Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer Managed Encryption Keys, CMEK) verwenden

Console

So weisen Sie Ihrem Dienst-Agent eine Cloud KMS-Rolle zu. Sie können auch eine Berechtigung auf Schlüssel- oder Schlüsselbundebene gewähren, wenn Sie einen niedrigeren Detaillierungsgrad benötigen.

1. Öffnen Sie in der Google Cloud Console die Seite IAM.

   Zur Seite "IAM"

2. Klicken Sie auf Hinzufügen.

3. Geben Sie die ID im E-Mail-Format für Ihren Cloud Firestore-Dienst-Agent ein.

4. Wählen Sie die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.

5. Klicken Sie auf Speichern.

gcloud

Weisen Sie Ihrem Dienst-Agent die Rolle cloudkms.cryptoKeyEncrypterDecrypter zu:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Ersetzen Sie Folgendes:

• KMS_KEY durch den Namen, den Sie dem Schlüssel zugewiesen haben
• KMS_KEYRING durch den KMS-Schlüsselbund, der den Schlüssel enthält
• KMS_LOCATION durch die Region, die den Schlüsselbund enthält
• SERVICE_AGENT_EMAIL durch die E-Mail-ID des Dienst-Agents, dem Sie Zugriff gewähren.
• KMS_PROJECT durch das Projekt, das den Schlüssel enthält

Im Terminal sollte eine Antwort wie die folgende angezeigt werden:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Rufen Sie in der Google Cloud Console die Seite Datenbanken auf.

   Zur Seite „Datenbanken“

2. Klicken Sie auf Datenbank erstellen.

3. Wählen Sie den Datenbankmodus aus. Klicken Sie auf Weiter.

4. Geben Sie auf der Seite Datenbank konfigurieren eine Datenbank-ID ein.

5. Wählen Sie eine Zielregion aus.

6. Klicken Sie auf Verschlüsselungsoptionen anzeigen und wählen Sie dann Cloud KMS-Schlüssel aus.

7. Wählen Sie den Ressourcennamen für den CMEK aus, den Sie für die Datenbank verwenden möchten, oder geben Sie ihn ein.

8. Die Liste der Schlüssel ist auf das aktuelle Google Cloud-Projekt und den von Ihnen ausgewählten Datenbankstandort beschränkt. Wenn Sie einen Schlüssel aus einem anderen Google Cloud-Projekt verwenden möchten, klicken Sie auf Projekt wechseln oder Schlüssel manuell eingeben.

9. Wenn Sie aufgefordert werden, dem Dienstkonto Cloud Firestore die Schlüsselberechtigung zu erteilen, klicken Sie auf Erteilen. Damit Sie eine CMEK-Datenbank erstellen können, muss Ihrem Cloud Firestore-Dienstkonto die Rolle cloudkms.cryptoKeyEncrypterDecrypter zugewiesen werden.

10. Wählen Sie Sicherheitsregeln für Mobil- und Webclients aus.

11. Klicken Sie auf Datenbank erstellen.

Nachdem die Datenbank erstellt wurde, können Sie prüfen, ob CMEK für die Datenbank aktiviert ist. Rufen Sie dazu die Datenbankdetails auf:

• Wenn Ihre Datenbank durch CMEK geschützt ist, wird im Feld Verschlüsselungstyp der Wert Vom Kunden verwaltet angezeigt. Im Feld Verschlüsselungsschlüssel werden der entsprechende Cloud KMS-Schlüssel und die Schlüsselversion aufgeführt, die zum Schutz dieser Datenbank verwendet wird.
• Wenn Ihre Datenbank nicht durch CMEK geschützt ist, wird im Feld Verschlüsselungstyp der Wert Von Google verwaltet angezeigt.

gcloud

Bevor Sie eine CMEK-fähige Datenbank mit Google Cloud CLI erstellen, installieren Sie die aktuelle Version und autorisieren Sie gcloud CLI. Weitere Informationen finden Sie unter gcloud CLI installieren.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• FIRESTORE_DATABASE_LOCATION durch den Cloud Firestore-Standort für die Datenbank
• DATABASE_ID durch eine ID für die Datenbank

• KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT durch das Projekt, das für Ihre Cloud Firestore-Datenbank verwendet werden soll

REST API

HTTP-Anfrage:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

Konfigurieren Sie im Anfragetext CMEK im Feld cmek_config.kms_key_name.

Legen Sie die vollständige Ressourcen-ID eines Cloud KMS-Schlüssels fest. Es ist nur ein Schlüssel am selben Standort wie diese Datenbank zulässig.

