सुरक्षित करने वाली ऐसी कुंजियों का इस्तेमाल करना जिन्हें ग्राहक मैनेज करता है (सीएमईके)

कंसोल

अपने सर्विस एजेंट को Cloud KMS की भूमिका असाइन करने के लिए, यह तरीका अपनाएं. अगर आपको कम ग्रेन्यूलरिटी चाहिए, तो बटन या की-रिंग के लेवल पर भी अनुमति दी जा सकती है.

1. Google Cloud Console में, IAM पेज पर जाएं.

   IAM पेज पर जाएं

2. जोड़ें पर क्लिक करें.

3. अपने Cloud Firestore सेवा एजेंट के लिए, ईमेल के फ़ॉर्मैट वाला आईडी डालें.

4. Cloud KMS CryptoKey Encrypter/Decrypter भूमिका चुनें.

5. सेव करें पर क्लिक करें.

gcloud

अपने सर्विस एजेंट को cloudkms.cryptoKeyEncrypterDecrypter की भूमिका असाइन करें:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

इनकी जगह ये डालें:

• KMS_KEY के साथ, कुंजी को असाइन किया गया नाम
• KMS_KEYRING केएमएस की उस की-रिंग के साथ जिसमें कुंजी मौजूद है
• KMS_LOCATION के साथ, उस क्षेत्र का नाम जिसमें की-रिंग मौजूद है
• SERVICE_AGENT_EMAIL में, उस सर्विस एजेंट के लिए ईमेल फ़ॉर्मैट वाला आइडेंटिफ़ायर शामिल करें जिसे आपको ऐक्सेस देना है
• KMS_PROJECT के पास उस प्रोजेक्ट का ऐक्सेस होना चाहिए जिसमें कुंजी मौजूद है

टर्मिनल पर, कुछ इस तरह का जवाब दिखना चाहिए:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

कंसोल

1. Google Cloud Console में, डेटाबेस पेज पर जाएं.

   डेटाबेस पेज पर जाएं

2. डेटाबेस बनाएं पर क्लिक करें.

3. डेटाबेस का मोड चुनें. जारी रखें पर क्लिक करें.

4. अपने डेटाबेस को कॉन्फ़िगर करें पेज पर, डेटाबेस आईडी डालें.

5. कोई जगह चुनें.

6. एन्क्रिप्शन के विकल्प दिखाएं पर क्लिक करें. इसके बाद, Cloud KMS कुंजी चुनें.

7. उस सीएमईके कुंजी के लिए संसाधन का नाम चुनें या डालें जिसका इस्तेमाल आपको डेटाबेस के लिए करना है.

8. कुंजियों की सूची, मौजूदा Google Cloud प्रोजेक्ट और आपके चुने गए डेटाबेस की जगह की जानकारी तक सीमित होती है. किसी दूसरे Google Cloud प्रोजेक्ट की कुंजी का इस्तेमाल करने के लिए, प्रोजेक्ट बदलें या कुंजी मैन्युअल तरीके से डालें पर क्लिक करें.

9. अगर आपको Cloud Firestore सेवा खाते को कुंजी की अनुमति देने के लिए कहा जाता है, तो अनुमति दें पर क्लिक करें. सीएमईके डेटाबेस बनाने के लिए, आपके Cloud Firestore सेवा खाते को cloudkms.cryptoKeyEncrypterDecrypter की भूमिका दी जानी चाहिए.

10. मोबाइल और वेब क्लाइंट के लिए सुरक्षा से जुड़े नियम चुनें.

11. डेटाबेस बनाएं पर क्लिक करें.

डेटाबेस बन जाने के बाद, यह पुष्टि की जा सकती है कि डेटाबेस में सीएमईके की सुविधा चालू है या नहीं. इसके लिए, डेटाबेस की जानकारी देखें:

• अगर आपका डेटाबेस सीएमईके से सुरक्षित है, तो एन्क्रिप्शन का टाइप फ़ील्ड में ग्राहक की ओर से मैनेज किया गया दिखेगा. साथ ही, एन्क्रिप्शन की फ़ील्ड में, Cloud KMS और कुंजी का वह वर्शन दिखेगा जिसका इस्तेमाल इस डेटाबेस को सुरक्षित रखने के लिए किया जाता है.
• अगर आपका डेटाबेस सीएमईके से सुरक्षित नहीं है, तो एन्क्रिप्शन का टाइप फ़ील्ड में Google-managed दिखेगा.

