Используйте ключи шифрования, управляемые клиентом (CMEK).

Консоль

Чтобы предоставить агенту службы роль Cloud KMS, выполните следующие действия. Вы также можете предоставить разрешения на уровне ключа или связки ключей, если вам нужна более низкая детализация.

1. В консоли Google Cloud перейдите на страницу IAM .

   Перейдите на страницу IAM.

2. Нажмите «Добавить» .

3. Введите идентификатор в формате электронной почты для вашего агента службы совместимости Cloud Firestore с MongoDB.

4. Выберите роль Cloud KMS CryptoKey Encrypter/Decrypter .

5. Нажмите « Сохранить ».

gcloud

Предоставьте вашему агенту службы роль cloudkms.cryptoKeyEncrypterDecrypter :

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Замените следующее:

• KMS_KEY это имя, которое вы присвоили ключу.
• KMS_KEYRING содержит связку ключей KMS, в которой находится ключ.
• KMS_LOCATION регион, в котором находится связка ключей.
• Укажите в поле SERVICE_AGENT_EMAIL идентификатор сервисного агента в формате электронной почты, которому вы предоставляете доступ.
• KMS_PROJECT с проектом, содержащим ключ.

На экране терминала должен отобразиться ответ, аналогичный следующему:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Консоль

1. В консоли Google Cloud перейдите на страницу «Базы данных» .

   Перейдите на страницу «Базы данных».

2. Нажмите «Создать базу данных Firestore» .

3. Введите идентификатор базы данных.

4. Выберите версию Enterprise Edition.

5. Выберите местоположение для вашей базы данных.

6. Нажмите «Показать параметры шифрования» , а затем выберите ключ Cloud KMS .

7. Выберите или введите имя ресурса для ключа CMEK, который вы хотите использовать для базы данных.

8. Список ключей ограничен текущим проектом Google Cloud и выбранным вами расположением базы данных. Чтобы использовать ключ из другого проекта Google Cloud , нажмите «Переключить проект» или «Ввести ключ вручную» .

9. Если появится запрос на предоставление прав доступа к ключу учетной записи службы совместимости Cloud Firestore с MongoDB, нажмите «Предоставить» . Для создания базы данных CMEK вашей учетной записи службы совместимости Cloud Firestore с MongoDB должна быть предоставлена ​​роль cloudkms.cryptoKeyEncrypterDecrypter .

10. Выберите правила безопасности для мобильных и веб-клиентов.

11. Нажмите «Создать базу данных» .

После создания базы данных вы можете убедиться в ее поддержке CMEK, просмотрев сведения о базе данных :

• Если ваша база данных защищена с помощью CMEK, в поле «Тип шифрования» отображается «Управляется клиентом» , а в поле «Ключ шифрования» указывается соответствующий Cloud KMS и версия ключа, используемого для защиты этой базы данных.
• Если ваша база данных не защищена CMEK, в поле «Тип шифрования» отображается значение «Управляется Google» .

gcloud

Прежде чем создавать базу данных с поддержкой CMEK с помощью Google Cloud CLI , установите последнюю версию и авторизуйте gcloud CLI . Дополнительную информацию см. в разделе «Установка gcloud CLI .

gcloud firestore databases create \
    --location=FIRESTORE_DATABASE_LOCATION \
    --database=DATABASE_ID \
    --edition=enterprise \
    --kms-key-name=KMS_KEY_NAME \
    --project=FIRESTORE_PROJECT

Замените следующее:

• FIRESTORE_DATABASE_LOCATION содержит местоположение базы данных.
• DATABASE_ID — идентификатор базы данных.

• В KMS_KEY_NAME укажите имя, присвоенное ключу. Используйте полное имя ресурса для ключа в следующем формате:

  projects/ KMS_PROJECT /locations/ KMS_LOCATION /keyRings/ KMS_KEYRING_ID /cryptoKeys/ KMS_KEY_ID

• FIRESTORE_PROJECT это путь к проекту, который вы будете использовать для своей базы данных Cloud Firestore, совместимой с MongoDB.

gcloud

Восстановление базы данных, защищенной CMEK, с использованием шифрования CMEK.

Для восстановления с использованием шифрования CMEK выполните команду gcloud firestore databases restore с необязательными флагами encryption-type и kms-key-name чтобы настроить тип шифрования для восстанавливаемой базы данных. Если вы не укажете тип шифрования, восстанавливаемая база данных будет использовать ту же конфигурацию шифрования, что и резервная копия.

gcloud firestore databases restore \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME на имя, которое вы присвоили ключу. Используйте полное имя ресурса для ключа в следующем формате:

projects/ KMS_PROJECT /locations/ KMS_LOCATION /keyRings/ KMS_KEYRING_ID /cryptoKeys/ KMS_KEY_ID

Восстановите базу данных, защищенную CMEK, с использованием шифрования по умолчанию.

Чтобы восстановить шифрование по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

gcloud firestore databases restore \
--encryption-type=google-default-encryption

Восстановите базу данных, защищенную CMEK, с тем же типом шифрования, что и в резервной копии.

Чтобы восстановить данные с тем же типом шифрования, что и в резервной копии, установите флаг encryption-type следующим образом:

gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

Восстановление базы данных, защищенной CMEK, с использованием шифрования CMEK.

