सुरक्षित करने वाली ऐसी कुंजियों का इस्तेमाल करना जिन्हें ग्राहक मैनेज करता है (सीएमईके)

कंसोल

अपने सर्विस एजेंट को Cloud KMS की भूमिका असाइन करने के लिए, यह तरीका अपनाएं. अगर आपको कम ग्रेन्यूलरिटी चाहिए, तो बटन या की-रिंग के लेवल पर भी अनुमति दी जा सकती है.

1. Google Cloud Console में, IAM पेज पर जाएं.

   IAM पेज पर जाएं

2. जोड़ें पर क्लिक करें.

3. अपने Cloud Firestore सेवा एजेंट के लिए, ईमेल के फ़ॉर्मैट में आईडी डालें.

4. Cloud KMS CryptoKey Encrypter/Decrypter भूमिका चुनें.

5. सेव करें पर क्लिक करें.

gcloud

अपने सर्विस एजेंट को cloudkms.cryptoKeyEncrypterDecrypter की भूमिका असाइन करें:

gcloud kms keys add-iam-policy-binding KMS_KEY \
--keyring KMS_KEYRING\
--location KMS_LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project KMS_PROJECT

इनकी जगह ये डालें:

• KMS_KEY, उस नाम के साथ जिसे आपने कुंजी को असाइन किया है
• KMS_KEYRING केएमएस की उस की-रिंग के साथ जिसमें कुंजी मौजूद है
• KMS_LOCATION की-रिंग वाले क्षेत्र के साथ
• SERVICE_AGENT_EMAIL में, उस सर्विस एजेंट के लिए ईमेल फ़ॉर्मैट वाला आइडेंटिफ़ायर शामिल करें जिसे आपको ऐक्सेस देना है
• KMS_PROJECT के साथ उस प्रोजेक्ट का नाम जिसमें कुंजी मौजूद है

टर्मिनल पर, कुछ इस तरह का जवाब दिखना चाहिए:

Updated IAM policy for key KMS_KEY.
bindings:
- members:
- serviceAccount:
service-{project-number}@gcp-sa-firestore.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter

कंसोल

1. Google Cloud Console में, डेटाबेस पेज पर जाएं.

   डेटाबेस पेज पर जाएं

2. डेटाबेस बनाएं पर क्लिक करें.

3. डेटाबेस मोड चुनें. जारी रखें पर क्लिक करें.

4. अपने डेटाबेस को कॉन्फ़िगर करें पेज पर, डेटाबेस आईडी डालें.

5. कोई जगह चुनें.

6. एन्क्रिप्शन के विकल्प दिखाएं पर क्लिक करें. इसके बाद, Cloud KMS कुंजी को चुनें.

7. उस सीएमईके की के लिए संसाधन का नाम चुनें या डालें जिसका इस्तेमाल आपको डेटाबेस के लिए करना है.

8. कुंजियों की सूची, सिर्फ़ मौजूदा Google Cloud प्रोजेक्ट और आपके चुने गए डेटाबेस की जगह के हिसाब से होती है. किसी दूसरे Google Cloud प्रोजेक्ट की कुंजी का इस्तेमाल करने के लिए, प्रोजेक्ट स्विच करें या कुंजी को मैन्युअल तरीके से डालें पर क्लिक करें.

9. अगर आपको Cloud Firestore सेवा खाते को कुंजी की अनुमति देने के लिए कहा जाता है, तो अनुमति दें पर क्लिक करें. सीएमईके डेटाबेस बनाने के लिए, आपके Cloud Firestore सेवा खाते को cloudkms.cryptoKeyEncrypterDecrypter भूमिका दी जानी चाहिए.

10. मोबाइल और वेब क्लाइंट के लिए सुरक्षा नियम चुनें.

11. डेटाबेस बनाएं पर क्लिक करें.

डेटाबेस बन जाने के बाद, यह पुष्टि की जा सकती है कि डेटाबेस में सीएमईके की सुविधा चालू है या नहीं. इसके लिए, डेटाबेस की जानकारी देखें:

• अगर आपका डेटाबेस, सीएमईके से सुरक्षित है, तो एन्क्रिप्शन का टाइप फ़ील्ड में ग्राहक की ओर से मैनेज किया गया दिखेगा. साथ ही, एन्क्रिप्शन की फ़ील्ड में, Cloud KMS और इस डेटाबेस को सुरक्षित रखने के लिए इस्तेमाल किया गया कुंजी वर्शन दिखेगा.
• अगर आपका डेटाबेस CMEK से सुरक्षित नहीं है, तो सुरक्षा का टाइप फ़ील्ड में Google मैनेज करता है दिखता है.

