ใช้คีย์การเข้ารหัสที่จัดการโดยลูกค้า (CMEK)

จัดทุกอย่างให้เป็นระเบียบอยู่เสมอด้วยคอลเล็กชัน บันทึกและจัดหมวดหมู่เนื้อหาตามค่ากำหนดของคุณ

คอนโซล

หากต้องการมอบบทบาท Cloud KMS ให้กับตัวแทนบริการ ให้ทําดังนี้ นอกจากนี้ คุณยังให้สิทธิ์ในระดับกุญแจหรือพวงกุญแจได้ด้วยหากต้องการรายละเอียดที่ละเอียดยิ่งขึ้น

1. ในคอนโซล Google Cloud ให้ไปที่หน้า IAM

   ไปที่หน้า IAM

2. คลิกเพิ่ม

3. ป้อนรหัสในรูปแบบอีเมลของCloud Firestoreตัวแทนบริการ

4. เลือกบทบาทผู้เข้ารหัส/ผู้ถอดรหัส Cloud KMS CryptoKey

5. คลิกบันทึก

gcloud

มอบหมายบทบาท cloudkms.cryptoKeyEncrypterDecrypter ให้กับตัวแทนบริการ โดยทำดังนี้

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

แทนที่ค่าต่อไปนี้

• KMS_KEY ที่มีชื่อที่คุณกำหนดให้กับคีย์
• KMS_KEYRING กับคีย์ริง KMS ที่มีคีย์
• KMS_LOCATION ที่มีภูมิภาคที่มีคีย์ริง
• SERVICE_AGENT_EMAIL ที่มีตัวระบุรูปแบบอีเมลสำหรับตัวแทนฝ่ายบริการที่คุณให้สิทธิ์เข้าถึง
• KMS_PROJECT กับโปรเจ็กต์ที่มีคีย์

เทอร์มินัลควรแสดงการตอบกลับที่คล้ายกับตัวอย่างต่อไปนี้

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

คอนโซล

1. ในคอนโซล Google Cloud ให้ไปที่หน้าฐานข้อมูล

   ไปที่หน้าฐานข้อมูล

2. คลิกสร้างฐานข้อมูล

3. เลือกโหมดฐานข้อมูล คลิกต่อไป

4. ในหน้ากําหนดค่าฐานข้อมูล ให้ป้อนรหัสฐานข้อมูล

5. เลือกสถานที่

6. คลิกแสดงตัวเลือกการเข้ารหัส แล้วเลือกคีย์ Cloud KMS

7. เลือกหรือป้อนชื่อทรัพยากรสำหรับคีย์ CMEK ที่ต้องการใช้กับฐานข้อมูล

8. รายการคีย์จะจํากัดอยู่ในโปรเจ็กต์ Google Cloud ปัจจุบันและตำแหน่งฐานข้อมูลที่เลือก หากต้องการใช้คีย์จากโปรเจ็กต์ Google Cloud อื่น ให้คลิกเปลี่ยนโปรเจ็กต์หรือป้อนคีย์ด้วยตนเอง

9. หากได้รับข้อความแจ้งให้มอบสิทธิ์คีย์แก่บัญชีบริการ Cloud Firestore ให้คลิกให้สิทธิ์ หากต้องการสร้างฐานข้อมูล CMEK บัญชีบริการ Cloud Firestore ของคุณต้องได้รับบทบาท cloudkms.cryptoKeyEncrypterDecrypter

10. เลือกกฎความปลอดภัยสำหรับไคลเอ็นต์อุปกรณ์เคลื่อนที่และเว็บ

11. คลิกสร้างฐานข้อมูล

เมื่อสร้างฐานข้อมูลแล้ว คุณสามารถตรวจสอบว่าฐานข้อมูลเปิดใช้ CMEK หรือไม่โดยดูรายละเอียดฐานข้อมูล

• หากฐานข้อมูลได้รับการปกป้องโดย CMEK ช่องประเภทการเข้ารหัสจะแสดงเป็นจัดการโดยลูกค้า และช่องคีย์การเข้ารหัสจะแสดง Cloud KMS ที่เกี่ยวข้องและเวอร์ชันคีย์ที่ใช้เพื่อปกป้องฐานข้อมูลนี้
• หากฐานข้อมูลไม่ได้รับการป้องกันโดย CMEK ช่องประเภทการเข้ารหัสจะแสดงเป็นจัดการโดย Google

gcloud

ก่อนสร้างฐานข้อมูลที่เปิดใช้ CMEK ด้วย Google Cloud CLI ให้ติดตั้งgcloud CLIเวอร์ชันล่าสุดและให้สิทธิ์gcloud CLI ดูข้อมูลเพิ่มเติมได้ที่ติดตั้ง gcloud CLI

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• FIRESTORE_DATABASE_LOCATION ที่มีตำแหน่ง Cloud Firestore สำหรับฐานข้อมูล
• DATABASE_ID ที่มีรหัสสําหรับฐานข้อมูล

• KMS_KEY_NAME ที่มีชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT กับโปรเจ็กต์ที่จะใช้สำหรับฐานข้อมูล Cloud Firestore

