Sử dụng khoá mã hoá do khách hàng quản lý (CMEK)

Bảng điều khiển

Để cấp vai trò Cloud KMS cho tác nhân dịch vụ, hãy làm như sau. Bạn cũng có thể cấp quyền ở cấp khoá hoặc bộ khoá nếu muốn có mức độ chi tiết thấp hơn.

1. Trong Google Cloud Console, hãy chuyển đến trang IAM.

   Chuyển đến trang IAM

2. Nhấp vào Thêm.

3. Nhập mã nhận dạng có định dạng email cho nhân viên hỗ trợ dịch vụ Cloud Firestore của bạn.

4. Chọn vai trò Cloud KMS CryptoKey Encrypter/Decrypter.

5. Nhấp vào Lưu.

gcloud

Cấp vai trò cloudkms.cryptoKeyEncrypterDecrypter cho tác nhân dịch vụ:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Thay thế nội dung sau:

• KMS_KEY bằng tên bạn đã chỉ định cho khoá
• KMS_KEYRING bằng bộ khoá KMS chứa khoá
• KMS_LOCATION bằng khu vực chứa bộ khoá
• SERVICE_AGENT_EMAIL bằng giá trị nhận dạng có định dạng email cho tác nhân dịch vụ mà bạn đang cấp quyền truy cập
• KMS_PROJECT bằng dự án chứa khoá

Thiết bị đầu cuối sẽ hiển thị phản hồi tương tự như sau:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Bảng điều khiển

1. Trong Google Cloud Console, hãy chuyển đến trang Databases (Cơ sở dữ liệu).

   Chuyển đến trang Cơ sở dữ liệu

2. Nhấp vào Tạo cơ sở dữ liệu Firestore.

3. Nhập mã nhận dạng cơ sở dữ liệu.

4. Chọn Enterprise Edition.

5. Chọn vị trí cho cơ sở dữ liệu của bạn.

6. Nhấp vào Hiển thị các lựa chọn mã hoá, rồi chọn Khoá Cloud KMS.

7. Chọn hoặc nhập tên tài nguyên cho khoá CMEK mà bạn muốn sử dụng cho cơ sở dữ liệu.

8. Danh sách khoá chỉ bao gồm dự án Google Cloud hiện tại và vị trí cơ sở dữ liệu mà bạn đã chọn. Để sử dụng khoá từ một dự án Google Cloud khác, hãy nhấp vào Chuyển đổi dự án hoặc Nhập khoá theo cách thủ công.

9. Nếu bạn được nhắc cấp quyền khoá cho tài khoản dịch vụ Cloud Firestore, hãy nhấp vào Grant (Cấp quyền). Để tạo một cơ sở dữ liệu CMEK, tài khoản dịch vụ Cloud Firestore của bạn phải được cấp vai trò cloudkms.cryptoKeyEncrypterDecrypter.

10. Chọn quy tắc bảo mật cho ứng dụng di động và ứng dụng web.

11. Nhấp vào Create Database (Tạo cơ sở dữ liệu).

Sau khi tạo cơ sở dữ liệu, bạn có thể xác minh rằng cơ sở dữ liệu đã bật CMEK bằng cách xem Chi tiết cơ sở dữ liệu:

• Nếu cơ sở dữ liệu của bạn được bảo vệ bằng CMEK, thì trường Loại mã hoá sẽ hiển thị là Do khách hàng quản lý và trường Khoá mã hoá sẽ liệt kê Cloud KMS tương ứng và phiên bản khoá được dùng để bảo vệ cơ sở dữ liệu này.
• Nếu cơ sở dữ liệu của bạn không được bảo vệ bằng CMEK, thì trường Loại mã hoá sẽ hiển thị là Do Google quản lý.

gcloud

Trước khi tạo cơ sở dữ liệu hỗ trợ CMEK bằng Google Cloud CLI, hãy cài đặt phiên bản mới nhất và uỷ quyền cho gcloud CLI. Để biết thêm thông tin, hãy xem bài viết Cài đặt gcloud CLI.

gcloud firestore databases create \
    --location=FIRESTORE_DATABASE_LOCATION \
    --database=DATABASE_ID \
    --edition=enterprise \
    --kms-key-name=KMS_KEY_NAME \
    --project=FIRESTORE_PROJECT

Thay thế nội dung sau:

• FIRESTORE_DATABASE_LOCATION bằng vị trí của cơ sở dữ liệu
• DATABASE_ID bằng mã nhận dạng cho cơ sở dữ liệu

• KMS_KEY_NAME bằng tên bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn

gcloud

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để khôi phục về chế độ mã hoá CMEK, hãy chạy lệnh gcloud firestore databases restore bằng cờ encryption-type và kms-key-name không bắt buộc để định cấu hình loại mã hoá cho cơ sở dữ liệu được khôi phục. Nếu bạn không chỉ định loại mã hoá, thì cơ sở dữ liệu được khôi phục sẽ sử dụng cùng cấu hình mã hoá như bản sao lưu.

gcloud firestore databases restore \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Thay thế KMS_KEY_NAME bằng tên bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá mặc định

Để khôi phục về phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

gcloud firestore databases restore \
--encryption-type=google-default-encryption

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về cùng loại mã hoá với bản sao lưu

