注意
このページは、Atlas InfiniteとAtlas Coreの両方に適用されます。
Atlas ネットワーク ピアリングにより、アプリケーション ネットワークと Atlas ネットワークの間に専有クラスター向けのプライベート接続を作成できます。この接続では、パブリックインターネットではなく、プライベートIPアドレスを介してトラフィックをルーティングすることで、アプリケーションとデータベース間のトラフィックを分離することができます。Atlas は、Amazon Web Services、Azure、GCP 上の専有クラスターのピアリング、または複数のクラウドプロバイダーにまたがるシャーディングされたクラスターのピアリングをサポートしています。プライベートエンドポイントと比較して、ピアリングにより Atlas とクラウド ネットワーク間でプライベート ネットワーク接続が可能になります。一方、プライベートエンドポイントはより狭い範囲のプライベート アクセスを提供し、ネットワークのトラスト境界の展開を抑えます。
正確な設定要件と制限はクラウドプロバイダーによって異なりますので、接続を構成する前にプロバイダー固有のガイダンスを検討する必要があります。
ネットワークピアリングを構成する上で重要な要素の1つは、事前に CIDR 範囲を定義することです。お客様のAtlas CIDRは、ピアリングを計画しているVPCと重複してはなりません。また、CIDRサイズによって、そのプロジェクトまたはリージョン内でAtlasがサポートできるノードとレプリカセットの数が変わります。Atlas では、ピアリング接続を作成すると、ネットワーク コンテナが自動的に作成されます。ときには、接続とは別にコンテナを作成または管理する必要がある場合があります。これを行うには、ネットワーク コンテナの管理の㌥ガイドに従ってください。
注意
The MongoDB Atlas Shared Responsibility Model defines the complementary duties of MongoDB and its customers in maintaining a secure and resilient data environment. Under this framework, MongoDB manages the security and operational integrity of the underlying platform, while customers are responsible for the configuration, management, and data policies of their specific deployments. For a detailed breakdown of ownership across security and operational excellence, see Shared Responsibility Model.
制限
Atlas では、異なるクラウドプロバイダーの単一リージョンに配置されるクラスター間のネットワークピアリングはサポートしていません。例として、AWS の単一リージョンでホストされている Atlas クラスターと、Google Cloud の単一リージョンでホストされているアプリケーションとの間には、ネットワークピアリングを構成できません。
無料クラスター (以前は
M0と呼ばれていました)と Flex クラスターは VPC ピアリングをサポートしていません。プライベートネットワークを使用するには、専有クラスターを使用する必要があります。
Atlas ピアリングのおすすめのベストプラクティス
リージョン内で最初の専有クラスターを配置する前に、最善では事前に CIDR 範囲を計画します。お客様のAtlas CIDRは、ピアリングを計画しているVPCと重複してはなりません。また、CIDRサイズによって、そのプロジェクトまたはリージョン内でAtlasがサポートできるノードとレプリカセットの数が変わります。
ピアリング ネットワークには RFC 1918 プライベート アドレスのみを使用します。
Atlas プロジェクトには、合計で最大 50 個のピアリング接続を設定できます。このうち、最大 25 個が保留できます。
Atlas へのプライベートネットワークパスが必要な場合は VPC または VNet ピアリングを使用しますが、ピアリングはプライベートエンドポイントよりもネットワークの信頼境界を拡張することに留意してください。信頼境界の拡張を最小限に抑えることが最優先の場合は、プライベートエンドポイントが一般的に適しています。
ピアリングを最小権限のネットワーク設計演習として扱います。セキュリティ グループとネットワーク ACL をロックダウンし、Atlas がアプリケーション ネットワークへ不要な受信アクセスを取得しないようにします。また、中間 VPC を使用して、Atlas アクセスが必要なコンポーネントのみを公開することを検討します。
接続文字列の選択を明示的にしてください。Amazon Web Services (AWS) では、標準の接続文字列は通常、ピアリングを介して機能しますが、カスタム DNS を使用しない限り、
-pristring は任意です。Azure と Google Cloud Platform では、Private IP for Peering 接続文字列を使用します。マルチリージョン配置の場合は、クラウドの動作に応じてピアリングを計画します。Amazon Web Services と Azure では、関係する Atlas リージョンごとにピアリングが必要ですが、Google Cloud Platform はグローバル VPC を使用するため、ピアリング接続は 1 つだけで済みます。