ใช้คีย์การเข้ารหัสที่จัดการโดยลูกค้า (CMEK)

คอนโซล

หากต้องการมอบบทบาท Cloud KMS ให้กับตัวแทนบริการ ให้ทำดังนี้ นอกจากนี้ คุณยังให้สิทธิ์ที่ระดับคีย์หรือคีย์ริงได้หากต้องการรายละเอียดที่ต่ำลง

1. ไปที่หน้า IAM ในคอนโซล Google Cloud

   ไปที่ หน้า IAM

2. คลิกเพิ่ม

3. ป้อนรหัสในรูปแบบอีเมลสำหรับ Agent บริการ Cloud Firestore

4. เลือกบทบาทผู้เข้ารหัส/ผู้ถอดรหัส Cloud KMS CryptoKey

5. คลิกบันทึก

gcloud

มอบบทบาท cloudkms.cryptoKeyEncrypterDecrypter ให้กับ Service Agent ของคุณ

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

แทนที่ค่าต่อไปนี้

• KMS_KEY พร้อมชื่อที่คุณกำหนดให้กับคีย์
• KMS_KEYRING ด้วยคีย์ริง KMS ที่มีคีย์
• KMS_LOCATION ด้วยภูมิภาคที่มีคีย์ริง
• SERVICE_AGENT_EMAIL พร้อมตัวระบุรูปแบบอีเมลสำหรับ Service Agent ที่คุณให้สิทธิ์เข้าถึง
• KMS_PROJECT ด้วยโปรเจ็กต์ที่มีคีย์

เทอร์มินัลควรแสดงการตอบกลับที่คล้ายกับข้อความต่อไปนี้

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

คอนโซล

1. ในคอนโซล Google Cloud ให้ไปที่หน้าฐานข้อมูล

   ไปที่หน้าฐานข้อมูล

2. คลิก Create Database

3. เลือกโหมดฐานข้อมูล คลิกต่อไป

4. ในหน้ากำหนดค่าฐานข้อมูล ให้ป้อนรหัสฐานข้อมูล

5. เลือกสถานที่ตั้ง

6. คลิกแสดงตัวเลือกการเข้ารหัส แล้วเลือกคีย์ Cloud KMS

7. เลือกหรือป้อนชื่อทรัพยากรสำหรับคีย์ CMEK ที่ต้องการใช้กับฐานข้อมูล

8. รายการคีย์จะจำกัดเฉพาะโปรเจ็กต์ Google Cloud ปัจจุบันและตำแหน่งฐานข้อมูลที่คุณเลือก หากต้องการใช้คีย์จากโปรเจ็กต์ Google Cloud อื่น ให้คลิกเปลี่ยนโปรเจ็กต์หรือป้อนคีย์ด้วยตนเอง

9. หากระบบแจ้งให้คุณให้สิทธิ์คีย์แก่บัญชีบริการ Cloud Firestore ให้คลิกให้สิทธิ์ หากต้องการสร้างฐานข้อมูล CMEK บัญชีบริการ Cloud Firestore ของคุณต้องได้รับบทบาท cloudkms.cryptoKeyEncrypterDecrypter

10. เลือกกฎความปลอดภัยสำหรับไคลเอ็นต์บนอุปกรณ์เคลื่อนที่และเว็บ

11. คลิก Create Database

เมื่อสร้างฐานข้อมูลแล้ว คุณสามารถยืนยันว่าฐานข้อมูลเปิดใช้ CMEK โดยดูรายละเอียดฐานข้อมูล ดังนี้

• หากฐานข้อมูลได้รับการปกป้องโดย CMEK ช่องประเภทการเข้ารหัสจะแสดงเป็นจัดการโดยลูกค้า และช่องคีย์การเข้ารหัสจะแสดง Cloud KMS ที่เกี่ยวข้องและเวอร์ชันคีย์ที่ใช้เพื่อปกป้องฐานข้อมูลนี้
• หากฐานข้อมูลไม่ได้รับการปกป้องโดย CMEK ช่องประเภทการเข้ารหัสจะแสดงเป็นจัดการโดย Google

gcloud

ก่อนสร้างฐานข้อมูลที่เปิดใช้ CMEK ด้วย Google Cloud CLI ให้ติดตั้งเวอร์ชันล่าสุดและให้สิทธิ์ gcloud CLI ดูข้อมูลเพิ่มเติมได้ที่ติดตั้ง gcloud CLI