REST API

คำขอ HTTP

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

ในเนื้อหาคำขอ ให้กําหนดค่า CMEK ในช่อง cmek_config.kms_key_name

ตั้งค่าเป็นรหัสทรัพยากรแบบเต็มของคีย์ Cloud KMS ระบบจะอนุญาตเฉพาะคีย์ที่อยู่ในตำแหน่งเดียวกับฐานข้อมูลนี้เท่านั้น

ค่านี้ควรเป็นรหัสทรัพยากรคีย์ Cloud KMS ในรูปแบบของ projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

ดูข้อมูลเพิ่มเติมเกี่ยวกับช่องอื่นๆ ได้ที่หน้า database create

ตัวอย่างคำขอ

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

หากต้องการสร้างฐานข้อมูลที่เปิดใช้ CMEK ให้ใช้ฟิลด์ชื่อคีย์ KMS หากคุณไม่ได้ระบุพารามิเตอร์ --kms-key-name Cloud Firestore จะสร้างฐานข้อมูลที่ไม่ใช่ CMEK โดยค่าเริ่มต้น

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• DATABASE_ID พร้อมรหัสฐานข้อมูล
• LOCATION พร้อมตำแหน่งฐานข้อมูล
• KMS_PROJECT กับโปรเจ็กต์ที่มีคีย์ CMEK
• KMS_LOCATION พร้อมตำแหน่งที่มีคีย์ CMEK และคีย์ริง
• KMS_KEYRING_ID พร้อมรหัสของพวงกุญแจ CMEK
• FIRESTORE_PROJECT กับโปรเจ็กต์ที่จะใช้กับฐานข้อมูล Cloud Firestore

ยืนยันว่าฐานข้อมูล Cloud Firestore ได้รับการปกป้องด้วย Firebase CLI โดยทำดังนี้

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

ข้อมูล CMEK ต่อไปนี้จะปรากฏในข้อความตอบกลับ

• ฟิลด์ชื่อคีย์ KMS จะแสดงชื่อทรัพยากรคีย์แบบเต็มที่ใช้เพื่อเข้ารหัสฐานข้อมูล CMEK ของ Cloud Firestore
• ฟิลด์เวอร์ชันคีย์ที่ใช้งานอยู่แสดงรายการเวอร์ชันคีย์ทั้งหมดที่ฐานข้อมูล CMEK นี้ใช้อยู่ในปัจจุบัน ในระหว่างการเปลี่ยนคีย์ คุณจะมีคีย์ที่ใช้งานอยู่หลายเวอร์ชันได้

Terraform

หากต้องการสร้างฐานข้อมูลที่เปิดใช้ CMEK ให้ใช้google_firestore_databaseแหล่งข้อมูล ดูข้อมูลและตัวอย่างเพิ่มเติมได้ที่ google_firestore_database

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

แทนที่ค่าต่อไปนี้

• FIRESTORE_PROJECT กับโปรเจ็กต์ที่จะใช้สำหรับฐานข้อมูล Cloud Firestore
• DATABASE_ID ที่มีรหัสสําหรับฐานข้อมูล
• FIRESTORE_DATABASE_LOCATION ที่มีตำแหน่ง Cloud Firestore สำหรับฐานข้อมูล
• DATABASE_TYPE กับ FIRESTORE_NATIVE สำหรับโหมดเนทีฟ หรือ DATASTORE_MODE สำหรับโหมด Datastore

• KMS_KEY_NAME ที่มีชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

กู้คืนฐานข้อมูลที่ป้องกันด้วย CMEK ไปยังการเข้ารหัส CMEK

หากต้องการกู้คืนเป็นการเข้ารหัส CMEK ให้เรียกใช้คำสั่ง gcloud firestore databases restore พร้อม Flag encryption-type และ kms-key-name (ไม่บังคับ) เพื่อกำหนดค่าประเภทการเข้ารหัสสำหรับฐานข้อมูลที่กู้คืน หากคุณไม่ได้ระบุประเภทการเข้ารหัส ฐานข้อมูลที่กู้คืนจะใช้การกำหนดค่าการเข้ารหัสเดียวกันกับข้อมูลสำรอง

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

แทนที่ KMS_KEY_NAME ด้วยชื่อที่คุณกำหนดให้กับคีย์ ใช้ชื่อทรัพยากรแบบเต็มสำหรับคีย์ในรูปแบบต่อไปนี้

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

กู้คืนฐานข้อมูลที่ป้องกันด้วย CMEK เป็นการเข้ารหัสเริ่มต้น

หากต้องการกู้คืนเป็นการเข้ารหัสเริ่มต้นของ Google (ไม่ใช่ CMEK) ให้ตั้งค่า Flag encryption-type ดังนี้

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

กู้คืนฐานข้อมูลที่ปกป้องด้วย CMEK เป็นการเข้ารหัสประเภทเดียวกับข้อมูลสํารอง

หากต้องการกู้คืนเป็นประเภทการเข้ารหัสเดียวกับข้อมูลสํารอง ให้ตั้งค่า Flag encryption-type ดังนี้

