שימוש במפתחות הצפנה בניהול הלקוח (CMEK)

קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

המסוף

כדי להקצות תפקיד ב-Cloud KMS לסוכן השירות, מבצעים את הפעולות הבאות. אם רוצים רמת פירוט נמוכה יותר, אפשר גם להעניק הרשאה ברמת המפתח או ברמת אוסף המפתחות.

1. נכנסים לדף IAM במסוף Google Cloud.

   כניסה לדף IAM

2. לוחצים על הוספה.

3. מזינים את המזהה בפורמט של כתובת אימייל של סוכן השירות של Cloud Firestore.

4. בוחרים את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter.

5. לוחצים על שמירה.

gcloud

מקצים את התפקיד cloudkms.cryptoKeyEncrypterDecrypter לסוכן השירות:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

מחליפים את מה שכתוב בשדות הבאים:

• KMS_KEY בשם שנתתם למפתח
• KMS_KEYRING עם אוסף המפתחות של KMS שמכיל את המפתח
• KMS_LOCATION עם האזור שמכיל את אוסף המפתחות
• SERVICE_AGENT_EMAIL במזהה בפורמט של כתובת אימייל של סוכן השירות שרוצים להעניק לו גישה
• KMS_PROJECT עם הפרויקט שמכיל את המפתח

בתגובה, אמורה להופיע בתחנה תגובה שדומה לזו:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

המסוף

1. נכנסים לדף Databases במסוף Google Cloud.

   כניסה לדף Databases

2. לוחצים על Create Database.

3. בוחרים את מצב מסד הנתונים. לוחצים על המשך.

4. בדף Configure your database, מזינים מזהה של מסד נתונים.

5. בחר במיקום.

6. לוחצים על Show Encryption Options ובוחרים באפשרות Cloud KMS key.

7. בוחרים או מזינים את שם המשאב של מפתח ה-CMEK שרוצים להשתמש בו במסד הנתונים.

8. רשימת המפתחות מוגבלת לפרויקט Google Cloud הנוכחי ולמיקום מסד הנתונים שבחרתם. כדי להשתמש במפתח מפרויקט Google Cloud אחר, לוחצים על Switch Project (החלפת פרויקט) או על Enter Key Manually (הזנת מפתח באופן ידני).

9. אם מופיעה בקשה להעניק הרשאת מפתח לחשבון השירות Cloud Firestore, לוחצים על Grant. כדי ליצור מסד נתונים של CMEK, צריך להקצות לחשבון השירות Cloud Firestore את התפקיד cloudkms.cryptoKeyEncrypterDecrypter.

10. בחירת כללי אבטחה ללקוחות בנייד ובאינטרנט.

11. לוחצים על Create Database.

אחרי שיוצרים את מסד הנתונים, אפשר לבדוק אם הוא מופעל באמצעות CMEK על ידי הצגת פרטי מסד הנתונים:

• אם מסד הנתונים מוגן על ידי CMEK, השדה Encryption type (סוג ההצפנה) יופיע כ-Customer-managed (ניהול הלקוח), ובשדה Encryption key (מפתח ההצפנה) יופיעו Cloud KMS התואם וגרסה של המפתח שמשמש להגנה על מסד הנתונים הזה.
• אם מסד הנתונים לא מוגן באמצעות CMEK, השדה Encryption type (סוג ההצפנה) יופיע כ-Google-managed (מנוהל על ידי Google).

gcloud

לפני שיוצרים מסד נתונים עם תמיכה ב-CMEK באמצעות Google Cloud CLI, צריך להתקין את הגרסה האחרונה ולאשר את gcloud CLI. למידע נוסף, ראו התקנת ה-CLI של gcloud.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

מחליפים את מה שכתוב בשדות הבאים:

• FIRESTORE_DATABASE_LOCATION עם המיקום Cloud Firestore של מסד הנתונים
• DATABASE_ID עם מזהה של מסד הנתונים

• KMS_KEY_NAME בשם שנתתם למפתח. צריך להשתמש בשם המלא של המשאב למפתח בפורמט הבא:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT עם הפרויקט שרוצים להשתמש בו למסד הנתונים Cloud Firestore

API ל-REST

בקשת HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

בגוף הבקשה, מגדירים את CMEK בשדה cmek_config.kms_key_name.