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• FIRESTORE_DATABASE_LOCATION โดยมีตำแหน่ง Cloud Firestore สำหรับฐานข้อมูล
• DATABASE_ID ด้วยรหัสของฐานข้อมูล

• KMS_KEY_NAME ด้วยชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT กับโปรเจ็กต์เพื่อใช้กับฐานข้อมูล Cloud Firestore ของคุณ

REST API

คำขอ HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

ในเนื้อความของคำขอ ให้กำหนดค่า CMEK ในช่อง cmek_config.kms_key_name

ตั้งค่าเป็นรหัสทรัพยากรแบบเต็มของคีย์ Cloud KMS อนุญาตเฉพาะคีย์ในตำแหน่งเดียวกับฐานข้อมูลนี้เท่านั้น

ค่านี้ควรเป็นรหัสทรัพยากรคีย์ Cloud KMS ในรูปแบบ projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

ดูข้อมูลเพิ่มเติมเกี่ยวกับช่องอื่นๆ ได้ที่หน้า database create

ตัวอย่างคำขอ

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

หากต้องการสร้างฐานข้อมูลที่เปิดใช้ CMEK ให้ใช้ช่องชื่อคีย์ KMS หากคุณไม่ได้ระบุพารามิเตอร์ --kms-key-name ไว้ Cloud Firestore จะสร้างฐานข้อมูลที่ไม่ใช่ CMEK โดยค่าเริ่มต้น

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• DATABASE_ID ด้วยรหัสของฐานข้อมูล
• LOCATION ด้วยตำแหน่งของฐานข้อมูล
• KMS_PROJECT ด้วยโปรเจ็กต์ที่มีคีย์ CMEK
• KMS_LOCATION พร้อมตำแหน่งที่มีคีย์ CMEK และคีย์ริง
• KMS_KEYRING_ID ด้วยรหัสของคีย์ริง CMEK
• FIRESTORE_PROJECT กับโปรเจ็กต์เพื่อใช้กับฐานข้อมูล Cloud Firestore ของคุณ

ยืนยันว่าฐานข้อมูล Cloud Firestore ได้รับการปกป้องด้วย Firebase CLI โดยทำดังนี้

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

ข้อมูล CMEK ต่อไปนี้จะปรากฏในข้อความตอบกลับ

• ช่องชื่อคีย์ KMS จะระบุชื่อทรัพยากรคีย์แบบเต็มที่ใช้ในการเข้ารหัสฐานข้อมูล CMEK ของ Cloud Firestore
• ช่องเวอร์ชันคีย์ที่ใช้งานอยู่จะแสดงรายการเวอร์ชันคีย์ทั้งหมดที่ฐานข้อมูล CMEK นี้ใช้อยู่ในปัจจุบัน ในระหว่างการหมุนเวียนคีย์ คุณสามารถมีคีย์เวอร์ชันที่ใช้งานอยู่หลายเวอร์ชันได้

Terraform

หากต้องการสร้างฐานข้อมูลที่เปิดใช้ CMEK ให้ใช้ทรัพยากร google_firestore_database ดูข้อมูลเพิ่มเติมและตัวอย่างได้ที่ google_firestore_database

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

แทนที่ค่าต่อไปนี้

• FIRESTORE_PROJECT กับโปรเจ็กต์เพื่อใช้กับฐานข้อมูล Cloud Firestore ของคุณ
• DATABASE_ID ด้วยรหัสของฐานข้อมูล
• FIRESTORE_DATABASE_LOCATION โดยมีตำแหน่ง Cloud Firestore สำหรับฐานข้อมูล
• DATABASE_TYPE โดยใช้ FIRESTORE_NATIVE สำหรับโหมดเนทีฟ หรือ DATASTORE_MODE สำหรับโหมด Datastore

• KMS_KEY_NAME ด้วยชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

กู้คืนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK ไปยังการเข้ารหัส CMEK

หากต้องการกู้คืนเป็นการเข้ารหัส CMEK ให้เรียกใช้คำสั่ง gcloud firestore databases restore พร้อมแฟล็ก encryption-type และ kms-key-name (ไม่บังคับ) เพื่อกำหนดค่าประเภทการเข้ารหัสสำหรับฐานข้อมูลที่กู้คืน หากคุณไม่ได้ระบุประเภทการเข้ารหัส ฐานข้อมูลที่กู้คืนจะใช้การกำหนดค่าการเข้ารหัสเดียวกันกับการสำรองข้อมูล

