מפתחות הצפנה בניהול הלקוח (CMEK)

כברירת מחדל, כל הנתונים במצב מנוחה ב-Cloud Firestore עם תאימות ל-MongoDB מוצפנים באמצעות ההצפנה שמוגדרת כברירת מחדל ב-Google. ‫Cloud Firestore עם תאימות ל-MongoDB מטפל בהצפנה הזו ומנהל אותה בשבילכם, בלי שתצטרכו לבצע פעולות נוספות.

אם יש לכם דרישות ספציפיות בנושא תאימות או רגולציה שקשורות למפתחות שמגנים על הנתונים, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) עבור Cloud Firestore עם תאימות ל-MongoDB. במקום ש-Google תנהל את מפתחות ההצפנה שמגנים על הנתונים שלכם, מסד הנתונים של Cloud Firestore עם תאימות ל-MongoDB מוגן באמצעות מפתח שאתם שולטים בו ומנהלים אותו ב-Cloud Key Management Service ‏ (Cloud KMS).

בדף הזה מתואר CMEK ל-Cloud Firestore עם תאימות ל-MongoDB. מידע נוסף על CMEK באופן כללי, כולל מתי ולמה כדאי להפעיל אותו, מופיע במסמכי התיעוד הבאים של Cloud KMS:

הוראות לביצוע משימות שקשורות ל-CMEK באמצעות Cloud Firestore עם תאימות ל-MongoDB מופיעות במאמר שימוש ב-CMEK.

תכונות

  • שליטה בנתונים: בעזרת CMEK אפשר לנהל את מפתח ה-KMS. אתם יכולים לבצע רוטציה של המפתח שמשמש להצפנת הנתונים במצב מנוחה במסד הנתונים של Cloud Firestore עם תאימות ל-MongoDB, להשבית אותו ולהשמיד אותו.
  • ביצועים: ל-CMEK אין השפעה על Cloud Firestore SLA.
  • יכולת ביקורת: אם מפעילים יומני ביקורת ב-Cloud KMS, כל הפעולות שמתבצעות במפתח מתועדות וניתנות לצפייה ב-Cloud Logging.
  • אילוצים על מדיניות הארגון: אתם יכולים להשתמש באילוצים על מדיניות הארגון בנושא CMEK כדי לציין דרישות תאימות להצפנה עבור מסדי נתונים של Cloud Firestore עם תאימות ל-MongoDB בארגון שלכם.

תמחור

ב-Cloud KMS יש חיוב על עלות המפתח ועל כל הפעולות הקריפטוגרפיות שמבוצעות באמצעות המפתח הזה. מידע נוסף מופיע במאמר בנושא תמחור של Cloud KMS.

תחויבו בעלויות הפעולה כש-Cloud Firestore עם תאימות ל-MongoDB יבקש ממפתח Cloud KMS לבצע פעולת הצפנה או פענוח. פעולת ההצפנה או הפענוח באמצעות מפתח בניהול הלקוח מתרחשת כל 5 דקות ולא מסונכרנת עם בקשות למסד הנתונים. העלויות בדרך כלל נמוכות, בהתחשב במספר הצפוי של פעולות קריפטוגרפיות שנוצרות על ידי Cloud Firestore עם תאימות ל-MongoDB. העלויות של יומני הביקורת של Cloud הן הוצאה נוספת, אבל בדרך כלל הן נמוכות, בהתחשב במספר הצפוי של פעולות קריפטוגרפיות.

אין עלויות נוספות על שימוש ב-Cloud Firestore עם תאימות ל-MongoDB עבור מסד נתונים שמוגן באמצעות CMEK, והתמחור של Cloud Firestore עם תאימות ל-MongoDB ממשיך לחול.

אם מבטלים את המפתח למסד נתונים, עלות האחסון תחויב על סמך הגודל של היום האחרון שבו המפתח היה זמין. תמשיכו לשלם על אחסון לפי גודל מסד הנתונים עד שהוא יימחק או עד שהמפתח יהיה זמין שוב.

מה מוגן באמצעות CMEK

כשיוצרים מסד נתונים ב-Cloud Firestore עם תאימות ל-MongoDB שמוגן באמצעות CMEK, המפתח של Cloud KMS משמש להגנה על הנתונים באחסון. זה כולל נתונים שמאוחסנים בדיסק או בכונן הבזק, כולל אינדקסים וגיבויים. יש כמה חריגים. סוגי הנתונים הבאים מוצפנים באמצעות הצפנת ברירת המחדל של Google ולא באמצעות מפתח CMEK:

  • נתונים במעבר או בזיכרון
  • מטא-נתונים של מסד נתונים

איך המערכת מטפלת במצב של מפתח לא זמין

פעולות הצפנה ופענוח לא מתבצעות בכל בקשת נתונים. במקום זאת, מערכת Cloud Firestore עם תאימות ל-MongoDB מבצעת סקר ב-Cloud KMS כל 5 דקות כדי לבדוק אם המפתח עדיין זמין, ואז מבצעת פעולות הצפנה ופענוח אם המפתח זמין.

