<var>FIRESTORE_PROJECT</var>
নীতি কার্যকর হওয়ার পরে, আপনি FAILED_PRECONDITION ব্যতিক্রম
এবং সীমাবদ্ধতা লঙ্ঘন করলে একটি ত্রুটি মেসেজ পাবেন। ব্যতিক্রম
নিচে উল্লেখ করা উদাহরণের মতো দেখতে হয়:
{
"error": {
"code": 400,
"message": "Constraint 'constraints/gcp.restrictCmekCryptoKeyProjects' violated for 'projects/FIRESTORE_PROJECT' attempting to perform the operation 'google.firestore.admin.v1.FirestoreAdmin.CreateDatabase' with violated value 'projects/{NOT_ALLOWED_KEY_PROJECT}'. See https://cloud.google.com/resource-manager/docs/organization-policy/org-policy-constraints for more information.",
"status": "FAILED_PRECONDITION",
"details": [
{
"@type": "type.googleapis.com/google.rpc.PreconditionFailure",
"violations": [
{
"type": "constraints/gcp.restrictCmekCryptoKeyProjects",
"subject": "orgpolicy:projects/FIRESTORE_PROJECT",
"description": "Constraint 'constraints/gcp.restrictCmekCryptoKeyProjects' violated for 'projects/FIRESTORE_PROJECT' attempting to perform the operation 'google.firestore.admin.v1.FirestoreAdmin.CreateDatabase' with violated value 'projects/{NOT_ALLOWED_KEY_PROJECT}'. See https://cloud.google.com/resource-manager/docs/organization-policy/org-policy-constraints for more information."
}
]
}
]
}
}