Clés de chiffrement gérées par le client (CMEK)

Par défaut, toutes les données au repos dans Firestore avec la compatibilité MongoDB sont chiffrées à l'aide du chiffrement par défaut de Google. Firestore compatible avec MongoDB traite et gère ce chiffrement sans requérir aucune action de votre part.

Si vous avez des exigences réglementaires ou de conformité spécifiques concernant les clés qui protègent vos données, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK) pour Firestore avec compatibilité MongoDB. Au lieu de laisser Google gérer les clés de chiffrement qui protègent vos données, votre base de données Firestore compatible avec MongoDB est protégée à l'aide d'une clé que vous contrôlez et gérez dans Cloud Key Management Service (Cloud KMS).

Cette page décrit CMEK pour Firestore compatible avec MongoDB. Pour en savoir plus sur CMEK en général, y compris quand et pourquoi l'activer, consultez la documentation Cloud KMS suivante :

Pour savoir comment effectuer des tâches liées à CMEK avec Firestore compatible avec MongoDB, consultez Utiliser CMEK.

Fonctionnalités

  • Contrôle des données : CMEK vous permet de gérer la clé KMS. Vous pouvez faire pivoter, désactiver et détruire la clé utilisée pour chiffrer les données au repos dans votre base de données Firestore avec compatibilité MongoDB.
  • Performances : la CMEK n'a aucune incidence sur le SLA Firestore.
  • Possibilité de réaliser des audits : si vous activez la journalisation des audits pour Cloud KMS, toutes les opérations effectuées sur la clé sont consignées et visibles dans Cloud Logging.
  • Contraintes de règle d'administration : vous pouvez utiliser les contraintes de règle d'administration CMEK pour spécifier les exigences de conformité en matière de chiffrement pour les bases de données Firestore avec compatibilité MongoDB de votre organisation.

Tarifs

Cloud KMS facture le coût de la clé ainsi que toutes les opérations cryptographiques effectuées avec cette clé. Pour en savoir plus, consultez la page Tarifs de Cloud KMS.

Vous êtes facturé pour les coûts d'opération lorsque Firestore compatible avec MongoDB demande à la clé Cloud KMS d'effectuer une opération de chiffrement ou de déchiffrement. L'opération de chiffrement ou de déchiffrement par la clé gérée par le client a lieu toutes les cinq minutes et n'est pas synchronisée avec les requêtes de base de données. Les coûts sont généralement faibles, compte tenu du nombre attendu d'opérations cryptographiques générées par Firestore compatible avec MongoDB. Les coûts liés à Cloud Audit Logs représentent une dépense supplémentaire, mais ils devraient généralement être faibles, compte tenu du nombre attendu d'opérations de chiffrement.

L'utilisation d'une base de données protégée par CMEK n'entraîne aucun coût supplémentaire pour Firestore compatible avec MongoDB. Les tarifs de Firestore compatible avec MongoDB continuent de s'appliquer.

Si vous révoquez votre clé pour une base de données, le coût de stockage sera facturé en fonction de la taille du dernier jour où la clé était disponible. Vous continuerez à payer des frais de stockage pour cette taille de base de données jusqu'à ce que la base de données soit supprimée ou que la clé soit à nouveau disponible.

Éléments protégés par CMEK

Lorsque vous créez une base de données Firestore avec compatibilité MongoDB protégée par CMEK, votre clé Cloud KMS est utilisée pour protéger les données au repos. Cela inclut les données que vous stockez sur un disque ou une clé USB, y compris les index et les sauvegardes. Certaines exceptions s'appliquent. Les types de données suivants sont chiffrés avec le chiffrement par défaut de Google et non avec la clé CMEK :

  • Les données en transit ou en mémoire
  • Métadonnées de base de données

Traitement de l'état d'indisponibilité d'une clé

Les opérations de chiffrement et de déchiffrement ne sont pas effectuées pour chaque demande de données. Au lieu de cela, le système de compatibilité Firestore avec MongoDB interroge Cloud KMS toutes les cinq minutes pour vérifier si la clé est toujours disponible, puis effectue des opérations de chiffrement et de déchiffrement si la clé est disponible.

Si le système détecte que la clé n'est pas disponible, tous les appels ultérieurs à la base de données Firestore compatible avec MongoDB, y compris les lectures, les écritures et les requêtes, renvoient une erreur INVALID_ARGUMENT avec le message suivant :

The customer-managed encryption key required by the requested
resource is not accessible.

Si la base de données comporte des règles de valeur TTL (Time To Live) et que des délais d'expiration sont dépassés alors que la clé n'est pas disponible, la suppression des données par TTL sera retardée jusqu'à ce que la clé soit rétablie. Si des opérations de longue durée sont en cours dans la base de données, elles seront affectées comme suit :

Les clés sont considérées comme indisponibles dans toutes les situations qui empêchent intentionnellement Firestore compatible avec MongoDB d'y accéder. Par exemple :

Si la clé est rétablie, l'opération d'interrogation détecte qu'elle est à nouveau disponible. L'accès est rétabli, généralement en quelques minutes, mais cela peut prendre jusqu'à quelques heures dans de rares cas. Notez que certaines opérations sur les clés Cloud KMS, comme la désactivation ou la destruction d'une clé, peuvent prendre jusqu'à trois heures pour se propager. Firestore compatible avec MongoDB ne détecte aucune modification tant qu'elle n'est pas appliquée dans Cloud KMS.

La réactivation d'une clé implique les éléments suivants, selon la situation :

  • Réactiver une version de clé désactivée.
  • Restaurer une version de clé détruite. Avant d'être définitivement détruite, une version de clé est programmée pour destruction. Vous ne pouvez restaurer une clé que pendant la période où une version de clé est programmée pour être détruite. Vous ne pouvez pas restaurer une clé qui a déjà été détruite de manière définitive.
  • Accordez de nouveau à l'agent de service Firestore l'autorisation d'accéder à la clé.

