Müşteri tarafından yönetilen şifreleme anahtarlarını (CMEK) kullanma

Console

Hizmet aracınıza Cloud KMS rolü vermek için aşağıdaki adımları uygulayın. Daha düşük ayrıntı düzeyi istiyorsanız anahtar veya anahtarlık düzeyinde de izin verebilirsiniz.

1. Google Cloud Console'da IAM sayfasına gidin.

   IAM sayfasına gidin

2. Ekle'yi tıklayın.

3. Cloud Firestore hizmet aracınızın e-posta biçimindeki kimliğini girin.

4. Cloud KMS CryptoKey Şifreleyici/Şifre Çözücü rolünü seçin.

5. Kaydet'i tıklayın.

gcloud

Hizmet aracınıza cloudkms.cryptoKeyEncrypterDecrypter rolünü verin:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Aşağıdakini değiştirin:

• KMS_KEY yerine anahtara atadığınız adı yazın.
• KMS_KEYRING yerine anahtarı içeren KMS anahtarlığını yazın.
• KMS_LOCATION yerine anahtarlığı içeren bölgeyi yazın.
• SERVICE_AGENT_EMAIL, erişim izni verdiğiniz hizmet aracısının e-posta biçimli tanımlayıcısıdır.
• Anahtarı içeren projeyle KMS_PROJECT

Terminalde aşağıdakine benzer bir yanıt gösterilir:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Google Cloud Console'da Veritabanları sayfasına gidin.

   Veritabanları sayfasına gidin.

2. Veritabanı oluştur'u tıklayın.

3. Veritabanı modunuzu seçin. Devam'ı tıklayın.

4. Veritabanınızı yapılandırın sayfasında bir veritabanı kimliği girin.

5. Bir yer seçin.

6. Şifreleme Seçeneklerini Göster'i tıklayın ve Cloud KMS anahtarı'nı seçin.

7. Veritabanı için kullanmak istediğiniz CMEK anahtarının kaynak adını seçin veya girin.

8. Anahtar listesi, mevcut Google Cloud projesi ve seçtiğiniz veritabanı konumuyla sınırlıdır. Farklı bir Google Cloud projesindeki anahtarı kullanmak için Projeyi Değiştir veya Anahtarı Manuel Olarak Gir'i tıklayın.

9. Cloud Firestore hizmet hesabına anahtar izni vermeniz istenirse İzin ver'i tıklayın. CMEK veritabanı oluşturmak için Cloud Firestore hizmet hesabınıza cloudkms.cryptoKeyEncrypterDecrypter rolü verilmelidir.

10. Mobil ve web istemcileri için güvenlik kuralları seçin.

11. Veritabanı oluştur'u tıklayın.

Veritabanı oluşturulduktan sonra Veritabanı ayrıntıları'nı görüntüleyerek veritabanında CMEK'nin etkinleştirildiğini doğrulayabilirsiniz:

• Veritabanınız CMEK ile korunuyorsa Şifreleme türü alanı Müşteri tarafından yönetilen olarak gösterilir ve Şifreleme anahtarı alanında, ilgili Cloud KMS ve bu veritabanını korumak için kullanılan anahtar sürümü listelenir.
• Veritabanınız CMEK ile korunmuyorsa Şifreleme türü alanı Google tarafından yönetilen olarak gösterilir.

gcloud

Google Cloud CLI ile CMEK özellikli bir veritabanı oluşturmadan önce en yeni sürümü yükleyin ve gcloud CLI'i yetkilendirin. Daha fazla bilgi için gcloud CLI'yi yükleme başlıklı makaleyi inceleyin.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• Veritabanı için FIRESTORE_DATABASE_LOCATION değerini Cloud Firestore konumuyla değiştirin.
• Veritabanı kimliğiyle DATABASE_ID

• KMS_KEY_NAME ifadesini, anahtara atadığınız adla değiştirin. Anahtar için aşağıdaki biçimde tam kaynak adını kullanın:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• Cloud Firestore veritabanınız için kullanılacak proje ile FIRESTORE_PROJECT

REST API

HTTP isteği:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

İstek gövdesinde, CMEK'yi cmek_config.kms_key_name alanında yapılandırın.

Cloud KMS anahtarının tam kaynak kimliğine ayarlanır. Yalnızca bu veritabanıyla aynı konumda bulunan bir anahtara izin verilir.

Bu değer, şu biçimdeki Cloud KMS anahtarı kaynak kimliği olmalıdır: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Diğer alanlar hakkında daha fazla bilgi için database create sayfasını inceleyin.