Dieser Wert sollte die Cloud KMS-Schlüsselressourcen-ID im Format projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} sein.

Weitere Informationen zu anderen Feldern finden Sie auf der Seite zu database create.

Beispielanfrage:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

Verwenden Sie das Feld KMS-Schlüsselname, um eine CMEK-fähige Datenbank zu erstellen. Wenn Sie den Parameter --kms-key-name nicht angeben, erstellt Cloud Firestore standardmäßig eine Datenbank ohne CMEK.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• LOCATION durch den Standort Ihrer Datenbank.
• KMS_PROJECT durch das Projekt, das Ihren CMEK-Schlüssel enthält.
• KMS_LOCATION durch den Standort, der Ihren CMEK-Schlüssel und -Schlüsselbund enthält
• KMS_KEYRING_ID durch die ID Ihres CMEK-Schlüsselbunds
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Cloud Firestore-Datenbank verwendet werden soll

Prüfen Sie mit der Firebase CLI, ob Ihre Cloud Firestore-Datenbank geschützt ist:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Die folgenden CMEK-Informationen werden in der Antwortnachricht angezeigt:

• Das Feld KMS-Schlüsselname enthält den vollständigen Namen der Schlüsselressource, die zum Verschlüsseln Ihrer Cloud Firestore-CMEK-Datenbank verwendet wird.
• Das Feld Aktive Schlüsselversionen enthält eine Liste aller Schlüsselversionen, die derzeit von dieser CMEK-Datenbank verwendet werden. Während der Schlüsselrotation können mehrere aktive Schlüsselversionen vorhanden sein.

Terraform

Verwenden Sie zum Erstellen einer CMEK-fähigen Datenbank die Ressource google_firestore_database. Weitere Informationen und Beispiele finden Sie unter google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

Ersetzen Sie Folgendes:

• FIRESTORE_PROJECT durch das Projekt, das für Ihre Cloud Firestore-Datenbank verwendet werden soll
• DATABASE_ID durch eine ID für die Datenbank
• FIRESTORE_DATABASE_LOCATION durch den Cloud Firestore-Standort für die Datenbank
• DATABASE_TYPE durch FIRESTORE_NATIVE für den nativen Modus oder DATASTORE_MODE für den Datastore-Modus.

• KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

CMEK-geschützte Datenbank mit CMEK-Verschlüsselung wiederherstellen

Wenn Sie die CMEK-Verschlüsselung wiederherstellen möchten, führen Sie den Befehl gcloud firestore databases restore mit den optionalen Flags encryption-type und kms-key-name aus, um den Verschlüsselungstyp für die wiederhergestellte Datenbank zu konfigurieren. Wenn Sie den Verschlüsselungstyp nicht angeben, wird für die wiederhergestellte Datenbank dieselbe Verschlüsselungskonfiguration wie für die Sicherung verwendet.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Ersetzen Sie KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK-geschützte Datenbank mit Standardverschlüsselung wiederherstellen

Wenn Sie die Standardverschlüsselung von Google (nicht CMEK) wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK-geschützte Datenbank mit demselben Verschlüsselungstyp wie die Sicherung wiederherstellen

Wenn Sie den gleichen Verschlüsselungstyp wie bei der Sicherung wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

CMEK-geschützte Datenbank mit CMEK-Verschlüsselung wiederherstellen

Wenn Sie die CMEK-Verschlüsselung wiederherstellen möchten, verwenden Sie die optionalen Flags encryption-type und kms-key-name. Wenn Sie den Verschlüsselungstyp nicht angeben, wird für die wiederhergestellte Datenbank dieselbe Verschlüsselungskonfiguration wie für die Sicherung verwendet.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Cloud Firestore-Datenbank verwendet werden soll
• FIRESTORE_LOCATION durch den Standort Ihrer Cloud Firestore-Datenbank
• BACKUP_ID durch die ID Ihrer Sicherung
• KMS_PROJECT durch das Projekt, das Ihren CMEK-Schlüssel enthält.
• KMS_LOCATION durch den Standort, der Ihren CMEK-Schlüssel und -Schlüsselbund enthält
• KMS_KEYRING_ID durch die ID Ihres CMEK-Schlüsselbunds

Prüfen Sie, ob die wiederhergestellte Cloud Firestore-Datenbank mit CMEK verschlüsselt ist:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK-geschützte Datenbank mit Standardverschlüsselung wiederherstellen