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

กู้คืนฐานข้อมูลที่ป้องกันด้วย CMEK ไปยังการเข้ารหัส CMEK

หากต้องการคืนค่าการเข้ารหัส CMEK ให้ใช้แฟล็ก encryption-type และ kms-key-name (ไม่บังคับ) หากคุณไม่ได้ระบุประเภทการเข้ารหัส ฐานข้อมูลที่กู้คืนจะใช้การกำหนดค่าการเข้ารหัสเดียวกันกับข้อมูลสํารอง

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• DATABASE_ID พร้อมรหัสฐานข้อมูล
• FIRESTORE_PROJECT กับโปรเจ็กต์ที่จะใช้สำหรับฐานข้อมูล Cloud Firestore
• FIRESTORE_LOCATION พร้อมตำแหน่งฐานข้อมูล Cloud Firestore
• BACKUP_ID พร้อมรหัสข้อมูลสำรอง
• KMS_PROJECT กับโปรเจ็กต์ที่มีคีย์ CMEK
• KMS_LOCATION พร้อมตำแหน่งที่มีคีย์ CMEK และคีย์ริง
• KMS_KEYRING_ID พร้อมรหัสของพวงกุญแจ CMEK

ยืนยันว่าฐานข้อมูล Cloud Firestore ที่กู้คืนได้รับการเข้ารหัส CMEK โดยทำดังนี้

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

กู้คืนฐานข้อมูลที่ป้องกันด้วย CMEK เป็นการเข้ารหัสเริ่มต้น

หากต้องการกู้คืนเป็นการเข้ารหัสเริ่มต้นของ Google (ไม่ใช่ CMEK) ให้ตั้งค่า Flag encryption-type ดังนี้

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

แทนที่ค่าต่อไปนี้

• DATABASE_ID พร้อมรหัสฐานข้อมูล
• FIRESTORE_PROJECT กับโปรเจ็กต์ที่จะใช้สำหรับฐานข้อมูล Cloud Firestore
• FIRESTORE_LOCATION พร้อมตำแหน่งฐานข้อมูล Cloud Firestore
• BACKUP_ID พร้อมรหัสข้อมูลสำรอง

กู้คืนฐานข้อมูลที่ปกป้องด้วย CMEK เป็นการเข้ารหัสประเภทเดียวกับข้อมูลสํารอง

หากต้องการกู้คืนเป็นประเภทการเข้ารหัสเดียวกับข้อมูลสํารอง ให้ตั้งค่า Flag encryption-type ดังนี้

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

แทนที่ค่าต่อไปนี้

• DATABASE_ID พร้อมรหัสฐานข้อมูล
• FIRESTORE_PROJECT กับโปรเจ็กต์ที่จะใช้สำหรับฐานข้อมูล Cloud Firestore
• FIRESTORE_LOCATION พร้อมตำแหน่งฐานข้อมูล Cloud Firestore
• BACKUP_ID พร้อมรหัสข้อมูลสำรอง

gcloud

คุณสามารถใช้คำสั่ง databases describe gcloud CLI เพื่อยืนยันการกำหนดค่า CMEK ของฐานข้อมูล

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

คุณควรเห็นข้อมูล CMEK ในช่อง cmekConfig ของคำตอบ ซึ่งมีลักษณะคล้ายกับตัวอย่างต่อไปนี้

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

การตอบกลับจะมีข้อมูลต่อไปนี้

• kmsKeyName: ชื่อทรัพยากรคีย์แบบเต็มของคีย์ที่ใช้เข้ารหัสฐานข้อมูลที่ปกป้องด้วย CMEK
• activeKeyVersion: รายการเวอร์ชันคีย์ทั้งหมดที่ใช้อยู่ในขณะนี้โดยฐานข้อมูลที่ป้องกันด้วย CMEK ในระหว่างการเปลี่ยนคีย์ คุณจะมีคีย์ที่ใช้งานอยู่หลายเวอร์ชันได้ ทั้งเวอร์ชันคีย์เก่าและเวอร์ชันคีย์ใหม่ต้องพร้อมใช้งานในระหว่างการหมุนเวียนคีย์ อย่าปิดใช้เวอร์ชันคีย์เก่าจนกว่าเวอร์ชันดังกล่าวจะไม่ปรากฏในช่อง activeKeyVersion อีก

REST API

คำขอ HTTP

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

ในเนื้อหาคำขอ ให้กําหนดค่า CMEK ในช่อง cmek_config.kms_key_name ตั้งค่าเป็นรหัสทรัพยากรแบบเต็มของคีย์ Cloud KMS ระบบจะอนุญาตเฉพาะคีย์ที่อยู่ในตำแหน่งเดียวกับฐานข้อมูลนี้เท่านั้น

ค่านี้ควรเป็นรหัสทรัพยากรคีย์ Cloud KMS ในรูปแบบของ projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

ดูข้อมูลเพิ่มเติมเกี่ยวกับช่องอื่นๆ ได้ที่หน้า database create

ตัวอย่างคําขอและการตอบกลับ

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}