אם המערכת מזהה שהמפתח לא זמין, כל הקריאות הבאות למסד הנתונים של Cloud Firestore עם תאימות ל-MongoDB, כולל קריאות, כתיבות ושאילתות, יחזירו שגיאה INVALID_ARGUMENT עם ההודעה הבאה:

The customer-managed encryption key required by the requested
resource is not accessible.

אם במסד הנתונים יש כללי מדיניות של זמן חיים (TTL), ואם חלף הזמן שמוגדר לנתונים בזמן שהמפתח לא זמין, מחיקת הנתונים לפי TTL תתעכב עד שהמפתח יוחזר. אם במסד הנתונים יש פעולות ארוכות טווח שמתבצעות, הן יושפעו באופן הבא:

מפתחות נחשבים ללא זמינים בכל מצב שבו נמנעת באופן מכוון גישה למפתח מ-Cloud Firestore עם תאימות ל-MongoDB. בין המקורות האלה:

אם המפתח יוחזר, פעולת התשאול תזהה שהמפתח זמין שוב. הגישה מופעלת מחדש, בדרך כלל תוך דקות, אבל במקרים נדירים יכול להיות שיידרשו כמה שעות. חשוב לזכור שחלק מהפעולות על מפתחות Cloud KMS, כמו השבתה או השמדה של מפתח, יכולות להימשך עד 3 שעות. ‫Cloud Firestore עם תאימות ל-MongoDB לא מזהה שינויים עד שהם נכנסים לתוקף ב-Cloud KMS.

החזרה של מפתח לפעולה כוללת את הפעולות הבאות, בהתאם למצב:

  • הפעלה מחדש של גרסת מפתח שהושבתה.
  • שחזור גרסה של מפתח שנמחקה. לפני שגרסת מפתח מושמדת באופן סופי, היא מתוזמנת להשמדה. אפשר לשחזר מפתח רק במהלך התקופה שבה גרסת מפתח מתוזמנת להשמדה. אי אפשר לשחזר מפתח שכבר הושמד באופן סופי.
  • מתן הרשאה מחדש לסוכן השירות Cloud Firestore לגשת למפתח.

שיקולים לגבי רוטציית מפתחות

כשמבצעים רוטציה למפתח CMEK, ‏ Cloud Firestore עם תאימות ל-MongoDB מצפין מחדש את מסד הנתונים באמצעות הגרסה הראשית האחרונה של מפתח ה-CMEK. במהלך תהליך ההצפנה מחדש, חשוב להשאיר את הגרסה הקודמת של המפתח ואת הגרסה החדשה שלו זמינות. אחרי שההצפנה מחדש מסתיימת, השבתה או מחיקה של הגרסאות הקודמות של מפתח ה-CMEK לא ישביתו את הגישה למסד הנתונים, כי הוא מוצפן באמצעות הגרסה הראשית החדשה של המפתח.

אפשר גם לראות את גרסאות המפתחות שמשמשות להגנה על מסד נתונים. מידע נוסף מופיע במאמר הצגת המפתח שבשימוש.

שיקולים לגבי מפתחות חיצוניים

כשמשתמשים במפתח Cloud EKM, ל-Google אין שליטה בזמינות של המפתח שמנוהל באופן חיצוני במערכת של השותף החיצוני לניהול מפתחות.

אם מפתח שמנוהל חיצונית לא זמין, Cloud Firestore עם תאימות ל-MongoDB ממשיך לתמוך בפעולות מלאות במסד הנתונים באמצעות גרסה במטמון של המפתח, למשך שעה אחת לכל היותר.

אם אחרי שעה עדיין לא תהיה אפשרות להתחבר ל-Cloud KMS מ-Cloud Firestore עם תאימות ל-MongoDB, המערכת תתחיל להעביר את מסד הנתונים למצב אופליין כאמצעי הגנה. הקריאות למסד הנתונים ייכשלו עם שגיאה INVALID_ARGUMENT שכוללת פרטים נוספים.

במסמכי Cloud External Key Manager מפורטים שיקולים נוספים לשימוש במפתחות חיצוניים.

גיבוי ושחזור

הגיבוי משתמש באותו מנגנון הצפנה כמו מסד הנתונים שממנו הוא נוצר. כשיוצרים גיבוי של מסד נתונים ב-Cloud Firestore עם תאימות ל-MongoDB שמוגן באמצעות CMEK, הגיבוי מוצפן באמצעות גרסת המפתח הראשית ששימשה בזמן יצירת הגיבוי.

