Sử dụng khoá mã hoá do khách hàng quản lý (CMEK)

Bảng điều khiển

Để cấp vai trò Cloud KMS cho tác nhân dịch vụ, hãy làm như sau. Bạn cũng có thể cấp quyền ở cấp khoá hoặc bộ khoá nếu muốn có mức độ chi tiết thấp hơn.

1. Trong Google Cloud Console, hãy chuyển đến trang IAM.

   Chuyển đến trang IAM

2. Nhấp vào Thêm.

3. Nhập mã nhận dạng có định dạng email cho nhân viên dịch vụ Cloud Firestore của bạn.

4. Chọn vai trò Cloud KMS CryptoKey Encrypter/Decrypter.

5. Nhấp vào Lưu.

gcloud

Cấp vai trò cloudkms.cryptoKeyEncrypterDecrypter cho tác nhân dịch vụ của bạn:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Thay thế nội dung sau:

• KMS_KEY bằng tên bạn đã chỉ định cho khoá
• KMS_KEYRING bằng bộ khoá KMS chứa khoá
• KMS_LOCATION bằng khu vực chứa bộ khoá
• SERVICE_AGENT_EMAIL có giá trị nhận dạng ở định dạng email cho tác nhân dịch vụ mà bạn đang cấp quyền truy cập
• KMS_PROJECT bằng dự án chứa khoá

Thiết bị đầu cuối sẽ hiển thị phản hồi tương tự như sau:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Bảng điều khiển

1. Trong Google Cloud Console, hãy chuyển đến trang Databases (Cơ sở dữ liệu).

   Chuyển đến trang Cơ sở dữ liệu

2. Nhấp vào Create Database (Tạo cơ sở dữ liệu).

3. Chọn chế độ cơ sở dữ liệu. Nhấp vào Tiếp tục.

4. Trên trang Định cấu hình cơ sở dữ liệu, hãy nhập mã nhận dạng cơ sở dữ liệu.

5. Chọn một vị trí.

6. Nhấp vào Hiển thị các lựa chọn mã hoá, rồi chọn Khoá Cloud KMS.

7. Chọn hoặc nhập tên tài nguyên cho khoá CMEK mà bạn muốn sử dụng cho cơ sở dữ liệu.

8. Danh sách khoá chỉ bao gồm các khoá trong dự án Google Cloud hiện tại và vị trí cơ sở dữ liệu mà bạn đã chọn. Để sử dụng khoá của một dự án Google Cloud khác, hãy nhấp vào Chuyển đổi dự án hoặc Nhập khoá theo cách thủ công.

9. Nếu bạn được nhắc cấp quyền khoá cho tài khoản dịch vụ Cloud Firestore, hãy nhấp vào Cấp. Để tạo cơ sở dữ liệu CMEK, tài khoản dịch vụ Cloud Firestore của bạn phải được cấp vai trò cloudkms.cryptoKeyEncrypterDecrypter.

10. Chọn quy tắc bảo mật cho ứng dụng di động và ứng dụng web.

11. Nhấp vào Create Database (Tạo cơ sở dữ liệu).

Sau khi tạo cơ sở dữ liệu, bạn có thể xác minh rằng cơ sở dữ liệu đã bật CMEK bằng cách xem Chi tiết cơ sở dữ liệu:

• Nếu cơ sở dữ liệu của bạn được bảo vệ bằng CMEK, thì trường Loại mã hoá sẽ hiển thị là Do khách hàng quản lý và trường Khoá mã hoá sẽ liệt kê Cloud KMS tương ứng và phiên bản khoá được dùng để bảo vệ cơ sở dữ liệu này.
• Nếu cơ sở dữ liệu của bạn không được bảo vệ bằng CMEK, thì trường Loại mã hoá sẽ hiển thị là Do Google quản lý.

gcloud

Trước khi tạo cơ sở dữ liệu hỗ trợ CMEK bằng Google Cloud CLI, hãy cài đặt phiên bản mới nhất và uỷ quyền cho gcloud CLI. Để biết thêm thông tin, hãy xem bài viết Cài đặt gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Thay thế nội dung sau:

• FIRESTORE_DATABASE_LOCATION với vị trí Cloud Firestore cho cơ sở dữ liệu
• DATABASE_ID có mã nhận dạng cho cơ sở dữ liệu

• KMS_KEY_NAME bằng tên bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn

API REST

Yêu cầu HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

Trong nội dung yêu cầu, hãy định cấu hình CMEK trong trường cmek_config.kms_key_name.

