مفاتيح التشفير المُدارة من العميل (CMEK)

يتم تلقائيًا تشفير جميع البيانات غير النشطة في Cloud Firestore باستخدام تشفير Google التلقائي. يتولّى Cloud Firestore إدارة هذا التشفير نيابةً عنك بدون الحاجة إلى اتخاذ أي إجراء إضافي من جانبك.

إذا كانت لديك متطلبات امتثال أو متطلبات تنظيمية معيّنة تتعلّق بالمفاتيح التي تحمي بياناتك، يمكنك استخدام مفاتيح التشفير التي يديرها العميل (CMEK) في Cloud Firestore. بدلاً من أن تدير Google مفاتيح التشفير التي تحمي بياناتك، تتم حماية قاعدة بيانات Cloud Firestore باستخدام مفتاح تتحكّم فيه وتديره في خدمة Cloud Key Management Service ‏ (Cloud KMS).

توضّح هذه الصفحة مفاتيح التشفير التي يديرها العميل (CMEK) في Cloud Firestore. لمزيد من المعلومات حول مفاتيح التشفير التي يديرها العميل بشكل عام، بما في ذلك حالات تفعيلها وأسباب ذلك، يُرجى الاطّلاع على مستندات Cloud KMS التالية:

للحصول على تعليمات حول تنفيذ المهام ذات الصلة بمفاتيح التشفير التي يديرها العميل (CMEK) باستخدام Cloud Firestore، يُرجى الاطّلاع على استخدام مفاتيح التشفير التي يديرها العميل (CMEK).

الميزات

الأسعار

تحصّل خدمة Cloud KMS رسومًا مقابل تكلفة المفتاح وأي عمليات تشفير يتم إجراؤها باستخدام هذا المفتاح. لمزيد من المعلومات، يُرجى الاطّلاع على أسعار Cloud KMS.

يتم تحصيل تكاليف العمليات منك عندما يطلب Cloud Firestore من مفتاح Cloud KMS تنفيذ عملية تشفير أو فك تشفير. تحدث عملية التشفير/فك التشفير باستخدام المفتاح الذي يديره العميل كل 5 دقائق ولا تتم مزامنتها مع طلبات قاعدة البيانات. تكون التكاليف منخفضة بشكل عام، نظرًا للعدد المتوقّع لعمليات التشفير التي يتم إنشاؤها بواسطة Cloud Firestore. تُعدّ تكاليف "سجلّات تدقيق Cloud" نفقات إضافية، ولكن من المتوقّع أيضًا أن تكون منخفضة بشكل عام، نظرًا للعدد المتوقّع لعمليات التشفير.

ما مِن تكاليف إضافية في Cloud Firestore مقابل استخدام قاعدة بيانات محمية بمفاتيح CMEK، ويستمر تطبيق أسعار Cloud Firestore.

في حال إبطال مفتاحك لقاعدة بيانات، سيتم تحصيل تكلفة مساحة التخزين استنادًا إلى حجم آخر يوم كان فيه المفتاح متاحًا. ستستمر في تحمّل تكاليف التخزين بحجم قاعدة البيانات هذا إلى أن يتم حذف قاعدة البيانات أو يصبح المفتاح متاحًا مرة أخرى.

البيانات المحمية باستخدام مفاتيح التشفير المُدارة من العميل (CMEK)

عند إنشاء قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير مُدارة من العميل (CMEK)، يتم استخدام مفتاح Cloud KMS لحماية البيانات غير النشطة. ويشمل ذلك البيانات التي تخزّنها على قرص أو وحدة ذاكرة فلاش، بما في ذلك الفهارس والنسخ الاحتياطية. تنطبق بعض الاستثناءات. يتم تشفير أنواع البيانات التالية باستخدام التشفير التلقائي من Google وليس باستخدام مفتاح CMEK:

  • البيانات أثناء النقل أو في الذاكرة
  • البيانات الوصفية لقاعدة البيانات

كيفية التعامل مع حالة مفتاح غير متوفّر

لا يتم إصدار عمليات التشفير وفك التشفير في كل طلب بيانات. بدلاً من ذلك، يستطلع نظام Cloud Firestore خدمة Cloud KMS كل 5 دقائق للتحقّق مما إذا كان المفتاح لا يزال متاحًا، ثم ينفّذ عمليات التشفير وفك التشفير إذا كان المفتاح متاحًا.

