使用 Google Cloud KMS 管理客户密钥

导航至项目的 Advanced 页面。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 单击侧边栏中的 Advanced（支持）。

将 Encryption at Rest using your Key Management 旁边的按钮切换为 On。

选择 Google Cloud KMS 。

输入 Service Account Key。

Service Account Key 应格式化为 JSON 对象。它包含 GCP 服务帐户的加密档案。

输入 Key Version Resource ID。

密钥版本资源 ID 是 CryptoKeyVersion 的完全限定资源名称。

单击 Save。

导航至项目的 Clusters（数据库部署）页面。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 如果 Clusters（数据库部署）页面尚未出现，请单击侧边栏中的 Database（数据库）。

可选：从集群节点添加 IP 地址。

根据密钥管理服务配置，您可能需要将 Atlas 集群节点 IP 地址添加到云提供商 KMS 列表， 以便集群与 KMS 通信。 要启用集群与 KMS 之间的通信，请执行以下操作：

1. 向ipAddresses端点发送 GET 请求。 API 端点返回现有集群节点的 IP 地址列表，类似于以下内容：

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ],
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 将返回的 IP 地址添加到云提供商的 IP 访问列表。有关详细信息，请参阅使用 AWS、Azure 和 GCP 管理客户密钥的先决条件。

修改集群配置。

对于包含要加密的数据的集群，单击省略号 ...，然后选择 Edit Configuration。

启用集群加密。

1. 展开 Additional Settings 面板。

2. 将 Manage your own encryption keys 设置切换为 Yes。

查看并应用更改。

1. 单击 Review Changes（连接）。

2. 查看更改，然后单击 Apply Changes 以更新集群。

导航至项目的 Advanced（数据库部署）页面。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 单击侧边栏中的 Advanced（支持）。

点击Edit。

更新 GCP 密钥详情。

1. 如果 Google Cloud KMS 标签页尚未激活，请单击 Google Cloud KMS。

2. 如果尚未显示 Encryption Key Credentials 对话框，则展开 Encryption Key Credentials 。

3. 在 Key Identifier 条目中输入 GCP 密钥版本资源 ID。

   包括 CryptoKeyVersion 的完全限定资源名称。

   例子

   projects/my-project-0/locations/us-east4/keyRings/my-key-ring-0/cryptoKeys/my-key-0/cryptoKeyVersions/1

   加密密钥必须属于为您的 Atlas 项目配置的 Google Cloud Service 帐户密钥。单击 Service Account Key 部分查看当前为项目配置的服务帐户密钥。

4. 单击 Update Credentials（连接）。

在密钥标识符轮换过程中，Atlas 在 Atlas 控制台中显示横幅。

如果集群使用备份您的集群，请不要删除或禁用原始密钥版本资源 ID，直到确保没有快照使用该密钥进行加密。