Используйте ключи шифрования, управляемые клиентом (CMEK).

Консоль

To grant an Cloud KMS role to your service agent, do the following. You are also able to grant permission at the key or key-ring level if you want lower granularity.

1. В консоли Google Cloud перейдите на страницу IAM .

   Перейдите на страницу IAM.

2. Нажмите «Добавить» .

3. Введите идентификатор агента службы Cloud Firestore в формате электронной почты.

4. Select the Cloud KMS CryptoKey Encrypter/Decrypter role.

5. Нажмите « Сохранить ».

gcloud

Предоставьте вашему агенту службы роль cloudkms.cryptoKeyEncrypterDecrypter :

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Замените следующее:

• KMS_KEY with the name that you assigned to the key
• KMS_KEYRING содержит связку ключей KMS, в которой находится ключ.
• KMS_LOCATION регион, в котором находится связка ключей.
• Укажите в поле SERVICE_AGENT_EMAIL идентификатор сервисного агента в формате электронной почты, которому вы предоставляете доступ.
• KMS_PROJECT with the project that contains the key

На экране терминала должен отобразиться ответ, аналогичный следующему:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Консоль

1. В консоли Google Cloud перейдите на страницу «Базы данных» .

   Перейдите на страницу «Базы данных».

2. Нажмите «Создать базу данных» .

3. Выберите режим работы базы данных. Нажмите «Продолжить» .

4. On the Configure your database page, enter a database ID.

5. Выберите местоположение.

6. Нажмите «Показать параметры шифрования» , а затем выберите ключ Cloud KMS .

7. Выберите или введите имя ресурса для ключа CMEK, который вы хотите использовать для базы данных.

8. Список ключей ограничен текущим проектом Google Cloud и выбранным вами расположением базы данных. Чтобы использовать ключ из другого проекта Google Cloud , нажмите «Переключить проект» или «Ввести ключ вручную» .

9. Если появится запрос на предоставление прав доступа к ключу для учетной записи службы Cloud Firestore , нажмите «Предоставить» . Для создания базы данных CMEK вашей учетной записи службы Cloud Firestore должна быть предоставлена ​​роль cloudkms.cryptoKeyEncrypterDecrypter .

10. Select security rules for mobile and web clients.

11. Нажмите «Создать базу данных» .

После создания базы данных вы можете убедиться в ее поддержке CMEK, просмотрев сведения о базе данных :

• Если ваша база данных защищена с помощью CMEK, в поле «Тип шифрования» отображается «Управляется клиентом» , а в поле «Ключ шифрования» указывается соответствующий Cloud KMS и версия ключа, используемого для защиты этой базы данных.
• Если ваша база данных не защищена CMEK, в поле «Тип шифрования» отображается значение «Управляется Google» .

gcloud

Прежде чем создавать базу данных с поддержкой CMEK с помощью Google Cloud CLI , установите последнюю версию и авторизуйте gcloud CLI . Дополнительную информацию см. в разделе «Установка gcloud CLI» .

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Замените следующее:

• FIRESTORE_DATABASE_LOCATION with the Cloud Firestore location for the database
• DATABASE_ID — идентификатор базы данных.

• В KMS_KEY_NAME укажите имя, присвоенное ключу. Используйте полное имя ресурса для ключа в следующем формате:

  projects/ KMS_PROJECT /locations/ KMS_LOCATION /keyRings/ KMS_KEYRING_ID /cryptoKeys/ KMS_KEY_ID

• FIRESTORE_PROJECT with the project to use for your Cloud Firestore database

REST API

HTTP-запрос:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

In the request body configure CMEK in the cmek_config.kms_key_name field.

Установите значение, равное полному идентификатору ресурса ключа Cloud KMS. Допускается использование только ключа, расположенного в том же месте, что и эта база данных.

Это значение должно представлять собой идентификатор ресурса ключа Cloud KMS в формате projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

For more information about other fields, see the database create page .