Örnek istek:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

CMEK özellikli bir veritabanı oluşturmak için KMS Anahtar Adı alanını kullanın. --kms-key-name parametresini belirtmezseniz Cloud Firestore varsayılan olarak CMEK olmayan bir veritabanı oluşturur.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• LOCATION yerine veritabanınızın konumunu yazın.
• CMEK anahtarınızı içeren projeyle KMS_PROJECT
• KMS_LOCATION yerine CMEK anahtarınızı ve anahtarlığınızı içeren konum
• KMS_KEYRING_ID yerine CMEK anahtar halkanızın kimliğini girin.
• Cloud Firestore veritabanınız için kullanılacak proje ile FIRESTORE_PROJECT

Cloud Firestore veritabanınızın Firebase CLI ile korunduğunu onaylayın:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Yanıt mesajında aşağıdaki CMEK bilgileri görünür:

• KMS Anahtar Adı alanı, Cloud Firestore CMEK veritabanınızı şifrelemek için kullanılan tam anahtar kaynak adını sağlar.
• Etkin Anahtar Sürümleri alanı, bu CMEK veritabanı tarafından kullanılan tüm anahtar sürümlerinin listesini sağlar. Anahtar rotasyonu sırasında birden fazla etkin anahtar sürümünüz olabilir.

Terraform

CMEK özellikli bir veritabanı oluşturmak için google_firestore_database kaynağını kullanın. Daha fazla bilgi ve örnek için google_firestore_database başlıklı makaleyi inceleyin.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

Aşağıdakini değiştirin:

• Cloud Firestore veritabanınız için kullanılacak proje ile FIRESTORE_PROJECT
• Veritabanı kimliğiyle DATABASE_ID
• Veritabanı için FIRESTORE_DATABASE_LOCATION değerini Cloud Firestore konumuyla değiştirin.
• DATABASE_TYPE değerini, yerel mod için FIRESTORE_NATIVE veya Datastore modu için DATASTORE_MODE ile değiştirin.

• KMS_KEY_NAME ifadesini, anahtara atadığınız adla değiştirin. Anahtar için şu biçimde tam kaynak adını kullanın:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

CMEK korumalı bir veritabanını CMEK şifrelemesine geri yükleme

CMEK şifrelemesine geri yüklemek için isteğe bağlı encryption-type ve kms-key-name işaretleriyle gcloud firestore databases restore komutunu çalıştırarak geri yüklenen veritabanının şifreleme türünü yapılandırın. Şifreleme türünü belirtmezseniz geri yüklenen veritabanı, yedeklemeyle aynı şifreleme yapılandırmasını kullanır.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME ifadesini anahtara atadığınız adla değiştirin. Anahtar için aşağıdaki biçimde tam kaynak adını kullanın:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK korumalı bir veritabanını varsayılan şifrelemeye geri yükleme

Google'ın varsayılan şifrelemesine (CMEK olmayan) geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK korumalı bir veritabanını, yedeklemeyle aynı şifreleme türüne geri yükleme

Yedeklemeyle aynı şifreleme türüne geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

CMEK korumalı bir veritabanını CMEK şifrelemesine geri yükleme

CMEK şifrelemesine geri yüklemek için isteğe bağlı encryption-type ve kms-key-name işaretini kullanın. Şifreleme türünü belirtmezseniz geri yüklenen veritabanı, yedeklemeyle aynı şifreleme yapılandırmasını kullanır.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• Cloud Firestore veritabanınız için kullanılacak proje ile FIRESTORE_PROJECT
• FIRESTORE_LOCATION ifadesini Cloud Firestore veritabanınızın konumuyla değiştirin.
• BACKUP_ID yerine yedeğinizin kimliğini yazın.
• CMEK anahtarınızı içeren projeyle KMS_PROJECT
• KMS_LOCATION yerine CMEK anahtarınızı ve anahtarlığınızı içeren konum
• KMS_KEYRING_ID yerine CMEK anahtar halkanızın kimliğini girin.

Geri yüklenen Cloud Firestore veritabanınızın CMEK ile şifrelendiğini onaylayın:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK korumalı bir veritabanını varsayılan şifrelemeye geri yükleme

Google'ın varsayılan şifrelemesine (CMEK olmayan) geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• Cloud Firestore veritabanınız için kullanılacak proje ile FIRESTORE_PROJECT
• FIRESTORE_LOCATION ifadesini Cloud Firestore veritabanınızın konumuyla değiştirin.
• BACKUP_ID yerine yedeğinizin kimliğini yazın.

