顧客管理の暗号鍵（CMEK）を使用する

Console

Cloud KMS のロールをサービス エージェントに付与するには、次の手順を行います。詳細レベルでの設定が必要な場合は、鍵レベルまたは鍵リングレベルで権限を付与することもできます。

1. Google Cloud コンソールの [IAM] ページに移動します。

   IAM ページに移動

2. [追加] をクリックします。

3. Datastore モードのサービス エージェントのメール ID を入力します。

4. [Cloud KMS 暗号鍵の暗号化 / 復号] ロールを選択します。

5. [保存] をクリックします。

gcloud

サービス エージェントに cloudkms.cryptoKeyEncrypterDecrypter ロールを付与します。

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

次のように置き換えます。

• KMS_KEY は、キーに割り当てた名前に置き換えます。
• KMS_KEYRING は、鍵を含む KMS キーリングに置き換えます。
• KMS_LOCATION: キーリングが含まれるリージョン
• SERVICE_AGENT_EMAIL は、アクセス権を付与するサービス エージェントのメール形式の ID に置き換えます。
• KMS_PROJECT: 鍵を含むプロジェクト

ターミナルに次のようなレスポンスが表示されます。

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

コンソール

1. Google Cloud コンソールで [データベース] ページに移動します。

   [データベース] ページに移動

2. [データベースを作成] をクリックします。

3. データベース モードを選択します。[続行] をクリックします。

4. [データベースを構成する] ページで、データベース ID を入力します。

5. ロケーションを選択します。

6. [暗号化オプションを表示する] をクリックし、[Cloud KMS 鍵] を選択します。

7. データベースに使用する CMEK 鍵のリソース名を選択または入力します。

8. 鍵のリストは、現在の Google Cloud プロジェクトと選択したデータベースの場所に限定されます。別の Google Cloud プロジェクトの鍵を使用するには、[プロジェクトを切り替え] または [鍵を手動で入力] をクリックします。

9. Datastore モードのサービス アカウントに鍵の権限を付与するよう求められたら、[付与] をクリックします。CMEK データベースを作成するには、Datastore モードのサービス アカウントに cloudkms.cryptoKeyEncrypterDecrypter ロールを付与する必要があります。

10. モバイル クライアントとウェブ クライアントのセキュリティ ルールを選択します。

11. [データベースを作成] をクリックします。

データベースが作成されたら、[データベースの詳細] を表示して、データベースが CMEK 対応であることを確認できます。

• データベースが CMEK で保護されている場合、[Encryption type] フィールドには [Customer-managed] と表示され、[Encryption key] フィールドには、このデータベースの保護に使用される対応する Cloud KMS と鍵のバージョンが一覧表示されます。
• データベースが CMEK で保護されていない場合、[暗号化の種類] フィールドに [Google 管理] と表示されます。

gcloud

Google Cloud CLI で CMEK 対応データベースを作成する前に、最新バージョンをインストールして gcloud CLI を承認します。詳細については、gcloud CLI をインストールするをご覧ください。

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

次のように置き換えます。

• FIRESTORE_DATABASE_LOCATION は、データベースの Datastore モードのロケーションに置き換えます。
• DATABASE_ID は、データベースの ID に置き換えます。

• KMS_KEY_NAME は、鍵に割り当てた名前に置き換えます。鍵の完全なリソース名を次の形式で使用します。

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT は、Datastore モード データベースに使用するプロジェクトに置き換えます。

REST API

HTTP リクエスト:

POST https://firestore.googleapis.com/v1/projects/{FIRESOTRE_PROJECT}/databases

リクエストの本文で cmek_config.kms_key_name フィールドに CMEK を構成します。

Cloud KMS 鍵の完全なリソース ID に設定します。このデータベースと同じロケーションにある鍵のみが使用できます。

この値は、projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} の形式で Cloud KMS 鍵のリソース ID にする必要があります。

その他のフィールドの詳細については、database create ページをご覧ください。

リクエストの例:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

CMEK 対応データベースを作成するには、[KMS Key Name] フィールドを使用します。--kms-key-name パラメータを指定しない場合、Datastore モードではデフォルトで CMEK 以外のデータベースが作成されます。

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

次のように置き換えます。

• DATABASE_ID はデータベースの ID に置き換えます。
• LOCATION はデータベースのロケーションに置き換えます。
• KMS_PROJECT は、CMEK 鍵を含むプロジェクトに置き換えます。
• KMS_LOCATION は、CMEK 鍵とキーリングを含むロケーションに置き換えます。
• KMS_KEYRING_ID は、CMEK キーリングの ID に置き換えます。
• FIRESTORE_PROJECT は、Datastore モード データベースに使用するプロジェクトに置き換えます。

Datastore モードのデータベースが Firebase CLI で保護されていることを確認します。

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

レスポンス メッセージに次の CMEK 情報が表示されます。

• [KMS Key Name] フィールドには、Datastore モードの CMEK データベースの暗号化に使用される鍵リソースの完全名を指定します。
• [アクティブな鍵バージョン] フィールドには、この CMEK データベースで現在使用されているすべての鍵バージョンのリストが表示されます。鍵のローテーション中、複数のアクティブな鍵バージョンを設定できます。