מוגדר למזהה המשאב המלא של מפתח Cloud KMS. מותר להשתמש רק במפתח שנמצא באותו מיקום של מסד הנתונים הזה.

הערך הזה צריך להיות מזהה משאב המפתח ב-Cloud KMS בפורמט projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}.

מידע נוסף על שדות אחרים זמין בדף database create.

דוגמה לבקשה:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

כדי ליצור מסד נתונים עם תמיכה ב-CMEK, משתמשים בשדה KMS Key Name. אם לא מציינים את הפרמטר --kms-key-name, Cloud Firestore יוצר מסד נתונים שאינו CMEK כברירת מחדל.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

מחליפים את מה שכתוב בשדות הבאים:

• DATABASE_ID במזהה של מסד הנתונים
• LOCATION עם המיקום של מסד הנתונים
• KMS_PROJECT עם הפרויקט שמכיל את מפתח ה-CMEK
• KMS_LOCATION במיקום שמכיל את מפתח ה-CMEK ואוסף המפתחות
• KMS_KEYRING_ID במזהה של אוסף המפתחות של CMEK
• FIRESTORE_PROJECT עם הפרויקט שרוצים להשתמש בו למסד הנתונים Cloud Firestore

מוודאים שמסד הנתונים Cloud Firestore מוגן באמצעות Firebase CLI:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

פרטי ה-CMEK הבאים מופיעים בהודעת התגובה:

• השדה KMS Key Name מספק את השם המלא של משאב המפתח שמשמש להצפנת מסד הנתונים של CMEK ב-Cloud Firestore.
• בשדה Active Key Versions מוצגת רשימה של כל גרסאות המפתחות שבהן משתמשת כרגע מסד הנתונים הזה של CMEK. במהלך סיבוב מפתחות, יכולות להיות לכם כמה גרסאות פעילות של מפתחות.

Terraform

כדי ליצור מסד נתונים עם תמיכה ב-CMEK, משתמשים במשאב google_firestore_database. תוכלו למצוא מידע נוסף ודוגמאות במאמר google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

מחליפים את מה שכתוב בשדות הבאים:

• FIRESTORE_PROJECT עם הפרויקט שרוצים להשתמש בו למסד הנתונים Cloud Firestore
• DATABASE_ID עם מזהה של מסד הנתונים
• FIRESTORE_DATABASE_LOCATION עם המיקום Cloud Firestore של מסד הנתונים
• DATABASE_TYPE עם FIRESTORE_NATIVE למצב Native או DATASTORE_MODE למצב Datastore.

• KMS_KEY_NAME בשם שנתתם למפתח. צריך להשתמש בשם המלא של המשאב למפתח בפורמט:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

שחזור מסד נתונים שמוגן באמצעות CMEK להצפנת CMEK

כדי לשחזר את ההצפנה באמצעות CMEK, מריצים את הפקודה gcloud firestore databases restore עם הדגלים האופציונליים encryption-type ו-kms-key-name כדי להגדיר את סוג ההצפנה של מסד הנתונים שמשוחזר. אם לא מציינים את סוג ההצפנה, מסד הנתונים שמשוחזר ישתמש באותה הגדרת הצפנה כמו הגיבוי.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

מחליפים את KMS_KEY_NAME בשם שהקציתם למפתח. צריך להשתמש בשם המלא של המשאב למפתח בפורמט הבא:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

שחזור מסד נתונים שמוגן באמצעות CMEK להצפנת ברירת המחדל

כדי לשחזר את הצפנת ברירת המחדל של Google (לא CMEK), מגדירים את הדגל encryption-type באופן הבא:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

שחזור של מאגר נתונים שמוגן באמצעות CMEK לאותו סוג הצפנה כמו הגיבוי

כדי לשחזר לאותו סוג הצפנה כמו הגיבוי, מגדירים את הדגל encryption-type באופן הבא:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