gcloud

Google Cloud CLI की मदद से, सीएमईके की सुविधा वाला डेटाबेस बनाने से पहले, नया वर्शन इंस्टॉल करें और Google Cloud CLI को अनुमति दें.gcloud CLI ज़्यादा जानकारी के लिए, gcloud सीएलआई इंस्टॉल करना लेख पढ़ें.

gcloud firestore databases create --location=FIRESTORE_DATABASE_LOCATION \
      --database=DATABASE_ID \
      --kms-key-name=KMS_KEY_NAME \
      --project=FIRESTORE_PROJECT

इनकी जगह ये डालें:

• FIRESTORE_DATABASE_LOCATION, जिसमें डेटाबेस के लिए Cloud Firestore जगह की जानकारी दी गई है
• DATABASE_ID में डेटाबेस के लिए आईडी

• KMS_KEY_NAME के साथ, कुंजी को असाइन किया गया नाम. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

• FIRESTORE_PROJECT को प्रोजेक्ट के साथ लिंक करें, ताकि इसका इस्तेमाल Cloud Firestore डेटाबेस के लिए किया जा सके

REST API

एचटीटीपी अनुरोध:

POST https://firestore.googleapis.com/v1/projects/{FIRESTORE_PROJECT}/databases

अनुरोध के मुख्य भाग में, cmek_config.kms_key_name फ़ील्ड में सीएमईके कॉन्फ़िगर करें.

इसे Cloud KMS की कुंजी के पूरे संसाधन आईडी पर सेट किया जाता है. इस डेटाबेस के लिए, उसी जगह की कुंजी का इस्तेमाल किया जा सकता है जहां यह डेटाबेस मौजूद है.

यह वैल्यू, Cloud KMS की कुंजी के संसाधन का आईडी होना चाहिए. इसका फ़ॉर्मैट यह होना चाहिए: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

अन्य फ़ील्ड के बारे में ज़्यादा जानने के लिए, database create पेज देखें.

अनुरोध का उदाहरण:

curl -X POST 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases?databaseId={DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json" \
-d '{
  "type":"FIRESTORE_NATIVE",
  "locationId":"{FIRESTORE_DATABASE_LOCATION}",
  "cmekConfig": {
    "kmsKeyName":"projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID"
  }
}'

Firebase CLI

सीएमईके की सुविधा वाला डेटाबेस बनाने के लिए, केएमएस की का नाम फ़ील्ड का इस्तेमाल करें. अगर आपने --kms-key-name पैरामीटर की वैल्यू नहीं दी है, तो Cloud Firestore डिफ़ॉल्ट रूप से नॉन-सीएमईके डेटाबेस बनाता है.

firebase firestore:databases:create DATABASE_ID
--location LOCATION
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID में अपने डेटाबेस का आईडी
• LOCATION में आपके डेटाबेस की जगह की जानकारी
• KMS_PROJECT उस प्रोजेक्ट के साथ जिसमें आपकी CMEK कुंजी मौजूद है
• KMS_LOCATION में, सीएमईके की और की-रिंग की लोकेशन
• KMS_KEYRING_ID को अपनी सीएमईके कुंजी रिंग के आईडी से बदलें
• FIRESTORE_PROJECT को प्रोजेक्ट के साथ लिंक करें, ताकि इसका इस्तेमाल Cloud Firestore डेटाबेस के लिए किया जा सके

पुष्टि करें कि आपका Cloud Firestore डेटाबेस, Firebase CLI से सुरक्षित है:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

जवाब के मैसेज में, सीएमईके के बारे में यह जानकारी दिखती है:

• केएमएस की का नाम फ़ील्ड में, उस पूरे की रिसॉर्स का नाम दिखता है जिसका इस्तेमाल, आपके Cloud Firestore सीएमईके डेटाबेस को एन्क्रिप्ट यानी सुरक्षित करने के लिए किया जाता है.
• चालू 'की' के वर्शन फ़ील्ड में, उन सभी 'की' के वर्शन की सूची होती है जिनका इस्तेमाल फ़िलहाल यह सीएमईके डेटाबेस कर रहा है. की रोटेशन के दौरान, आपके पास चालू किए गए एक से ज़्यादा की वर्शन हो सकते हैं.

