Utiliser des clés de chiffrement gérées par le client (CMEK)

Console

Pour attribuer un rôle Cloud KMS à votre agent de service, procédez comme suit : Vous pouvez également accorder une autorisation au niveau de la clé ou du trousseau si vous souhaitez bénéficier d'un niveau de précision inférieur.

1. Dans la console Google Cloud, accédez à la page IAM.

   Accédez à la page IAM.

2. Cliquez sur Ajouter.

3. Saisissez l'ID au format adresse e-mail de votre agent de service en mode Datastore.

4. Sélectionnez le rôle Chiffreur/Déchiffreur de clés cryptographiques Cloud KMS.

5. Cliquez sur Enregistrer.

gcloud

Attribuez le rôle cloudkms.cryptoKeyEncrypterDecrypter à votre agent de service :

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Remplacez les éléments suivants :

• KMS_KEY par le nom que vous avez attribué à la clé
• KMS_KEYRING par le trousseau de clés KMS contenant la clé.
• KMS_LOCATION par la région contenant le trousseau de clés.
• SERVICE_AGENT_EMAIL avec l'identifiant au format adresse e-mail de l'agent de service auquel vous accordez l'accès
• KMS_PROJECT par le projet contenant la clé

Le terminal doit afficher une réponse semblable à celle-ci:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Dans la console Google Cloud, accédez à la page Base de données.

   Accéder à la page "Bases de données"

2. Cliquez sur Créer une base de données.

3. Sélectionnez votre mode de base de données. Cliquez sur Continuer.

4. Sur la page Configurer votre base de données, saisissez un ID de base de données.

5. Sélectionnez un lieu.

6. Cliquez sur Afficher les options de chiffrement, puis sélectionnez Clé Cloud KMS.

7. Sélectionnez ou saisissez le nom de ressource de la clé CMEK que vous souhaitez utiliser pour la base de données.

8. La liste des clés est limitée au projet Google Cloud actuel et à l'emplacement de la base de données que vous avez sélectionné. Pour utiliser une clé provenant d'un autre projet Google Cloud, cliquez sur Changer de projet ou sur Saisir la clé manuellement.

9. Si vous êtes invité à accorder l'autorisation de clé au compte de service en mode Datastore, cliquez sur Accorder. Pour créer une base de données CMEK, vous devez attribuer le rôle cloudkms.cryptoKeyEncrypterDecrypter à votre compte de service en mode Datastore.

10. Sélectionnez des règles de sécurité pour les clients mobiles et Web.

11. Cliquez sur Créer une base de données.

Une fois la base de données créée, vous pouvez vérifier qu'elle est compatible avec CMEK en consultant les détails de la base de données:

• Si votre base de données est protégée par CMEK, le champ Type de chiffrement affiche Géré par le client, et le champ Clé de chiffrement liste le Cloud KMS correspondant et la version de clé utilisée pour protéger cette base de données.
• Si votre base de données n'est pas protégée par CMEK, le champ Type de chiffrement affiche Géré par Google.

gcloud

Avant de créer une base de données compatible avec CMEK avec Google Cloud CLI, installez la dernière version et autorisez la gcloud CLI. Pour en savoir plus, consultez Installer gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Remplacez les éléments suivants :

• FIRESTORE_DATABASE_LOCATION avec l'emplacement en mode Datastore de la base de données
• DATABASE_ID avec un ID de base de données

• KMS_KEY_NAME par le nom que vous avez attribué à la clé. Utilisez le nom complet de la ressource pour la clé au format suivant:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT avec le projet à utiliser pour votre base de données en mode Datastore

API REST

Requête HTTP :

POST https://firestore.googleapis.com/v1/projects/{FIRESOTRE_PROJECT}/databases

Dans le corps de la requête, configurez CMEK dans le champ cmek_config.kms_key_name.

Défini sur l'ID de ressource complet d'une clé Cloud KMS. Seule une clé située au même emplacement que cette base de données est autorisée.

Cette valeur doit correspondre à l'ID de ressource de clé Cloud KMS au format projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}.

Pour en savoir plus sur les autres champs, consultez la page database create.

Exemple de requête :

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

CLI Firebase

Pour créer une base de données compatible avec CMEK, utilisez le champ Nom de la clé KMS. Si vous ne spécifiez pas le paramètre --kms-key-name, le mode Datastore crée une base de données non CMEK par défaut.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Remplacez les éléments suivants :

• DATABASE_ID par l'ID de votre base de données
• LOCATION par l'emplacement de votre base de données
• KMS_PROJECT par le projet contenant votre clé CMEK.
• KMS_LOCATION avec l'emplacement contenant votre clé CMEK et votre trousseau de clés
• KMS_KEYRING_ID avec l'ID de votre trousseau de clés CMEK
• FIRESTORE_PROJECT avec le projet à utiliser pour votre base de données en mode Datastore

Vérifiez que votre base de données en mode Datastore est protégée avec la CLI Firebase:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Les informations CMEK suivantes s'affichent dans le message de réponse:

• Le champ Nom de la clé KMS fournit le nom complet de la ressource de clé utilisée pour chiffrer votre base de données CMEK en mode Datastore.
• Le champ Versions de clé actives fournit la liste de toutes les versions de clé actuellement utilisées par cette base de données CMEK. Lors de la rotation des clés, vous pouvez avoir plusieurs versions de clés actives.

