Как использовать ключи шифрования, управляемые клиентом (CMEK)

Консоль

Чтобы предоставить роль Cloud KMS агенту сервиса, выполните следующие действия: Вы также можете предоставить разрешение на уровне ключа или набора ключей, если вам нужна меньшая детализация.

1. В консоли Google Cloud перейдите на страницу IAM.

   Перейти на страницу IAM

2. Нажмите Добавить.

3. Введите идентификатор сервисного агента Cloud Firestore в формате адреса электронной почты.

4. Выберите роль Шифровальщик/расшифровщик CryptoKey Cloud KMS.

5. Нажмите Сохранить.

gcloud

Предоставьте агенту сервиса роль cloudkms.cryptoKeyEncrypterDecrypter:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Замените следующее:

• KMS_KEY – название, которое вы присвоили ключу.
• KMS_KEYRING с набором ключей KMS, в который входит ключ;
• KMS_LOCATION – регион, в котором находится набор ключей;
• SERVICE_AGENT_EMAIL – идентификатор в формате адреса электронной почты для сервисного агента, которому вы предоставляете доступ.
• KMS_PROJECT с проектом, содержащим ключ.

В терминале отобразится ответ, похожий на указанный ниже:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Консоль

1. В консоли Google Cloud перейдите на страницу Databases (Базы данных).

   Перейти на страницу "Базы данных"

2. Нажмите Create Database (Создать базу данных).

3. Выберите режим базы данных. Нажмите Продолжить.

4. На странице Configure your database (Настройка базы данных) введите идентификатор базы данных.

5. Выберите местоположение.

6. Нажмите Показать параметры шифрования и выберите Ключ Cloud KMS.

7. Выберите или введите название ресурса для ключа CMEK, который вы хотите использовать для базы данных.

8. Список ключей ограничен текущим проектом Google Cloud и выбранным местоположением базы данных. Чтобы использовать ключ из другого проекта Google Cloud, нажмите Сменить проект или Ввести ключ вручную.

9. Если появится запрос на предоставление разрешения на доступ к ключу для сервисного аккаунта Cloud Firestore, нажмите Предоставить. Чтобы создать базу данных CMEK, вашему сервисному аккаунту Cloud Firestore должна быть назначена роль cloudkms.cryptoKeyEncrypterDecrypter.

10. Выберите правила безопасности для мобильных и веб-клиентов.

11. Нажмите Create Database (Создать базу данных).

После создания базы данных вы можете проверить, включен ли CMEK, в разделе Database details (Сведения о базе данных).

• Если база данных защищена с помощью CMEK, в поле Тип шифрования будет указано Управляется клиентом, а в поле Ключ шифрования – соответствующий Cloud KMS и версия ключа, используемая для защиты этой базы данных.
• Если база данных не защищена CMEK, в поле Тип шифрования будет указано Управляется Google.

gcloud

Прежде чем создавать базу данных с поддержкой CMEK с помощью Google Cloud CLI, установите последнюю версию и авторизуйте gcloud CLI. Подробнее о том, как установить gcloud CLI…

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Замените следующее:

• FIRESTORE_DATABASE_LOCATION с Cloud Firestore местоположением базы данных
• DATABASE_ID с идентификатором базы данных

• KMS_KEY_NAME – название, которое вы присвоили ключу. Используйте полное название ресурса для ключа в следующем формате:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT с проектом, чтобы использовать его для базы данных Cloud Firestore.

REST API

HTTP-запрос:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

В теле запроса настройте CMEK в поле cmek_config.kms_key_name.

Укажите полный идентификатор ресурса ключа Cloud KMS. Разрешен только ключ, находящийся в том же местоположении, что и эта база данных.

Это значение должно быть идентификатором ресурса ключа Cloud KMS в формате projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}.

Дополнительную информацию о других полях можно найти на странице database create.