Пример запроса:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

Для создания базы данных с поддержкой CMEK используйте поле «Имя ключа KMS» . Если вы не укажете параметр --kms-key-name , Cloud Firestore по умолчанию создаст базу данных без поддержки CMEK.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID содержит идентификатор вашей базы данных.
• LOCATION с указанием местоположения вашей базы данных
• KMS_PROJECT with the project that contains your CMEK key
• KMS_LOCATION местоположение, содержащее ваш ключ CMEK и связку ключей.
• KMS_KEYRING_ID содержит идентификатор вашего брелока CMEK.
• FIRESTORE_PROJECT содержит название проекта, который будет использоваться для вашей базы данных Cloud Firestore

Убедитесь, что ваша база данных Cloud Firestore защищена с помощью Firebase CLI:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

The following CMEK information appears in the response message:

• The KMS Key Name field provides the full key resource name that is used to encrypt your Cloud Firestore CMEK database.
• В поле «Активные версии ключей» представлен список всех версий ключей, используемых в данный момент данной базой данных CMEK. Во время ротации ключей может быть несколько активных версий ключей.

Терраформирование

To create a CMEK-enabled database, use the google_firestore_database resource. For more information and examples, see google_firestore_database .

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

Замените следующее:

• FIRESTORE_PROJECT with the project to use for your Cloud Firestore database
• DATABASE_ID — идентификатор базы данных.
• FIRESTORE_DATABASE_LOCATION содержит местоположение базы данных в Cloud Firestore
• DATABASE_TYPE со значением FIRESTORE_NATIVE для нативного режима или DATASTORE_MODE для режима хранилища данных.

• В KMS_KEY_NAME укажите имя, присвоенное ключу. Используйте полное имя ресурса для ключа в следующем формате:

  projects/ KMS_PROJECT /locations/ KMS_LOCATION /keyRings/ KMS_KEYRING_ID /cryptoKeys/ KMS_KEY_ID

gcloud

Восстановление базы данных, защищенной CMEK, с использованием шифрования CMEK.

Для восстановления с использованием шифрования CMEK выполните команду gcloud firestore databases restore с необязательными флагами encryption-type и kms-key-name чтобы настроить тип шифрования для восстанавливаемой базы данных. Если вы не укажете тип шифрования, восстанавливаемая база данных будет использовать ту же конфигурацию шифрования, что и резервная копия.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Replace KMS_KEY_NAME with the name that you assigned to the key. Use the full resource name for the key in the following format:

projects/ KMS_PROJECT /locations/ KMS_LOCATION /keyRings/ KMS_KEYRING_ID /cryptoKeys/ KMS_KEY_ID

Restore a CMEK-protected database to default encryption

Чтобы восстановить шифрование по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Restore a CMEK-protected database to the same encryption type as the backup

To restore to the same encryption type as the backup, set the encryption-type flag in the following way:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

Восстановление базы данных, защищенной CMEK, с использованием шифрования CMEK.

Для восстановления с использованием шифрования CMEK используйте необязательные флаги encryption-type и kms-key-name . Если тип шифрования не указан, восстановленная база данных будет использовать ту же конфигурацию шифрования, что и резервная копия.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID содержит идентификатор вашей базы данных.
• FIRESTORE_PROJECT содержит название проекта, который будет использоваться для вашей базы данных Cloud Firestore
• FIRESTORE_LOCATION содержит местоположение вашей базы данных Cloud Firestore
• BACKUP_ID содержит идентификатор вашей резервной копии.
• KMS_PROJECT with the project that contains your CMEK key
• KMS_LOCATION with the location that contains your CMEK key and key ring
• KMS_KEYRING_ID содержит идентификатор вашего брелока CMEK.

Убедитесь, что восстановленная база данных Cloud Firestore зашифрована с помощью CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Восстановите базу данных, защищенную CMEK, с использованием шифрования по умолчанию.