שחזור מסד נתונים שמוגן באמצעות CMEK להצפנת CMEK

כדי לשחזר את ההצפנה באמצעות CMEK, משתמשים בדגלים האופציונליים encryption-type ו-kms-key-name. אם לא מציינים את סוג ההצפנה, מסד הנתונים שמשוחזר ישתמש באותה הגדרת הצפנה כמו הגיבוי.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

מחליפים את מה שכתוב בשדות הבאים:

• DATABASE_ID במזהה של מסד הנתונים
• FIRESTORE_PROJECT עם הפרויקט שרוצים להשתמש בו למסד הנתונים Cloud Firestore
• FIRESTORE_LOCATION עם המיקום של מסד הנתונים Cloud Firestore
• BACKUP_ID במזהה הגיבוי
• KMS_PROJECT עם הפרויקט שמכיל את מפתח ה-CMEK
• KMS_LOCATION במיקום שמכיל את מפתח ה-CMEK ואוסף המפתחות
• KMS_KEYRING_ID במזהה של אוסף המפתחות של CMEK

מוודאים שמסד הנתונים Cloud Firestore ששוחזר מוצפן באמצעות CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

שחזור מסד נתונים שמוגן באמצעות CMEK להצפנת ברירת המחדל

כדי לשחזר את הצפנת ברירת המחדל של Google (לא CMEK), מגדירים את הדגל encryption-type באופן הבא:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

מחליפים את מה שכתוב בשדות הבאים:

• DATABASE_ID במזהה של מסד הנתונים
• FIRESTORE_PROJECT עם הפרויקט שרוצים להשתמש בו למסד הנתונים Cloud Firestore
• FIRESTORE_LOCATION עם המיקום של מסד הנתונים Cloud Firestore
• BACKUP_ID במזהה הגיבוי

שחזור של מאגר נתונים שמוגן באמצעות CMEK לאותו סוג הצפנה כמו הגיבוי

כדי לשחזר לאותו סוג הצפנה כמו הגיבוי, מגדירים את הדגל encryption-type באופן הבא:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

מחליפים את מה שכתוב בשדות הבאים:

• DATABASE_ID במזהה של מסד הנתונים
• FIRESTORE_PROJECT עם הפרויקט שרוצים להשתמש בו למסד הנתונים Cloud Firestore
• FIRESTORE_LOCATION עם המיקום של מסד הנתונים Cloud Firestore
• BACKUP_ID במזהה הגיבוי

gcloud

אפשר להשתמש בפקודה gcloud CLI של databases describe כדי לוודא את ההגדרה של CMEK במסד הנתונים:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

המידע על CMEK אמור להופיע בשדה cmekConfig בתגובה, בדומה לדוגמה הבאה:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

התשובה כוללת את הפרטים הבאים:

• kmsKeyName: שם המשאב המלא של המפתח שמשמש להצפנת מסד הנתונים המוגן באמצעות CMEK.
• activeKeyVersion: רשימה של כל גרסאות המפתחות שבשימוש כרגע במסד הנתונים המוגן באמצעות CMEK. במהלך סיבוב מפתחות, יכולות להיות לכם כמה גרסאות פעילות של מפתחות. גרסת המפתח הישנה וגרסת המפתח החדשה צריכות להיות זמינות במהלך רוטציית המפתחות. לא משביתים את גרסת המפתח הישנה עד שהיא לא מופיעה יותר בשדה activeKeyVersion.

API ל-REST

בקשת HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

בגוף הבקשה, מגדירים את CMEK בשדה cmek_config.kms_key_name. מוגדר למזהה המשאב המלא של מפתח Cloud KMS. מותר להשתמש רק במפתח שנמצא באותו מיקום של מסד הנתונים הזה.

הערך הזה צריך להיות מזהה משאב המפתח ב-Cloud KMS בפורמט projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}.

מידע נוסף על שדות אחרים זמין בדף database create.

דוגמה לבקשה ולתגובה:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}