Terraform

Pour créer une base de données compatible avec CMEK, utilisez la ressource google_firestore_database. Pour en savoir plus et obtenir des exemples, consultez google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

Remplacez les éléments suivants :

• FIRESTORE_PROJECT avec le projet à utiliser pour votre base de données en mode Datastore
• DATABASE_ID avec un ID de base de données
• FIRESTORE_DATABASE_LOCATION avec l'emplacement en mode Datastore de la base de données
• DATABASE_TYPE avec FIRESTORE_NATIVE pour le mode natif ou DATASTORE_MODE pour le mode Datastore.

• KMS_KEY_NAME par le nom que vous avez attribué à la clé. Utilisez le nom complet de la ressource pour la clé au format suivant:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Restaurer une base de données protégée par CMEK avec le chiffrement CMEK

Pour restaurer le chiffrement CMEK, exécutez la commande gcloud firestore databases restore avec les options encryption-type et kms-key-name facultatives pour configurer le type de chiffrement de la base de données restaurée. Si vous ne spécifiez pas le type de chiffrement, la base de données restaurée utilisera la même configuration de chiffrement que la sauvegarde.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Remplacez KMS_KEY_NAME par le nom que vous avez attribué à la clé. Utilisez le nom complet de la ressource pour la clé au format suivant:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Restaurer le chiffrement par défaut d'une base de données protégée par CMEK

Pour restaurer le chiffrement par défaut de Google (non-CMEK), définissez l'indicateur encryption-type comme suit:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Restaurer une base de données protégée par CMEK avec le même type de chiffrement que la sauvegarde

Pour restaurer le même type de chiffrement que la sauvegarde, définissez l'indicateur encryption-type comme suit:

  gcloud firestore databases restore --encryption-type=use-source-encryption

CLI Firebase

Restaurer une base de données protégée par CMEK avec le chiffrement CMEK

Pour restaurer le chiffrement CMEK, utilisez les options encryption-type et kms-key-name facultatives. Si vous ne spécifiez pas le type de chiffrement, la base de données restaurée utilisera la même configuration de chiffrement que la sauvegarde.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Remplacez les éléments suivants :

• DATABASE_ID par l'ID de votre base de données
• FIRESTORE_PROJECT avec le projet à utiliser pour votre base de données en mode Datastore
• FIRESTORE_LOCATION avec l'emplacement de votre base de données en mode Datastore
• BACKUP_ID par l'ID de votre sauvegarde
• KMS_PROJECT par le projet contenant votre clé CMEK.
• KMS_LOCATION avec l'emplacement contenant votre clé CMEK et votre trousseau de clés
• KMS_KEYRING_ID avec l'ID de votre trousseau de clés CMEK

Vérifiez que votre base de données restaurée en mode Datastore est chiffrée avec CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Restaurer le chiffrement par défaut d'une base de données protégée par CMEK

Pour restaurer le chiffrement par défaut de Google (non-CMEK), définissez l'indicateur encryption-type comme suit:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Remplacez les éléments suivants :

• DATABASE_ID par l'ID de votre base de données
• FIRESTORE_PROJECT avec le projet à utiliser pour votre base de données en mode Datastore
• FIRESTORE_LOCATION avec l'emplacement de votre base de données en mode Datastore
• BACKUP_ID par l'ID de votre sauvegarde

Restaurer une base de données protégée par CMEK avec le même type de chiffrement que la sauvegarde

Pour restaurer le même type de chiffrement que la sauvegarde, définissez l'indicateur encryption-type comme suit:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Remplacez les éléments suivants :

• DATABASE_ID par l'ID de votre base de données
• FIRESTORE_PROJECT avec le projet à utiliser pour votre base de données en mode Datastore
• FIRESTORE_LOCATION avec l'emplacement de votre base de données en mode Datastore
• BACKUP_ID par l'ID de votre sauvegarde

gcloud

Vous pouvez utiliser la commande gcloud CLI databases describe pour confirmer la configuration CMEK de la base de données:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Des informations CMEK doivent s'afficher dans le champ cmekConfig de la réponse, comme suit:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

La réponse inclut les informations suivantes :

• kmsKeyName: nom complet de la ressource de clé utilisée pour chiffrer votre base de données protégée par CMEK.
• activeKeyVersion: liste de toutes les versions de clé actuellement utilisées par la base de données protégée par CMEK. Lors de la rotation des clés, vous pouvez avoir plusieurs versions de clés actives. L'ancienne et la nouvelle version de clé doivent être disponibles lors de la rotation des clés. Ne désactivez pas l'ancienne version de la clé tant qu'elle n'apparaît plus dans le champ activeKeyVersion.

API REST

Requête HTTP :

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Dans le corps de la requête, configurez CMEK dans le champ cmek_config.kms_key_name. Défini sur l'ID de ressource complet d'une clé Cloud KMS. Seule une clé située au même emplacement que cette base de données est autorisée.

Cette valeur doit correspondre à l'ID de ressource de clé Cloud KMS au format projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}.

Pour en savoir plus sur les autres champs, consultez la page database create.

Exemple de requête et de réponse:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}