プライベートエンドポイントにわたる Azure Key Vault を使用したカスタマーキーの管理

ユースケース

Atlas は 1 つのクラウド サービス プロバイダーに配置されているとします。 AKVへのすべてのアクセスは、クラウドプロバイダーのプライベート ネットワーク インフラストラクチャ経由で発生する必要があります。 このページでは、Atlas プロジェクトでプライベートエンドポイント接続を有効にする手順について説明します。

メリット

Atlas Administration API を使用して、Atlas が プライベートエンドポイント を使用してAKVで保管時の暗号化を構成できるようにします。 これにより、 AKVへのすべてのトラフィックはプライベートエンドポイントのセットを通過し、 AKVがパブリックインターネットまたはパブリック IP アドレスに公開されるのを回避できます。 すべてのAKVトラフィックをAzureのプライベート ネットワーク内に保持することで、データのセキュリティを強化しながら、許可された IP アドレスを維持する必要がなくなります。

制限

Atlas では、マルチクラウド配置のプライベートエンドポイント経由でCMKを使用した保管時の暗号化はサポートされていません。 マルチクラウド クラスターを含む既存のプロジェクトで Azure Private Link 経由でCMKを使用して保管時の暗号化を有効にすると、Atlas はプロジェクト内のマルチクラウド クラスターを無効にします。

Atlas では、 INACTIVE状態のプロジェクトで、プライベートエンドポイント経由でCMKを使用した保管時の暗号化はサポートされていません。

は、Atlas またはAmazon Web Services クラスターのプライベートネットワーク経由での AKVGoogle Cloud Platform アクセスをサポートしていません。

プロジェクトでのカスタマー マネージド キーの有効化

プロジェクト内のクラスターで CMK を有効にする前に、プロジェクトでCMKを有効にする必要があります。 Atlas UI と Atlas Administration API からプロジェクトでCMKを有効にできます。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest" \
--data '
  {
    "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
      "enabled": true,
      "keyIdentifier": "https://{EXAMPLEKeyVault}.vault.azure.net/keys/{EXAMPLEKey}/      d891821e3d364e9eb88fbd3d11807b86",
      "keyVaultName": "string",
      "resourceGroupName": "string",
      "secret": "string",
      "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
      "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b"
    }
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
    "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b",
    "valid": true
  }
}

プロジェクトでのプライベートエンドポイント接続の有効化と設定

プライベートエンドポイントを有効にして設定できるのは、Atlas Administration API のみです。 プライベートネットワークを有効にして、 AKVにプライベートエンドポイントを設定するには、次の手順を実行する必要があります。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \
--data '
  {
    "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
      "enabled": true,
      "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
      "keyVaultName": "string",
      "requirePrivateNetworking": true,
      "resourceGroupName": "string",
      "secret": "string",
      "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
      "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b"
    }
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints" \
--data '
  {
    "regionName": "US_CENTRAL"
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AZURE",
      "errorMessage": "string",
      "id": "24-hexadecimal-digit-string",
      "regionName": "string",
      "status": "INITIATING",
      "privateEndpointConnectionName": "string"
    }
  ],
  "totalCount": 0
}

プロジェクトで CMK を使用した保管時の暗号化（オーバープライベート ネットワーク）を有効にしたら、プロジェクト内の各 Atlas クラスターに対して CMK を使用した保管 時の暗号化を 有効にできます。

Atlas クラスターのカスタマー キー管理の有効化

プロジェクトでカスタマー マネージド キーを有効 にした後、暗号化するデータを含む各 Atlas クラスターに対してカスタマー キー マネジメントを有効にする必要があります。 Atlas プロジェクトにプライベートエンドポイント接続を構成した場合、Atlas は、パブリック インターネットを使用した接続を許可する既存のクラスターを含む、カスタマー マネージド キーをすでに有効にしたすべてのクラスターを、プライベートエンドポイント接続のみを使用するように自動的に移行します。

新しいクラスターの場合は、クラスターを作成するときに、 独自の暗号化キーの管理設定 をYesに切り替えます（まだ有効になっていない場合）。

既存クラスターの場合:

プロジェクトのカスタマー マネージド キーの無効化

プロジェクトでCMKを無効にするには、まずプロジェクトに関連付けられているすべてのプライベートエンドポイントを削除する必要があります。 アクティブなプライベートエンドポイントに関連付けられているプロジェクトのCMKを無効にしようとすると、Atlas にエラーが表示されます。

プロジェクトのすべてのプライベートエンドポイントを削除した後、プロジェクトの機能を無効にする前に、プロジェクト内の各クラスターでカスタマー キー管理を無効にする必要があります。

プロジェクトのプライベートエンドポイント接続の無効化

プロジェクトのプライベートエンドポイント接続を無効にするには、まずその状態に関係なく、プロジェクトに関連付けられているすべてのプライベートエンドポイントを削除する必要があります。 Atlas は、プロジェクトがアクティブなプライベートエンドポイントに関連付けられている場合、プロジェクトのプライベートエンドポイント接続を無効にしません。

プロジェクトのすべてのプライベートエンドポイントを削除した後、Atlas Administration API を使用してプロジェクトのプライベートエンドポイント接続を無効にできます。 プライベートエンドポイント接続を無効にするには、 requirePrivateNetworkingブール値フラグ値をfalseに設定して、エンドポイントにPATCHリクエストを送信します。

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "secret": "string",
    "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
    "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b"
  }
}

プライベートエンドポイント接続の拒否または削除

プライベートエンドポイントを正常に削除するには、Atlas Administration APIエンドポイントにDELETEリクエストを送信し、削除するプロジェクトとプライベートエンドポイントの ID を指定します。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request DELETE "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/{endpointId}" \
--data '
  {
    "cloudProvider": "AZURE",
    "regions": [
      "string"
    ]
  }'

Atlas Administration API を使用してプライベートエンドポイントを削除すると、プライベートエンドポイントはDELETINGステータスに移行し、Atlas がプライベートエンドポイントを削除します。

Azure UI からアクティブなプライベートエンドポイントを削除または拒否すると、Atlas は同じリージョンに新しいプライベートエンドポイントの再作成を自動的に試行します。 プライベートエンドポイントのステータスを確認するには、Atlas Administration API encryptionAtRest GETすべてのエンドポイントまたは1 つのエンドポイントを取得します。このパスにはプライベートエンドポイントの ID を指定する必要があります。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/"

Atlas が新しいプライベートエンドポイントを作成しようとしている間に、拒否または削除したプライベートエンドポイントのステータスはPENDING_RECREATIONに移行し、Atlas が作成しようとする新しいエンドポイントはINITIATING状態になります。 新しいプライベートエンドポイントは、作成後に承認する必要があります。

暗号化のキーへのアクセスを取り消す

AKV内から Atlas の暗号化のキーへのアクセスを取り消して、データを固定できます。 暗号化のキーへのアクセスを取り消すと、Atlas はクラスターを自動的に一時停止します。

Azure Key 識別子のローテーション

開始する前に、 「 Azure キー識別子のローテーションについて 」を参照してください。

Atlas プロジェクトに関連付けられたAKVに新しいキーを作成する必要があります。 次の手順では、Atlas で新しいキー識別子を指定して、Atlas プロジェクト キー識別子をローテーションする方法を説明します。