Wenn Sie die Standardverschlüsselung von Google (nicht CMEK) wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Cloud Firestore-Datenbank verwendet werden soll
• FIRESTORE_LOCATION durch den Standort Ihrer Cloud Firestore-Datenbank
• BACKUP_ID durch die ID Ihrer Sicherung

CMEK-geschützte Datenbank mit demselben Verschlüsselungstyp wie die Sicherung wiederherstellen

Wenn Sie den gleichen Verschlüsselungstyp wie bei der Sicherung wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Cloud Firestore-Datenbank verwendet werden soll
• FIRESTORE_LOCATION durch den Standort Ihrer Cloud Firestore-Datenbank
• BACKUP_ID durch die ID Ihrer Sicherung

gcloud

CMEK-geschützte Datenbank in CMEK-Verschlüsselung klonen

Wenn Sie mit CMEK-Verschlüsselung klonen möchten, führen Sie den Befehl gcloud firestore databases clone mit den optionalen Flags encryption-type und kms-key-name aus, um den Verschlüsselungstyp für die geklonte Datenbank zu konfigurieren. Wenn Sie den Verschlüsselungstyp nicht angeben, wird für die geklonte Datenbank dieselbe Verschlüsselungskonfiguration wie für die Quelldatenbank verwendet.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Ersetzen Sie KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK-geschützte Datenbank mit Standardverschlüsselung klonen

Wenn Sie in die Standardverschlüsselung von Google (nicht CMEK) klonen möchten, legen Sie das Flag encryption-type so fest:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

CMEK-geschützte Datenbank mit demselben Verschlüsselungstyp wie die Quelldatenbank klonen

Wenn Sie den Klon mit demselben Verschlüsselungstyp wie die Quelldatenbank erstellen möchten, legen Sie das Flag encryption-type so fest:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

Dies ist auch das Standardverhalten, wenn --encryption-type nicht angegeben ist.

Firebase CLI

CMEK-geschützte Datenbank mit CMEK-Verschlüsselung klonen

Wenn Sie mit CMEK-Verschlüsselung klonen möchten, führen Sie den Befehl firebase firestore:databases:clone mit den optionalen Flags encryption-type und kms-key-name aus, um den Verschlüsselungstyp für die geklonte Datenbank zu konfigurieren. Wenn Sie den Verschlüsselungstyp nicht angeben, wird für die geklonte Datenbank dieselbe Verschlüsselungskonfiguration wie für die Quelldatenbank verwendet.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

Ersetzen Sie KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK-geschützte Datenbank mit Standardverschlüsselung klonen

Wenn Sie in die Standardverschlüsselung von Google (nicht CMEK) klonen möchten, legen Sie das Flag encryption-type so fest:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

CMEK-geschützte Datenbank in denselben Verschlüsselungstyp wie die Quelldatenbank klonen

Wenn Sie den Klon mit demselben Verschlüsselungstyp wie die Quelldatenbank erstellen möchten, legen Sie das Flag encryption-type so fest:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

Dies ist auch das Standardverhalten, wenn --encryption-type nicht angegeben ist.

gcloud

Mit dem Befehl databases describe gcloud CLI können Sie die CMEK-Konfiguration der Datenbank prüfen:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

In der Antwort sollten im Feld cmekConfig CMEK-Informationen ähnlich den folgenden angezeigt werden:

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

Die Antwort enthält die folgenden Informationen:

• kmsKeyName: Der vollständige Schlüsselressourcenname des Schlüssels, der zum Verschlüsseln Ihrer CMEK-geschützten Datenbank verwendet wird.
• activeKeyVersion: Eine Liste aller Schlüsselversionen, die derzeit von der CMEK-geschützten Datenbank verwendet werden. Während der Schlüsselrotation können mehrere aktive Schlüsselversionen vorhanden sein. Sowohl die alte als auch die neue Schlüsselversion müssen während der Schlüsselrotation verfügbar sein. Deaktivieren Sie die alte Schlüsselversion erst, wenn sie nicht mehr im Feld activeKeyVersion angezeigt wird.

REST API

HTTP-Anfrage:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Konfigurieren Sie im Anfragetext CMEK im Feld cmek_config.kms_key_name. Legen Sie die vollständige Ressourcen-ID eines Cloud KMS-Schlüssels fest. Es ist nur ein Schlüssel am selben Standort wie diese Datenbank zulässig.

Dieser Wert sollte die Ressourcen-ID des Cloud KMS-Schlüssels im Format projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} sein.

Weitere Informationen zu anderen Feldern finden Sie auf der Seite zu database create.

Beispiel für Anfrage und Antwort:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}