伺服器端加密

Firestore (Datastore 模式) 將資料寫入磁碟之前，會自動加密所有資料。您不需做額外的安裝或設定，也無須調整您存取此服務的方式。資料會在獲得授權的使用者讀取時自動透明地解密資料。

金鑰管理

透過伺服器端加密功能，您可以讓 Google 代表您管理加密金鑰，也可以使用客戶自行管理的加密金鑰 (CMEK) 自行管理金鑰。

根據預設，Google 會使用強化金鑰管理系統來代您管理密碼編譯金鑰，這個系統與 Google 在自己的加密資料上使用的相同，包括嚴格的金鑰存取控制和審查機制。每個 Datastore 模式物件的資料和中繼資料都會加密，且每個加密金鑰都會透過一組定期輪替的金鑰儲存區主金鑰自行加密。

如要瞭解如何自行管理金鑰，請參閱 Datastore 適用的 CMEK。

用戶端加密

伺服器端加密可與用戶端加密搭配使用。您可以使用用戶端加密功能管理自己的加密金鑰，並在將資料寫入資料庫之前加密資料。在這種情況下，您的資料將會加密兩次，一次使用您的金鑰，一次使用伺服器端金鑰。

為了確保您的資料在網際網路上傳輸讀寫作業時安全無虞，請使用傳輸層安全標準 (TLS)。如要進一步瞭解支援的傳輸層安全標準 (TLS) 版本，請參閱「GCP 中的傳輸加密 Google Cloud」。

後續步驟

如要進一步瞭解 Firestore (Datastore 模式) 和其他產品的靜態資料加密，請參閱 Google Cloud Platform 中的靜態資料加密 Google Cloud。 Google Cloud