Utilizzo delle chiavi di crittografia gestite dal cliente (CMEK)

Console

Per concedere un ruolo Cloud KMS al tuo service agent, procedi nel seguente modo. Puoi anche concedere l'autorizzazione a livello di chiave o portachiavi se vuoi una granularità inferiore.

1. Nella console Google Cloud vai alla pagina IAM.

   Vai alla pagina IAM

2. Fai clic su Aggiungi.

3. Inserisci l'ID in formato email per l'agente di servizio Firestore.

4. Seleziona il ruolo Cloud KMS CryptoKey Encrypter/Decrypter.

5. Fai clic su Salva.

gcloud

Concedi il ruolo cloudkms.cryptoKeyEncrypterDecrypter al tuo service agent:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

Sostituisci quanto segue:

• KMS_KEY con il nome che hai assegnato alla chiave
• KMS_KEYRING con le chiavi automatizzate KMS che contengono la chiave
• KMS_LOCATION con la regione che contiene le chiavi automatizzate
• SERVICE_AGENT_EMAIL con l'identificatore in formato email del service agent a cui stai concedendo l'accesso
• KMS_PROJECT con il progetto che contiene la chiave

Il terminale dovrebbe visualizzare una risposta simile alla seguente:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

Console

1. Nella console Google Cloud , vai alla pagina Database.

   Vai alla pagina Database

2. Fai clic su Crea database.

3. Seleziona la modalità del database. Fai clic su Continua.

4. Nella pagina Configura il database, inserisci un ID database.

5. Seleziona una località.

6. Fai clic su Mostra opzioni di crittografia, quindi seleziona Chiave Cloud KMS.

7. Seleziona o inserisci il nome risorsa della chiave CMEK che vuoi utilizzare per il database.

8. L'elenco delle chiavi è limitato al progetto Google Cloud corrente e alla posizione del database selezionata. Per utilizzare una chiave di un altro progetto Google Cloud , fai clic su Cambia progetto o Inserisci chiave manualmente.

9. Se ti viene chiesto di concedere l'autorizzazione della chiave al account di servizio Firestore, fai clic su Concedi. Per creare un database CMEK, al account di servizio Firestore deve essere concesso il ruolo cloudkms.cryptoKeyEncrypterDecrypter.

10. Seleziona le regole di sicurezza per i client mobile e web.

11. Fai clic su Crea database.

Una volta creato il database, puoi verificare che sia abilitato per CMEK visualizzando i dettagli del database:

• Se il tuo database è protetto da CMEK, il campo Tipo di crittografia viene visualizzato come Gestita dal cliente e il campo Chiave di crittografia elenca Cloud KMS e la versione della chiave utilizzata per proteggere questo database.
• Se il database non è protetto da CMEK, il campo Tipo di crittografia viene visualizzato come Gestita da Google.

gcloud

Prima di creare un database abilitato a CMEK con Google Cloud CLI, installa l'ultima versione e autorizza gcloud CLI. Per saperne di più, consulta Installa gcloud CLI.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

Sostituisci quanto segue:

• FIRESTORE_DATABASE_LOCATION con la località Firestore per il database
• DATABASE_ID con un ID per il database

• KMS_KEY_NAME con il nome che hai assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel seguente formato:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore

API REST

Richiesta HTTP:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

Nel corpo della richiesta, configura CMEK nel campo cmek_config.kms_key_name.

Impostato sull'ID risorsa completo di una chiave Cloud KMS. È consentita solo una chiave nella stessa posizione di questo database.

Questo valore deve essere l'ID risorsa della chiave Cloud KMS nel formato projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

Per ulteriori informazioni sugli altri campi, consulta la pagina database create.

Esempio di richiesta:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Interfaccia a riga di comando di Firebase

Per creare un database abilitato per CMEK, utilizza il campo Nome chiave KMS. Se non specifichi il parametro --kms-key-name, Firestore crea un database non CMEK per impostazione predefinita.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

Sostituisci quanto segue:

• DATABASE_ID: l'ID del tuo database
• LOCATION con la posizione del tuo database
• KMS_PROJECT con il progetto che contiene la chiave CMEK
• KMS_LOCATION con la posizione che contiene la chiave CMEK e le chiavi automatizzate
• KMS_KEYRING_ID con l'ID del tuo keyring CMEK
• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore

Verifica che il database Firestore sia protetto con l'interfaccia a riga di comando di Firebase:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

Nel messaggio di risposta vengono visualizzate le seguenti informazioni su CMEK:

• Il campo Nome chiave KMS fornisce il nome completo della risorsa chiave utilizzata per criptare il database Firestore CMEK.
• Il campo Versioni della chiave attive fornisce un elenco di tutte le versioni della chiave attualmente utilizzate da questo database CMEK. Durante la rotazione delle chiavi, puoi avere più versioni di chiavi attive.

Terraform

Per creare un database abilitato per CMEK, utilizza la risorsa google_firestore_database. Per ulteriori informazioni ed esempi, consulta google_firestore_database.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }
}

Sostituisci quanto segue:

• FIRESTORE_PROJECT con il progetto da utilizzare per il tuo database Firestore
• DATABASE_ID con un ID per il database
• FIRESTORE_DATABASE_LOCATION con la località Firestore per il database
• DATABASE_TYPE con FIRESTORE_NATIVE per la modalità Native o DATASTORE_MODE per la modalità Datastore.

• KMS_KEY_NAME con il nome che hai assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel formato:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

Ripristinare un database protetto da CMEK alla crittografia CMEK

Per eseguire il ripristino con la crittografia CMEK, esegui il comando gcloud firestore databases restore con i flag facoltativi encryption-type e kms-key-name per configurare il tipo di crittografia per il database ripristinato. Se non specifichi il tipo di crittografia, il database ripristinato utilizzerà la stessa configurazione di crittografia del backup.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

Sostituisci KMS_KEY_NAME con il nome che hai assegnato alla chiave. Utilizza il nome completo della risorsa per la chiave nel seguente formato:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

Ripristinare un database protetto da CMEK alla crittografia predefinita

Per eseguire il ripristino alla crittografia predefinita di Google (non CMEK), imposta il flag encryption-type nel seguente modo:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

Ripristinare un database protetto da CMEK con lo stesso tipo di crittografia del backup

Per eseguire il ripristino con lo stesso tipo di crittografia del backup, imposta il flag encryption-type nel seguente modo: