AWS KMS を使用したカスタマーキーの管理

Atlas Atlasで、プロジェクトの {0 ページにGoします。GoAdvanced

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

Authorize a new IAM role のリンクをクリックして、 AWS IAM ロールを許可し、保管時の暗号化に使用する AWS KMS キーにアクセスできるようにします。

保存時の暗号化に使用する Amazon Web Services KMS キーにアクセスするための新しいAmazon Web Services IAM ロールを作成するには、「Amazon Web Services CLI を使用した新しいロールの作成 」の手順に従います。承認する既存の Amazon Web Services IAM ロールがある場合は、「既存のロールへの信頼関係の追加」手順に従ってください。

AWS コンソールまたは CLI を使用して、AWS IAM ロールにアクセス ポリシーを追加します。詳細については、「 IAM ポリシーの管理 」を参照してください。

保管時の暗号化のアクセス ポリシーは次のようになります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}

ステップ 1 と 2 を繰り返して、ステップ 3 で承認したロールを、暗号化のキーにアクセスするためのプロジェクトに割り当てます。

暗号化のキーにアクセスするために以下を指定して、[Save] をクリックします。

1. AWS IAM role ドロップダウン リストから割り当てるロールを選択します。

2. Customer Master Key ID フィールドに暗号化のキーを指定します。

3. 暗号化のキーの Amazon Web Services リージョンを選択します。

cloudProviderAccess エンドポイントに POST リクエストを送信します。

API エンドポイントを使用して、新しいAmazon Web Services IAM ロールを作成します。Atlas は、Amazon Web Services アカウントの認証にこのロールを使用します。

返されたフィールド値 atlasAWSAccountArn と atlasAssumedRoleExternalId を、次の手順で使用するために保存しておきます。

Amazon Web Services IAM ロールの信頼ポリシーを変更します。

1. Amazon Web Servicesマネジメント コンソールにログインします。

2. Identity and Access Management (IAM)サービスに移動します。

3. 左側のナビゲーションからRolesを選択します。

4. ロールのリストから Atlas アクセスに使用する既存の IAM ロールをクリックします。

5. Trust Relationships タブを選択します。

6. Edit trust relationshipボタンをクリックします。

7. Policy Documentを編集します。 次のコンテンツを持つ新しいStatementオブジェクトを追加します。

   注意

   このポリシーステートメントにより、 MongoDBのAmazon Web Services Principal は、暗号化および復号化操作にカスタマーのKMSキーを使用できるようになります。 Atlas Principal は秘密ではなく、すべての Atlas カスタマー間で使用されます。 これは、高度に制限された、目的限定のAmazon Web Servicesアカウントであり、IAM ユーザー以外のリソースは含まれません。 ポリシー ステートメント内のExternalIdは Atlas プロジェクトごとに一意ですが、秘密ではありません。 ExternalIdは、クロスコンテキスト（混乱した代理）への脆弱性の可能性を軽減するために使用されます。 こちら で説明されているように、Atlas が共通のプリンシパルを使用してすべてのカスタマーのキーにアクセスする方法を、アクセス パターンとして Amazon は推奨して います。

   注意

   強調表示された行を、ステップ 1 の API 呼び出しから返された値に置き換えます。

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action:" "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. Update Trust Policyボタンをクリックします。

新しく作成した IAM ロールを承認します。

APIエンドポイントを使用して、新しい IAM 引き受けロール ARN を承認および構成します。API 呼び出しに成功した場合は、 Amazon Web Services を使用する Atlas サービスを構成するときに roleId 値を使用できます。

ロール認証を用いたプロジェクトでの Amazon Web Services KMS の有効化

承認された Amazon Web Services IAM ロール ID を使用して awsKms.roleId フィールドを更新するには、encryptionAtRest API エンドポイントに PATCH リクエストを送信します。

curl --user "{public key}:{private key}" --digest \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Managementセクションで、[Edit] をクリックします。

Grant Access to Keys with an AWS IAM Role セクションの情報を読み、[Configure] をクリックします。

保管時の暗号化に使用する AWS KMS キーにアクセスするための AWS IAM ロールを、Atlas に承認して割り当てます。

保存時の暗号化に使用する Amazon Web Services KMS キーにアクセスするための新しいAmazon Web Services IAM ロールを作成するには、「Amazon Web Services CLI を使用した新しいロールの作成 」の手順に従います。承認する既存の Amazon Web Services IAM ロールがある場合は、「既存のロールへの信頼関係の追加」手順に従ってください。