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

แทนที่ KMS_KEY_NAME ด้วยชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

กู้คืนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK เป็นการเข้ารหัสเริ่มต้น

หากต้องการกู้คืนเป็นการเข้ารหัสเริ่มต้นของ Google (ไม่ใช่ CMEK) ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

กู้คืนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK เป็นการเข้ารหัสประเภทเดียวกับข้อมูลสำรอง

หากต้องการกู้คืนเป็นประเภทการเข้ารหัสเดียวกับข้อมูลสำรอง ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

กู้คืนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK ไปยังการเข้ารหัส CMEK

หากต้องการกู้คืนเป็นการเข้ารหัส CMEK ให้ใช้แฟล็ก encryption-type และ kms-key-name ที่ไม่บังคับ หากคุณไม่ได้ระบุประเภทการเข้ารหัส ฐานข้อมูลที่กู้คืนจะใช้การกำหนดค่าการเข้ารหัสเดียวกันกับการสำรองข้อมูล

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• DATABASE_ID ด้วยรหัสของฐานข้อมูล
• FIRESTORE_PROJECT กับโปรเจ็กต์เพื่อใช้กับฐานข้อมูล Cloud Firestore ของคุณ
• FIRESTORE_LOCATION ด้วยตำแหน่งของฐานข้อมูล Cloud Firestore
• BACKUP_ID ด้วยรหัสของข้อมูลสำรอง
• KMS_PROJECT ด้วยโปรเจ็กต์ที่มีคีย์ CMEK
• KMS_LOCATION พร้อมตำแหน่งที่มีคีย์ CMEK และคีย์ริง
• KMS_KEYRING_ID ด้วยรหัสของคีย์ริง CMEK

ยืนยันว่าฐานข้อมูล Cloud Firestore ที่กู้คืนได้รับการเข้ารหัส CMEK โดยทำดังนี้

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

กู้คืนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK เป็นการเข้ารหัสเริ่มต้น

หากต้องการกู้คืนเป็นการเข้ารหัสเริ่มต้นของ Google (ไม่ใช่ CMEK) ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• DATABASE_ID ด้วยรหัสของฐานข้อมูล
• FIRESTORE_PROJECT กับโปรเจ็กต์เพื่อใช้กับฐานข้อมูล Cloud Firestore ของคุณ
• FIRESTORE_LOCATION ด้วยตำแหน่งของฐานข้อมูล Cloud Firestore
• BACKUP_ID ด้วยรหัสของข้อมูลสำรอง

กู้คืนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK เป็นการเข้ารหัสประเภทเดียวกับข้อมูลสำรอง

หากต้องการกู้คืนเป็นประเภทการเข้ารหัสเดียวกับข้อมูลสำรอง ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

แทนที่ค่าต่อไปนี้

• DATABASE_ID ด้วยรหัสของฐานข้อมูล
• FIRESTORE_PROJECT กับโปรเจ็กต์เพื่อใช้กับฐานข้อมูล Cloud Firestore ของคุณ
• FIRESTORE_LOCATION ด้วยตำแหน่งของฐานข้อมูล Cloud Firestore
• BACKUP_ID ด้วยรหัสของข้อมูลสำรอง

gcloud

โคลนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK ไปยังการเข้ารหัส CMEK

หากต้องการโคลนเป็นการเข้ารหัส CMEK ให้เรียกใช้คำสั่ง gcloud firestore databases clone พร้อมแฟล็ก encryption-type และ kms-key-name (ไม่บังคับ) เพื่อกำหนดค่าประเภทการเข้ารหัสสำหรับฐานข้อมูลที่โคลน หากคุณไม่ได้ระบุประเภทการเข้ารหัส ฐานข้อมูลที่โคลนจะใช้การกำหนดค่าการเข้ารหัสเดียวกันกับฐานข้อมูลต้นทาง

gcloud firestore databases clone \
--encryption-type=customer-managed-encryption \
--kms-key-name=KMS_KEY_NAME

แทนที่ KMS_KEY_NAME ด้วยชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

โคลนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK ไปยังการเข้ารหัสเริ่มต้น

