استخدام مفاتيح التشفير المُدارة للعميل (CMEK)

تنظيم صفحاتك في مجموعات يمكنك حفظ المحتوى وتصنيفه حسب إعداداتك المفضّلة.

وحدة التحكم

لمنح دور Cloud KMS لموظّف الدعم، اتّبِع الخطوات التالية: يمكنك أيضًا منح الإذن على مستوى المفتاح أو ملف تعريف المفتاح إذا كنت تريد دقة أقل.

1. في Google Cloud Console، انتقِل إلى صفحة إدارة الهوية وإمكانية الوصول.

   الانتقال إلى صفحة "إدارة الهوية وإمكانية الوصول"

2. انقر على إضافة.

3. أدخِل رقم التعريف بتنسيق البريد الإلكتروني لموظّف Cloud Firestore الدعم.

4. اختَر دور المشفِّر/أداة فك التشفير لمفتاح التشفير في Cloud KMS.

5. انقر على حفظ.

gcloud

امنح دور cloudkms.cryptoKeyEncrypterDecrypter لموظّف الدعم:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

استبدِل ما يلي:

• KMS_KEY بالاسم الذي حدّدته للمفتاح
• KMS_KEYRING مع سلسلة مفاتيح KMS التي تحتوي على المفتاح
• KMS_LOCATION مع المنطقة التي تحتوي على سلسلة المفاتيح
• SERVICE_AGENT_EMAIL مع المعرّف بتنسيق البريد الإلكتروني لموظف الدعم الذي تمنح إذن الوصول إليه
• KMS_PROJECT مع المشروع الذي يحتوي على المفتاح

من المفترض أن تعرض الوحدة الطرفية استجابة مشابهة لما يلي:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

وحدة التحكم

1. في وحدة تحكّم Google Cloud، انتقِل إلى صفحة قواعد البيانات.

   انتقِل إلى صفحة "قواعد البيانات".

2. انقر على إنشاء قاعدة بيانات.

3. اختَر وضع قاعدة البيانات. انقر على متابعة.

4. في صفحة ضبط قاعدة البيانات، أدخِل معرّف قاعدة بيانات.

5. حدد موقعًا.

6. انقر على عرض خيارات التشفير، ثم اختَر مفتاح Cloud KMS.

7. اختَر اسم المورد لمفتاح CMEK الذي تريد استخدامه لقاعدة البيانات أو أدخِله.

8. تقتصر قائمة المفاتيح على مشروع Google Cloud الحالي وموقع قاعدة البيانات الذي اخترته. لاستخدام مفتاح من مشروع Google Cloud مختلف، انقر على تبديل المشروع أو إدخال المفتاح يدويًا.

9. إذا طُلب منك منح إذن الوصول إلى المفتاح لحساب الخدمة Cloud Firestore، انقر على منح. لإنشاء قاعدة بيانات إدارة مفاتيح التشفير من جهة العميل، يجب منح حساب الخدمة Cloud Firestore دور cloudkms.cryptoKeyEncrypterDecrypter.

10. اختَر قواعد الأمان لعملاء الويب والأجهزة الجوّالة.

11. انقر على إنشاء قاعدة بيانات.

بعد إنشاء قاعدة البيانات، يمكنك التأكّد من تفعيل ميزة "إدارة مفاتيح التشفير من جهة العميل" في قاعدة البيانات من خلال عرض تفاصيل قاعدة البيانات:

• إذا كانت قاعدة بياناتك محمية باستخدام "مفاتيح التشفير التي يديرها العميل"، يظهر الحقل نوع التشفير على أنّه مُدار من قِبل العميل ويسرد الحقل مفتاح التشفير خدمة Cloud KMS المقابلة وإصدار المفتاح المستخدَم لحماية قاعدة البيانات هذه.
• إذا لم تكن قاعدة بياناتك محمية باستخدام مفاتيح التشفير المُدارة للعميل (CMEK)، سيظهر حقل نوع التشفير على أنّه تُديره Google.

gcloud

قبل إنشاء قاعدة بيانات مزوّدة بميزة "إدارة مفاتيح التشفير من جهة العميل" باستخدام Google Cloud CLI، ثبِّت الإصدار الأحدث وأذِنgcloud CLI. لمزيد من المعلومات، يُرجى الاطّلاع على تثبيت gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

استبدِل ما يلي:

• ‫FIRESTORE_DATABASE_LOCATION مع الموقع الجغرافي Cloud Firestore لقاعدة البيانات
• DATABASE_ID مع معرّف لقاعدة البيانات

• KMS_KEY_NAME بالاسم الذي حدّدته للمفتاح. استخدِم اسم المرجع الكامل للمفتاح بالتنسيق التالي:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT مع المشروع الذي تريد استخدامه لقاعدة بيانات Cloud Firestore

واجهة برمجة تطبيقات REST

طلب HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

في نص الطلب، اضبط CMEK في الحقل cmek_config.kms_key_name.

