Utilizzo delle chiavi di crittografia gestite dal cliente (CMEK)

Console

Per concedere un ruolo Cloud KMS all'agente di servizio, procedi nel seguente modo. Puoi anche concedere l'autorizzazione a livello di chiave o portachiavi se vuoi una granularità inferiore.

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai alla pagina IAM

2. Fai clic su Aggiungi.

3. Inserisci l'ID in formato email per l'agente di servizio in modalità Datastore.

4. Seleziona il ruolo Cloud KMS CryptoKey Encrypter/Decrypter.

5. Fai clic su Salva.

gcloud

Concedi il ruolo cloudkms.cryptoKeyEncrypterDecrypter all'agente di servizio:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Sostituisci quanto segue:

• KMS_KEY con il nome che hai assegnato alla chiave
• KMS_KEYRING con il keyring KMS che contiene la chiave
• KMS_LOCATION con la regione che contiene il mazzo di chiavi
• SERVICE_AGENT_EMAIL con l'identificatore in formato email dell'agente di servizio a cui stai concedendo l'accesso
• KMS_PROJECT con il progetto che contiene la chiave

Il terminale dovrebbe mostrare una risposta simile alla seguente:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Nella console Google Cloud, vai alla pagina Database.

   Vai alla pagina Database

2. Fai clic su Crea database.

3. Seleziona la modalità del database. Fai clic su Continua.

4. Nella pagina Configura il database, inserisci un ID database.

5. Seleziona una località.

6. Fai clic su Mostra opzioni di crittografia, quindi seleziona Chiave Cloud KMS.

7. Seleziona o inserisci il nome della risorsa per la chiave CMEK che vuoi utilizzare per il database.

8. L'elenco delle chiavi è limitato al progetto Google Cloud corrente e alla posizione del database selezionata. Per utilizzare una chiave di un altro progetto Google Cloud, fai clic su Cambia progetto o Inserisci la chiave manualmente.

9. Se ti viene chiesto di concedere l'autorizzazione per le chiavi all'account di servizio in modalità Datastore, fai clic su Concedi. Per creare un database CMEK, al tuo account di servizio in modalità Datastore deve essere concesso il ruolo cloudkms.cryptoKeyEncrypterDecrypter.

10. Seleziona le regole di sicurezza per i client mobile e web.

11. Fai clic su Crea database.

Una volta creato il database, puoi verificare che sia abilitato per CMEK visualizzando Dettagli database:

• Se il database è protetto da CMEK, il campo Tipo di crittografia viene visualizzato come Gestito dal cliente e il campo Chiave di crittografia elenca il Cloud KMS corrispondente e la versione della chiave utilizzata per proteggere questo database.
• Se il database non è protetto da CMEK, il campo Tipo di crittografia viene visualizzato come Gestito da Google.

gcloud

Prima di creare un database compatibile con CMEK con Google Cloud CLI, installa la versione più recente e autorizza gcloud CLI. Per ulteriori informazioni, consulta Installare gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Sostituisci quanto segue:

• FIRESTORE_DATABASE_LOCATION con la posizione della modalità Datastore per il database
• DATABASE_ID con un ID per il database

• KMS_KEY_NAME con il nome assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel seguente formato:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT con il progetto da utilizzare per il database in modalità Datastore

API REST

Richiesta HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESOTRE_PROJECT}/databases

Nel corpo della richiesta, configura CMEK nel campo cmek_config.kms_key_name.

Impostato sull'ID risorsa completo di una chiave Cloud KMS. È consentita solo una chiave nella stessa posizione di questo database.

Questo valore deve essere l'ID risorsa della chiave Cloud KMS nel formato diprojects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Per ulteriori dettagli sugli altri campi, consulta la pagina database create.

Esempio di richiesta:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

interfaccia a riga di comando di Firebase

Per creare un database compatibile con CMEK, utilizza il campo Nome chiave KMS. Se non specifichi il parametro --kms-key-name, la modalità Datastore crea per impostazione predefinita un database non CMEK.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• LOCATION con la posizione del database
• KMS_PROJECT con il progetto che contiene la chiave CMEK
• KMS_LOCATION con la posizione che contiene la chiave CMEK e la chiave automatizzata
• KMS_KEYRING_ID con l'ID del tuo portachiavi CMEK
• FIRESTORE_PROJECT con il progetto da utilizzare per il database in modalità Datastore

Verifica che il database in modalità Datastore sia protetto con Firebase CLI:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Nel messaggio di risposta vengono visualizzate le seguenti informazioni CMEK:

• Il campo Nome chiave KMS fornisce il nome completo della risorsa della chiave utilizzata per criptare il database CMEK in modalità Datastore.
• Il campo Versioni della chiave attive fornisce un elenco di tutte le versioni della chiave attualmente utilizzate da questo database CMEK. Durante la rotazione delle chiavi, puoi avere più versioni attive delle chiavi.