gcloud

Google Cloud CLI की मदद से, सीएमईके की सुविधा वाला डेटाबेस बनाने से पहले, Google Cloud CLI का नया वर्शन इंस्टॉल करें और इसे अनुमति दें.gcloud CLI ज़्यादा जानकारी के लिए, gcloud सीएलआई इंस्टॉल करना लेख पढ़ें.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

इनकी जगह ये डालें:

• FIRESTORE_DATABASE_LOCATION डेटाबेस के लिए Cloud Firestore जगह की जानकारी
• DATABASE_ID डेटाबेस के आईडी के साथ

• KMS_KEY_NAME के साथ, कुंजी को असाइन किया गया नाम. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT के साथ शेयर करें, ताकि इसका इस्तेमाल आपके Cloud Firestore डेटाबेस के लिए किया जा सके

REST API

एचटीटीपी अनुरोध:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

अनुरोध के मुख्य हिस्से में, cmek_config.kms_key_name फ़ील्ड में सीएमईके को कॉन्फ़िगर करें.

इसे Cloud KMS कुंजी के पूरे संसाधन आईडी पर सेट किया जाता है. सिर्फ़ उस कुंजी का इस्तेमाल किया जा सकता है जो इस डेटाबेस के साथ एक ही जगह पर मौजूद हो.

यह वैल्यू, Cloud KMS कुंजी के संसाधन का आईडी होना चाहिए. इसका फ़ॉर्मैट यह होना चाहिए: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

अन्य फ़ील्ड के बारे में ज़्यादा जानने के लिए, database create पेज देखें.

अनुरोध का उदाहरण:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

CMEK की सुविधा वाला डेटाबेस बनाने के लिए, केएमएस की का नाम फ़ील्ड का इस्तेमाल करें. अगर आपने --kms-key-name पैरामीटर की वैल्यू नहीं दी है, तो Cloud Firestore डिफ़ॉल्ट रूप से नॉन-सीएमईके डेटाबेस बनाता है.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• LOCATION में अपने डेटाबेस की जगह की जानकारी
• KMS_PROJECT उस प्रोजेक्ट के साथ जिसमें आपकी सीएमईके कुंजी है
• KMS_LOCATION के साथ, वह जगह जहां आपकी सीएमईके कुंजी और की-रिंग मौजूद है
• KMS_KEYRING_ID के साथ सीएमईके की रिंग का आईडी
• FIRESTORE_PROJECT के साथ शेयर करें, ताकि इसका इस्तेमाल आपके Cloud Firestore डेटाबेस के लिए किया जा सके

पुष्टि करें कि आपका Cloud Firestore डेटाबेस, Firebase CLI की मदद से सुरक्षित किया गया हो:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

जवाब के मैसेज में, सीएमईके के बारे में यह जानकारी दिखती है:

• KMS कुंजी का नाम फ़ील्ड में, कुंजी के संसाधन का पूरा नाम दिखता है. इसका इस्तेमाल, आपके Cloud Firestore सीएमईके डेटाबेस को एन्क्रिप्ट यानी सुरक्षित करने के लिए किया जाता है.
• ऐक्टिव कुंजी के वर्शन फ़ील्ड में, उन सभी कुंजी के वर्शन की सूची होती है जिनका इस्तेमाल फ़िलहाल इस सीएमईके डेटाबेस में किया जा रहा है. डेटा सुरक्षित करने वाली कुंजी का नया वर्शन बनाने के दौरान, आपके पास एक से ज़्यादा चालू कुंजी वर्शन हो सकते हैं.

Terraform

CMEK की सुविधा वाला डेटाबेस बनाने के लिए, google_firestore_database रिसॉर्स का इस्तेमाल करें. ज़्यादा जानकारी और उदाहरणों के लिए, google_firestore_database देखें.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

इनकी जगह ये डालें:

• FIRESTORE_PROJECT के साथ शेयर करें, ताकि इसका इस्तेमाल आपके Cloud Firestore डेटाबेस के लिए किया जा सके
• DATABASE_ID डेटाबेस के आईडी के साथ
• FIRESTORE_DATABASE_LOCATION डेटाबेस के लिए Cloud Firestore जगह की जानकारी
• DATABASE_TYPE के साथ, नेटिव मोड के लिए FIRESTORE_NATIVE या डेटास्टोर मोड के लिए DATASTORE_MODE का इस्तेमाल करें.

