सुरक्षित करने वाली ऐसी कुंजियों का इस्तेमाल करना जिन्हें ग्राहक मैनेज करता है (सीएमईके)

कंसोल

अपने सर्विस एजेंट को Cloud KMS की भूमिका असाइन करने के लिए, यह तरीका अपनाएं. अगर आपको कम जानकारी चाहिए, तो कुंजी या की-रिंग के लेवल पर भी अनुमति दी जा सकती है.

1. Google Cloud console में, IAM पेज पर जाएं.

   IAM पेज पर जाएं

2. जोड़ें पर क्लिक करें.

3. अपने Cloud Firestore सेवा एजेंट के लिए, ईमेल फ़ॉर्मैट वाला आईडी डालें.

4. Cloud KMS CryptoKey Encrypter/Decrypter भूमिका चुनें.

5. सेव करें पर क्लिक करें.

gcloud

अपने सर्विस एजेंट को cloudkms.cryptoKeyEncrypterDecrypter की भूमिका असाइन करें:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

इनकी जगह ये डालें:

• KMS_KEY को उस नाम से बदलें जो आपने डिजिटल बटन को दिया है
• KMS_KEYRING को उस केएमएस की-रिंग से बदलें जिसमें कुंजी मौजूद है
• KMS_LOCATION को उस क्षेत्र के नाम से बदलें जिसमें की-रिंग मौजूद है
• SERVICE_AGENT_EMAIL की जगह, उस सर्विस एजेंट का ईमेल फ़ॉर्मैट वाला आइडेंटिफ़ायर डालें जिसे आपको ऐक्सेस देना है
• KMS_PROJECT with the project that contains the key

टर्मिनल में, यहां दिए गए जवाब जैसा कुछ दिखना चाहिए:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

कंसोल

1. Google Cloud console में, डेटाबेस पेज पर जाएं.

   डेटाबेस पेज पर जाएं

2. डेटाबेस बनाएं पर क्लिक करें.

3. अपना डेटाबेस मोड चुनें. जारी रखें पर क्लिक करें.

4. अपना डेटाबेस कॉन्फ़िगर करें पेज पर, डेटाबेस आईडी डालें.

5. कोई जगह चुनें.

6. एन्क्रिप्ट करने के विकल्प दिखाएं पर क्लिक करें. इसके बाद, Cloud KMS कुंजी को चुनें.

7. उस सीएमईके कुंजी के संसाधन का नाम चुनें या डालें जिसका इस्तेमाल आपको डेटाबेस के लिए करना है.

8. कुंजियों की सूची, मौजूदा Google Cloud प्रोजेक्ट और आपके चुने गए डेटाबेस की जगह तक सीमित है. किसी दूसरे Google Cloud प्रोजेक्ट की कुंजी का इस्तेमाल करने के लिए, प्रोजेक्ट बदलें या कुंजी को मैन्युअल तरीके से डालें पर क्लिक करें.

9. अगर आपसे Cloud Firestore सेवा खाते को कुंजी की अनुमति देने के लिए कहा जाए, तो अनुमति दें पर क्लिक करें. सीएमईके डेटाबेस बनाने के लिए, आपके Cloud Firestore सेवा खाते को cloudkms.cryptoKeyEncrypterDecrypter की भूमिका दी जानी चाहिए.

10. मोबाइल और वेब क्लाइंट के लिए सुरक्षा के नियम चुनें.

11. डेटाबेस बनाएं पर क्लिक करें.

डेटाबेस बन जाने के बाद, डेटाबेस की जानकारी देखकर यह पुष्टि की जा सकती है कि डेटाबेस में सीएमईके की सुविधा चालू है या नहीं:

• अगर आपका डेटाबेस सीएमईके से सुरक्षित है, तो एन्क्रिप्शन का टाइप फ़ील्ड, ग्राहक की ओर से मैनेज किया गया के तौर पर दिखता है. साथ ही, एन्क्रिप्शन कुंजी फ़ील्ड में, इससे जुड़ा Cloud KMS और कुंजी का वह वर्शन दिखता है जिसका इस्तेमाल इस डेटाबेस को सुरक्षित करने के लिए किया जाता है.
• अगर आपका डेटाबेस सीएमईके से सुरक्षित नहीं है, तो एन्क्रिप्शन का टाइप फ़ील्ड, Google की ओर से मैनेज किया गया के तौर पर दिखता है.