Чтобы восстановить шифрование по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID содержит идентификатор вашей базы данных.
• FIRESTORE_PROJECT содержит название проекта, который будет использоваться для вашей базы данных Cloud Firestore
• FIRESTORE_LOCATION with the location of your Cloud Firestore database
• BACKUP_ID содержит идентификатор вашей резервной копии.

Восстановите базу данных, защищенную CMEK, с тем же типом шифрования, что и в резервной копии.

Чтобы восстановить данные с тем же типом шифрования, что и в резервной копии, установите флаг encryption-type следующим образом:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Замените следующее:

• DATABASE_ID содержит идентификатор вашей базы данных.
• FIRESTORE_PROJECT содержит название проекта, который будет использоваться для вашей базы данных Cloud Firestore
• FIRESTORE_LOCATION with the location of your Cloud Firestore database
• BACKUP_ID содержит идентификатор вашей резервной копии.

gcloud

Клонирование базы данных, защищенной CMEK, с использованием шифрования CMEK.

Для клонирования с использованием шифрования CMEK выполните команду gcloud firestore databases clone с необязательными флагами encryption-type и kms-key-name чтобы настроить тип шифрования для клонированной базы данных. Если вы не укажете тип шифрования, клонированная база данных будет использовать ту же конфигурацию шифрования, что и исходная база данных.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME на имя, которое вы присвоили ключу. Используйте полное имя ресурса для ключа в следующем формате:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Clone a CMEK-protected database to default encryption

Чтобы клонировать систему с использованием шифрования по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

Создайте клон базы данных, защищенной CMEK, с тем же типом шифрования, что и исходная база данных.

Чтобы клонировать базу данных с тем же типом шифрования, что и в исходной базе данных, установите флаг encryption-type следующим образом:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

Это также поведение по умолчанию, если --encryption-type не указан.

Firebase CLI

Clone a CMEK-protected database to CMEK encryption

Для клонирования с использованием шифрования CMEK выполните команду firebase firestore:databases:clone с необязательными флагами encryption-type и kms-key-name чтобы настроить тип шифрования для клонированной базы данных. Если вы не укажете тип шифрования, клонированная база данных будет использовать ту же конфигурацию шифрования, что и исходная база данных.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME на имя, которое вы присвоили ключу. Используйте полное имя ресурса для ключа в следующем формате:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Clone a CMEK-protected database to default encryption

Чтобы клонировать систему с использованием шифрования по умолчанию от Google (не CMEK), установите флаг encryption-type следующим образом:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

Clone a CMEK-protected database to the same encryption type as the source database

Чтобы клонировать базу данных с тем же типом шифрования, что и в исходной базе данных, установите флаг encryption-type следующим образом:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

Это также поведение по умолчанию, если --encryption-type не указан.

gcloud

Для подтверждения конфигурации CMEK для базы данных можно использовать команду CLI ` databases describe gcloud CLI :

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

В ответе в поле cmekConfig должна отобразиться информация о CMEK, примерно следующего вида:

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

В ответе содержится следующая информация:

• kmsKeyName : полное имя ресурса ключа, используемого для шифрования базы данных, защищенной с помощью CMEK.
• activeKeyVersion : список всех версий ключей, используемых в данный момент базой данных, защищенной CMEK. Во время ротации ключей может быть несколько активных версий ключей. Как старая, так и новая версии ключа должны быть доступны во время ротации. Не отключайте старую версию ключа, пока она не перестанет отображаться в поле activeKeyVersion .

REST API

HTTP-запрос:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

В теле запроса настройте CMEK в поле cmek_config.kms_key_name . Установите значение, равное полному идентификатору ресурса ключа Cloud KMS. Допускается использование только ключа, расположенного в том же месте, что и эта база данных.

Это значение должно представлять собой идентификатор ресурса ключа Cloud KMS в формате projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Для получения более подробной информации о других полях см. страницу database create .

Пример запроса и ответа:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}