Пример запроса:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

интерфейс командной строки Firebase

Чтобы создать базу данных с поддержкой CMEK, используйте поле KMS Key Name (Название ключа KMS). Если вы не укажете параметр --kms-key-name, Cloud Firestore по умолчанию создаст базу данных без CMEK.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID – идентификатор базы данных.
• LOCATION – местоположение базы данных.
• KMS_PROJECT – проект, в котором хранится ключ CMEK.
• KMS_LOCATION – местоположение, в котором находится ключ CMEK и набор ключей.
• KMS_KEYRING_ID – идентификатор набора ключей CMEK;
• FIRESTORE_PROJECT с проектом, чтобы использовать его для базы данных Cloud Firestore.

Убедитесь, что база данных Cloud Firestore защищена с помощью интерфейса командной строки Firebase:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

В ответе появится следующая информация о CMEK:

• В поле Название ключа KMS указано полное название ресурса ключа, который используется для шифрования базы данных CMEK Cloud Firestore.
• В поле Активные версии ключей перечислены все версии ключей, которые сейчас используются в этой базе данных CMEK. При ротации ключей у вас может быть несколько активных версий ключа.

Terraform

Чтобы создать базу данных с поддержкой CMEK, используйте ресурс google_firestore_database. Дополнительную информацию и примеры можно найти в статье google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

Замените следующее:

• FIRESTORE_PROJECT с проектом, чтобы использовать его для базы данных Cloud Firestore.
• DATABASE_ID с идентификатором базы данных
• FIRESTORE_DATABASE_LOCATION с Cloud Firestore местоположением базы данных
• DATABASE_TYPE с FIRESTORE_NATIVE для нативного режима или DATASTORE_MODE для режима хранилища данных.

• KMS_KEY_NAME – название, которое вы присвоили ключу. Используйте полное название ресурса для ключа в следующем формате:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Как восстановить базу данных, защищенную CMEK, с шифрованием CMEK

Чтобы восстановить шифрование CMEK, выполните команду gcloud firestore databases restore с необязательными флагами encryption-type и kms-key-name, чтобы настроить тип шифрования для восстановленной базы данных. Если вы не укажете тип шифрования, восстановленная база данных будет использовать ту же конфигурацию шифрования, что и резервная копия.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME названием, которое вы присвоили ключу. Используйте полное название ресурса для ключа в следующем формате:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Как восстановить шифрование по умолчанию для базы данных, защищенной CMEK

Чтобы восстановить шифрование Google по умолчанию (не CMEK), задайте флаг encryption-type следующим образом:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Восстановление базы данных, защищенной CMEK, с тем же типом шифрования, что и у резервной копии

Чтобы восстановить данные с тем же типом шифрования, что и в резервной копии, установите флаг encryption-type следующим образом:

  gcloud firestore databases restore --encryption-type=use-source-encryption

интерфейс командной строки Firebase

Как восстановить базу данных, защищенную CMEK, с шифрованием CMEK

Чтобы восстановить шифрование CMEK, используйте необязательные флаги encryption-type и kms-key-name. Если вы не укажете тип шифрования, для восстановленной базы данных будет использоваться та же конфигурация шифрования, что и для резервной копии.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID – идентификатор базы данных.
• FIRESTORE_PROJECT с проектом, чтобы использовать его для базы данных Cloud Firestore.
• FIRESTORE_LOCATION с местоположением базы данных Cloud Firestore.
• BACKUP_ID – идентификатор резервной копии.
• KMS_PROJECT – проект, в котором хранится ключ CMEK.
• KMS_LOCATION – местоположение, в котором находится ключ CMEK и набор ключей.
• KMS_KEYRING_ID – идентификатор набора ключей CMEK;

Убедитесь, что восстановленная база данных Cloud Firestore зашифрована с помощью CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Как восстановить шифрование по умолчанию для базы данных, защищенной CMEK

Чтобы восстановить шифрование Google по умолчанию (не CMEK), задайте флаг encryption-type следующим образом:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Замените следующее:

• DATABASE_ID – идентификатор базы данных.
• FIRESTORE_PROJECT с проектом, чтобы использовать его для базы данных Cloud Firestore.
• FIRESTORE_LOCATION с местоположением базы данных Cloud Firestore.
• BACKUP_ID – идентификатор резервной копии.

