カスタマー キー管理を使用した保管時の暗号化

Atlas Atlasで、プロジェクトの {0 ページにGoします。GoAdvanced

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

キー管理プロバイダー アカウントの認証情報を入力し、暗号化のキーを入力します。

[Save] をクリックします。

Atlas コントロール プレーンをアクセス先またはアクセス元として許可します。

詳細については、「Atlas Control Plane からのアクセス許可」を参照してください。

エンドポイントに GET returnAllControlPlaneIpAddresses リクエストを送信します。

この API エンドポイントは、クラウドプロバイダーとリージョン別に分類されたインバウンドとアウトバウンド Atlas コントロール プレーン IP アドレスのリストを CIDR 形式で返します。詳細については、AWS、Azure 、GCP でカスタマー　キーを管理するための前提条件を参照してください。

返された送信元 IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。

詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。

クラスター暗号化を有効にします。

クラスター構成フォームで Manage your own encryption keys 設定を Yes に切り替えます。

変更内容を確認して適用します。

1. [Review Changes] をクリックします。

2. 変更内容を確認し、[Apply Changes] をクリックしてクラスターを配置します。

任意: 新しいクラスター ノードの IP アドレスを追加します。

キー管理構成によっては、Atlas クラスター ノードの IP アドレスをクラウドプロバイダーの KMS アクセス リストに追加して、クラスターが KMS と通信できるようにする必要があります。クラスターと KMS 間の通信を有効にするには、次の操作を実行します。

1. ipAddresses エンドポイントに GET リクエストを送信します。API エンドポイントは、次のような新しいクラスター ノードの IP アドレス リストを返します。

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ],
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 返された IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。IP アクセス リストは、プロビジョニング プランのロールバック前に、変更する必要があります。クラスターは、プロビジョニング プランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。

   詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。

   注意

   IP アクセス リストの更新にさらに時間が必要な場合は、次の解決策があります。

   • 保管時の暗号化機能を使用せずにクラスターをプロビジョニングし、IP アクセス リストをアップデートしてから有効にします。

   • クラウドプロバイダーの KMS でより包括的な IP アクセス リストを構成し、保管時の暗号化を使用してクラスターを起動してから、IP アクセス リストを変更します。

AtlasGoClustersAtlas で、プロジェクトの ページにGoします。

1. まだ表示されていない場合は、希望するプロジェクトを含む組織を選択しますナビゲーション バーのOrganizationsメニュー

2. まだ表示されていない場合は、ナビゲーション バーのProjectsメニューから目的のプロジェクトを選択します。

3. まだ表示されていない場合は、サイドバーの [Clusters] をクリックします。

   [ Clusters （クラスター） ] ページが表示されます。

クラスターの構成を変更します。

暗号化するデータを含むクラスターで、クリックします、次にEdit Configurationを選択します。

クラスター暗号化を有効にします。

1. [Additional Settings] パネルを展開します。

2. Manage your own encryption keys 設定を Yes に切り替えます。

3. クラスターのRequire Private Networking設定のステータスを確認します。

   プロジェクト レベルで Atlas のCMKを使用した保管時の暗号化（オーバープライベート ネットワーク）を構成した場合、ステータスはActiveです。 プロジェクトにプライベートエンドポイント接続を構成していない場合、ステータスはInactiveです。

変更内容を確認して適用します。

1. [Review Changes] をクリックします。

2. 変更内容を確認し、[Apply Changes] をクリックしてクラスターをアップデートします。

レプリカセット クラスターまたはシャーディングされたクラスターにノードまたはシャードを追加する。

M10 以降のクラスターに選出可能なノードを追加するか、シャーディングされたクラスター内のシャードの数を増やすことができます。

任意: 新しいクラスター ノードまたはシャードから IP アドレスを追加する。

キー管理構成によっては、Atlas クラスター ノードの IP アドレスをクラウドプロバイダーの KMS アクセス リストに追加して、クラスターが KMS と通信できるようにする必要があります。クラスターと KMS 間の通信を有効にするには、次の操作を実行します。

1. ipAddresses エンドポイントに GET リクエストを送信します。API エンドポイントは、次のような新しいクラスター ノードまたはシャードの IP アドレス リストを返します。

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ], // List<String>
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 返された IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。IP アクセス リストは、プロビジョニング プランのロールバック前に、変更する必要があります。クラスターは、プロビジョニング プランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。

   詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。