Sử dụng khoá mã hoá do khách hàng quản lý (CMEK)

Sử dụng bộ sưu tập để sắp xếp ngăn nắp các trang Lưu và phân loại nội dung dựa trên lựa chọn ưu tiên của bạn.

Bảng điều khiển

Để cấp vai trò Cloud KMS cho tác nhân dịch vụ, hãy làm như sau. Bạn cũng có thể cấp quyền ở cấp khoá hoặc vòng khoá nếu muốn có mức độ chi tiết thấp hơn.

1. Trong Google Cloud Console, hãy chuyển đến trang IAM.

   Chuyển đến trang IAM

2. Nhấp vào Thêm.

3. Nhập mã nhận dạng ở định dạng email cho tác nhân dịch vụ Cloud Firestore.

4. Chọn vai trò Trình mã hoá/Trình giải mã khoá mã hoá Cloud KMS.

5. Nhấp vào Lưu.

gcloud

Cấp vai trò cloudkms.cryptoKeyEncrypterDecrypter cho nhân viên hỗ trợ:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Thay thế nội dung sau:

• KMS_KEY có tên mà bạn đã chỉ định cho khoá
• KMS_KEYRING với bộ khoá KMS chứa khoá
• KMS_LOCATION với vùng chứa bộ khoá
• SERVICE_AGENT_EMAIL có giá trị nhận dạng ở định dạng email cho nhân viên hỗ trợ dịch vụ mà bạn đang cấp quyền truy cập
• KMS_PROJECT với dự án chứa khoá

Dòng lệnh sẽ hiển thị phản hồi tương tự như sau:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Bảng điều khiển

1. Trong Google Cloud Console, hãy chuyển đến trang Databases (Cơ sở dữ liệu).

   Chuyển đến trang Cơ sở dữ liệu

2. Nhấp vào Tạo cơ sở dữ liệu.

3. Chọn chế độ cơ sở dữ liệu. Nhấp vào Tiếp tục.

4. Trên trang Định cấu hình cơ sở dữ liệu, hãy nhập mã cơ sở dữ liệu.

5. Chọn một vị trí.

6. Nhấp vào Hiển thị tuỳ chọn mã hoá, sau đó chọn Khoá Cloud KMS.

7. Chọn hoặc nhập tên tài nguyên cho khoá CMEK mà bạn muốn sử dụng cho cơ sở dữ liệu.

8. Danh sách khoá chỉ giới hạn ở dự án Google Cloud hiện tại và vị trí cơ sở dữ liệu mà bạn đã chọn. Để sử dụng khoá từ một dự án Google Cloud khác, hãy nhấp vào Chuyển đổi dự án hoặc Nhập khoá theo cách thủ công.

9. Nếu bạn được nhắc cấp quyền khoá cho tài khoản dịch vụ Cloud Firestore, hãy nhấp vào Cấp. Để tạo cơ sở dữ liệu CMEK, bạn phải cấp vai trò cloudkms.cryptoKeyEncrypterDecrypter cho tài khoản dịch vụ Cloud Firestore.

10. Chọn quy tắc bảo mật cho ứng dụng di động và ứng dụng web.

11. Nhấp vào Tạo cơ sở dữ liệu.

Sau khi tạo cơ sở dữ liệu, bạn có thể xác minh rằng cơ sở dữ liệu đó đã bật CMEK bằng cách xem Thông tin chi tiết về cơ sở dữ liệu:

• Nếu cơ sở dữ liệu của bạn được bảo vệ bằng CMEK, thì trường Loại mã hoá sẽ hiển thị là Do khách hàng quản lý và trường Khoá mã hoá sẽ liệt kê Cloud KMS tương ứng và phiên bản khoá dùng để bảo vệ cơ sở dữ liệu này.
• Nếu cơ sở dữ liệu của bạn không được bảo vệ bằng CMEK, thì trường Loại mã hoá sẽ hiển thị là Do Google quản lý.

gcloud

Trước khi tạo cơ sở dữ liệu hỗ trợ CMEK bằng Google Cloud CLI, hãy cài đặt phiên bản mới nhất và uỷ quyền cho gcloud CLI. Để biết thêm thông tin, hãy xem bài viết Cài đặt gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Thay thế nội dung sau:

• FIRESTORE_DATABASE_LOCATION với vị trí Cloud Firestore cho cơ sở dữ liệu
• DATABASE_ID có mã nhận dạng cho cơ sở dữ liệu

• KMS_KEY_NAME có tên mà bạn chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore

API REST

Yêu cầu HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

Trong nội dung yêu cầu, hãy định cấu hình CMEK trong trường cmek_config.kms_key_name.

Đặt thành mã nhận dạng tài nguyên đầy đủ của khoá Cloud KMS. Chỉ cho phép một khoá ở cùng vị trí với cơ sở dữ liệu này.

Giá trị này phải là mã tài nguyên khoá Cloud KMS ở định dạng projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Để biết thêm thông tin về các trường khác, hãy xem trang database create.

Yêu cầu mẫu:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Giao diện dòng lệnh (CLI) của Firebase

Để tạo cơ sở dữ liệu hỗ trợ CMEK, hãy sử dụng trường Tên khoá KMS. Nếu bạn không chỉ định tham số --kms-key-name, Cloud Firestore sẽ tạo một cơ sở dữ liệu không phải CMEK theo mặc định.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID có mã nhận dạng của cơ sở dữ liệu
• LOCATION với vị trí của cơ sở dữ liệu
• KMS_PROJECT với dự án chứa khoá CMEK
• KMS_LOCATION với vị trí chứa khoá CMEK và bộ khoá
• KMS_KEYRING_ID có mã của vòng khoá CMEK
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore

Xác nhận rằng cơ sở dữ liệu Cloud Firestore của bạn được bảo vệ bằng Firebase CLI:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Thông tin CMEK sau đây sẽ xuất hiện trong thông báo phản hồi:

• Trường Tên khoá KMS cung cấp tên tài nguyên khoá đầy đủ dùng để mã hoá cơ sở dữ liệu CMEK Cloud Firestore.
• Trường Active Key Versions (Phiên bản khoá đang hoạt động) cung cấp danh sách tất cả phiên bản khoá hiện đang được cơ sở dữ liệu CMEK này sử dụng. Trong quá trình xoay khoá, bạn có thể có nhiều phiên bản khoá đang hoạt động.