إذا رصد النظام أنّ المفتاح غير متاح، ستعرض أي طلبات لاحقة لقاعدة بيانات "Cloud Firestore"، بما في ذلك عمليات القراءة والكتابة وطلبات البحث، خطأ "FAILED_PRECONDITION" مع رسالة "The customer-managed encryption key required by the requested resource is not accessible" في غضون 10 دقائق.

إذا كانت قاعدة البيانات تتضمّن سياسات مدة الصلاحية (TTL)، وإذا تم تجاوز أي أوقات انتهاء صلاحية أثناء عدم توفّر المفتاح، سيتم تأخير حذف البيانات حسب مدة الصلاحية إلى أن تتم إعادة تفعيل المفتاح. إذا كانت قاعدة البيانات تحتوي على عمليات طويلة قيد التنفيذ، ستتأثر على النحو التالي:

  • ستتوقف عمليات استيراد البيانات أو تصديرها عن إحراز أي تقدّم، وسيتم وضع علامة Failed عليها. لن تتم إعادة محاولة تنفيذ العمليات التي تعذّر إجراؤها في حال إعادة تفعيل المفتاح.
  • ستتوقف عمليات إنشاء الفهرس والعمليات التي تفعّل سياسات TTL الجديدة عن إحراز تقدّم. ستتم إعادة محاولة تنفيذ العمليات التي تم إيقافها في حال إعادة تفعيل المفتاح.

تُعتبر المفاتيح غير متاحة في أي حالة تمنع Cloud Firestore عمدًا من الوصول إلى المفتاح. ويشمل ذلك ما يلي:

في حال استعادة المفتاح، ترصد عملية الاستطلاع أنّ المفتاح متاح مرة أخرى. تتم إعادة تفعيل إمكانية الوصول، عادةً في غضون دقائق، ولكن قد يستغرق ذلك ما يصل إلى بضع ساعات في حالات نادرة. يُرجى العِلم أنّ بعض العمليات على مفاتيح Cloud KMS، مثل إيقاف مفتاح أو إتلافه، يمكن أن تستغرق مدة تصل إلى 3 ساعات لتطبيقها. لا يرصد Cloud Firestore أي تغييرات إلا بعد أن تسري في Cloud KMS.

تتضمّن عملية إعادة تفعيل المفتاح ما يلي، حسب الحالة:

  • إعادة تفعيل إصدار مفتاح تم إيقافه
  • استعادة نسخة مفتاح تم تدميرها قبل تدمير نسخة مفتاح بشكل نهائي، يتم تحديد موعد لتدميرها. يمكنك استعادة مفتاح فقط خلال الفترة التي يكون فيها إصدار المفتاح مجدولاً للتدمير. لا يمكنك استعادة مفتاح تم تدميره نهائيًا.
  • إعادة منح وكيل خدمة "Cloud Firestore" الإذن بالوصول إلى المفتاح

اعتبارات تدوير المفاتيح

عند تدوير مفتاح CMEK، يعيد Cloud Firestore تشفير قاعدة البيانات باستخدام أحدث إصدار أساسي من مفتاح CMEK. أثناء عملية إعادة التشفير، يجب إبقاء كل من إصدار المفتاح القديم والجديد متاحَين. بعد انتهاء عملية إعادة التشفير، لن يؤدي إيقاف الإصدارات القديمة من مفتاح CMEK أو حذفها إلى إيقاف إمكانية الوصول إلى قاعدة البيانات لأنّها مشفَّرة باستخدام إصدار المفتاح الأساسي الجديد.