Для восстановления с использованием шифрования CMEK используйте необязательные флаги encryption-type и kms-key-name . Если тип шифрования не указан, восстановленная база данных будет использовать ту же конфигурацию шифрования, что и резервная копия.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID содержит идентификатор вашей базы данных.
• FIRESTORE_PROJECT это путь к проекту, который вы будете использовать для своей базы данных Cloud Firestore, совместимой с MongoDB.
• FIRESTORE_LOCATION указывает местоположение вашей базы данных Cloud Firestore, совместимой с MongoDB.
• BACKUP_ID содержит идентификатор вашей резервной копии.
• KMS_PROJECT это проект, содержащий ваш ключ CMEK.
• KMS_LOCATION местоположение, содержащее ваш ключ CMEK и связку ключей.
• KMS_KEYRING_ID содержит идентификатор вашего брелока CMEK.

Убедитесь, что восстановленная база данных Cloud Firestore, совместимая с MongoDB, зашифрована с помощью CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Восстановите базу данных, защищенную CMEK, с использованием шифрования по умолчанию.

Чтобы восстановить шифрование по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID содержит идентификатор вашей базы данных.
• FIRESTORE_PROJECT это путь к проекту, который вы будете использовать для своей базы данных Cloud Firestore, совместимой с MongoDB.
• FIRESTORE_LOCATION указывает местоположение вашей базы данных Cloud Firestore, совместимой с MongoDB.
• BACKUP_ID содержит идентификатор вашей резервной копии.

Восстановите базу данных, защищенную CMEK, с тем же типом шифрования, что и в резервной копии.

Чтобы восстановить данные с тем же типом шифрования, что и в резервной копии, установите флаг encryption-type следующим образом:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Замените следующее:

• DATABASE_ID содержит идентификатор вашей базы данных.
• FIRESTORE_PROJECT это путь к проекту, который вы будете использовать для своей базы данных Cloud Firestore, совместимой с MongoDB.
• FIRESTORE_LOCATION указывает местоположение вашей базы данных Cloud Firestore, совместимой с MongoDB.
• BACKUP_ID содержит идентификатор вашей резервной копии.

gcloud

Клонирование базы данных, защищенной CMEK, с использованием шифрования CMEK.

Для клонирования с использованием шифрования CMEK выполните команду gcloud firestore databases clone с необязательными флагами encryption-type и kms-key-name чтобы настроить тип шифрования для клонированной базы данных. Если вы не укажете тип шифрования, клонированная база данных будет использовать ту же конфигурацию шифрования, что и исходная база данных.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME на имя, которое вы присвоили ключу. Используйте полное имя ресурса для ключа в следующем формате:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Клонируйте базу данных, защищенную CMEK, с использованием шифрования по умолчанию.

Чтобы клонировать систему с использованием шифрования по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

Создайте клон базы данных, защищенной CMEK, с тем же типом шифрования, что и исходная база данных.

Чтобы клонировать базу данных с тем же типом шифрования, что и в исходной базе данных, установите флаг encryption-type следующим образом:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

Это также поведение по умолчанию, если --encryption-type не указан.

Firebase CLI

Клонирование базы данных, защищенной CMEK, с использованием шифрования CMEK.

Для клонирования с использованием шифрования CMEK выполните команду firebase firestore:databases:clone с необязательными флагами encryption-type и kms-key-name чтобы настроить тип шифрования для клонированной базы данных. Если вы не укажете тип шифрования, клонированная база данных будет использовать ту же конфигурацию шифрования, что и исходная база данных.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME на имя, которое вы присвоили ключу. Используйте полное имя ресурса для ключа в следующем формате:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Клонируйте базу данных, защищенную CMEK, с использованием шифрования по умолчанию.

Чтобы клонировать систему с использованием шифрования по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

Создайте клон базы данных, защищенной CMEK, с тем же типом шифрования, что и исходная база данных.

Чтобы клонировать базу данных с тем же типом шифрования, что и в исходной базе данных, установите флаг encryption-type следующим образом:

  firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

Это также поведение по умолчанию, если --encryption-type не указан.

gcloud

Для подтверждения конфигурации CMEK для базы данных можно использовать команду CLI ` databases describe gcloud CLI :

gcloud firestore databases describe \
  --database=DATABASE_ID \
  --project=FIRESTORE_PROJECT

В ответе в поле cmekConfig должна отобразиться информация о CMEK, примерно следующего вида:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

В ответе содержится следующая информация:

• kmsKeyName : полное имя ресурса ключа, используемого для шифрования базы данных, защищенной с помощью CMEK.
• activeKeyVersion : список всех версий ключей, используемых базой данных, защищенной CMEK. Во время ротации ключей может быть несколько активных версий ключей. Как старая, так и новая версии ключа должны быть доступны во время ротации. Не отключайте старую версию ключа, пока она не перестанет отображаться в поле activeKeyVersion .

REST API

HTTP-запрос:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

В теле запроса настройте CMEK в поле cmek_config.kms_key_name . Установите значение, равное полному идентификатору ресурса ключа Cloud KMS. Допускается использование только ключа, расположенного в том же месте, что и эта база данных.

Это значение должно представлять собой идентификатор ресурса ключа Cloud KMS в формате projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} .

Более подробную информацию о других полях см. на странице database create .

Пример запроса:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

Пример ответа:

{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ...
}