Utilizzo delle chiavi di crittografia gestite dal cliente (CMEK)

Console

Per concedere un ruolo Cloud KMS al tuo service agent, procedi nel seguente modo. Puoi anche concedere l'autorizzazione a livello di chiave o portachiavi se vuoi una granularità inferiore.

1. Nella console Google Cloud vai alla pagina IAM.

   Vai alla pagina IAM

2. Fai clic su Aggiungi.

3. Inserisci l'ID in formato email per l'agente di servizio Firestore.

4. Seleziona il ruolo Cloud KMS CryptoKey Encrypter/Decrypter.

5. Fai clic su Salva.

gcloud

Concedi il ruolo cloudkms.cryptoKeyEncrypterDecrypter al tuo agente di servizio:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Sostituisci quanto segue:

• KMS_KEY con il nome che hai assegnato alla chiave
• KMS_KEYRING con il keyring KMS che contiene la chiave
• KMS_LOCATION con la regione che contiene le chiavi automatizzate
• SERVICE_AGENT_EMAIL con l'identificatore in formato email dell'agente di servizio a cui stai concedendo l'accesso
• KMS_PROJECT con il progetto che contiene la chiave

Il terminale dovrebbe visualizzare una risposta simile alla seguente:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Nella console Google Cloud , vai alla pagina Database.

   Vai alla pagina Database

2. Fai clic su Crea database.

3. Seleziona la modalità del database. Fai clic su Continua.

4. Nella pagina Configura il database, inserisci un ID database.

5. Seleziona una località.

6. Fai clic su Mostra opzioni di crittografia, quindi seleziona Chiave Cloud KMS.

7. Seleziona o inserisci il nome risorsa della chiave CMEK che vuoi utilizzare per il database.

8. L'elenco delle chiavi è limitato al progetto Google Cloud corrente e alla posizione del database selezionata. Per utilizzare una chiave di un altro progetto, fai clic su Cambia progetto o Inserisci chiave manualmente. Google Cloud

9. Se ti viene chiesto di concedere l'autorizzazione della chiave al account di servizio Firestore, fai clic su Concedi. Per creare un database CMEK, al account di servizio Firestore deve essere concesso il ruolo cloudkms.cryptoKeyEncrypterDecrypter.

10. Seleziona le regole di sicurezza per i client mobile e web.

11. Fai clic su Crea database.

Una volta creato il database, puoi verificare che sia abilitato per CMEK visualizzando i dettagli del database:

• Se il tuo database è protetto da CMEK, il campo Tipo di crittografia viene visualizzato come Gestita dal cliente e il campo Chiave di crittografia elenca il Cloud KMS corrispondente e la versione della chiave utilizzata per proteggere questo database.
• Se il database non è protetto da CMEK, il campo Tipo di crittografia viene visualizzato come Gestita da Google.

gcloud

Prima di creare un database abilitato a CMEK con Google Cloud CLI, installa l'ultima versione e autorizza gcloud CLI. Per maggiori informazioni, vedi Installare gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Sostituisci quanto segue:

• FIRESTORE_DATABASE_LOCATION con la località Firestore per il database
• DATABASE_ID con un ID per il database

• KMS_KEY_NAME con il nome che hai assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel seguente formato:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore

API REST

Richiesta HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

Nel corpo della richiesta, configura CMEK nel campo cmek_config.kms_key_name.

Impostato sull'ID risorsa completo di una chiave Cloud KMS. È consentita solo una chiave nella stessa posizione di questo database.

Questo valore deve essere l'ID risorsa della chiave Cloud KMS nel formato projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Per ulteriori informazioni sugli altri campi, consulta la pagina database create.

Esempio di richiesta:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Interfaccia a riga di comando di Firebase

Per creare un database abilitato per CMEK, utilizza il campo Nome chiave KMS. Se non specifichi il parametro --kms-key-name, Firestore crea un database non CMEK per impostazione predefinita.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• LOCATION con la posizione del tuo database
• KMS_PROJECT con il progetto che contiene la chiave CMEK
• KMS_LOCATION con la posizione che contiene la chiave CMEK e la chiave automatizzata
• KMS_KEYRING_ID con l'ID del tuo keyring CMEK
• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore

Verifica che il database Firestore sia protetto con la CLI Firebase:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Nel messaggio di risposta vengono visualizzate le seguenti informazioni su CMEK:

• Il campo Nome chiave KMS fornisce il nome completo della risorsa chiave utilizzato per criptare il database CMEK di Firestore.
• Il campo Versioni della chiave attive fornisce un elenco di tutte le versioni della chiave attualmente utilizzate da questo database CMEK. Durante la rotazione delle chiavi, puoi avere più versioni di chiavi attive.

