カスタマー キー管理を使用した保管時の暗号化

Atlasで、プロジェクトのGo Advanced{0 ページに します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

キー管理プロバイダー アカウントの認証情報を入力し、暗号化のキーを入力します。

Save[ をクリックします。

Atlas コントロール プレーンをアクセス先またはアクセス元として許可します。

KMS の構成によっては、プロジェクトで保管時の暗号化を有効にするために Atlas コントロール プレーンの IP アドレスを追加して、Atlasが KMS と通信できるようにする必要があります。Atlas と KMS 間の通信を有効にするには、次の操作を実行します。

1. returnAllControlPlaneIPAddresses エンドポイントに GET リクエストを送信します。この API エンドポイントは、次のようにクラウドプロバイダーとリージョン別に分類されたインバウンドとアウトバウンド Atlas コントロール プレーン IP アドレスのリストを CIDR 形式で返します。

   {
     "controlPlane": {
       "inbound": {
         "aws": { // cloud provider
           "us-east-1": [ // region
             "3.92.113.229/32",
             "3.208.110.31/32",
             "107.22.44.69/32"
             ...,
           ],
           ...
         }
       },
       "outbound": {
         "aws": { // cloud provider
           "us-east-1": [ // region
             "3.92.113.229/32",
             "3.208.110.31/32",
             "107.22.44.69/32"
             ...,
           ],
           ...
         }
       }
     },
     "data_federation": {
       "inbound": {},
       "outbound" {}
     },
     "app_services": {
       "inbound": {},
       "outbound" {}
     },
     ...
   }

2. 返された IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。

クラスター暗号化を有効にします。

クラスター構成フォームで Manage your own encryption keys 設定を Yes に切り替えます。

変更内容を確認して適用します。

1. [Review Changes] をクリックします。

2. 変更内容を確認し、[Apply Changes] をクリックしてクラスターを配置します。

任意: 新しいクラスター ノードの IP アドレスを追加します。

キー管理構成によっては、Atlas クラスター ノードの IP アドレスをクラウドプロバイダーの KMS アクセス リストに追加して、クラスターが KMS と通信できるようにする必要があります。クラスターと KMS 間の通信を有効にするには、次の操作を実行します。

1. ipAddresses エンドポイントに GET リクエストを送信します。API エンドポイントは、次のような新しいクラスター ノードの IP アドレス リストを返します。

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ],
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 返された IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。IP アクセス リストは、プロビジョニング プランのロールバック前に、変更する必要があります。クラスターは、プロビジョニング プランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。

   詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。

   注意

   IP アクセス リストの更新にさらに時間が必要な場合は、次の解決策があります。

   • 保管時の暗号化機能を使用せずにクラスターをプロビジョニングし、IP アクセス リストをアップデートしてから有効にします。

   • クラウドプロバイダーの KMS でより包括的な IP アクセス リストを構成し、保管時の暗号化を使用してクラスターを起動してから、IP アクセス リストを変更します。

Atlas で、プロジェクトの [Clusters] ページに移動します。

1. まだ表示されていない場合は、希望するプロジェクトを含む組織を選択しますナビゲーション バーのOrganizationsメニュー

2. まだ表示されていない場合は、ナビゲーション バーのProjectsメニューから目的のプロジェクトを選択します。

3. Clusters ページがまだ表示されていない場合は、サイドバーの Database をクリックします。

   [ Clusters （クラスター） ] ページが表示されます。

クラスターの構成を変更します。

暗号化するデータを含むクラスターで、クリックします、次にEdit Configurationを選択します。

クラスター暗号化を有効にします。

1. [Additional Settings] パネルを展開します。

2. Manage your own encryption keys 設定を Yes に切り替えます。

3. クラスターのRequire Private Networking設定のステータスを確認します。

   プロジェクト レベルで Atlas のCMKを使用した保管時の暗号化（オーバープライベート ネットワーク）を構成した場合、ステータスはActiveです。 プロジェクトにプライベートエンドポイント接続を構成していない場合、ステータスはInactiveです。

変更内容を確認して適用します。

1. [Review Changes] をクリックします。

2. 変更内容を確認し、[Apply Changes] をクリックしてクラスターをアップデートします。

レプリカセット クラスターまたはシャーディングされたクラスターにノードまたはシャードを追加する。

M10 以降のクラスターに選出可能なノードを追加するか、シャーディングされたクラスター内のシャードの数を増やすことができます。

任意: 新しいクラスター ノードまたはシャードから IP アドレスを追加する。

キー管理構成によっては、Atlas クラスター ノードの IP アドレスをクラウドプロバイダーの KMS アクセス リストに追加して、クラスターが KMS と通信できるようにする必要があります。クラスターと KMS 間の通信を有効にするには、次の操作を実行します。

1. ipAddresses エンドポイントに GET リクエストを送信します。API エンドポイントは、次のような新しいクラスター ノードまたはシャードの IP アドレス リストを返します。

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ], // List<String>
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 返された IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。IP アクセス リストは、プロビジョニング プランのロールバック前に、変更する必要があります。クラスターは、プロビジョニング プランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。

   詳細については、AWS、Azure、GCP でカスタマー キーを管理するための前提条件を参照してください。