gcloud

Google Cloud CLI की मदद से, सीएमईके की सुविधा वाला डेटाबेस बनाने से पहले, नया वर्शन इंस्टॉल करें और gcloud CLI को अनुमति दें. ज़्यादा जानकारी के लिए, gcloud सीएलआई इंस्टॉल करें लेख पढ़ें.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

इनकी जगह ये डालें:

• FIRESTORE_DATABASE_LOCATION, जिसमें डेटाबेस के लिए Cloud Firestore जगह चुनी गई है
• डेटाबेस के आईडी के साथ DATABASE_ID

• KMS_KEY_NAME को उस नाम से बदलें जो आपने कुंजी को असाइन किया है. कुंजी के लिए, पूरे संसाधन नाम का इस्तेमाल इस फ़ॉर्मैट में करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT को उस प्रोजेक्ट से बदलें जिसका इस्तेमाल आपको अपने Cloud Firestore डेटाबेस के लिए करना है

REST API

एचटीटीपी अनुरोध:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

अनुरोध के मुख्य हिस्से में, cmek_config.kms_key_name फ़ील्ड में सीएमईके को कॉन्फ़िगर करें.

इसे Cloud KMS कुंजी के पूरे संसाधन आईडी पर सेट करें. सिर्फ़ इस डेटाबेस की जगह पर मौजूद कुंजी का इस्तेमाल किया जा सकता है.

यह वैल्यू, Cloud KMS कुंजी के संसाधन का आईडी होनी चाहिए. इसका फ़ॉर्मैट यह होना चाहिए projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

अन्य फ़ील्ड के बारे में ज़्यादा जानने के लिए, database create पेज देखें.

अनुरोध का उदाहरण:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

सीएमईके की सुविधा वाला डेटाबेस बनाने के लिए, केएमएस कुंजी का नाम फ़ील्ड का इस्तेमाल करें. अगर --kms-key-name पैरामीटर की वैल्यू नहीं दी जाती है, तो Cloud Firestore डिफ़ॉल्ट रूप से नॉन-सीएमईके डेटाबेस बनाता है.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी से बदलें
• LOCATION को अपने डेटाबेस की जगह से बदलें
• KMS_PROJECT को उस प्रोजेक्ट से बदलें जिसमें आपकी सीएमईके कुंजी है
• KMS_LOCATION को उस जगह की जानकारी से बदलें जहां आपकी सीएमईके कुंजी और की-रिंग मौजूद है
• KMS_KEYRING_ID को अपनी सीएमईके की-रिंग के आईडी से बदलें
• FIRESTORE_PROJECT को उस प्रोजेक्ट से बदलें जिसका इस्तेमाल आपको अपने Cloud Firestore डेटाबेस के लिए करना है

पुष्टि करें कि आपका Cloud Firestore डेटाबेस, Firebase CLI की मदद से सुरक्षित है:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

जवाब के तौर पर मिलने वाले मैसेज में, सीएमईके की यह जानकारी दिखती है:

• केएमएस कुंजी का नाम फ़ील्ड में, कुंजी के संसाधन का पूरा नाम दिया जाता है. इसका इस्तेमाल, आपके Cloud Firestore सीएमईके डेटाबेस को एन्क्रिप्ट (सुरक्षित) करने के लिए किया जाता है.
• कुंजी के चालू वर्शन फ़ील्ड में, कुंजी के उन सभी वर्शन की सूची होती है जिनका इस्तेमाल फ़िलहाल यह सीएमईके डेटाबेस कर रहा है. डेटा सुरक्षित करने वाली कुंजी का नया वर्शन बनाने के दौरान, आपके पास कुंजी के कई चालू वर्शन हो सकते हैं.

Terraform

सीएमईके की सुविधा वाला डेटाबेस बनाने के लिए, google_firestore_database रिसॉर्स का इस्तेमाल करें. ज़्यादा जानकारी और उदाहरणों के लिए, google_firestore_database देखें.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

इनकी जगह ये डालें:

• FIRESTORE_PROJECT को उस प्रोजेक्ट से बदलें जिसका इस्तेमाल आपको अपने Cloud Firestore डेटाबेस के लिए करना है
• डेटाबेस के आईडी के साथ DATABASE_ID
• FIRESTORE_DATABASE_LOCATION, जिसमें डेटाबेस के लिए Cloud Firestore जगह चुनी गई है
• DATABASE_TYPE के साथ नेटिव मोड के लिए FIRESTORE_NATIVE या डेटास्टोर मोड के लिए DATASTORE_MODE.