يمكنك أيضًا الاطّلاع على نُسخ المفاتيح التي يتم استخدامها لحماية قاعدة بيانات. لمزيد من المعلومات، يُرجى الاطّلاع على عرض المفتاح المستخدَم.

الاعتبارات الأساسية للمفاتيح الخارجية

عند استخدام مفتاح Cloud EKM، لا تملك Google أي تحكّم في مدى توفّر مفتاحك المُدار خارجيًا في نظام شريك إدارة المفاتيح الخارجية.

إذا لم يكن المفتاح المُدار خارجيًا متاحًا، سيواصل Cloud Firestore دعم عمليات قاعدة البيانات الكاملة على أساس بذل أقصى جهد لمدة تصل إلى ساعة واحدة.

بعد ساعة، إذا ظلّ "Cloud Firestore" غير قادر على الاتصال بخدمة Cloud KMS، يبدأ "Cloud Firestore" في إيقاف قاعدة البيانات كإجراء وقائي. ستتعذّر الطلبات المرسَلة إلى قاعدة البيانات مع ظهور الخطأ FAILED_PRECONDITION الذي يتضمّن تفاصيل إضافية.

يمكنك الاطّلاع على مستندات Cloud External Key Manager لمزيد من المعلومات حول استخدام المفاتيح الخارجية.

الاحتفاظ بنسخة احتياطية والاستعادة

تستخدم النسخة الاحتياطية آلية التشفير نفسها التي تستخدمها قاعدة البيانات التي أنشأتها منها. عندما تنشئ قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير تديرها العميل نسخة احتياطية، يتم تشفير النسخة الاحتياطية باستخدام إصدار المفتاح الأساسي المستخدَم في وقت إنشاء النسخة الاحتياطية.

ينشئ Cloud Firestore النسخة الاحتياطية الأولى من قاعدة بيانات مفتاح التشفير المُدار من العميل بعد مرور 24 ساعة من لحظة تفعيل جداول الاحتفاظ بنسخة احتياطية.

لمزيد من المعلومات حول النُسخ الاحتياطية من "Cloud Firestore"، يُرجى الاطّلاع على الاحتفاظ بنسخة احتياطية من البيانات واستعادتها.

تستخدم قاعدة البيانات التي تمت استعادتها من نسخة احتياطية آلية التشفير نفسها التي تستخدمها النسخة الاحتياطية تلقائيًا. عند استعادة قاعدة بيانات، يمكنك تحديد نوع تشفير مختلف بإحدى الطرق التالية:

  • استعادة قاعدة بيانات CMEK باستخدام مفتاح محدّد حديثًا
  • الاستعادة إلى قاعدة بيانات لا تستخدم مفاتيح CMEK وتستخدم تشفير Google التلقائي
  • استعادة البيانات إلى قاعدة بيانات تستخدم التشفير نفسه المستخدَم في النسخة الاحتياطية

لمزيد من المعلومات حول استعادة قاعدة بيانات Cloud Firestore من نسخة احتياطية، يُرجى الاطّلاع على استعادة البيانات من نسخة احتياطية لقاعدة بيانات. لمزيد من المعلومات حول استعادة قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير يديرها العميل من نسخة احتياطية، يُرجى الاطّلاع على استعادة قاعدة بيانات محمية بمفاتيح تشفير يديرها العميل.

استنساخ

بشكل تلقائي، تستخدم قاعدة البيانات المستنسخة من قاعدة بيانات أخرى آلية التشفير نفسها التي تستخدمها قاعدة البيانات المصدر. عند استنساخ قاعدة بيانات، يمكنك تحديد نوع تشفير مختلف بإحدى الطرق التالية:

  • استنسِخ قاعدة البيانات إلى قاعدة بيانات CMEK باستخدام مفتاح محدّد حديثًا.
  • الاستنساخ إلى قاعدة بيانات لا تستخدم مفاتيح تشفير تديرها العميل وتستخدم تشفير Google التلقائي.
  • (تلقائي) الاستنساخ إلى قاعدة بيانات تستخدم التشفير نفسه المستخدَم في قاعدة البيانات المصدر

لمزيد من المعلومات حول استنساخ قاعدة بيانات Cloud Firestore، يُرجى الاطّلاع على مقالة استنساخ قاعدة بيانات. لمزيد من المعلومات حول استنساخ قاعدة بيانات Cloud Firestore محمية بمفاتيح تشفير يديرها العميل، يُرجى الاطّلاع على استنساخ قاعدة بيانات محمية بمفاتيح تشفير يديرها العميل.