Points à prendre en compte pour la rotation des clés

Lorsque vous effectuez une rotation de la clé CMEK, Firestore avec compatibilité MongoDB rechiffre la base de données avec la dernière version primaire de la clé CMEK. Pendant le processus de rechiffrement, conservez l'ancienne et la nouvelle version de clé. Une fois le rechiffrement terminé, la désactivation ou la suppression des versions antérieures de la clé CMEK n'empêchera pas l'accès à la base de données, car elle est chiffrée avec la nouvelle version de clé primaire.

Vous pouvez également afficher les versions de clés utilisées pour protéger une base de données. Pour en savoir plus, consultez Afficher la clé utilisée.

Remarques importantes concernant les clés externes

Lorsque vous utilisez une clé Cloud EKM, Google n'a aucun contrôle sur la disponibilité de votre clé gérée en externe dans le système partenaire de gestion des clés externes.

Si une clé gérée en externe n'est pas disponible, Firestore compatible avec MongoDB continue de prendre en charge les opérations de base de données complètes en utilisant une version de clé mise en cache, pendant une heure au maximum.

Au bout d'une heure, si Firestore compatible avec MongoDB ne parvient toujours pas à se connecter à Cloud KMS, il commence à mettre la base de données hors connexion par mesure de protection. Les appels à la base de données échoueront et généreront une erreur INVALID_ARGUMENT incluant des informations supplémentaires.

Pour en savoir plus sur l'utilisation des clés externes, consultez la documentation Cloud External Key Manager.

Sauvegarde et restauration

Une sauvegarde utilise le même mécanisme de chiffrement que la base de données à partir de laquelle vous l'avez créée. Lorsqu'une base de données Firestore avec compatibilité MongoDB protégée par CMEK crée une sauvegarde, elle la chiffre avec la version de clé principale utilisée au moment de la création de la sauvegarde.

Firestore avec la compatibilité MongoDB crée la première sauvegarde d'une base de données CMEK 24 heures après l'activation des plannings de sauvegarde.

Pour en savoir plus sur les sauvegardes Firestore compatibles avec MongoDB, consultez Sauvegarder et restaurer des données.

Par défaut, une base de données restaurée à partir d'une sauvegarde utilise le même mécanisme de chiffrement que la sauvegarde. Lorsque vous restaurez une base de données, vous pouvez spécifier un autre type de chiffrement de l'une des manières suivantes :

  • Restaurer dans une base de données CMEK avec une clé nouvellement spécifiée.
  • Restaurez une base de données non CMEK qui utilise le chiffrement par défaut de Google.
  • Restaurez la base de données en utilisant le même chiffrement que la sauvegarde.

Pour en savoir plus sur la restauration d'une base de données Firestore compatible avec MongoDB à partir d'une sauvegarde, consultez Restaurer des données à partir d'une sauvegarde de base de données. Pour en savoir plus sur la restauration d'une base de données Firestore avec compatibilité MongoDB protégée par une clé CMEK à partir d'une sauvegarde, consultez Restaurer une base de données protégée par une clé CMEK.

Cloner

Par défaut, une base de données clonée à partir d'une autre base de données utilise le même mécanisme de chiffrement que la base de données source. Lorsque vous clonez une base de données, vous pouvez spécifier un type de chiffrement différent de l'une des manières suivantes :

  • Cloner vers une base de données CMEK avec une clé nouvellement spécifiée.
  • Cloner vers une base de données non CMEK qui utilise le chiffrement par défaut de Google.
  • (Par défaut) Cloner dans une base de données qui utilise le même chiffrement que la base de données source.

Pour en savoir plus sur le clonage d'une base de données Firestore compatible avec MongoDB, consultez Cloner une base de données. Pour en savoir plus sur le clonage d'une base de données Firestore compatible avec MongoDB protégée par une clé CMEK, consultez Cloner une base de données protégée par une clé CMEK.

Suivi des clés

Vous pouvez utiliser le suivi des clés pour afficher les ressources qu'une clé protège, par exemple les bases de données Firestore compatibles avec MongoDB. Pour en savoir plus sur le suivi des clés, consultez Afficher l'utilisation des clés.

CMEK et disponibilité des clés

Lorsque les clés ne sont pas disponibles ou sont désactivées, tenez compte des comportements suivants qui peuvent se produire dans les bases de données compatibles avec les CMEK :

  • Vous pouvez supprimer une base de données CMEK dont les clés ne sont pas disponibles.

  • Lorsque vous créez une base de données compatible avec CMEK, les clés désactivées ne s'affichent pas dans la liste des clés disponibles dans la console Google Cloud . Si vous saisissez manuellement une clé désactivée, le processus de création de la base de données échouera et l'erreur 400 INVALID_ARGUMENT s'affichera.

Limites

  • Vous ne pouvez pas modifier la clé d'une base de données protégée par une clé CMEK. Vous pouvez faire pivoter, activer et désactiver les clés.

  • Vous ne pouvez pas activer CMEK sur des bases de données existantes. Vous ne pouvez activer CMEK que sur les nouvelles bases de données, et vous devez l'activer lorsque vous créez la base de données. Pour migrer des données d'une base de données non CMEK existante vers une base de données protégée par CMEK, exportez vos données, puis importez-les dans une nouvelle base de données protégée par CMEK. Vous pouvez également restaurer ou cloner des données d'une base de données non CMEK vers une base de données CMEK.

  • Firestore accepte un nombre limité de bases de données protégées par CMEK.

Étapes suivantes