Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer Managed Encryption Keys, CMEK) verwenden

Console

So weisen Sie Ihrem Dienst-Agent eine Cloud KMS-Rolle zu. Sie können auch eine Berechtigung auf Schlüssel- oder Schlüsselbundebene gewähren, wenn Sie einen niedrigeren Detaillierungsgrad benötigen.

1. Öffnen Sie in der Google Cloud Console die Seite IAM.

   Zur Seite "IAM"

2. Klicken Sie auf Hinzufügen.

3. Geben Sie die wie eine E-Mail-Adresse formatierte ID für den Firestore-Dienst-Agent ein.

4. Wählen Sie die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.

5. Klicken Sie auf Speichern.

gcloud

Weisen Sie Ihrem Dienst-Agent die Rolle cloudkms.cryptoKeyEncrypterDecrypter zu:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Ersetzen Sie Folgendes:

• KMS_KEY durch den Namen, den Sie dem Schlüssel zugewiesen haben
• KMS_KEYRING durch den KMS-Schlüsselbund, der den Schlüssel enthält
• KMS_LOCATION durch die Region, die den Schlüsselbund enthält
• SERVICE_AGENT_EMAIL mit der wie eine E-Mail-Adresse formatierten Kennzeichnung für den Kundenservicemitarbeiter, dem Sie Zugriff gewähren
• KMS_PROJECT durch das Projekt, das den Schlüssel enthält

Im Terminal sollte eine Antwort wie die folgende angezeigt werden:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Rufen Sie in der Google Cloud Console die Seite Datenbanken auf.

   Zur Seite „Datenbanken“

2. Klicken Sie auf Datenbank erstellen.

3. Wählen Sie den Datenbankmodus aus. Klicken Sie auf Weiter.

4. Geben Sie auf der Seite Datenbank konfigurieren eine Datenbank-ID ein.

5. Wählen Sie einen Standort aus.

6. Klicken Sie auf Verschlüsselungsoptionen anzeigen und wählen Sie dann Cloud KMS-Schlüssel aus.

7. Wählen Sie den Ressourcennamen für den CMEK-Schlüssel aus, den Sie für die Datenbank verwenden möchten, oder geben Sie ihn ein.

8. Die Liste der Schlüssel ist auf das aktuelle Google Cloud-Projekt und den von Ihnen ausgewählten Speicherort der Datenbank beschränkt. Wenn Sie einen Schlüssel aus einem anderen Google Cloud-Projekt verwenden möchten, klicken Sie auf Projekt wechseln oder Schlüssel manuell eingeben.

9. Wenn Sie aufgefordert werden, dem Firestore-Dienstkonto die Schlüsselberechtigung zu erteilen, klicken Sie auf Erteilen. Damit Sie eine CMEK-Datenbank erstellen können, muss Ihrem Firestore-Dienstkonto die Rolle cloudkms.cryptoKeyEncrypterDecrypter zugewiesen sein.

10. Wählen Sie Sicherheitsregeln für mobile und Web-Clients aus.

11. Klicken Sie auf Datenbank erstellen.

Nachdem die Datenbank erstellt wurde, können Sie in den Datenbankdetails prüfen, ob CMEK aktiviert ist:

• Wenn Ihre Datenbank durch CMEK geschützt ist, wird im Feld Verschlüsselungstyp Vom Kunden verwaltet angezeigt. Im Feld Verschlüsselungsschlüssel sind der entsprechende Cloud KMS und die Schlüsselversion aufgeführt, die zum Schutz dieser Datenbank verwendet wird.
• Wenn Ihre Datenbank nicht durch CMEK geschützt ist, wird im Feld Verschlüsselungstyp Von Google verwaltet angezeigt.

gcloud

Bevor Sie eine CMEK-kompatible Datenbank mit der Google Cloud CLI erstellen, installieren Sie die neueste Version und autorisieren Sie die gcloud CLI. Weitere Informationen finden Sie unter gcloud CLI installieren.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• FIRESTORE_DATABASE_LOCATION mit dem Firestore-Speicherort für die Datenbank
• DATABASE_ID durch eine ID für die Datenbank

• KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT durch das Projekt, das für Ihre Firestore-Datenbank verwendet werden soll

REST API

HTTP-Anfrage:

POST https://firestore.googleapis.com/v1/projects/{FIRESOTRE_PROJECT}/databases

Konfigurieren Sie im Anfragetext CMEK im Feld cmek_config.kms_key_name.