• KMS_KEY_NAME के साथ, कुंजी को असाइन किया गया नाम. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन पर वापस लाना

CMEK एन्क्रिप्शन को वापस लाने के लिए, gcloud firestore databases restore कमांड चलाएं. साथ ही, encryption-type और kms-key-name फ़्लैग का इस्तेमाल करके, वापस लाए गए डेटाबेस के लिए एन्क्रिप्शन टाइप कॉन्फ़िगर करें. अगर आपने एन्क्रिप्शन टाइप की जानकारी नहीं दी है, तो वापस लाए गए डेटाबेस में एन्क्रिप्शन के उसी कॉन्फ़िगरेशन का इस्तेमाल किया जाएगा जो बैकअप में इस्तेमाल किया गया था.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह, वह नाम डालें जो आपने कुंजी को असाइन किया है. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK से सुरक्षित डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) को वापस लाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK से सुरक्षित किए गए डेटाबेस को उसी तरह के एन्क्रिप्शन में वापस लाना जैसा बैकअप में था

बैकअप के लिए इस्तेमाल किए गए एन्क्रिप्शन टाइप का डेटा वापस पाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन पर वापस लाना

सीएमईके एन्क्रिप्शन पर वापस लाने के लिए, encryption-type और kms-key-name फ़्लैग का इस्तेमाल करें. अगर आपने एन्क्रिप्शन का टाइप नहीं बताया है, तो वापस लाए गए डेटाबेस में वही एन्क्रिप्शन कॉन्फ़िगरेशन इस्तेमाल किया जाएगा जो बैकअप में इस्तेमाल किया गया था.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• FIRESTORE_PROJECT के साथ शेयर करें, ताकि इसका इस्तेमाल आपके Cloud Firestore डेटाबेस के लिए किया जा सके
• FIRESTORE_LOCATION आपके Cloud Firestore डेटाबेस की जगह की जानकारी के साथ
• BACKUP_ID में बैकअप के आईडी से
• KMS_PROJECT उस प्रोजेक्ट के साथ जिसमें आपकी सीएमईके कुंजी है
• KMS_LOCATION के साथ, वह जगह जहां आपकी सीएमईके कुंजी और की-रिंग मौजूद है
• KMS_KEYRING_ID के साथ सीएमईके की रिंग का आईडी

पुष्टि करें कि आपका वापस लाया गया Cloud Firestore डेटाबेस, सीएमईके से एन्क्रिप्ट (सुरक्षित) किया गया है:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK से सुरक्षित डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) को वापस लाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• FIRESTORE_PROJECT के साथ शेयर करें, ताकि इसका इस्तेमाल आपके Cloud Firestore डेटाबेस के लिए किया जा सके
• FIRESTORE_LOCATION आपके Cloud Firestore डेटाबेस की जगह की जानकारी के साथ
• BACKUP_ID में बैकअप के आईडी से

CMEK से सुरक्षित किए गए डेटाबेस को उसी तरह के एन्क्रिप्शन में वापस लाना जैसा बैकअप में था

बैकअप के लिए इस्तेमाल किए गए एन्क्रिप्शन टाइप का डेटा वापस पाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• FIRESTORE_PROJECT के साथ शेयर करें, ताकि इसका इस्तेमाल आपके Cloud Firestore डेटाबेस के लिए किया जा सके
• FIRESTORE_LOCATION आपके Cloud Firestore डेटाबेस की जगह की जानकारी के साथ
• BACKUP_ID में बैकअप के आईडी से

gcloud

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन में क्लोन करना

CMEK एन्क्रिप्शन में क्लोन करने के लिए, gcloud firestore databases clone कमांड चलाएं. साथ ही, क्लोन किए गए डेटाबेस के लिए एन्क्रिप्शन का टाइप कॉन्फ़िगर करने के लिए, encryption-type और kms-key-name फ़्लैग का इस्तेमाल करें. हालांकि, ऐसा करना ज़रूरी नहीं है. अगर आपने एन्क्रिप्शन का टाइप नहीं बताया है, तो क्लोन किए गए डेटाबेस में, सोर्स डेटाबेस के एन्क्रिप्शन कॉन्फ़िगरेशन का इस्तेमाल किया जाएगा.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह, कुंजी को असाइन किया गया नाम डालें. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

