सुरक्षित करने वाली ऐसी कुंजियों का इस्तेमाल करना जिन्हें ग्राहक मैनेज करता है (सीएमईके)

संग्रह की मदद से व्यवस्थित रहें अपनी प्राथमिकताओं के आधार पर, कॉन्टेंट को सेव करें और कैटगरी में बांटें.

कंसोल

अपने सर्विस एजेंट को Cloud KMS की भूमिका देने के लिए, ये काम करें. अगर आपको ज़्यादा जानकारी नहीं चाहिए, तो पासकोड या पासकोड की रिंग के लेवल पर भी अनुमति दी जा सकती है.

1. Google Cloud Console में, IAM पेज पर जाएं.

   IAM पेज पर जाएं

2. जोड़ें पर क्लिक करें.

3. अपने Cloud Firestore सेवा एजेंट के लिए, ईमेल फ़ॉर्मैट में आईडी डालें.

4. Cloud KMS CryptoKey एन्क्रिप्टर/डिक्रिप्टर की भूमिका चुनें.

5. सेव करें पर क्लिक करें.

gcloud

अपने सर्विस एजेंट को cloudkms.cryptoKeyEncrypterDecrypter की भूमिका असाइन करें:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

इनकी जगह ये डालें:

• KMS_KEY, जिस नाम से आपने कुंजी को असाइन किया है
• KMS_KEYRING उस केएमएस की-रिंग के साथ जो कुंजी रखती है
• KMS_LOCATION उस क्षेत्र के साथ जो की-रिंग में शामिल है
• SERVICE_AGENT_EMAIL, जिसमें उस सर्विस एजेंट के लिए ईमेल फ़ॉर्मैट में आइडेंटिफ़ायर शामिल हो जिसे आपको ऐक्सेस देना है
• KMS_PROJECT उस प्रोजेक्ट के साथ जो कुंजी रखता है

टर्मिनल पर आपको कुछ ऐसा रिस्पॉन्स दिखेगा:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

कंसोल

1. Google Cloud Console में, डेटाबेस पेज पर जाएं.

   डेटाबेस पेज पर जाएं

2. डेटाबेस बनाएं पर क्लिक करें.

3. अपना डेटाबेस मोड चुनें. जारी रखें पर क्लिक करें.

4. अपना डेटाबेस कॉन्फ़िगर करें पेज पर, डेटाबेस आईडी डालें.

5. कोई जगह चुनें.

6. एन्क्रिप्शन के विकल्प दिखाएं पर क्लिक करें. इसके बाद, Cloud KMS पासकोड चुनें.

7. उस सीएमईके पासकोड के लिए संसाधन का नाम चुनें या डालें जिसका इस्तेमाल आपको डेटाबेस के लिए करना है.

8. कुंजियों की सूची, मौजूदा Google Cloud प्रोजेक्ट और आपके चुने गए डेटाबेस की जगह तक ही सीमित है. किसी दूसरे Google Cloud प्रोजेक्ट की कुंजी का इस्तेमाल करने के लिए, प्रोजेक्ट स्विच करें या कुंजी को मैन्युअल तरीके से डालें पर क्लिक करें.

9. अगर आपसे Cloud Firestore सेवा खाते को पासकोड की अनुमति देने के लिए कहा जाए, तो अनुमति दें पर क्लिक करें. सीएमईके डेटाबेस बनाने के लिए, आपके Cloud Firestore सेवा खाते को cloudkms.cryptoKeyEncrypterDecrypter भूमिका दी जानी चाहिए.

10. मोबाइल और वेब क्लाइंट के लिए सुरक्षा नियम चुनें.

11. डेटाबेस बनाएं पर क्लिक करें.

डेटाबेस बन जाने के बाद, डेटाबेस की जानकारी देखकर यह पुष्टि की जा सकती है कि डेटाबेस में सीएमईके की सुविधा चालू है या नहीं:

• अगर आपके डेटाबेस को CMEK से सुरक्षित किया गया है, तो एन्क्रिप्शन का टाइप फ़ील्ड ग्राहक मैनेज करता है के तौर पर दिखता है. साथ ही, एन्क्रिप्शन कुंजी फ़ील्ड में, उससे जुड़ा क्लाउड केएमएस और कुंजी का वह वर्शन दिखता है जिसका इस्तेमाल इस डेटाबेस को सुरक्षित करने के लिए किया जाता है.
• अगर आपका डेटाबेस CMEK से सुरक्षित नहीं है, तो एन्क्रिप्शन टाइप फ़ील्ड Google मैनेज करता है के तौर पर दिखता है.

gcloud

Google Cloud CLI की मदद से सीएमईके की सुविधा वाला डेटाबेस बनाने से पहले, नया वर्शन इंस्टॉल करें और gcloud CLI को अनुमति दें. ज़्यादा जानकारी के लिए, gcloud सीएलआई इंस्टॉल करना लेख पढ़ें.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

इनकी जगह ये डालें:

• FIRESTORE_DATABASE_LOCATION, जिसमें डेटाबेस की जगह Cloud Firestore है
• DATABASE_ID, जिसमें डेटाबेस का आईडी हो

• KMS_KEY_NAME, उस नाम के साथ जो आपने कुंजी को असाइन किया है. इस फ़ॉर्मैट में, कुंजी के लिए संसाधन का पूरा नाम इस्तेमाल करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT प्रोजेक्ट के साथ, अपने Cloud Firestore डेटाबेस के लिए इस्तेमाल करें

REST API

एचटीटीपी अनुरोध:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

अनुरोध के मुख्य हिस्से में, cmek_config.kms_key_name फ़ील्ड में सीएमईके को कॉन्फ़िगर करें.