Die vollständige Ressourcen-ID eines Cloud KMS-Schlüssels. Es ist nur ein Schlüssel am selben Speicherort wie diese Datenbank zulässig.

Dieser Wert sollte die Cloud KMS-Schlüsselressourcen-ID im Format projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} sein.

Weitere Informationen zu anderen Feldern finden Sie auf der Seite database create.

Beispielanfrage:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

Verwenden Sie das Feld KMS-Schlüsselname, um eine CMEK-fähige Datenbank zu erstellen. Wenn Sie den Parameter --kms-key-name nicht angeben, wird in Firestore standardmäßig eine Datenbank ohne CMEK erstellt.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• LOCATION durch den Speicherort Ihrer Datenbank
• KMS_PROJECT durch das Projekt, das Ihren CMEK-Schlüssel enthält
• KMS_LOCATION durch den Speicherort, an dem sich Ihr CMEK-Schlüssel und Ihr Schlüsselbund befinden
• KMS_KEYRING_ID durch die ID Ihres CMEK-Schlüsselbunds
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Firestore-Datenbank verwendet werden soll

Prüfen Sie mit der Firebase CLI, ob Ihre Firestore-Datenbank geschützt ist:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Die folgenden CMEK-Informationen werden in der Antwortnachricht angezeigt:

• Das Feld KMS-Schlüsselname enthält den vollständigen Namen der Schlüsselressource, die zum Verschlüsseln Ihrer Firestore-CMEK-Datenbank verwendet wird.
• Im Feld Aktive Schlüsselversionen finden Sie eine Liste aller Schlüsselversionen, die derzeit von dieser CMEK-Datenbank verwendet werden. Während der Schlüsselrotation können mehrere aktive Schlüsselversionen vorhanden sein.

Terraform

Verwenden Sie die Ressource google_firestore_database, um eine CMEK-kompatible Datenbank zu erstellen. Weitere Informationen und Beispiele finden Sie unter google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

Ersetzen Sie Folgendes:

• FIRESTORE_PROJECT durch das Projekt, das für Ihre Firestore-Datenbank verwendet werden soll
• DATABASE_ID durch eine ID für die Datenbank
• FIRESTORE_DATABASE_LOCATION mit dem Firestore-Speicherort für die Datenbank
• DATABASE_TYPE mit entweder FIRESTORE_NATIVE für den nativen Modus oder DATASTORE_MODE für den Datastore-Modus.

• KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

CMEK-geschützte Datenbank mit CMEK-Verschlüsselung wiederherstellen

Wenn Sie die CMEK-Verschlüsselung wiederherstellen möchten, führen Sie den Befehl gcloud firestore databases restore mit den optionalen Flags encryption-type und kms-key-name aus, um den Verschlüsselungstyp für die wiederhergestellte Datenbank zu konfigurieren. Wenn Sie den Verschlüsselungstyp nicht angeben, verwendet die wiederhergestellte Datenbank dieselbe Verschlüsselungskonfiguration wie die Sicherung.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Ersetzen Sie KMS_KEY_NAME durch den Namen, den Sie dem Schlüssel zugewiesen haben. Verwenden Sie den vollständigen Ressourcennamen für den Schlüssel im folgenden Format:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK-geschützte Datenbank mit Standardverschlüsselung wiederherstellen