Terraform

CMEK 有効化データベースを作成するには、google_firestore_database リソースを使用します。詳細と例については、google_firestore_database をご覧ください。

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

次のように置き換えます。

• FIRESTORE_PROJECT は、Datastore モード データベースに使用するプロジェクトに置き換えます。
• DATABASE_ID は、データベースの ID に置き換えます。
• FIRESTORE_DATABASE_LOCATION は、データベースの Datastore モードのロケーションに置き換えます。
• DATABASE_TYPE は、ネイティブ モードの場合は FIRESTORE_NATIVE、Datastore モードの場合は DATASTORE_MODE に置き換えます。

• KMS_KEY_NAME は、鍵に割り当てた名前に置き換えます。鍵の完全なリソース名を次の形式で使用します。

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

CMEK で保護されたデータベースを CMEK 暗号化に復元する

CMEK 暗号化に復元するには、オプションの encryption-type フラグと kms-key-name フラグを指定して gcloud firestore databases restore コマンドを実行し、復元されたデータベースの暗号化タイプを構成します。暗号化タイプを指定しない場合、復元されたデータベースはバックアップと同じ暗号化構成を使用します。

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME は、鍵に割り当てた名前に置き換えます。鍵の完全なリソース名を次の形式で使用します。

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK で保護されたデータベースをデフォルトの暗号化に復元する

Google のデフォルトの暗号化（CMEK 以外）に戻すには、次のように encryption-type フラグを設定します。

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK で保護されたデータベースをバックアップと同じ暗号化タイプに復元する

バックアップと同じ暗号化タイプに復元するには、次のように encryption-type フラグを設定します。

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

CMEK で保護されたデータベースを CMEK 暗号化に復元する

CMEK 暗号化に復元するには、オプションの encryption-type フラグと kms-key-name フラグを使用します。暗号化タイプを指定しない場合、復元されたデータベースはバックアップと同じ暗号化構成を使用します。

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

次のように置き換えます。

• DATABASE_ID はデータベースの ID に置き換えます。
• FIRESTORE_PROJECT は、Datastore モード データベースに使用するプロジェクトに置き換えます。
• FIRESTORE_LOCATION は、Datastore モード データベースのロケーションに置き換えます。
• BACKUP_ID は、バックアップの ID に置き換えます。
• KMS_PROJECT は、CMEK 鍵を含むプロジェクトに置き換えます。
• KMS_LOCATION は、CMEK 鍵とキーリングを含むロケーションに置き換えます。
• KMS_KEYRING_ID は、CMEK キーリングの ID に置き換えます。

復元された Datastore モードのデータベースが CMEK で暗号化されていることを確認します。

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK で保護されたデータベースをデフォルトの暗号化に復元する

Google のデフォルトの暗号化（CMEK 以外）に戻すには、次のように encryption-type フラグを設定します。

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

次のように置き換えます。

• DATABASE_ID はデータベースの ID に置き換えます。
• FIRESTORE_PROJECT は、Datastore モード データベースに使用するプロジェクトに置き換えます。
• FIRESTORE_LOCATION は、Datastore モード データベースのロケーションに置き換えます。
• BACKUP_ID は、バックアップの ID に置き換えます。

CMEK で保護されたデータベースをバックアップと同じ暗号化タイプに復元する

バックアップと同じ暗号化タイプに復元するには、次のように encryption-type フラグを設定します。

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

次のように置き換えます。

• DATABASE_ID はデータベースの ID に置き換えます。
• FIRESTORE_PROJECT は、Datastore モード データベースに使用するプロジェクトに置き換えます。
• FIRESTORE_LOCATION は、Datastore モード データベースのロケーションに置き換えます。
• BACKUP_ID は、バックアップの ID に置き換えます。

gcloud

databases describe gcloud CLI コマンドを使用して、データベースの CMEK 構成を確認できます。

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

レスポンスの cmekConfig フィールドに CMEK の情報が次のように表示されます。

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

レスポンスには次の情報が含まれます。

• kmsKeyName: CMEK で保護されたデータベースの暗号化に使用される鍵の完全なリソース名。
• activeKeyVersion: CMEK で保護されたデータベースで現在使用中のすべての鍵バージョンのリスト。鍵のローテーション中、複数のアクティブな鍵バージョンを設定できます。鍵のローテーション中は、古い鍵バージョンと新しい鍵バージョンの両方が使用可能である必要があります。activeKeyVersion フィールドに古い鍵バージョンが表示されなくなるまで、古い鍵バージョンを無効にしないでください。

REST API

HTTP リクエスト:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

リクエストの本文で cmek_config.kms_key_name フィールドに CMEK を構成します。Cloud KMS 鍵の完全なリソース ID に設定します。このデータベースと同じロケーションにある鍵のみが使用できます。

この値は、projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID} の形式で Cloud KMS 鍵のリソース ID にする必要があります。

その他のフィールドの詳細については、database create ページをご覧ください。

リクエストとレスポンスの例

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}