Terraform

Per creare un database abilitato per CMEK, utilizza la risorsa google_firestore_database. Per ulteriori informazioni ed esempi, consulta google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

Sostituisci quanto segue:

• FIRESTORE_PROJECT con il progetto da utilizzare per il database in modalità Datastore
• DATABASE_ID con un ID per il database
• FIRESTORE_DATABASE_LOCATION con la posizione della modalità Datastore per il database
• DATABASE_TYPE con FIRESTORE_NATIVE per la modalità Native o DATASTORE_MODE per la modalità Datastore.

• KMS_KEY_NAME con il nome assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel formato:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Ripristinare un database protetto da CMEK con la crittografia CMEK

Per ripristinare la crittografia CMEK, esegui il comando gcloud firestore databases restore con i flag facoltativi encryption-type e kms-key-name per configurare il tipo di crittografia per il database ripristinato. Se non specifichi il tipo di crittografia, il database ripristinato utilizzerà la stessa configurazione di crittografia del backup.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Sostituisci KMS_KEY_NAME con il nome assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel seguente formato:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Ripristinare un database protetto da CMEK alla crittografia predefinita

Per ripristinare la crittografia predefinita di Google (non CMEK), imposta il flag encryption-type nel seguente modo:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Ripristinare un database protetto da CMEK con lo stesso tipo di crittografia del backup

Per ripristinare lo stesso tipo di crittografia del backup, imposta il flag encryption-type nel seguente modo:

  gcloud firestore databases restore --encryption-type=use-source-encryption

interfaccia a riga di comando di Firebase

Ripristinare un database protetto da CMEK con la crittografia CMEK

Per ripristinare la crittografia CMEK, utilizza i flag facoltativi encryption-type e kms-key-name. Se non specifichi il tipo di crittografia, il database ripristinato utilizzerà la stessa configurazione di crittografia del backup.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• FIRESTORE_PROJECT con il progetto da utilizzare per il database in modalità Datastore
• FIRESTORE_LOCATION con la posizione del database in modalità Datastore
• BACKUP_ID con l'ID del backup
• KMS_PROJECT con il progetto che contiene la chiave CMEK
• KMS_LOCATION con la posizione che contiene la chiave CMEK e la chiave automatizzata
• KMS_KEYRING_ID con l'ID del tuo portachiavi CMEK

Verifica che il database in modalità Datastore ripristinato sia criptato con CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Ripristinare un database protetto da CMEK alla crittografia predefinita

Per ripristinare la crittografia predefinita di Google (non CMEK), imposta il flag encryption-type nel seguente modo:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• FIRESTORE_PROJECT con il progetto da utilizzare per il database in modalità Datastore
• FIRESTORE_LOCATION con la posizione del database in modalità Datastore
• BACKUP_ID con l'ID del backup

Ripristinare un database protetto da CMEK con lo stesso tipo di crittografia del backup

Per ripristinare lo stesso tipo di crittografia del backup, imposta il flag encryption-type nel seguente modo:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• FIRESTORE_PROJECT con il progetto da utilizzare per il database in modalità Datastore
• FIRESTORE_LOCATION con la posizione del database in modalità Datastore
• BACKUP_ID con l'ID del backup

gcloud

Puoi utilizzare il comando gcloud CLI databases describe per confermare la configurazione della crittografia gestita dal cliente del database:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Dovresti vedere le informazioni CMEK nel campo cmekConfig della risposta simile al seguente:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

La risposta include le seguenti informazioni:

• kmsKeyName: il nome completo della risorsa della chiave utilizzata per criptare il database protetto da CMEK.
• activeKeyVersion: un elenco di tutte le versioni delle chiavi attualmente in uso dal database protetto da CMEK. Durante la rotazione delle chiavi, puoi avere più versioni attive delle chiavi. Sia la versione precedente che quella nuova della chiave devono essere disponibili durante rotazione della chiave. Non disattivare la vecchia versione della chiave finché non scompare nel campo activeKeyVersion.

API REST

Richiesta HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Nel corpo della richiesta, configura CMEK nel campo cmek_config.kms_key_name. Impostato sull'ID risorsa completo di una chiave Cloud KMS. È consentita solo una chiave nella stessa posizione di questo database.

Questo valore deve essere l'ID risorsa della chiave Cloud KMS nel formato diprojects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Per ulteriori dettagli sugli altri campi, consulta la pagina database create.

Richiesta e risposta di esempio:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}