Müşteri tarafından yönetilen şifreleme anahtarlarını (CMEK) kullanma

Koleksiyonlar ile düzeninizi koruyun İçeriği tercihlerinize göre kaydedin ve kategorilere ayırın.

Console

Hizmet aracınıza Cloud KMS rolü vermek için aşağıdakileri yapın. Daha düşük ayrıntı düzeyi istiyorsanız anahtar veya anahtar zinciri düzeyinde de izin verebilirsiniz.

1. Google Cloud Console'da IAM sayfasına gidin.

   IAM sayfasına gidin

2. Ekle'yi tıklayın.

3. Cloud Firestore Hizmet aracınızın e-posta biçimli kimliğini girin.

4. Cloud KMS CryptoKey Şifreleyici/Şifre Çözücü rolünü seçin.

5. Kaydet'i tıklayın.

gcloud

Hizmet temsilcinize cloudkms.cryptoKeyEncrypterDecrypter rolünü verin:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Aşağıdakini değiştirin:

• Anahtara atadığınız adla KMS_KEY
• KMS_KEYRING ile anahtarı içeren KMS anahtarlığı
• KMS_LOCATION anahtarlığı içeren bölge
• SERVICE_AGENT_EMAIL, erişim izni verdiğiniz müşteri temsilcisinin e-posta biçimli tanımlayıcısıyla
• KMS_PROJECT anahtarı içeren projeyle

Terminalde aşağıdakine benzer bir yanıt gösterilir:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Google Cloud Console'da Veritabanları sayfasına gidin.

   Veritabanları sayfasına gidin

2. Veritabanı oluştur'u tıklayın.

3. Veritabanı modunuzu seçin. Devam'ı tıklayın.

4. Veritabanı yapılandırın sayfasında bir veritabanı kimliği girin.

5. Bir yer seçin.

6. Şifreleme Seçenekleri'ni Göster'i tıklayın ve ardından Cloud KMS anahtarı'nı seçin.

7. Veritabanı için kullanmak istediğiniz CMEK anahtarının kaynak adını seçin veya girin.

8. Anahtar listesi, geçerli Google Cloud projesi ve seçtiğiniz veritabanı konumuyla sınırlıdır. Farklı bir Google Cloud projesindeki bir anahtarı kullanmak için Proje Değiştir veya Anahtarı Manuel Olarak Gir'i tıklayın.

9. Cloud Firestore hizmet hesabına anahtar izni vermeniz istenirse Ver'i tıklayın. CMEK veritabanı oluşturmak için Cloud Firestore hizmet hesabınıza cloudkms.cryptoKeyEncrypterDecrypter rolü verilmelidir.

10. Mobil ve web istemcileri için güvenlik kurallarını seçin.

11. Veritabanı oluştur'u tıklayın.

Veri tabanı oluşturulduktan sonra Veritabanı ayrıntıları'nı görüntüleyerek veritabanının CMEK'yi etkinleştirdiğini doğrulayabilirsiniz:

• Veritabanınıza CMEK uygulanmışsa Şifreleme türü alanı Müşteri tarafından yönetilen olarak gösterilir ve Şifreleme anahtarı alanında ilgili Cloud KMS ile bu veritabanını korumak için kullanılan anahtar sürümü listelenir.
• Veritabanınıza CMEK uygulanmamışsa Şifreleme türü alanı Google tarafından yönetilen olarak gösterilir.

gcloud

Google Cloud CLI ile CMEK özellikli bir veritabanı oluşturmadan önce en son sürümü yükleyin ve gcloud CLI'ı yetkilendirin. Daha fazla bilgi için gcloud CLI'yi yükleme başlıklı makaleyi inceleyin.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• Veritabanı için Cloud Firestore konumlu FIRESTORE_DATABASE_LOCATION
• Veritabanı kimliği içeren DATABASE_ID

• KMS_KEY_NAME anahtara atadığınız adla. Anahtar için aşağıdaki biçimde tam kaynak adını kullanın:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT veritabanınız için kullanacağınız projeyleCloud Firestore

REST API

HTTP isteği:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

İstek gövdesinde cmek_config.kms_key_name alanında CMEK'yi yapılandırın.

Bir Cloud KMS anahtarının tam kaynak kimliğine ayarlanır. Yalnızca bu veritabanıyla aynı konumdaki bir anahtara izin verilir.

Bu değer, projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} biçiminde Cloud KMS anahtar kaynak kimliği olmalıdır.

Diğer alanlar hakkında daha fazla bilgi için database create sayfasına bakın.

Örnek istek:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

CMEK özellikli bir veritabanı oluşturmak için KMS Anahtar Adı alanını kullanın. --kms-key-name parametresini belirtmezseniz Cloud Firestore varsayılan olarak CMEK olmayan bir veritabanı oluşturur.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• LOCATION veritabanınızın konumunu içeren
• KMS_PROJECT ile CMEK anahtarınızı içeren proje
• KMS_LOCATION ile CMEK anahtarınızı ve anahtarlığınızı içeren konum
• KMS_KEYRING_ID ile CMEK anahtar zincirinizin kimliği
• FIRESTORE_PROJECT veritabanınız için kullanacağınız projeyleCloud Firestore

Cloud Firestore veritabanınızın Firebase CLI ile korunduğunu onaylayın:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Yanıt mesajında aşağıdaki CMEK bilgileri gösterilir:

• KMS Anahtarı Adı alanı, Cloud Firestore CMEK veritabanınızı şifrelemek için kullanılan tam anahtar kaynağı adını sağlar.
• Etkin Anahtar Sürümleri alanı, bu CMEK veritabanı tarafından şu anda kullanılan tüm anahtar sürümlerinin listesini sağlar. Anahtar rotasyonu sırasında birden fazla etkin anahtar sürümünüz olabilir.