• KMS_KEY_NAME को उस नाम से बदलें जो आपने कुंजी को असाइन किया है. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन में वापस लाना

सीएमईके एन्क्रिप्शन पर वापस जाने के लिए, gcloud firestore databases restore कमांड को वैकल्पिक encryption-type और kms-key-name फ़्लैग के साथ चलाएं. इससे, पहले जैसा किए गए डेटाबेस के लिए एन्क्रिप्शन टाइप को कॉन्फ़िगर किया जा सकेगा. अगर आपने एन्क्रिप्ट करने का तरीका नहीं बताया है, तो रीस्टोर किया गया डेटाबेस, एन्क्रिप्ट करने के लिए उसी कॉन्फ़िगरेशन का इस्तेमाल करेगा जो बैकअप के लिए इस्तेमाल किया गया था.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह, वह नाम डालें जो आपने डिजिटल बटन को दिया है. कुंजी के लिए, पूरे संसाधन नाम का इस्तेमाल इस फ़ॉर्मैट में करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

सीएमईके से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर वापस जाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

सीएमईके से सुरक्षित किए गए डेटाबेस को, बैकअप के लिए इस्तेमाल किए गए एन्क्रिप्शन टाइप में वापस लाना

बैकअप के एन्क्रिप्शन टाइप को पहले जैसा करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन में वापस लाना

सीएमईके एन्क्रिप्शन को वापस लाने के लिए, वैकल्पिक encryption-type और kms-key-name फ़्लैग का इस्तेमाल करें. अगर एन्क्रिप्ट करने का टाइप नहीं बताया जाता है, तो रीस्टोर किया गया डेटाबेस, एन्क्रिप्ट करने के उसी कॉन्फ़िगरेशन का इस्तेमाल करेगा जो बैकअप के लिए इस्तेमाल किया गया था.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी से बदलें
• FIRESTORE_PROJECT को उस प्रोजेक्ट से बदलें जिसका इस्तेमाल आपको अपने Cloud Firestore डेटाबेस के लिए करना है
• FIRESTORE_LOCATION को अपने Cloud Firestore डेटाबेस की जगह से बदलें
• BACKUP_ID को अपने बैकअप के आईडी से बदलें
• KMS_PROJECT को उस प्रोजेक्ट से बदलें जिसमें आपकी सीएमईके कुंजी है
• KMS_LOCATION को उस जगह की जानकारी से बदलें जहां आपकी सीएमईके कुंजी और की-रिंग मौजूद है
• KMS_KEYRING_ID को अपनी सीएमईके की-रिंग के आईडी से बदलें

पुष्टि करें कि आपका रीस्टोर किया गया Cloud Firestore डेटाबेस, सीएमईके से एन्क्रिप्ट किया गया है:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

सीएमईके से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर वापस जाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी से बदलें
• FIRESTORE_PROJECT को उस प्रोजेक्ट से बदलें जिसका इस्तेमाल आपको अपने Cloud Firestore डेटाबेस के लिए करना है
• FIRESTORE_LOCATION को अपने Cloud Firestore डेटाबेस की जगह से बदलें
• BACKUP_ID को अपने बैकअप के आईडी से बदलें

सीएमईके से सुरक्षित किए गए डेटाबेस को, बैकअप के लिए इस्तेमाल किए गए एन्क्रिप्शन टाइप में वापस लाना

बैकअप के एन्क्रिप्शन टाइप को पहले जैसा करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी से बदलें
• FIRESTORE_PROJECT को उस प्रोजेक्ट से बदलें जिसका इस्तेमाल आपको अपने Cloud Firestore डेटाबेस के लिए करना है
• FIRESTORE_LOCATION को अपने Cloud Firestore डेटाबेस की जगह से बदलें
• BACKUP_ID को अपने बैकअप के आईडी से बदलें

gcloud

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन में क्लोन करना

सीएमईके एन्क्रिप्शन का इस्तेमाल करके क्लोन बनाने के लिए, gcloud firestore databases clone कमांड को encryption-type और kms-key-name फ़्लैग के साथ चलाएं. इससे क्लोन किए गए डेटाबेस के लिए, एन्क्रिप्शन टाइप को कॉन्फ़िगर किया जा सकेगा. हालांकि, इन फ़्लैग का इस्तेमाल करना ज़रूरी नहीं है. अगर एन्क्रिप्ट करने का तरीका नहीं बताया जाता है, तो क्लोन किए गए डेटाबेस में वही एन्क्रिप्शन कॉन्फ़िगरेशन इस्तेमाल किया जाएगा जो सोर्स डेटाबेस में इस्तेमाल किया गया है.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह, वह नाम डालें जो आपने पासकोड को असाइन किया है. कुंजी के लिए, पूरे संसाधन नाम का इस्तेमाल इस फ़ॉर्मैट में करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