Восстановление базы данных, защищенной CMEK, с тем же типом шифрования, что и у резервной копии

Чтобы восстановить данные с тем же типом шифрования, что и в резервной копии, установите флаг encryption-type следующим образом:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Замените следующее:

• DATABASE_ID – идентификатор базы данных.
• FIRESTORE_PROJECT с проектом, чтобы использовать его для базы данных Cloud Firestore.
• FIRESTORE_LOCATION с местоположением базы данных Cloud Firestore.
• BACKUP_ID – идентификатор резервной копии.

gcloud

Клонирование базы данных, защищенной CMEK, в базу данных с шифрованием CMEK

Чтобы клонировать базу данных с шифрованием CMEK, выполните команду gcloud firestore databases clone с необязательными флагами encryption-type и kms-key-name, чтобы настроить тип шифрования для клонированной базы данных. Если вы не укажете тип шифрования, для клонированной базы данных будет использоваться та же конфигурация шифрования, что и для исходной.

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME названием, которое вы присвоили ключу. Используйте полное название ресурса для ключа в следующем формате:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Как клонировать базу данных, защищенную CMEK, в базу данных с шифрованием по умолчанию

Чтобы клонировать с использованием стандартного шифрования Google (не CMEK), задайте флаг encryption-type следующим образом:

gcloud firestore databases clone \
--encryption-type=google-default-encryption

Клонирование базы данных, защищенной CMEK, с тем же типом шифрования, что и у исходной базы данных

Чтобы клонировать базу данных с тем же типом шифрования, что и у исходной, установите флаг encryption-type следующим образом:

gcloud firestore databases clone \
--encryption-type=use-source-encryption

Это также режим работы по умолчанию, если --encryption-type не указано.

интерфейс командной строки Firebase

Клонирование базы данных, защищенной CMEK, в базу данных с шифрованием CMEK

Чтобы клонировать базу данных с шифрованием CMEK, выполните команду firebase firestore:databases:clone с необязательными флагами encryption-type и kms-key-name, чтобы настроить тип шифрования для клонированной базы данных. Если вы не укажете тип шифрования, для клонированной базы данных будет использоваться та же конфигурация шифрования, что и для исходной базы данных.

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

Замените KMS_KEY_NAME названием, которое вы присвоили ключу. Используйте полное название ресурса для ключа в следующем формате:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Как клонировать базу данных, защищенную CMEK, в базу данных с шифрованием по умолчанию

Чтобы клонировать с использованием стандартного шифрования Google (не CMEK), задайте флаг encryption-type следующим образом:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

Клонирование базы данных, защищенной CMEK, с тем же типом шифрования, что и у исходной базы данных

Чтобы клонировать базу данных с тем же типом шифрования, что и у исходной, установите флаг encryption-type следующим образом:

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

Это также режим работы по умолчанию, если --encryption-type не указано.

gcloud

Чтобы проверить конфигурацию CMEK базы данных, используйте команду databases describe gcloud CLI:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

В ответе вы должны увидеть информацию о CMEK в поле cmekConfig, как показано ниже.

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

Ответ содержит следующую информацию:

• kmsKeyName – полное название ресурса ключа, который используется для шифрования базы данных, защищенной CMEK.
• activeKeyVersion – список всех версий ключей, которые в настоящее время используются базой данных, защищенной CMEK. При ротации ключей у вас может быть несколько активных версий ключа. Во время ротации ключей должны быть доступны и старая, и новая версии ключа. Не отключайте старую версию ключа, пока она не перестанет появляться в поле activeKeyVersion.

REST API

HTTP-запрос:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

В теле запроса настройте CMEK в поле cmek_config.kms_key_name. Укажите полный идентификатор ресурса ключа Cloud KMS. Разрешен только ключ, находящийся в том же местоположении, что и эта база данных.

Это значение должно быть идентификатором ресурса ключа Cloud KMS в формате projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}.

Дополнительную информацию о других полях можно найти на странице database create.

Пример запроса и ответа:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}