カスタマー キー管理を使用した保管時の暗号化

Atlas で、プロジェクトの [Advanced] ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

（任意）Search Node Data Encryption の横にあるボタンを On に切り替えます。

AWS KMS を使用している場合は、オプションで、検索ノード 上のすべてのデータの暗号化を有効にできます。この機能は後で有効にすることもできます。

詳しくは、「検索ノードでカスタマー キー管理を有効にする」を参照してください。

キー管理プロバイダー アカウントの認証情報を入力し、暗号化のキーを入力します。

[Save] をクリックします。

（任意）Atlas コントロール プレーンをアクセス先またはアクセス元として許可します。

詳細については、「Atlas Control Plane からのアクセス許可」を参照してください。

returnAllControlPlaneIpAddresses エンドポイントに GET リクエストを送信します。

この API エンドポイントは、クラウドプロバイダーとリージョン別に分類されたインバウンドとアウトバウンド Atlas コントロール プレーン IP アドレスのリストを CIDR 形式で返します。詳細については、AWS、Azure 、GCP でカスタマー　キーを管理するための前提条件を参照してください。

返された送信元 IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。

詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。

クラスター暗号化を有効にします。

クラスター構成フォームで Manage your own encryption keys 設定を Yes に切り替えます。

変更内容を確認して適用します。

1. [Review Changes] をクリックします。

2. 変更内容を確認し、[Apply Changes] をクリックしてクラスターを配置します。

任意: 新しいクラスター ノードの IP アドレスを追加します。

キー管理構成によっては、Atlas クラスター ノードの IP アドレスをクラウドプロバイダーの KMS アクセス リストに追加して、クラスターが KMS と通信できるようにする必要があります。クラスターと KMS 間の通信を有効にするには、次の操作を実行します。

1. Send a GET request to the ipAddresses endpoint. The returnAllIpAddresses API endpoint returns a list of IP addresses from the new cluster nodes, similar to the following:

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ],
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 返された IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。IP アクセス リストは、プロビジョニング プランのロールバック前に、変更する必要があります。クラスターは、プロビジョニング プランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。

   詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。

   注意

   IP アクセス リストの更新にさらに時間が必要な場合は、次の解決策があります。

   • 保管時の暗号化機能を使用せずにクラスターをプロビジョニングし、IP アクセス リストをアップデートしてから有効にします。

   • クラウドプロバイダーの KMS でより包括的な IP アクセス リストを構成し、保管時の暗号化を使用してクラスターを起動してから、IP アクセス リストを変更します。

Atlas で、プロジェクトの [Clusters] ページに移動します。

1. まだ表示されていない場合は、希望するプロジェクトを含む組織を選択しますナビゲーション バーのOrganizationsメニュー

2. まだ表示されていない場合は、ナビゲーション バーのProjectsメニューから目的のプロジェクトを選択します。

3. まだ表示されていない場合は、サイドバーの [Clusters] をクリックします。

   [ Clusters （クラスター） ] ページが表示されます。

クラスターの構成を変更します。

暗号化するデータを含むクラスターで、クリックします、次にEdit Configurationを選択します。

クラスター暗号化を有効にします。

1. [Additional Settings] パネルを展開します。

2. Manage your own encryption keys 設定を Yes に切り替えます。

3. クラスターのRequire Private Networking設定のステータスを確認します。

   プロジェクト レベルで Atlas のCMKを使用した保管時の暗号化（オーバープライベート ネットワーク）を使用した保管時の暗号化を構成した場合、ステータスはActiveです。 プロジェクトにプライベートエンドポイント接続を構成していない場合、ステータスはInactiveです。

変更内容を確認して適用します。

1. [Review Changes] をクリックします。

2. 変更内容を確認し、[Apply Changes] をクリックしてクラスターをアップデートします。

Atlas で、プロジェクトの [Advanced] ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

カスタマー キー管理で保管時の暗号化を有効にするか、設定を編集します。

カスタマー キー管理をまだ構成していない場合は、「 カスタマー キー管理による Atlas の構成 」の手順に従ってください。

それ以外の場合は、Encryption at Rest using your Key Management の横にある [Edit ボタンをクリックします。

Search Node Data Encryption の横にあるボタンを On に切り替えます。

[Save] をクリックします。

プロジェクトレベルで検索ノード データ暗号化を有効にすると、検索ノードを使用して新規または既存のクラスターのクラスター暗号化を設定すると、Atlas はクラスター レベルでこれを有効にします。 Atlas は、カスタマーが管理するキーを使用して検索ノードを暗号化し、すべての検索インデックスを再構築します。このプロセスの長さは、インデックスのサイズと数によって異なります。

レプリカセット クラスターまたはシャーディングされたクラスターにノードまたはシャードを追加する。

M10 以降のクラスターに選出可能なノードを追加するか、シャーディングされたクラスター内のシャードの数を増やすことができます。

任意: 新しいクラスター ノードまたはシャードから IP アドレスを追加する。

キー管理構成によっては、Atlas クラスター ノードの IP アドレスをクラウドプロバイダーの KMS アクセス リストに追加して、クラスターが KMS と通信できるようにする必要があります。クラスターと KMS 間の通信を有効にするには、次の操作を実行します。

1. Send a GET request to the ipAddresses endpoint. The returnAllIpAddresses API endpoint returns a list of IP addresses from the new cluster nodes or shards, similar to the following:

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ], // List<String>
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 返された IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。IP アクセス リストは、プロビジョニング プランのロールバック前に、変更する必要があります。クラスターは、プロビジョニング プランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。

   詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。