ב-Cloud Firestore עם תאימות ל-MongoDB, הגיבוי הראשון של מסד נתונים עם CMEK נוצר אחרי 24 שעות מהרגע שבו מפעילים את לוחות הזמנים של הגיבוי.

מידע נוסף על גיבויים של Cloud Firestore עם תאימות ל-MongoDB זמין במאמר בנושא גיבוי ושחזור נתונים.

מסד נתונים ששוחזר מגיבוי משתמש באותו מנגנון הצפנה שבו השתמשתם לגיבוי כברירת מחדל. כשמשחזרים מסד נתונים, אפשר לציין סוג הצפנה שונה באחת מהדרכים הבאות:

  • שחזור למסד נתונים עם CMEK עם מפתח חדש שצוין.
  • שחזור למסד נתונים שלא מוגדר בו CMEK, שמוצפן באמצעות ההצפנה שמוגדרת כברירת מחדל ב-Google.
  • שחזור למסד נתונים שמשתמש באותה הצפנה כמו הגיבוי.

למידע נוסף על שחזור מסד נתונים עם תאימות ל-MongoDB מגיבוי של Cloud Firestore, ראו שחזור נתונים מגיבוי של מסד נתונים. מידע נוסף על שחזור מסד נתונים של Cloud Firestore עם תאימות ל-MongoDB שמוגן באמצעות CMEK מגיבוי זמין במאמר שחזור מסד נתונים שמוגן באמצעות CMEK.

שכפל

כברירת מחדל, מסד נתונים שמשוכפל ממסד נתונים אחר משתמש באותו מנגנון הצפנה כמו מסד הנתונים המקורי. כשמשכפלים מסד נתונים, אפשר לציין סוג הצפנה שונה באחת מהדרכים הבאות:

  • שיבוט למסד נתונים עם CMEK עם מפתח חדש שצוין.
  • שיבוט למסד נתונים שאינו CMEK ומשתמש בהצפנה שמוגדרת כברירת מחדל ב-Google.
  • (ברירת מחדל) שיבוט למסד נתונים שמשתמש באותו הצפנה כמו מסד הנתונים המקורי.

מידע נוסף על שיבוט מסד נתונים של Cloud Firestore עם תאימות ל-MongoDB זמין במאמר שיבוט מסד נתונים. מידע נוסף על שיבוט מסד נתונים של Cloud Firestore עם תאימות ל-MongoDB שמוגן באמצעות CMEK זמין במאמר שיבוט מסד נתונים שמוגן באמצעות CMEK.

מעקב אחר מילות מפתח

אפשר להשתמש במעקב אחר מפתחות כדי לראות משאבים, למשל מסדי נתונים של Cloud Firestore עם תאימות ל-MongoDB, שמפתח מגן עליהם. מידע נוסף על מעקב אחר מפתחות זמין במאמר הצגת השימוש במפתחות.

זמינות של מפתחות CMEK

כשמפתחות לא זמינים או מושבתים, חשוב להכיר את ההתנהגויות הבאות שיכולות להתרחש במסדי נתונים שמופעל בהם CMEK:

  • אפשר למחוק מסד נתונים עם הצפנה באמצעות CMEK שיש בו מפתחות לא זמינים.

  • כשיוצרים מסד נתונים עם CMEK, מפתחות מושבתים לא מופיעים ברשימת המפתחות הזמינים במסוף Google Cloud. אם תזינו ידנית מפתח מושבת, תהליך יצירת מסד הנתונים ייכשל עם השגיאה INVALID_ARGUMENT400.

מגבלות

  • אי אפשר לשנות מפתח של מסד נתונים שמוגן באמצעות CMEK. אפשר לסובב את המקשים, להפעיל אותם ולהשבית אותם.

  • אי אפשר להפעיל CMEK במסדי נתונים קיימים. אפשר להפעיל CMEK רק במסדי נתונים חדשים, וצריך להפעיל אותו כשיוצרים את מסד הנתונים. כדי להעביר נתונים ממסד נתונים קיים שלא מוגן באמצעות CMEK למסד נתונים שמוגן באמצעות CMEK, צריך לייצא את הנתונים ואז לייבא אותם למסד נתונים חדש שמוגן באמצעות CMEK. אפשר גם לשחזר או לשכפל נתונים ממסד נתונים ללא CMEK למסד נתונים עם CMEK.

  • ‫Cloud Firestore תומך במספר מוגבל של מסדי נתונים שמוגנים באמצעות CMEK.

המאמרים הבאים