Để khôi phục về cùng loại mã hoá với bản sao lưu, hãy đặt cờ encryption-type theo cách sau:

gcloud firestore databases restore --encryption-type=use-source-encryption

Giao diện dòng lệnh (CLI) của Firebase

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để khôi phục về phương thức mã hoá CMEK, hãy sử dụng cờ encryption-type và kms-key-name không bắt buộc. Nếu bạn không chỉ định loại mã hoá, cơ sở dữ liệu được khôi phục sẽ sử dụng cùng một cấu hình mã hoá như bản sao lưu.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID bằng mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn
• FIRESTORE_LOCATION bằng vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID bằng mã nhận dạng của bản sao lưu
• KMS_PROJECT với dự án chứa khoá CMEK của bạn
• KMS_LOCATION bằng vị trí chứa khoá CMEK và bộ khoá của bạn
• KMS_KEYRING_ID bằng mã nhận dạng của bộ khoá CMEK

Xác nhận rằng cơ sở dữ liệu Cloud Firestore đã khôi phục của bạn được mã hoá bằng CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá mặc định

Để khôi phục về phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID bằng mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn
• FIRESTORE_LOCATION bằng vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID bằng mã nhận dạng của bản sao lưu

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về cùng loại mã hoá với bản sao lưu

Để khôi phục về cùng loại mã hoá với bản sao lưu, hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Thay thế nội dung sau:

• DATABASE_ID bằng mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn
• FIRESTORE_LOCATION bằng vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID bằng mã nhận dạng của bản sao lưu

gcloud

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để sao chép sang phương thức mã hoá CMEK, hãy chạy lệnh gcloud firestore databases clone bằng cờ encryption-type và kms-key-name không bắt buộc để định cấu hình loại mã hoá cho cơ sở dữ liệu được sao chép. Nếu bạn không chỉ định loại mã hoá, cơ sở dữ liệu được sao chép sẽ sử dụng cùng một cấu hình mã hoá với cơ sở dữ liệu nguồn.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Thay thế KMS_KEY_NAME bằng tên bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang chế độ mã hoá mặc định

Để sao chép sang phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

Sao chép cơ sở dữ liệu được bảo vệ bằng CMEK sang cùng loại mã hoá với cơ sở dữ liệu nguồn

Để sao chép sang cùng một loại mã hoá như cơ sở dữ liệu nguồn, hãy đặt cờ encryption-type theo cách sau:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

Đây cũng là hành vi mặc định nếu bạn không chỉ định --encryption-type.

Giao diện dòng lệnh (CLI) của Firebase

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để sao chép sang phương thức mã hoá CMEK, hãy chạy lệnh firebase firestore:databases:clone bằng các cờ encryption-type và kms-key-name không bắt buộc để định cấu hình loại mã hoá cho cơ sở dữ liệu được sao chép. Nếu bạn không chỉ định loại mã hoá, cơ sở dữ liệu được sao chép sẽ sử dụng cùng một cấu hình mã hoá với cơ sở dữ liệu nguồn.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

Thay thế KMS_KEY_NAME bằng tên bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang chế độ mã hoá mặc định

Để sao chép sang phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

Sao chép cơ sở dữ liệu được bảo vệ bằng CMEK sang cùng loại mã hoá với cơ sở dữ liệu nguồn

Để sao chép sang cùng một loại mã hoá như cơ sở dữ liệu nguồn, hãy đặt cờ encryption-type theo cách sau:

  firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

Đây cũng là hành vi mặc định nếu bạn không chỉ định --encryption-type.

gcloud

Bạn có thể sử dụng lệnh databases describe gcloud CLI để xác nhận cấu hình CMEK của cơ sở dữ liệu:

gcloud firestore databases describe \
  --database=DATABASE_ID \
  --project=FIRESTORE_PROJECT

Bạn sẽ thấy thông tin về CMEK trong trường cmekConfig trong phản hồi tương tự như sau:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

Phản hồi bao gồm những thông tin sau:

• kmsKeyName: tên tài nguyên khoá đầy đủ của khoá dùng để mã hoá cơ sở dữ liệu được bảo vệ bằng CMEK.
• activeKeyVersion: danh sách tất cả phiên bản khoá đang được cơ sở dữ liệu được CMEK bảo vệ sử dụng. Trong quá trình xoay vòng khoá, bạn có thể có nhiều phiên bản khoá đang hoạt động. Cả phiên bản khoá cũ và phiên bản khoá mới đều phải có sẵn trong quá trình xoay vòng khoá. Đừng tắt phiên bản khoá cũ cho đến khi phiên bản đó không còn xuất hiện trong trường activeKeyVersion.

API REST

Yêu cầu HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Trong nội dung yêu cầu, hãy định cấu hình CMEK trong trường cmek_config.kms_key_name. Đặt thành mã tài nguyên đầy đủ của khoá Cloud KMS. Bạn chỉ được phép sử dụng khoá ở cùng vị trí với cơ sở dữ liệu này.

Giá trị này phải là mã tài nguyên khoá Cloud KMS ở định dạng projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}.

Để biết thêm thông tin chi tiết về các trường khác, hãy xem trang database create.

Ví dụ về yêu cầu:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

Ví dụ về phản hồi:

{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ...
}