Używanie kluczy szyfrowania zarządzanych przez klienta (CMEK)

Konsola

Aby przypisać rolę Cloud KMS do agenta usługi, wykonaj te czynności. Jeśli chcesz uzyskać mniejszą szczegółowość, możesz też przyznać uprawnienia na poziomie klucza lub pęku kluczy.

1. W konsoli Google Cloud otwórz stronę Uprawnienia.

   Otwórz stronę Uprawnienia

2. Kliknij Dodaj.

3. Wpisz identyfikator agenta usługi Cloud Firestore w formacie adresu e-mail.

4. Wybierz rolę Szyfrujący i odszyfrowujący klucze CryptoKey Cloud KMS.

5. Kliknij Zapisz.

gcloud

Przypisz rolę cloudkms.cryptoKeyEncrypterDecrypter do agenta usługi:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Zastąp następujące elementy:

• KMS_KEY nazwą przypisaną do klucza,
• KMS_KEYRING pękiem kluczy KMS zawierającym klucz,
• KMS_LOCATION regionem zawierającym pęk kluczy,
• SERVICE_AGENT_EMAIL identyfikatorem w formacie adresu e-mail agenta usługi, któremu przyznajesz dostęp;
• KMS_PROJECT z projektem zawierającym klucz,

Terminal powinien wyświetlić odpowiedź podobną do tej:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Konsola

1. W konsoli Google Cloud otwórz stronę Bazy danych.

   Otwórz stronę Bazy danych

2. Kliknij Utwórz bazę danych.

3. Wybierz tryb bazy danych. Kliknij Dalej.

4. Na stronie Skonfiguruj bazę danych wpisz identyfikator bazy danych.

5. Wybierz lokalizację.

6. Kliknij Pokaż opcje szyfrowania, a następnie wybierz Klucz Cloud KMS.

7. Wybierz lub wpisz nazwę zasobu klucza CMEK, którego chcesz używać w bazie danych.

8. Lista kluczy jest ograniczona do bieżącego projektu Google Cloud i wybranej lokalizacji bazy danych. Aby użyć klucza z innego projektu Google Cloud, kliknij Przełącz projekt lub Wpisz klucz ręcznie.

9. Jeśli pojawi się prośba o przyznanie uprawnień do klucza kontu usługi Cloud Firestore, kliknij Przyznaj. Aby utworzyć bazę danych CMEK, Twoje konto usługi Cloud Firestore musi mieć przypisaną rolę cloudkms.cryptoKeyEncrypterDecrypter.

10. Wybierz reguły zabezpieczeń dla klientów mobilnych i internetowych.

11. Kliknij Utwórz bazę danych.

Po utworzeniu bazy danych możesz sprawdzić, czy obsługuje ona klucze CMEK, wyświetlając Szczegóły bazy danych:

• Jeśli baza danych jest chroniona przez CMEK, pole Typ szyfrowania ma wartość Zarządzane przez klienta, a w polu Klucz szyfrowania jest podany odpowiedni klucz Cloud KMS i wersja klucza używana do ochrony tej bazy danych.
• Jeśli baza danych nie jest chroniona przez CMEK, w polu Typ szyfrowania wyświetla się Zarządzane przez Google.

gcloud

Zanim utworzysz bazę danych obsługującą klucze CMEK za pomocą Google Cloud CLI, zainstaluj najnowszą wersję i autoryzuj gcloud CLI. Więcej informacji znajdziesz w artykule na temat instalowania gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Zastąp następujące elementy:

• FIRESTORE_DATABASE_LOCATION, podając lokalizację bazy danych Cloud Firestore.
• DATABASE_ID identyfikatorem bazy danych,

• KMS_KEY_NAME nazwą przypisaną do klucza. Użyj pełnej nazwy zasobu klucza w tym formacie:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT z projektem, który ma być używany w bazie danych Cloud Firestore

Interfejs API typu REST

Żądanie HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

W treści żądania skonfiguruj klucz CMEK w polu cmek_config.kms_key_name.

Ustaw pełny identyfikator zasobu klucza Cloud KMS. Dozwolony jest tylko klucz w tej samej lokalizacji co ta baza danych.

Ta wartość powinna być identyfikatorem zasobu klucza Cloud KMS w formacie projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Więcej informacji o innych polach znajdziesz na stronie database create.