Terraform

CMEK özellikli bir veritabanı oluşturmak için google_firestore_database kaynağını kullanın. Daha fazla bilgi ve örnek için google_firestore_database konusuna bakın.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

Aşağıdakini değiştirin:

• FIRESTORE_PROJECT veritabanınız için kullanacağınız projeyleCloud Firestore
• Veritabanı kimliği içeren DATABASE_ID
• Veritabanı için Cloud Firestore konumlu FIRESTORE_DATABASE_LOCATION
• DATABASE_TYPE ile Yerel mod için FIRESTORE_NATIVE veya Datastore modu için DATASTORE_MODE.

• KMS_KEY_NAME anahtara atadığınız adla. Anahtar için aşağıdaki biçimde tam kaynak adını kullanın:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

CMEK ile korunan bir veritabanını CMEK şifrelemesiyle geri yükleme

CMEK şifrelemesiyle geri yükleme yapmak için gcloud firestore databases restore komutunu isteğe bağlı encryption-type ve kms-key-name işaretleriyle çalıştırın. Böylece, geri yüklenen veritabanının şifreleme türünü yapılandırabilirsiniz. Şifreleme türünü belirtmezseniz geri yüklenen veritabanı, yedeklemeyle aynı şifreleme yapılandırmasını kullanır.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME yerine anahtara atadığınız adı yazın. Anahtar için aşağıdaki biçimde tam kaynak adını kullanın:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK ile korunan bir veritabanını varsayılan şifrelemeye geri yükleme

Google'ın varsayılan şifrelemesine (CMEK olmayan) geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK ile korunan bir veritabanını yedekle aynı şifreleme türüne geri yükleme

Yedekle aynı şifreleme türüne geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

CMEK ile korunan bir veritabanını CMEK şifrelemesiyle geri yükleme

CMEK şifrelemesine geri dönmek için isteğe bağlı encryption-type ve kms-key-name işaretini kullanın. Şifreleme türünü belirtmezseniz geri yüklenen veritabanı, yedekle aynı şifreleme yapılandırmasını kullanır.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• FIRESTORE_PROJECT veritabanınız için kullanacağınız projeyleCloud Firestore
• FIRESTORE_LOCATION veritabanınızın konumunu içeren Cloud Firestore
• BACKUP_ID ile yedeğinizin kimliğini
• KMS_PROJECT ile CMEK anahtarınızı içeren proje
• KMS_LOCATION ile CMEK anahtarınızı ve anahtarlığınızı içeren konum
• KMS_KEYRING_ID ile CMEK anahtar zincirinizin kimliğini girin.

Geri yüklenen Cloud Firestore veritabanınızın CMEK ile şifrelenmiş olduğunu onaylayın:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK ile korunan bir veritabanını varsayılan şifrelemeye geri yükleme

Google'ın varsayılan şifrelemesine (CMEK olmayan) geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• FIRESTORE_PROJECT veritabanınız için kullanacağınız projeyleCloud Firestore
• FIRESTORE_LOCATION veritabanınızın konumunu içeren Cloud Firestore
• BACKUP_ID ile yedeğinizin kimliğini

CMEK ile korunan bir veritabanını yedekle aynı şifreleme türüne geri yükleme

Yedekle aynı şifreleme türüne geri yüklemek için encryption-type işaretini aşağıdaki şekilde ayarlayın:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Aşağıdakini değiştirin:

• DATABASE_ID yerine veritabanınızın kimliğini yazın.
• FIRESTORE_PROJECT veritabanınız için kullanacağınız projeyleCloud Firestore
• FIRESTORE_LOCATION veritabanınızın konumunu içeren Cloud Firestore
• BACKUP_ID ile yedeğinizin kimliğini

gcloud

Veritabanı CMEK yapılandırmasını onaylamak için databases describe gcloud CLI komutunu kullanabilirsiniz:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Yanıttaki cmekConfig alanında aşağıdakine benzer CMEK bilgilerini görürsünüz:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

Yanıt aşağıdaki bilgileri içerir:

• kmsKeyName: CMEK korumalı veritabanınızı şifrelemek için kullanılan anahtarın tam anahtar kaynağı adı.
• activeKeyVersion: CMEK korumalı veritabanı tarafından şu anda kullanılan tüm anahtar sürümlerinin listesi. Anahtar rotasyonu sırasında birden fazla etkin anahtar sürümünüz olabilir. Anahtar rotasyonu sırasında hem eski anahtar sürümünün hem de yeni anahtar sürümünün kullanılabilir olması gerekir. Eski anahtar sürümü, activeKeyVersion alanında görünmeyi bırakana kadar devre dışı bırakılmamalıdır.

REST API

HTTP isteği:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

İstek gövdesinde cmek_config.kms_key_name alanında CMEK'yi yapılandırın. Bir Cloud KMS anahtarının tam kaynak kimliğine ayarlanır. Yalnızca bu veritabanıyla aynı konumdaki bir anahtara izin verilir.

Bu değer, projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} biçiminde Cloud KMS anahtar kaynak kimliği olmalıdır.

Diğer alanlar hakkında daha fazla bilgi için database create sayfasına bakın.

Örnek istek ve yanıt:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}