CMEK korumalı bir veritabanını, yedeklemeyle aynı şifreleme türüne geri yükleme

Yedeklemeyle aynı şifreleme türüne geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• Cloud Firestore veritabanınız için kullanılacak proje ile FIRESTORE_PROJECT
• FIRESTORE_LOCATION ifadesini Cloud Firestore veritabanınızın konumuyla değiştirin.
• BACKUP_ID yerine yedeğinizin kimliğini yazın.

gcloud

CMEK korumalı bir veritabanını CMEK şifrelemesine klonlama

CMEK şifrelemesine klonlamak için klonlanan veritabanının şifreleme türünü yapılandırmak üzere isteğe bağlı encryption-type ve kms-key-name işaretleriyle gcloud firestore databases clone komutunu çalıştırın. Şifreleme türünü belirtmezseniz klonlanan veritabanı, kaynak veritabanıyla aynı şifreleme yapılandırmasını kullanır.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME ifadesini anahtara atadığınız adla değiştirin. Anahtar için aşağıdaki biçimde tam kaynak adını kullanın:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK korumalı bir veritabanını varsayılan şifrelemeye kopyalama

Google'ın varsayılan şifrelemesine (CMEK olmayan) klonlamak için encryption-type işaretini aşağıdaki şekilde ayarlayın:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

CMEK korumalı bir veritabanını kaynak veritabanıyla aynı şifreleme türüne kopyalama

Kaynak veritabanıyla aynı şifreleme türüne klonlamak için encryption-type işaretini aşağıdaki şekilde ayarlayın:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

--encryption-type belirtilmediyse de varsayılan davranış budur.

Firebase CLI

CMEK korumalı bir veritabanını CMEK şifrelemesine klonlama

CMEK şifrelemesine klonlamak için isteğe bağlı encryption-type ve kms-key-name işaretleriyle firebase firestore:databases:clone komutunu çalıştırarak klonlanan veritabanının şifreleme türünü yapılandırın. Şifreleme türünü belirtmezseniz klonlanan veritabanı, kaynak veritabanıyla aynı şifreleme yapılandırmasını kullanır.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME ifadesini anahtara atadığınız adla değiştirin. Anahtar için aşağıdaki biçimde tam kaynak adını kullanın:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK korumalı bir veritabanını varsayılan şifrelemeye kopyalama

Google'ın varsayılan şifrelemesine (CMEK olmayan) klonlamak için encryption-type işaretini aşağıdaki şekilde ayarlayın:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

CMEK korumalı bir veritabanını kaynak veritabanıyla aynı şifreleme türüne kopyalama

Kaynak veritabanıyla aynı şifreleme türüne klonlamak için encryption-type işaretini aşağıdaki şekilde ayarlayın:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

--encryption-type belirtilmediyse de varsayılan davranış budur.

gcloud

Veritabanı CMEK yapılandırmasını onaylamak için databases describe gcloud CLI komutunu kullanabilirsiniz:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Yanıttaki cmekConfig alanında aşağıdakine benzer CMEK bilgilerini göreceksiniz:

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

Yanıtta aşağıdaki bilgiler yer alır:

• kmsKeyName: CMEK korumalı veritabanınızı şifrelemek için kullanılan anahtarın tam kaynak adı.
• activeKeyVersion: CMEK korumalı veritabanı tarafından şu anda kullanılan tüm anahtar sürümlerinin listesi. Anahtar rotasyonu sırasında birden fazla etkin anahtar sürümünüz olabilir. Anahtar rotasyonu sırasında hem eski anahtar sürümünün hem de yeni anahtar sürümünün kullanılabilir olması gerekir. Eski anahtar sürümünü, activeKeyVersion alanında görünmeyene kadar devre dışı bırakmayın.

REST API

HTTP isteği:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

İstek gövdesinde, CMEK'yi cmek_config.kms_key_name alanında yapılandırın. Cloud KMS anahtarının tam kaynak kimliğine ayarlanır. Yalnızca bu veritabanıyla aynı konumda bulunan bir anahtara izin verilir.

Bu değer, şu biçimdeki Cloud KMS anahtarı kaynak kimliği olmalıdır: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Diğer alanlar hakkında daha fazla bilgi için database create sayfasına bakın.

Örnek istek ve yanıt:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}