Terraform

Để tạo cơ sở dữ liệu hỗ trợ CMEK, hãy sử dụng tài nguyên google_firestore_database. Để biết thêm thông tin và ví dụ, hãy xem google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

Thay thế nội dung sau:

• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore
• DATABASE_ID có mã nhận dạng cho cơ sở dữ liệu
• FIRESTORE_DATABASE_LOCATION với vị trí Cloud Firestore cho cơ sở dữ liệu
• DATABASE_TYPE với FIRESTORE_NATIVE cho chế độ Gốc hoặc DATASTORE_MODE cho chế độ Kho dữ liệu.

• KMS_KEY_NAME có tên mà bạn chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá ở định dạng:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá bằng CMEK

Để khôi phục chế độ mã hoá CMEK, hãy chạy lệnh gcloud firestore databases restore (khôi phục cơ sở dữ liệu Firestore) với cờ encryption-type và kms-key-name (không bắt buộc) để định cấu hình loại mã hoá cho cơ sở dữ liệu đã khôi phục. Nếu bạn không chỉ định loại mã hoá, thì cơ sở dữ liệu đã khôi phục sẽ sử dụng cùng một cấu hình mã hoá như bản sao lưu.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Thay thế KMS_KEY_NAME bằng tên mà bạn đã chỉ định cho khoá. Sử dụng tên tài nguyên đầy đủ cho khoá theo định dạng sau:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá mặc định

Để khôi phục về chế độ mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về cùng một loại mã hoá như bản sao lưu

Để khôi phục về cùng một loại mã hoá như bản sao lưu, hãy đặt cờ encryption-type theo cách sau:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Giao diện dòng lệnh (CLI) của Firebase

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá CMEK

Để khôi phục phương thức mã hoá CMEK, hãy sử dụng cờ encryption-type và kms-key-name (không bắt buộc). Nếu bạn không chỉ định loại mã hoá, thì cơ sở dữ liệu được khôi phục sẽ sử dụng cùng một cấu hình mã hoá như bản sao lưu.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID có mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore
• FIRESTORE_LOCATION với vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID có mã nhận dạng của bản sao lưu
• KMS_PROJECT với dự án chứa khoá CMEK
• KMS_LOCATION với vị trí chứa khoá CMEK và bộ khoá
• KMS_KEYRING_ID có mã của vòng khoá CMEK

Xác nhận rằng cơ sở dữ liệu Cloud Firestore đã khôi phục của bạn được mã hoá bằng CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về chế độ mã hoá mặc định

Để khôi phục về chế độ mã hoá mặc định của Google (không phải CMEK), hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Thay thế nội dung sau:

• DATABASE_ID có mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore
• FIRESTORE_LOCATION với vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID có mã nhận dạng của bản sao lưu

Khôi phục cơ sở dữ liệu được bảo vệ bằng CMEK về cùng một loại mã hoá như bản sao lưu

Để khôi phục về cùng một loại mã hoá như bản sao lưu, hãy đặt cờ encryption-type theo cách sau:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Thay thế nội dung sau:

• DATABASE_ID có mã nhận dạng của cơ sở dữ liệu
• FIRESTORE_PROJECT với dự án để sử dụng cho cơ sở dữ liệu Cloud Firestore
• FIRESTORE_LOCATION với vị trí của cơ sở dữ liệu Cloud Firestore
• BACKUP_ID có mã nhận dạng của bản sao lưu

gcloud

Bạn có thể sử dụng lệnh gcloud CLI databases describe (mô tả cơ sở dữ liệu) để xác nhận cấu hình CMEK của cơ sở dữ liệu:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Bạn sẽ thấy thông tin CMEK trong trường cmekConfig trong phản hồi tương tự như sau:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

Phản hồi bao gồm các thông tin sau:

• kmsKeyName: tên tài nguyên khoá đầy đủ của khoá dùng để mã hoá cơ sở dữ liệu được bảo vệ bằng CMEK.
• activeKeyVersion: danh sách tất cả phiên bản khoá hiện đang được cơ sở dữ liệu được bảo vệ bằng CMEK sử dụng. Trong quá trình xoay khoá, bạn có thể có nhiều phiên bản khoá đang hoạt động. Bạn cần có cả phiên bản khoá cũ và phiên bản khoá mới trong quá trình xoay vòng khoá. Đừng tắt phiên bản khoá cũ cho đến khi phiên bản đó không còn xuất hiện trong trường activeKeyVersion.

API REST

Yêu cầu HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Trong nội dung yêu cầu, hãy định cấu hình CMEK trong trường cmek_config.kms_key_name. Đặt thành mã nhận dạng tài nguyên đầy đủ của khoá Cloud KMS. Chỉ cho phép một khoá ở cùng vị trí với cơ sở dữ liệu này.

Giá trị này phải là mã tài nguyên khoá Cloud KMS ở định dạng projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Để biết thêm thông tin về các trường khác, hãy xem trang database create.

Ví dụ về yêu cầu và phản hồi:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}