Cloud KMS की 'की' के पूरे संसाधन आईडी पर सेट करें. सिर्फ़ उसी जगह पर मौजूद कुंजी का इस्तेमाल किया जा सकता है जहां यह डेटाबेस मौजूद है.

यह वैल्यू, projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} फ़ॉर्मैट में Cloud KMS की कुंजी का संसाधन आईडी होनी चाहिए

अन्य फ़ील्ड के बारे में ज़्यादा जानकारी के लिए, database create पेज देखें.

अनुरोध का उदाहरण:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

सीएमईके की सुविधा वाला डेटाबेस बनाने के लिए, केएमएस कुंजी का नाम फ़ील्ड का इस्तेमाल करें. अगर --kms-key-name पैरामीटर की जानकारी नहीं दी जाती है, तो Cloud Firestore डिफ़ॉल्ट रूप से नॉन-सीएमईके डेटाबेस बनाता है.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• LOCATION के साथ अपने डेटाबेस की जगह की जानकारी
• KMS_PROJECT उस प्रोजेक्ट से जोड़ें जिसमें आपकी CMEK कुंजी मौजूद है
• KMS_LOCATION उस लोकेशन के साथ जो आपकी सीएमईके कुंजी और की-रिंग से जुड़ी है
• KMS_KEYRING_ID को अपनी सीएमईके की रिंग के आईडी से बदलें
• FIRESTORE_PROJECT प्रोजेक्ट के साथ, अपने Cloud Firestore डेटाबेस के लिए इस्तेमाल करें

पुष्टि करें कि आपका Cloud Firestore डेटाबेस, Firebase CLI की मदद से सुरक्षित है:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

जवाब वाले मैसेज में, सीएमईके की यह जानकारी दिखती है:

• केएमएस पासकोड का नाम फ़ील्ड, पासकोड के संसाधन का पूरा नाम दिखाता है. इसका इस्तेमाल आपके Cloud Firestore सीएमईके डेटाबेस को एन्क्रिप्ट करने के लिए किया जाता है.
• चालू पासकोड के वर्शन फ़ील्ड में, उन सभी पासकोड के वर्शन की सूची होती है जिनका इस्तेमाल फ़िलहाल इस सीएमईके डेटाबेस में किया जा रहा है. की रोटेशन के दौरान, आपके पास एक से ज़्यादा चालू कुंजी वर्शन हो सकते हैं.

Terraform

सीएमईके की सुविधा वाला डेटाबेस बनाने के लिए, google_firestore_database संसाधन का इस्तेमाल करें. ज़्यादा जानकारी और उदाहरणों के लिए, google_firestore_database देखें.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

इनकी जगह ये डालें:

• FIRESTORE_PROJECT प्रोजेक्ट के साथ, अपने Cloud Firestore डेटाबेस के लिए इस्तेमाल करें
• DATABASE_ID, जिसमें डेटाबेस का आईडी हो
• FIRESTORE_DATABASE_LOCATION, जिसमें डेटाबेस की जगह Cloud Firestore है
• DATABASE_TYPE को नेटिव मोड के लिए FIRESTORE_NATIVE या डेटास्टोर मोड के लिए DATASTORE_MODE के साथ इस्तेमाल करें.

• KMS_KEY_NAME, उस नाम के साथ जो आपने कुंजी को असाइन किया है. कुंजी के लिए, संसाधन के पूरे नाम का इस्तेमाल इस फ़ॉर्मैट में करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

CMEK से सुरक्षित किए गए डेटाबेस को CMEK एन्क्रिप्शन में वापस लाना

CMEK एन्क्रिप्शन को वापस लाने के लिए, gcloud firestore databases restore कमांड को encryption-type और kms-key-name फ़्लैग के साथ चलाएं. इससे, वापस लाए गए डेटाबेस के लिए एन्क्रिप्शन टाइप को कॉन्फ़िगर किया जा सकता है. अगर एन्क्रिप्शन टाइप की जानकारी नहीं दी जाती है, तो वापस लाया गया डेटाबेस, बैकअप के एन्क्रिप्शन कॉन्फ़िगरेशन का इस्तेमाल करेगा.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह वह नाम डालें जो आपने पासकोड को असाइन किया है. इस फ़ॉर्मैट में, कुंजी के लिए संसाधन का पूरा नाम इस्तेमाल करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर वापस जाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK से सुरक्षित किए गए डेटाबेस को, बैकअप के एन्क्रिप्शन टाइप में वापस लाना