Terraform

Per creare un database abilitato per CMEK, utilizza la risorsa google_firestore_database. Per ulteriori informazioni ed esempi, vedi google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

Sostituisci quanto segue:

• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore
• DATABASE_ID con un ID per il database
• FIRESTORE_DATABASE_LOCATION con la località Firestore per il database
• DATABASE_TYPE con FIRESTORE_NATIVE per la modalità Native o DATASTORE_MODE per la modalità Datastore.

• KMS_KEY_NAME con il nome che hai assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel formato:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Ripristinare un database protetto da CMEK alla crittografia CMEK

Per eseguire il ripristino con la crittografia CMEK, esegui il comando gcloud firestore databases restore con i flag facoltativi encryption-type e kms-key-name per configurare il tipo di crittografia per il database ripristinato. Se non specifichi il tipo di crittografia, il database ripristinato utilizzerà la stessa configurazione di crittografia del backup.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Sostituisci KMS_KEY_NAME con il nome che hai assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel seguente formato:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Ripristinare un database protetto da CMEK alla crittografia predefinita

Per eseguire il ripristino alla crittografia predefinita di Google (non CMEK), imposta il flag encryption-type nel seguente modo:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Ripristina un database protetto da CMEK con lo stesso tipo di crittografia del backup

Per eseguire il ripristino con lo stesso tipo di crittografia del backup, imposta il flag encryption-type nel seguente modo:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Interfaccia a riga di comando di Firebase

Ripristinare un database protetto da CMEK alla crittografia CMEK

Per il ripristino alla crittografia CMEK, utilizza i flag facoltativi encryption-type e kms-key-name. Se non specifichi il tipo di crittografia, il database ripristinato utilizzerà la stessa configurazione di crittografia del backup.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore
• FIRESTORE_LOCATION con la posizione del tuo database Firestore
• BACKUP_ID con l'ID del backup
• KMS_PROJECT con il progetto che contiene la chiave CMEK
• KMS_LOCATION con la posizione che contiene la chiave CMEK e la chiave automatizzata
• KMS_KEYRING_ID con l'ID del tuo keyring CMEK

Verifica che il database Firestore ripristinato sia criptato con CMEK:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Ripristinare un database protetto da CMEK alla crittografia predefinita

Per eseguire il ripristino alla crittografia predefinita di Google (non CMEK), imposta il flag encryption-type nel seguente modo:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore
• FIRESTORE_LOCATION con la posizione del tuo database Firestore
• BACKUP_ID con l'ID del backup

Ripristina un database protetto da CMEK con lo stesso tipo di crittografia del backup

Per eseguire il ripristino con lo stesso tipo di crittografia del backup, imposta il flag encryption-type nel seguente modo:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

Sostituisci quanto segue:

• DATABASE_ID con l'ID del tuo database
• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore
• FIRESTORE_LOCATION con la posizione del tuo database Firestore
• BACKUP_ID con l'ID del backup

gcloud

Puoi utilizzare il comando databases describe gcloud CLI per confermare la configurazione CMEK del database:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

Dovresti vedere le informazioni su CMEK nel campo cmekConfig della risposta in modo simile a quanto segue:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

La risposta include le seguenti informazioni:

• kmsKeyName: il nome completo della risorsa della chiave utilizzata per criptare il database protetto da CMEK.
• activeKeyVersion: un elenco di tutte le versioni della chiave attualmente in uso dal database protetto da CMEK. Durante la rotazione delle chiavi, puoi avere più versioni di chiavi attive. Sia la vecchia che la nuova versione della chiave devono essere disponibili durante la rotazione della chiave. Non disattivare la vecchia versione della chiave finché non scompare dal campo activeKeyVersion.

API REST

Richiesta HTTP:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

Nel corpo della richiesta, configura CMEK nel campo cmek_config.kms_key_name. Impostato sull'ID risorsa completo di una chiave Cloud KMS. È consentita solo una chiave nella stessa posizione di questo database.

Questo valore deve essere l'ID risorsa della chiave Cloud KMS nel formato projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Per ulteriori informazioni sugli altri campi, consulta la pagina database create.

Esempio di richiesta e risposta:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}