Đặt thành mã tài nguyên đầy đủ của khoá Cloud KMS. Chỉ cho phép khoá ở cùng vị trí với cơ sở dữ liệu này.

Giá trị này phải là mã tài nguyên của khoá Cloud KMS ở định dạng projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Để biết thêm thông tin về các trường khác, hãy xem trang database create.

Ví dụ về yêu cầu:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Giao diện dòng lệnh (CLI) của Firebase

Để tạo cơ sở dữ liệu có bật CMEK, hãy sử dụng trường Tên khoá KMS. Nếu bạn không chỉ định tham số --kms-key-name, thì theo mặc định, Cloud Firestore sẽ tạo một cơ sở dữ liệu không phải CMEK.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID bằng mã nhận dạng của cơ sở dữ liệu
• LOCATION bằng vị trí của cơ sở dữ liệu
• KMS_PROJECT với dự án chứa khoá CMEK của bạn
• KMS_LOCATION bằng vị trí chứa khoá CMEK và bộ khoá của bạn
• KMS_KEYRING_ID bằng mã nhận dạng của bộ khoá CMEK
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn

Xác nhận rằng cơ sở dữ liệu Cloud Firestore của bạn được bảo vệ bằng Giao diện dòng lệnh (CLI) của Firebase:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Thông tin sau đây về CMEK sẽ xuất hiện trong thông báo phản hồi:

• Trường Tên khoá KMS cung cấp tên đầy đủ của tài nguyên khoá được dùng để mã hoá cơ sở dữ liệu CMEK Cloud Firestore của bạn.
• Trường Phiên bản khoá đang hoạt động cung cấp danh sách tất cả phiên bản khoá hiện được cơ sở dữ liệu CMEK này sử dụng. Trong quá trình xoay vòng khoá, bạn có thể có nhiều phiên bản khoá đang hoạt động.

Terraform

Để tạo cơ sở dữ liệu có bật CMEK, hãy sử dụng tài nguyên google_firestore_database. Để biết thêm thông tin và ví dụ, hãy xem google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

Thay thế nội dung sau:

• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn
• DATABASE_ID bằng mã nhận dạng cho cơ sở dữ liệu
• FIRESTORE_DATABASE_LOCATION với vị trí Cloud Firestore cho cơ sở dữ liệu
• DATABASE_TYPE với FIRESTORE_NATIVE cho Chế độ gốc hoặc DATASTORE_MODE cho Chế độ kho dữ liệu.

• KMS_KEY_NAME bằng tên bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để khôi phục về phương thức mã hoá CMEK, hãy chạy lệnh gcloud firestore databases restore bằng cờ encryption-type và kms-key-name không bắt buộc để định cấu hình loại mã hoá cho cơ sở dữ liệu được khôi phục. Nếu bạn không chỉ định loại mã hoá, thì cơ sở dữ liệu được khôi phục sẽ sử dụng cùng một cấu hình mã hoá như bản sao lưu.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Thay thế KMS_KEY_NAME bằng tên mà bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá mặc định

Để khôi phục về phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về cùng loại mã hoá với bản sao lưu

Để khôi phục về cùng loại mã hoá với bản sao lưu, hãy đặt cờ encryption-type theo cách sau:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Giao diện dòng lệnh (CLI) của Firebase

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để khôi phục phương thức mã hoá CMEK, hãy sử dụng cờ encryption-type và kms-key-name không bắt buộc. Nếu bạn không chỉ định loại mã hoá, cơ sở dữ liệu được khôi phục sẽ sử dụng cùng một cấu hình mã hoá như bản sao lưu.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID bằng mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn
• FIRESTORE_LOCATION bằng vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID bằng mã nhận dạng của bản sao lưu
• KMS_PROJECT với dự án chứa khoá CMEK của bạn
• KMS_LOCATION bằng vị trí chứa khoá CMEK và bộ khoá của bạn
• KMS_KEYRING_ID bằng mã nhận dạng của bộ khoá CMEK