बैकअप के तौर पर एन्क्रिप्ट (सुरक्षित) किए गए डेटा को उसी तरह से वापस लाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

CMEK से सुरक्षित किए गए डेटाबेस को CMEK एन्क्रिप्शन में वापस लाना

CMEK एन्क्रिप्शन को वापस लाने के लिए, encryption-type और kms-key-name फ़्लैग का इस्तेमाल करें. हालांकि, ऐसा करना ज़रूरी नहीं है. अगर एन्क्रिप्शन के टाइप की जानकारी नहीं दी जाती है, तो वापस लाया गया डेटाबेस, बैकअप के एन्क्रिप्शन कॉन्फ़िगरेशन का इस्तेमाल करेगा.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• FIRESTORE_PROJECT प्रोजेक्ट के साथ, अपने Cloud Firestore डेटाबेस के लिए इस्तेमाल करें
• FIRESTORE_LOCATION के साथ अपने Cloud Firestore डेटाबेस की जगह की जानकारी
• BACKUP_ID के साथ अपने बैकअप का आईडी डालें
• KMS_PROJECT उस प्रोजेक्ट से जोड़ें जिसमें आपकी CMEK कुंजी मौजूद है
• KMS_LOCATION उस लोकेशन के साथ जो आपकी सीएमईके कुंजी और की-रिंग से जुड़ी है
• KMS_KEYRING_ID को अपनी सीएमईके की रिंग के आईडी से बदलें

पुष्टि करें कि आपका वापस लाया गया Cloud Firestore डेटाबेस, सीएमईके से एन्क्रिप्ट (सुरक्षित) किया गया है:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर वापस जाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• FIRESTORE_PROJECT प्रोजेक्ट के साथ, अपने Cloud Firestore डेटाबेस के लिए इस्तेमाल करें
• FIRESTORE_LOCATION के साथ अपने Cloud Firestore डेटाबेस की जगह की जानकारी
• BACKUP_ID के साथ अपने बैकअप का आईडी डालें

CMEK से सुरक्षित किए गए डेटाबेस को, बैकअप के एन्क्रिप्शन टाइप में वापस लाना

बैकअप के तौर पर एन्क्रिप्ट (सुरक्षित) किए गए डेटा को उसी तरह से वापस लाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

इनकी जगह ये डालें:

• DATABASE_ID को अपने डेटाबेस के आईडी के साथ
• FIRESTORE_PROJECT प्रोजेक्ट के साथ, अपने Cloud Firestore डेटाबेस के लिए इस्तेमाल करें
• FIRESTORE_LOCATION के साथ अपने Cloud Firestore डेटाबेस की जगह की जानकारी
• BACKUP_ID के साथ अपने बैकअप का आईडी डालें

gcloud

डेटाबेस के CMEK कॉन्फ़िगरेशन की पुष्टि करने के लिए, databases describe gcloud CLI कमांड का इस्तेमाल किया जा सकता है:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

आपको जवाब में cmekConfig फ़ील्ड में सीएमईके की जानकारी दिखेगी, जो इस तरह की होगी:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

रिस्पॉन्स में यह जानकारी शामिल होती है:

• kmsKeyName: सीएमईके से सुरक्षित किए गए आपके डेटाबेस को एन्क्रिप्ट करने के लिए इस्तेमाल की जाने वाली 'की' का पूरा नाम.
• activeKeyVersion: CMEK की मदद से सुरक्षित किए गए डेटाबेस में, फ़िलहाल इस्तेमाल किए जा रहे सभी कुंजी वर्शन की सूची. की रोटेशन के दौरान, आपके पास एक से ज़्यादा चालू कुंजी वर्शन हो सकते हैं. पासकोड बदलने के दौरान, पासकोड का पुराना और नया वर्शन, दोनों उपलब्ध होने चाहिए. पासकोड के पुराने वर्शन को तब तक बंद न करें, जब तक वह activeKeyVersion फ़ील्ड में न दिखे.

REST API

एचटीटीपी अनुरोध:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

अनुरोध के मुख्य हिस्से में, cmek_config.kms_key_name फ़ील्ड में सीएमईके को कॉन्फ़िगर करें. Cloud KMS की 'की' के पूरे संसाधन आईडी पर सेट करें. सिर्फ़ उसी जगह पर मौजूद कुंजी का इस्तेमाल किया जा सकता है जहां यह डेटाबेस मौजूद है.

यह वैल्यू, projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} फ़ॉर्मैट में Cloud KMS की कुंजी का संसाधन आईडी होनी चाहिए

अन्य फ़ील्ड के बारे में ज़्यादा जानकारी के लिए, database create पेज देखें.

अनुरोध और जवाब का उदाहरण:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}