Przykładowe żądanie:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

wiersz poleceń Firebase

Aby utworzyć bazę danych z włączonym kluczem CMEK, użyj pola Nazwa klucza KMS. Jeśli nie określisz parametru --kms-key-name, Cloud Firestore domyślnie utworzy bazę danych bez kluczy CMEK.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Zastąp następujące elementy:

• DATABASE_ID identyfikatorem bazy danych,
• LOCATION z lokalizacją bazy danych,
• KMS_PROJECT z projektem, który zawiera klucz CMEK;
• KMS_LOCATION lokalizacją zawierającą klucz CMEK i pęk kluczy,
• KMS_KEYRING_ID identyfikatorem pęku kluczy CMEK,
• FIRESTORE_PROJECT z projektem, który ma być używany w bazie danych Cloud Firestore

Potwierdź, że baza danych Cloud Firestore jest chroniona za pomocą interfejsu wiersza poleceń Firebase:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

W odpowiedzi pojawią się te informacje o kluczu CMEK:

• Pole Nazwa klucza KMS zawiera pełną nazwę zasobu klucza, który jest używany do szyfrowania bazy danych CMEK Cloud Firestore.
• Pole Aktywne wersje kluczy zawiera listę wszystkich wersji kluczy używanych obecnie przez tę bazę danych CMEK. Podczas rotacji kluczy możesz mieć wiele aktywnych wersji kluczy.

Terraform

Aby utworzyć bazę danych z obsługą kluczy CMEK, użyj zasobu google_firestore_database. Więcej informacji i przykładów znajdziesz w artykule google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

Zastąp następujące elementy:

• FIRESTORE_PROJECT z projektem, który ma być używany w bazie danych Cloud Firestore
• DATABASE_ID identyfikatorem bazy danych,
• FIRESTORE_DATABASE_LOCATION, podając lokalizację bazy danych Cloud Firestore.
• DATABASE_TYPE z FIRESTORE_NATIVE w przypadku trybu natywnego lub DATASTORE_MODE w przypadku trybu Datastore.

• KMS_KEY_NAME nazwą przypisaną do klucza. Użyj pełnej nazwy zasobu klucza w formacie:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Przywracanie bazy danych chronionej kluczem CMEK do szyfrowania CMEK

Aby przywrócić szyfrowanie CMEK, uruchom polecenie gcloud firestore databases restore z opcjonalnymi flagami encryption-type i kms-key-name, aby skonfigurować typ szyfrowania przywróconej bazy danych. Jeśli nie określisz typu szyfrowania, przywrócona baza danych będzie używać tej samej konfiguracji szyfrowania co kopia zapasowa.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Zastąp KMS_KEY_NAME nazwą przypisaną do klucza. Użyj pełnej nazwy zasobu klucza w tym formacie:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Przywracanie domyślnego szyfrowania bazy danych chronionej kluczem CMEK

Aby przywrócić domyślne szyfrowanie Google (inne niż CMEK), ustaw flagę encryption-type w ten sposób:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Przywracanie bazy danych chronionej kluczem CMEK do tego samego typu szyfrowania co kopia zapasowa

Aby przywrócić ten sam typ szyfrowania co w kopii zapasowej, ustaw flagę encryption-type w ten sposób:

  gcloud firestore databases restore --encryption-type=use-source-encryption

wiersz poleceń Firebase

Przywracanie bazy danych chronionej kluczem CMEK do szyfrowania CMEK

Aby przywrócić szyfrowanie CMEK, użyj opcjonalnych flag encryption-type i kms-key-name. Jeśli nie określisz typu szyfrowania, przywrócona baza danych będzie używać tej samej konfiguracji szyfrowania co kopia zapasowa.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Zastąp następujące elementy:

• DATABASE_ID identyfikatorem bazy danych,
• FIRESTORE_PROJECT z projektem, który ma być używany w bazie danych Cloud Firestore
• FIRESTORE_LOCATION, podając lokalizację bazy danych Cloud Firestore.
• BACKUP_ID identyfikatorem kopii zapasowej.
• KMS_PROJECT z projektem, który zawiera klucz CMEK;
• KMS_LOCATION lokalizacją zawierającą klucz CMEK i pęk kluczy,
• KMS_KEYRING_ID identyfikatorem pęku kluczy CMEK,

Sprawdź, czy przywrócona baza danych Cloud Firestore jest zaszyfrowana kluczami CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Przywracanie domyślnego szyfrowania bazy danych chronionej kluczem CMEK

Aby przywrócić domyślne szyfrowanie Google (inne niż CMEK), ustaw flagę encryption-type w ten sposób:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Zastąp następujące elementy:

• DATABASE_ID identyfikatorem bazy danych,
• FIRESTORE_PROJECT z projektem, który ma być używany w bazie danych Cloud Firestore
• FIRESTORE_LOCATION, podając lokalizację bazy danych Cloud Firestore.
• BACKUP_ID identyfikatorem kopii zapasowej.