सीएमईके से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर क्लोन करना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) में क्लोन करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

सीएमईके से सुरक्षित किए गए डेटाबेस को, सोर्स डेटाबेस के एन्क्रिप्शन टाइप में ही क्लोन करना

सोर्स डेटाबेस के एन्क्रिप्शन टाइप के हिसाब से क्लोन बनाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

अगर --encryption-type के बारे में नहीं बताया गया है, तो यह डिफ़ॉल्ट ऐक्शन और सेटिंग के तौर पर लागू होता है.

Firebase CLI

सीएमईके से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन में क्लोन करना

सीएमईके एन्क्रिप्शन में क्लोन करने के लिए, firebase firestore:databases:clone कमांड को वैकल्पिक encryption-type और kms-key-name फ़्लैग के साथ चलाएं. इससे क्लोन किए गए डेटाबेस के लिए, एन्क्रिप्शन टाइप को कॉन्फ़िगर किया जा सकेगा. अगर एन्क्रिप्ट करने का तरीका नहीं बताया जाता है, तो क्लोन किया गया डेटाबेस, सोर्स डेटाबेस के एन्क्रिप्शन कॉन्फ़िगरेशन का इस्तेमाल करेगा.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह, वह नाम डालें जो आपने पासकोड को असाइन किया है. कुंजी के लिए, पूरे संसाधन नाम का इस्तेमाल इस फ़ॉर्मैट में करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

सीएमईके से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर क्लोन करना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) में क्लोन करने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

सीएमईके से सुरक्षित किए गए डेटाबेस को, सोर्स डेटाबेस के एन्क्रिप्शन टाइप में ही क्लोन करना

सोर्स डेटाबेस के एन्क्रिप्शन टाइप के हिसाब से क्लोन बनाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

अगर --encryption-type के लिए कोई वैल्यू नहीं दी जाती है, तो यह डिफ़ॉल्ट रूप से लागू होता है.

gcloud

डेटाबेस के सीएमईके कॉन्फ़िगरेशन की पुष्टि करने के लिए, databases describe gcloud CLI कमांड का इस्तेमाल किया जा सकता है:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

आपको जवाब में cmekConfig फ़ील्ड में सीएमईके की जानकारी दिखनी चाहिए. यह जानकारी कुछ इस तरह दिखेगी:

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

जवाब में यह जानकारी शामिल होती है:

• kmsKeyName: उस कुंजी के मुख्य संसाधन का पूरा नाम जिसका इस्तेमाल, सीएमईके से सुरक्षित किए गए आपके डेटाबेस को एन्क्रिप्ट (सुरक्षित) करने के लिए किया जाता है.
• activeKeyVersion: सीएमईके से सुरक्षित डेटाबेस में इस्तेमाल किए जा रहे सभी कुंजी वर्शन की सूची. डेटा सुरक्षित करने वाली कुंजी का नया वर्शन बनाने के दौरान, आपके पास कुंजी के कई चालू वर्शन हो सकते हैं. डेटा सुरक्षित करने वाली कुंजी का नया वर्शन बनाने के दौरान, कुंजी का पुराना और नया वर्शन, दोनों उपलब्ध होने चाहिए. कुंजी के पुराने वर्शन को तब तक बंद न करें, जब तक वह activeKeyVersion फ़ील्ड में दिखना बंद न हो जाए.

REST API

एचटीटीपी अनुरोध:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

अनुरोध के मुख्य हिस्से में, cmek_config.kms_key_name फ़ील्ड में सीएमईके को कॉन्फ़िगर करें. इसे Cloud KMS कुंजी के पूरे संसाधन आईडी पर सेट करें. सिर्फ़ इस डेटाबेस की जगह पर मौजूद कुंजी का इस्तेमाल किया जा सकता है.

यह वैल्यू, Cloud KMS कुंजी के संसाधन का आईडी होनी चाहिए. इसका फ़ॉर्मैट यह होना चाहिए projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

अन्य फ़ील्ड के बारे में ज़्यादा जानने के लिए, database create पेज देखें.

अनुरोध और जवाब का उदाहरण:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}