सीएमईके से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन में क्लोन करना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर क्लोन करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

CMEK से सुरक्षित किए गए डेटाबेस को उसी तरह के एन्क्रिप्शन (सुरक्षित करने का तरीका) में क्लोन करना जैसा कि सोर्स डेटाबेस में है

सोर्स डेटाबेस के एन्क्रिप्शन टाइप को क्लोन करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

अगर --encryption-type के बारे में नहीं बताया गया है, तो यह डिफ़ॉल्ट रूप से लागू होता है.

Firebase CLI

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन में क्लोन करना

CMEK एन्क्रिप्शन में क्लोन करने के लिए, firebase firestore:databases:clone कमांड चलाएं. साथ ही, क्लोन किए गए डेटाबेस के लिए एन्क्रिप्शन टाइप को कॉन्फ़िगर करने के लिए, encryption-type और kms-key-name फ़्लैग का इस्तेमाल करें. अगर आपने एन्क्रिप्शन टाइप की जानकारी नहीं दी है, तो क्लोन किए गए डेटाबेस में एन्क्रिप्शन के उसी कॉन्फ़िगरेशन का इस्तेमाल किया जाएगा जो सोर्स डेटाबेस में इस्तेमाल किया गया था.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह, कुंजी को असाइन किया गया नाम डालें. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

सीएमईके से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन में क्लोन करना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर क्लोन करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

CMEK से सुरक्षित किए गए डेटाबेस को उसी तरह के एन्क्रिप्शन (सुरक्षित करने का तरीका) में क्लोन करना जैसा कि सोर्स डेटाबेस में है

सोर्स डेटाबेस के एन्क्रिप्शन टाइप को क्लोन करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

अगर --encryption-type के बारे में नहीं बताया गया है, तो यह डिफ़ॉल्ट रूप से लागू होता है.

gcloud

डेटाबेस के सीएमईके कॉन्फ़िगरेशन की पुष्टि करने के लिए, databases describe gcloud CLI कमांड का इस्तेमाल किया जा सकता है:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

आपको जवाब में cmekConfig फ़ील्ड में सीएमईके की जानकारी दिखनी चाहिए. यह जानकारी इस तरह दिखती है:

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

जवाब में यह जानकारी शामिल होती है:

• kmsKeyName: उस कुंजी का पूरा नाम जिसका इस्तेमाल, CMEK से सुरक्षित किए गए आपके डेटाबेस को एन्क्रिप्ट (सुरक्षित) करने के लिए किया जाता है.
• activeKeyVersion: सीएमईके से सुरक्षित किए गए डेटाबेस में, फ़िलहाल इस्तेमाल किए जा रहे सभी कुंजी वर्शन की सूची. डेटा सुरक्षित करने वाली कुंजी का नया वर्शन बनाने के दौरान, आपके पास एक से ज़्यादा चालू कुंजी वर्शन हो सकते हैं. डेटा सुरक्षित करने वाली कुंजी का नया वर्शन बनाने के दौरान, कुंजी का पुराना और नया, दोनों वर्शन उपलब्ध होने चाहिए. जब तक activeKeyVersion फ़ील्ड में पुराना वर्शन न दिखे, तब तक उसे बंद न करें.

REST API

एचटीटीपी अनुरोध:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

अनुरोध के मुख्य हिस्से में, cmek_config.kms_key_name फ़ील्ड में सीएमईके को कॉन्फ़िगर करें. इसे Cloud KMS कुंजी के पूरे संसाधन आईडी पर सेट किया जाता है. सिर्फ़ उस कुंजी का इस्तेमाल किया जा सकता है जो इस डेटाबेस के साथ एक ही जगह पर मौजूद हो.

यह वैल्यू, Cloud KMS कुंजी के संसाधन का आईडी होना चाहिए. इसका फ़ॉर्मैट यह होना चाहिए: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

अन्य फ़ील्ड के बारे में ज़्यादा जानने के लिए, database create पेज देखें.

अनुरोध और जवाब का उदाहरण:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}