Przywracanie bazy danych chronionej kluczem CMEK do tego samego typu szyfrowania co kopia zapasowa

Aby przywrócić ten sam typ szyfrowania co w kopii zapasowej, ustaw flagę encryption-type w ten sposób:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Zastąp następujące elementy:

• DATABASE_ID identyfikatorem bazy danych,
• FIRESTORE_PROJECT z projektem, który ma być używany w bazie danych Cloud Firestore
• FIRESTORE_LOCATION, podając lokalizację bazy danych Cloud Firestore.
• BACKUP_ID identyfikatorem kopii zapasowej.

gcloud

Klonowanie bazy danych chronionej kluczem CMEK do szyfrowania CMEK

Aby sklonować do szyfrowania CMEK, uruchom polecenie gcloud firestore databases clone z opcjonalnymi flagami encryption-type i kms-key-name, aby skonfigurować typ szyfrowania sklonowanej bazy danych. Jeśli nie określisz typu szyfrowania, sklonowana baza danych będzie używać tej samej konfiguracji szyfrowania co źródłowa baza danych.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Zastąp KMS_KEY_NAME nazwą przypisaną do klucza. Użyj pełnej nazwy zasobu klucza w tym formacie:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Klonowanie bazy danych chronionej kluczem CMEK do domyślnego szyfrowania

Aby sklonować do domyślnego szyfrowania Google (bez CMEK), ustaw flagę encryption-type w ten sposób:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

Klonowanie bazy danych chronionej kluczem CMEK do tego samego typu szyfrowania co źródłowa baza danych

Aby sklonować do tego samego typu szyfrowania co źródłowa baza danych, ustaw flagę encryption-type w następujący sposób:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

Jest to też działanie domyślne, jeśli parametr --encryption-type nie jest określony.

wiersz poleceń Firebase

Klonowanie bazy danych chronionej kluczem CMEK do szyfrowania CMEK

Aby sklonować do szyfrowania CMEK, uruchom polecenie firebase firestore:databases:clone z opcjonalnymi flagami encryption-type i kms-key-name, aby skonfigurować typ szyfrowania sklonowanej bazy danych. Jeśli nie określisz typu szyfrowania, sklonowana baza danych będzie używać tej samej konfiguracji szyfrowania co źródłowa baza danych.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

Zastąp KMS_KEY_NAME nazwą przypisaną do klucza. Użyj pełnej nazwy zasobu klucza w tym formacie:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Klonowanie bazy danych chronionej kluczem CMEK do domyślnego szyfrowania

Aby sklonować do domyślnego szyfrowania Google (bez CMEK), ustaw flagę encryption-type w ten sposób:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

Klonowanie bazy danych chronionej kluczem CMEK do tego samego typu szyfrowania co źródłowa baza danych

Aby sklonować do tego samego typu szyfrowania co źródłowa baza danych, ustaw flagę encryption-type w następujący sposób:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

Jest to też działanie domyślne, jeśli parametr --encryption-type nie jest określony.

gcloud

Aby sprawdzić konfigurację klucza CMEK bazy danych, możesz użyć polecenia databases describe gcloud CLI:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

W odpowiedzi w polu cmekConfig powinny pojawić się informacje o kluczach CMEK podobne do tych:

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

Odpowiedź zawiera te informacje:

• kmsKeyName: pełna nazwa zasobu klucza używanego do szyfrowania bazy danych chronionej przez CMEK.
• activeKeyVersion: lista wszystkich wersji kluczy używanych obecnie przez bazę danych chronioną kluczem CMEK. Podczas rotacji kluczy możesz mieć wiele aktywnych wersji kluczy. Podczas rotacji kluczy muszą być dostępne zarówno stara, jak i nowa wersja klucza. Nie wyłączaj starej wersji klucza, dopóki nie przestanie się ona pojawiać w polu activeKeyVersion.

Interfejs API typu REST

Żądanie HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

W treści żądania skonfiguruj klucz CMEK w polu cmek_config.kms_key_name. Ustaw pełny identyfikator zasobu klucza Cloud KMS. Dozwolony jest tylko klucz w tej samej lokalizacji co ta baza danych.

Ta wartość powinna być identyfikatorem zasobu klucza Cloud KMS w formacie projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Więcej informacji o innych polach znajdziesz na stronie database create.

Przykładowe żądanie i odpowiedź:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}