Terraform

सीएमईके की सुविधा वाला डेटाबेस बनाने के लिए, google_firestore_database रिसॉर्स का इस्तेमाल करें. ज़्यादा जानकारी और उदाहरणों के लिए, google_firestore_database देखें.

resource "google_firestore_database" "database" {
  project     = "FIRESTORE_PROJECT"
  name        = "DATABASE_ID"
  location_id = "FIRESTORE_DATABASE_LOCATION"
  type        = "DATABASE_TYPE"

  cmek_config {
    kms_key_name = "KMS_KEY_NAME"
  }

}

इनकी जगह ये डालें:

• FIRESTORE_PROJECT को प्रोजेक्ट के साथ लिंक करें, ताकि इसका इस्तेमाल Cloud Firestore डेटाबेस के लिए किया जा सके
• DATABASE_ID में डेटाबेस के लिए आईडी
• FIRESTORE_DATABASE_LOCATION, जिसमें डेटाबेस के लिए Cloud Firestore जगह की जानकारी दी गई है
• DATABASE_TYPE के साथ, नेटिव मोड के लिए FIRESTORE_NATIVE या डेटास्टोर मोड के लिए DATASTORE_MODE का इस्तेमाल करें.

• KMS_KEY_NAME के साथ, कुंजी को असाइन किया गया नाम. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

  projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

gcloud

सीएमईके की मदद से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन पर वापस लाना

CMEK एन्क्रिप्शन को वापस लाने के लिए, gcloud firestore databases restore कमांड चलाएं. साथ ही, encryption-type और kms-key-name फ़्लैग का इस्तेमाल करके, वापस लाए गए डेटाबेस के लिए एन्क्रिप्शन टाइप कॉन्फ़िगर करें. अगर आपने एन्क्रिप्शन का टाइप नहीं बताया है, तो वापस लाए गए डेटाबेस में एन्क्रिप्शन के उसी कॉन्फ़िगरेशन का इस्तेमाल किया जाएगा जो बैकअप में इस्तेमाल किया गया था.

  gcloud firestore databases restore
  --encryption-type=customer-managed-encryption
  --kms-key-name=KMS_KEY_NAME

KMS_KEY_NAME की जगह, वह नाम डालें जो आपने मुख्य इवेंट को असाइन किया है. कुंजी के लिए, संसाधन का पूरा नाम इस फ़ॉर्मैट में इस्तेमाल करें:

projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID

CMEK से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर वापस जाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore
  --encryption-type=google-default-encryption

CMEK की मदद से सुरक्षित किए गए डेटाबेस को उसी तरह के एन्क्रिप्शन में वापस लाना जैसा बैकअप में था

बैकअप के लिए इस्तेमाल किए गए एन्क्रिप्शन टाइप को वापस लाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

  gcloud firestore databases restore --encryption-type=use-source-encryption

Firebase CLI

सीएमईके की मदद से सुरक्षित किए गए डेटाबेस को सीएमईके एन्क्रिप्शन पर वापस लाना

CMEK एन्क्रिप्शन को पहले जैसा करने के लिए, encryption-type और kms-key-name फ़्लैग का इस्तेमाल करें. अगर आपने एन्क्रिप्शन का टाइप नहीं बताया है, तो वापस लाए गए डेटाबेस में, बैकअप के एन्क्रिप्शन कॉन्फ़िगरेशन का इस्तेमाल किया जाएगा.

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type CUSTOMER_MANAGED_ENCRYPTION \
--kms-key-name projects/KMS_PROJECT/locations/KMS_LOCATION/keyRings/KMS_KEYRING_ID/cryptoKeys/KMS_KEY_ID \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID में अपने डेटाबेस का आईडी
• FIRESTORE_PROJECT को प्रोजेक्ट के साथ लिंक करें, ताकि इसका इस्तेमाल Cloud Firestore डेटाबेस के लिए किया जा सके
• FIRESTORE_LOCATION को आपके Cloud Firestore डेटाबेस की जगह की जानकारी के साथ
• BACKUP_ID अपने बैकअप के आईडी के साथ
• KMS_PROJECT उस प्रोजेक्ट के साथ जिसमें आपकी CMEK कुंजी मौजूद है
• KMS_LOCATION में, सीएमईके की और की-रिंग की लोकेशन
• KMS_KEYRING_ID को अपनी सीएमईके कुंजी रिंग के आईडी से बदलें

पुष्टि करें कि आपने जिस Cloud Firestore डेटाबेस को वापस लाया है वह सीएमईके से एन्क्रिप्ट (सुरक्षित) किया गया है:

firebase firestore:databases:get DATABASE_ID --project FIRESTORE_PROJECT

CMEK से सुरक्षित किए गए डेटाबेस को डिफ़ॉल्ट एन्क्रिप्शन पर वापस लाना

Google के डिफ़ॉल्ट एन्क्रिप्शन (नॉन-सीएमईके) पर वापस जाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_ID \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type GOOGLE_DEFAULT_ENCRYPTION \
--project FIRESTORE_PROJECT

इनकी जगह ये डालें:

