通过 AWS KMS 管理客户密钥

导航至项目的 Clusters（数据库部署）页面。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 如果 Clusters（数据库部署）页面尚未出现，请单击侧边栏中的 Database（数据库）。

可选：从集群节点添加 IP 地址。

根据密钥管理服务配置，您可能需要将 Atlas 集群节点 IP 地址添加到云提供商 KMS 列表， 以便集群与 KMS 通信。 要启用集群与 KMS 之间的通信，请执行以下操作：

1. 向ipAddresses端点发送 GET 请求。 API 端点返回现有集群节点的 IP 地址列表，类似于以下内容：

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ],
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 将返回的 IP 地址添加到云提供商的 IP 访问列表。有关详细信息，请参阅使用 AWS、Azure 和 GCP 管理客户密钥的先决条件。

修改集群配置。

对于包含要加密的数据的集群，单击省略号 ...，然后选择 Edit Configuration。

启用集群加密。

1. 展开 Additional Settings 面板。

2. 将 Manage your own encryption keys 设置切换为 Yes。

查看并应用更改。

1. 单击 Review Changes（连接）。

2. 查看更改，然后单击 Apply Changes 以更新集群。

导航至项目的 Advanced（数据库部署）页面。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 单击侧边栏中的 Advanced（支持）。

在 Encryption at Rest using your Key Management（使用密钥管理进行静态加密）部分中，单击 Edit（编辑）。

更新 AWS CMK 详细信息。

1. 输入以下信息：

   字段	操作
   AWS IAM role	选择已有权访问 KMS 密钥的现有 AWS IAM 角色，或使用以下权限授权新角色并授予此角色访问 KMS 密钥的权限： DescribeKey 加密 解密 要了解更多信息，请参阅对项目加密密钥的基于角色的访问。
   Customer Master Key ID	输入您的 AWS 客户主密钥 ID。
   Customer Master Key Region	选择创建 AWS CMK 的 AWS 区域。 注意 Atlas 仅列出支持 AWS KMS 的 AWS 地区。

2. 单击 Save（连接）。

在 CMK 轮换过程中，Atlas 会在 Atlas 控制台中显示横幅。在部署更改之前，请勿删除或禁用 CMK。

导航至项目的 Advanced（数据库部署）页面。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 单击侧边栏中的 Advanced（支持）。

在 Encryption at Rest using your Key Management（使用密钥管理进行静态加密）部分中，单击 Edit（编辑）。

验证 AWS CMK 凭证。

为确保 Atlas 不会重新加密您的数据，请验证 AWS IAM role 和 Customer Master Key ID 是否反映您的现有档案。

更新Customer Master Key Region 。

选择您已为其配置多地区密钥的另一个 AWS 区域。

单击 Save。