اضبط هذا الخيار على معرّف المورد الكامل لمفتاح Cloud KMS. لا يُسمح إلا بمفتاح في الموقع نفسه الذي تتوفّر فيه قاعدة البيانات هذه.

يجب أن تكون هذه القيمة هي معرّف مورد مفتاح Cloud KMS بالتنسيق التالي: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

لمزيد من المعلومات عن الحقول الأخرى، يُرجى الاطّلاع على صفحة database create.

مثال على الطلب:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

لإنشاء قاعدة بيانات مفعَّلة فيها ميزة "التشفير الذي يديره العميل"، استخدِم حقل اسم مفتاح KMS. في حال عدم تحديد المَعلمة --kms-key-name، تنشئ Cloud Firestore قاعدة بيانات غير متوافقة مع تنسيق "مفتاح التشفير المشترَك" تلقائيًا.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

استبدِل ما يلي:

• DATABASE_ID مع رقم تعريف قاعدة بياناتك
• LOCATION مع الموقع الجغرافي لقاعدة بياناتك
• KMS_PROJECT مع المشروع الذي يحتوي على مفتاح CMEK
• KMS_LOCATION مع الموقع الجغرافي الذي يحتوي على مفتاح CMEK وسلسلة المفاتيح
• KMS_KEYRING_ID مع معرّف سلسلة مفاتيح CMEK
• FIRESTORE_PROJECT مع المشروع الذي تريد استخدامه لقاعدة بيانات Cloud Firestore

تأكَّد من حماية قاعدة بيانات Cloud Firestore باستخدام واجهة برمجة التطبيقات Firebase CLI:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

تظهر معلومات CMEK التالية في رسالة الردّ:

• يوفّر حقل اسم مفتاح إدارة الخدمات الرئيسية (KMS) اسم مورد المفتاح الكامل الذي يتم استخدامه لتشفير قاعدة بيانات CMEK في Cloud Firestore.
• يوفّر حقل إصدارات المفاتيح النشطة قائمة بجميع إصدارات المفاتيح المستخدَمة حاليًا في قاعدة بيانات CMEK هذه. أثناء تبديل المفاتيح، يمكنك الحصول على نُسخ متعدّدة من المفاتيح النشطة.

Terraform

لإنشاء قاعدة بيانات مفعَّلة فيها ميزة "إدارة مفاتيح التشفير من جهة العميل"، استخدِم المرجع google_firestore_database. لمزيد من المعلومات والأمثلة، يُرجى الاطّلاع على google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

استبدِل ما يلي:

• FIRESTORE_PROJECT مع المشروع الذي تريد استخدامه لقاعدة بيانات Cloud Firestore
• DATABASE_ID مع معرّف لقاعدة البيانات
• ‫FIRESTORE_DATABASE_LOCATION مع الموقع الجغرافي Cloud Firestore لقاعدة البيانات
• DATABASE_TYPE مع FIRESTORE_NATIVE للوضع "مدمَج مع المحتوى" أو DATASTORE_MODE للوضع "مساحة تخزين البيانات"

• KMS_KEY_NAME بالاسم الذي حدّدته للمفتاح. استخدِم اسم المرجع الكامل للمفتاح بالتنسيق التالي:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

استعادة قاعدة بيانات محمية باستخدام مفاتيح التشفير المُدارة للعميل (CMEK) إلى تشفير CMEK

لاستعادة تشفير CMEK، يمكنك تنفيذ الأمر gcloud firestore databases restore مع العلامتَينencryption-type وkms-key-nameالاختياريتين لضبط نوع التشفير لقاعدة البيانات التي تم استعادتها. إذا لم تحدِّد نوع التشفير، ستستخدم قاعدة البيانات التي تم استعادتها إعدادات التشفير نفسها المستخدَمة في النسخة الاحتياطية.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

استبدِل KMS_KEY_NAME بالاسم الذي حدّدته للمفتاح. استخدِم اسم المرجع الكامل للمفتاح بالتنسيق التالي:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

استعادة قاعدة بيانات محمية بمفاتيح التشفير المُدارة للعميل (CMEK) إلى التشفير التلقائي

لاستعادة التشفير التلقائي من Google (غير مزوّد بميزة "إدارة مفاتيح التشفير من جهة العميل")، اضبط العلامة encryption-type على النحو التالي:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

استعادة قاعدة بيانات محمية باستخدام مفاتيح التشفير المُدارة للعميل (CMEK) إلى نوع التشفير نفسه المستخدَم في النسخة الاحتياطية