หากต้องการโคลนเป็นการเข้ารหัสเริ่มต้นของ Google (ไม่ใช่ CMEK) ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

gcloud firestore databases clone \
--encryption-type=google-default-encryption

โคลนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK เป็นประเภทการเข้ารหัสเดียวกับฐานข้อมูลต้นทาง

หากต้องการโคลนไปยังประเภทการเข้ารหัสเดียวกันกับฐานข้อมูลต้นทาง ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

gcloud firestore databases clone \
--encryption-type=use-source-encryption

และยังเป็นลักษณะการทำงานเริ่มต้นหากไม่ได้ระบุ --encryption-type ด้วย

Firebase CLI

โคลนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK ไปยังการเข้ารหัส CMEK

หากต้องการโคลนเป็นการเข้ารหัส CMEK ให้เรียกใช้คำสั่ง firebase firestore:databases:clone พร้อมแฟล็ก encryption-type และ kms-key-name (ไม่บังคับ) เพื่อกำหนดค่าประเภทการเข้ารหัสสำหรับฐานข้อมูลที่โคลน หากคุณไม่ได้ระบุประเภทการเข้ารหัส ฐานข้อมูลที่โคลนจะใช้การกำหนดค่าการเข้ารหัสเดียวกันกับฐานข้อมูลต้นทาง

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name=KMS_KEY_NAME

แทนที่ KMS_KEY_NAME ด้วยชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

โคลนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK ไปยังการเข้ารหัสเริ่มต้น

หากต้องการโคลนเป็นการเข้ารหัสเริ่มต้นของ Google (ไม่ใช่ CMEK) ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=GOOGLE_DEFAULT_ENCRYPTION

โคลนฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK เป็นประเภทการเข้ารหัสเดียวกับฐานข้อมูลต้นทาง

หากต้องการโคลนไปยังประเภทการเข้ารหัสเดียวกันกับฐานข้อมูลต้นทาง ให้ตั้งค่าแฟล็ก encryption-type ด้วยวิธีต่อไปนี้

firebase firestore:databases:clone \
SOURCE_DATABASE \
DESTINATION_DATABASE \
--encryption-type=USE_SOURCE_ENCRYPTION

และยังเป็นลักษณะการทำงานเริ่มต้นหากไม่ได้ระบุ --encryption-type ด้วย

gcloud

คุณสามารถใช้คำสั่ง databases describe gcloud CLI เพื่อยืนยันการกำหนดค่า CMEK ของฐานข้อมูลได้

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

คุณควรเห็นข้อมูล CMEK ในช่อง cmekConfig ในการตอบกลับที่คล้ายกับตัวอย่างต่อไปนี้

      cmekConfig:
          activeKeyVersion:
          - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
          kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
        locationId: nam5
        name: projects/PROJECT_ID/databases/DATABASE_ID

การตอบกลับจะมีข้อมูลต่อไปนี้

• kmsKeyName: ชื่อทรัพยากรคีย์แบบเต็มของคีย์ที่ใช้ในการเข้ารหัสฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK
• activeKeyVersion: รายการเวอร์ชันคีย์ทั้งหมดที่ฐานข้อมูลที่ได้รับการปกป้องด้วย CMEK ใช้งานอยู่ในปัจจุบัน ในระหว่างการหมุนเวียนคีย์ คุณสามารถมีคีย์เวอร์ชันที่ใช้งานอยู่หลายเวอร์ชันได้ ทั้งคีย์เวอร์ชันเก่าและคีย์เวอร์ชันใหม่ต้องพร้อมใช้งานในระหว่างการหมุนเวียนคีย์ อย่าปิดใช้เวอร์ชันคีย์เก่าจนกว่าจะไม่ปรากฏในช่อง activeKeyVersion อีกต่อไป

REST API

คำขอ HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

ในเนื้อความของคำขอ ให้กำหนดค่า CMEK ในช่อง cmek_config.kms_key_name ตั้งค่าเป็นรหัสทรัพยากรแบบเต็มของคีย์ Cloud KMS อนุญาตเฉพาะคีย์ในตำแหน่งเดียวกับฐานข้อมูลนี้เท่านั้น

ค่านี้ควรเป็นรหัสทรัพยากรคีย์ Cloud KMS ในรูปแบบ projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

ดูข้อมูลเพิ่มเติมเกี่ยวกับช่องอื่นๆ ได้ที่หน้า database create

ตัวอย่างคำขอและการตอบกลับ

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}