تتبُّع المفاتيح

يمكنك استخدام ميزة تتبُّع المفاتيح لعرض الموارد، مثل قواعد بيانات Cloud Firestore، التي يحميها المفتاح. لمزيد من المعلومات حول تتبُّع المفاتيح، يُرجى الاطّلاع على عرض استخدام المفاتيح.

مفاتيح التشفير المُدارة من العميل ومدى توفّر المفاتيح

عندما تكون المفاتيح غير متاحة أو غير مفعَّلة، يُرجى الانتباه إلى السلوكيات التالية التي يمكن أن تحدث في قواعد البيانات التي تم تفعيل ميزة "مفاتيح التشفير التي يملكها العميل" فيها:

  • يمكنك تغيير إعدادات Cloud Firestore"الاسترداد في نقطة زمنية معيّنة" (PITR) في قاعدة بيانات تم تفعيل ميزة "مفتاح التشفير الذي يديره العميل" (CMEK) فيها حتى إذا لم يكن المفتاح متاحًا، لأنّ إعدادات PITR هي بيانات وصفية لقاعدة البيانات، ولا يتم تشفيرها باستخدام CMEK.
  • يمكنك حذف قاعدة بيانات CMEK تحتوي على مفاتيح غير متاحة.
  • عند إنشاء قاعدة بيانات تم تفعيل ميزة CMEK فيها، لا تظهر المفاتيح غير المفعَّلة في قائمة المفاتيح المتاحة في Google Cloud Console. إذا أدخلت مفتاحًا غير مفعَّل يدويًا، ستتعذّر عملية إنشاء قاعدة البيانات وسيظهر لك الخطأ FAILED_PRECONDITION 400.

القيود

  • لا يمكنك تغيير مفتاح لقاعدة بيانات محمية بمفتاح CMEK. يمكنك تدوير المفاتيح وتفعيلها وإيقافها.
  • تتيح قواعد البيانات المحمية بمفاتيح CMEK استخدام Key Visualizer لبيانات الكيانات والمستندات فقط، وليس لبيانات الفهرس.
  • لا يمكنك تفعيل ميزة "مفاتيح التشفير التي يديرها العميل" في قواعد البيانات الحالية. يمكنك تفعيل مفتاح التشفير المُدار من العميل (CMEK) على قواعد البيانات الجديدة فقط، ويجب تفعيله عند إنشاء قاعدة البيانات. لنقل البيانات في قاعدة بيانات حالية غير محمية بمفتاح تشفير يديره العميل إلى قاعدة بيانات محمية بمفتاح تشفير يديره العميل، عليك تصدير بياناتك ثم استيرادها إلى قاعدة بيانات جديدة محمية بمفتاح تشفير يديره العميل. يمكنك أيضًا استعادة البيانات أو استنساخها من قاعدة بيانات لا تستخدم مفاتيح CMEK إلى قاعدة بيانات تستخدم هذه المفاتيح.
  • يتيح Cloud Firestore استخدام عدد محدود من قواعد البيانات المحمية بمفاتيح التشفير المُدارة من العميل (CMEK).
  • لا تتوفّر حماية CMEK مع دمج Cloud Functions (الجيل الأول). إذا أردت الحصول على حماية CMEK، استخدِم Cloud Run وظائف Firestore Triggers (الجيل الثاني).

كيف يمكن أن تخرج البيانات من قواعد البيانات المحمية بمفاتيح CMEK؟

الخطوات التالية