لاستعادة نوع التشفير نفسه المستخدَم في النسخة الاحتياطية، اضبط العلامة encryption-type على النحو التالي:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

استعادة قاعدة بيانات محمية باستخدام مفاتيح التشفير المُدارة للعميل (CMEK) إلى تشفير CMEK

لاستعادة تشفير CMEK، استخدِم العلامتَين encryption-type وkms-key-name الاختياريتين. في حال عدم تحديد نوع التشفير، ستستخدم قاعدة البيانات التي تم استعادتها إعدادات التشفير نفسها المستخدَمة في النسخة الاحتياطية.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

استبدِل ما يلي:

• DATABASE_ID مع رقم تعريف قاعدة بياناتك
• FIRESTORE_PROJECT مع المشروع الذي تريد استخدامه لقاعدة بيانات Cloud Firestore
• FIRESTORE_LOCATION مع الموقع الجغرافي لقاعدة بيانات Cloud Firestore
• BACKUP_ID مع رقم تعريف النسخة الاحتياطية
• KMS_PROJECT مع المشروع الذي يحتوي على مفتاح CMEK
• KMS_LOCATION مع الموقع الجغرافي الذي يحتوي على مفتاح CMEK وسلسلة المفاتيح
• KMS_KEYRING_ID مع معرّف سلسلة مفاتيح CMEK

تأكَّد من أنّ قاعدة بيانات Cloud Firestore التي تم استعادتها مشفَّرة باستخدام مفتاح إدارة التشفير (CMK):

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

استعادة قاعدة بيانات محمية بمفاتيح التشفير المُدارة للعميل (CMEK) إلى التشفير التلقائي

لاستعادة التشفير التلقائي من Google (غير مزوّد بميزة "إدارة مفاتيح التشفير")، اضبط العلامة encryption-type على النحو التالي:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

استبدِل ما يلي:

• DATABASE_ID مع رقم تعريف قاعدة بياناتك
• FIRESTORE_PROJECT مع المشروع الذي تريد استخدامه لقاعدة بيانات Cloud Firestore
• FIRESTORE_LOCATION مع الموقع الجغرافي لقاعدة بيانات Cloud Firestore
• BACKUP_ID مع رقم تعريف النسخة الاحتياطية

استعادة قاعدة بيانات محمية باستخدام مفاتيح التشفير المُدارة للعميل (CMEK) إلى نوع التشفير نفسه المستخدَم في النسخة الاحتياطية

لاستعادة نوع التشفير نفسه المستخدَم في النسخة الاحتياطية، اضبط العلامة encryption-type على النحو التالي:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

استبدِل ما يلي:

• DATABASE_ID مع رقم تعريف قاعدة بياناتك
• FIRESTORE_PROJECT مع المشروع الذي تريد استخدامه لقاعدة بيانات Cloud Firestore
• FIRESTORE_LOCATION مع الموقع الجغرافي لقاعدة بيانات Cloud Firestore
• BACKUP_ID مع رقم تعريف النسخة الاحتياطية

gcloud

يمكنك استخدام الأمر databases describe gcloud CLI لتأكيد ضبط مفتاح التشفير الذي يديره العميل (CMEK) لقاعدة البيانات:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

من المفترض أن تظهر لك معلومات CMEK في الحقل cmekConfig في الردّ، على النحو التالي:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

يتضمّن الردّ المعلومات التالية:

• kmsKeyName: اسم مورد المفتاح الكامل للمفتاح المستخدَم في تشفير قاعدة البيانات المحمية باستخدام مفتاح CMEK
• activeKeyVersion: قائمة بجميع إصدارات المفاتيح المستخدَمة حاليًا من قِبل قاعدة البيانات المحمية بمفتاح CMEK أثناء تبديل المفاتيح، يمكنك الحصول على نُسخ متعدّدة من المفاتيح النشطة. يجب أن يكون كلّ من إصدار المفتاح القديم وإصدار المفتاح الجديد متوفّرَين أثناء عملية تغيير المفتاح. لا توقِف إصدار المفتاح القديم إلى أن يتوقف عن الظهور في الحقل activeKeyVersion.

واجهة برمجة تطبيقات REST

طلب HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

في نص الطلب، اضبط CMEK في الحقل cmek_config.kms_key_name. اضبط هذا الخيار على معرِّف المورد الكامل لمفتاح Cloud KMS. لا يُسمح إلا بمفتاح في الموقع نفسه لقاعدة البيانات هذه.

يجب أن تكون هذه القيمة هي معرّف مورد مفتاح Cloud KMS بالتنسيق التالي: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

لمزيد من المعلومات عن الحقول الأخرى، يُرجى الاطّلاع على صفحة database create.

مثال على الطلب والاستجابة:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}