• DATABASE_ID में अपने डेटाबेस का आईडी
• FIRESTORE_PROJECT को प्रोजेक्ट के साथ लिंक करें, ताकि इसका इस्तेमाल Cloud Firestore डेटाबेस के लिए किया जा सके
• FIRESTORE_LOCATION को आपके Cloud Firestore डेटाबेस की जगह की जानकारी के साथ
• BACKUP_ID अपने बैकअप के आईडी के साथ

CMEK की मदद से सुरक्षित किए गए डेटाबेस को उसी तरह के एन्क्रिप्शन में वापस लाना जैसा बैकअप में था

बैकअप के लिए इस्तेमाल किए गए एन्क्रिप्शन टाइप को वापस लाने के लिए, encryption-type फ़्लैग को इस तरह सेट करें:

firebase firestore:databases:restore \
--database DATABASE_IDD \
--backup 'projects/FIRESTORE_PROJECT/locations/FIRESTORE_LOCATION/backups/BACKUP_ID' \
--encryption-type USE_SOURCE_ENCRYPTION

इनकी जगह ये डालें:

• DATABASE_ID में अपने डेटाबेस का आईडी
• FIRESTORE_PROJECT को प्रोजेक्ट के साथ लिंक करें, ताकि इसका इस्तेमाल Cloud Firestore डेटाबेस के लिए किया जा सके
• FIRESTORE_LOCATION को आपके Cloud Firestore डेटाबेस की जगह की जानकारी के साथ
• BACKUP_ID अपने बैकअप के आईडी के साथ

gcloud

डेटाबेस के सीएमईके कॉन्फ़िगरेशन की पुष्टि करने के लिए, databases describe gcloud CLI कमांड का इस्तेमाल किया जा सकता है:

gcloud firestore databases describe --database=DATABASE_ID --project=FIRESTORE_PROJECT

आपको जवाब में cmekConfig फ़ील्ड में सीएमईके की जानकारी दिखनी चाहिए. यह जानकारी इस तरह की होगी:

cmekConfig:
    activeKeyVersion:
    - projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
    kmsKeyName: projects/PROJECT_ID/locations/us/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME
  locationId: nam5
  name: projects/PROJECT_ID/databases/DATABASE_ID

जवाब में यह जानकारी शामिल होती है:

• kmsKeyName: उस कुंजी का पूरा नाम जिसका इस्तेमाल, सीएमईके से सुरक्षित किए गए डेटाबेस को एन्क्रिप्ट (सुरक्षित) करने के लिए किया जाता है.
• activeKeyVersion: सीएमईके से सुरक्षित किए गए डेटाबेस में, फ़िलहाल इस्तेमाल किए जा रहे सभी कुंजी वर्शन की सूची. की रोटेशन के दौरान, आपके पास चालू किए गए एक से ज़्यादा की वर्शन हो सकते हैं. की रोटेशन के दौरान, पुराने और नए, दोनों वर्शन उपलब्ध होने चाहिए. जब तक activeKeyVersion फ़ील्ड में पुराना वर्शन नहीं दिखता, तब तक उसे बंद न करें.

REST API

एचटीटीपी अनुरोध:

GET https://firestore.googleapis.com/v1/{name=projects/FIRESTORE_PROJECT/databases/DATABASE_ID}

अनुरोध के मुख्य भाग में, cmek_config.kms_key_name फ़ील्ड में सीएमईके कॉन्फ़िगर करें. इसे Cloud KMS की कुंजी के पूरे संसाधन आईडी पर सेट किया जाता है. इस डेटाबेस के लिए, उसी जगह की कुंजी का इस्तेमाल किया जा सकता है जहां यह डेटाबेस मौजूद है.

यह वैल्यू, Cloud KMS की कुंजी के संसाधन का आईडी होना चाहिए. इसका फ़ॉर्मैट यह होना चाहिए: projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}

अन्य फ़ील्ड के बारे में ज़्यादा जानने के लिए, database create पेज देखें.

अनुरोध और जवाब का उदाहरण:

curl 'https://firestore.googleapis.com/v1/projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-type: application/json"

—----------------------------------------- Response —--------------------------------------------
{
  "name": "projects/FIRESTORE_PROJECT/databases/{DATABASE_ID}",
  "locationId": "{FIRESTORE_DATABASE_LOCATION}",
  "type": "FIRESTORE_NATIVE",
  "cmekConfig": {
    "kmsKeyName": "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}",
    "activeKeyVersion": [
      "projects/{KMS_PROJECT}/locations/{KMS_LOCATION}/keyRings/{KMS_KEYRING_ID}/cryptoKeys/{KMS_KEY_ID}/cryptoKeyVersions/1"
    ]
  },
  ……
}