Xác nhận rằng cơ sở dữ liệu Cloud Firestore đã khôi phục của bạn được mã hoá bằng CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá mặc định

Để khôi phục về phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID bằng mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn
• FIRESTORE_LOCATION bằng vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID bằng mã nhận dạng của bản sao lưu

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về cùng loại mã hoá với bản sao lưu

Để khôi phục về cùng loại mã hoá với bản sao lưu, hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Thay thế nội dung sau:

• DATABASE_ID bằng mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore của bạn
• FIRESTORE_LOCATION bằng vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID bằng mã nhận dạng của bản sao lưu

gcloud

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để sao chép sang phương thức mã hoá CMEK, hãy chạy lệnh gcloud firestore databases clone bằng cờ encryption-type và kms-key-name không bắt buộc để định cấu hình loại mã hoá cho cơ sở dữ liệu được sao chép. Nếu bạn không chỉ định loại mã hoá, thì cơ sở dữ liệu được sao chép sẽ sử dụng cùng một cấu hình mã hoá với cơ sở dữ liệu nguồn.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Thay thế KMS_KEY_NAME bằng tên mà bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang chế độ mã hoá mặc định

Để sao chép sang phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

Sao chép cơ sở dữ liệu được bảo vệ bằng CMEK sang cùng loại mã hoá với cơ sở dữ liệu nguồn

Để sao chép sang cùng một loại mã hoá như cơ sở dữ liệu nguồn, hãy đặt cờ encryption-type theo cách sau:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

Đây cũng là hành vi mặc định nếu bạn không chỉ định --encryption-type.

Giao diện dòng lệnh (CLI) của Firebase

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang phương thức mã hoá CMEK

Để sao chép sang phương thức mã hoá CMEK, hãy chạy lệnh firebase firestore:databases:clone bằng các cờ encryption-type và kms-key-name không bắt buộc để định cấu hình loại mã hoá cho cơ sở dữ liệu được sao chép. Nếu bạn không chỉ định loại mã hoá, cơ sở dữ liệu được sao chép sẽ sử dụng cùng một cấu hình mã hoá với cơ sở dữ liệu nguồn.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

Thay thế KMS_KEY_NAME bằng tên bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Nhân bản cơ sở dữ liệu được bảo vệ bằng CMEK sang chế độ mã hoá mặc định

Để sao chép sang phương thức mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

Sao chép cơ sở dữ liệu được bảo vệ bằng CMEK sang cùng loại mã hoá với cơ sở dữ liệu nguồn

Để sao chép sang cùng một loại mã hoá như cơ sở dữ liệu nguồn, hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

Đây cũng là hành vi mặc định nếu bạn không chỉ định --encryption-type.

gcloud

Bạn có thể dùng lệnh databases describe gcloud CLI để xác nhận cấu hình CMEK của cơ sở dữ liệu:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Bạn sẽ thấy thông tin về CMEK trong trường cmekConfig trong phản hồi tương tự như sau:

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

Phản hồi bao gồm những thông tin sau:

• kmsKeyName: tên tài nguyên khoá đầy đủ của khoá dùng để mã hoá cơ sở dữ liệu được bảo vệ bằng CMEK.
• activeKeyVersion: danh sách tất cả phiên bản khoá hiện đang được cơ sở dữ liệu được bảo vệ bằng CMEK sử dụng. Trong quá trình xoay vòng khoá, bạn có thể có nhiều phiên bản khoá đang hoạt động. Cả phiên bản khoá cũ và phiên bản khoá mới đều phải có sẵn trong quá trình xoay vòng khoá. Đừng vô hiệu hoá phiên bản khoá cũ cho đến khi phiên bản đó không còn xuất hiện trong trường activeKeyVersion.

API REST

Yêu cầu HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Trong nội dung yêu cầu, hãy định cấu hình CMEK trong trường cmek_config.kms_key_name. Đặt thành mã tài nguyên đầy đủ của khoá Cloud KMS. Chỉ cho phép khoá ở cùng vị trí với cơ sở dữ liệu này.

Giá trị này phải là mã tài nguyên của khoá Cloud KMS ở định dạng projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Để biết thêm thông tin về các trường khác, hãy xem trang database create.

Ví dụ về yêu cầu và phản hồi:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}