Wenn Sie die Standardverschlüsselung von Google (keine CMEK-Verschlüsselung) wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK-geschützte Datenbank mit demselben Verschlüsselungstyp wie die Sicherung wiederherstellen

Wenn Sie die Daten mit demselben Verschlüsselungstyp wie die Sicherung wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

CMEK-geschützte Datenbank mit CMEK-Verschlüsselung wiederherstellen

Wenn Sie die CMEK-Verschlüsselung wiederherstellen möchten, verwenden Sie die optionalen Flags encryption-type und kms-key-name. Wenn Sie den Verschlüsselungstyp nicht angeben, verwendet die wiederhergestellte Datenbank dieselbe Verschlüsselungskonfiguration wie die Sicherung.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Firestore-Datenbank verwendet werden soll
• FIRESTORE_LOCATION durch den Speicherort Ihrer Firestore-Datenbank
• BACKUP_ID durch die ID Ihrer Sicherung
• KMS_PROJECT durch das Projekt, das Ihren CMEK-Schlüssel enthält
• KMS_LOCATION durch den Speicherort, an dem sich Ihr CMEK-Schlüssel und Ihr Schlüsselbund befinden
• KMS_KEYRING_ID durch die ID Ihres CMEK-Schlüsselbunds

Prüfen Sie, ob Ihre wiederhergestellte Firestore-Datenbank mit CMEK verschlüsselt ist:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK-geschützte Datenbank mit Standardverschlüsselung wiederherstellen

Wenn Sie die Standardverschlüsselung von Google (keine CMEK-Verschlüsselung) wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Firestore-Datenbank verwendet werden soll
• FIRESTORE_LOCATION durch den Speicherort Ihrer Firestore-Datenbank
• BACKUP_ID durch die ID Ihrer Sicherung

CMEK-geschützte Datenbank mit demselben Verschlüsselungstyp wie die Sicherung wiederherstellen

Wenn Sie die Daten mit demselben Verschlüsselungstyp wie die Sicherung wiederherstellen möchten, legen Sie das Flag encryption-type so fest:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Ersetzen Sie Folgendes:

• DATABASE_ID durch die ID Ihrer Datenbank
• FIRESTORE_PROJECT durch das Projekt, das für Ihre Firestore-Datenbank verwendet werden soll
• FIRESTORE_LOCATION durch den Speicherort Ihrer Firestore-Datenbank
• BACKUP_ID durch die ID Ihrer Sicherung

gcloud

Mit dem gcloud CLI-Befehl databases describe können Sie die CMEK-Konfiguration der Datenbank prüfen:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Im Feld cmekConfig der Antwort sollten CMEK-Informationen ähnlich den folgenden angezeigt werden:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

Die Antwort enthält die folgenden Informationen:

• kmsKeyName: Der vollständige Ressourcenname des Schlüssels, mit dem Ihre CMEK-geschützte Datenbank verschlüsselt wird.
• activeKeyVersion: Eine Liste aller Schlüsselversionen, die derzeit von der CMEK-geschützten Datenbank verwendet werden. Während der Schlüsselrotation können mehrere aktive Schlüsselversionen vorhanden sein. Sowohl die alte als auch die neue Schlüsselversion müssen während der Schlüsselrotation verfügbar sein. Deaktivieren Sie die alte Schlüsselversion erst, wenn sie nicht mehr im Feld activeKeyVersion angezeigt wird.

REST API

HTTP-Anfrage:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Konfigurieren Sie im Anfragetext CMEK im Feld cmek_config.kms_key_name. Die vollständige Ressourcen-ID eines Cloud KMS-Schlüssels. Es ist nur ein Schlüssel am selben Speicherort wie diese Datenbank zulässig.

Dieser Wert sollte die Cloud KMS-Schlüsselressourcen-ID im Format projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} sein.

Weitere Informationen zu anderen Feldern finden Sie auf der Seite database create.

Beispiel für Anfrage und Antwort:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}