パブリック ネットワーク経由で Azure Key Vault を使用してカスタマー キーを管理する

前提条件

MongoDB プロジェクトでAKVを使用してカスタマー マネージド キーを有効にするには、次の手順を実行する必要があります。

• M10 以上のクラスターを使用します。

• クラウドバックアップを使用してバックアップ スナップショットを暗号化します。レガシーバックアップはサポートされていません。

• Azureアカウントと Key Vault の認証情報と、暗号化のキーのキー識別子をAKVに用意します。

  • アカウントには、クライアント ID、テナント ID、およびシークレットが必要です。

  • キーヴォールトには、サブスクリプション ID、リソース グループ名、およびキーヴォールト名が必要です。

  これらの Azure コンポーネントの構成方法については、 Azure ドキュメント を参照してください。

  Atlas は、Atlas プロジェクト内のクラスターの保管時の暗号化を有効にするときにこれらのリソースを使用します。

• ユーザーがクラスターを簡単に作成または変更できるようにするには、キーへの公開アクセスを許可します。 キーの範囲を絞り込んでリスクを軽減するには、 TLSや認証などの制御を使用します。

• 定義されたIP範囲へのアクセスを制限するには、Atlas IPアドレスとクラスター ノードのパブリックIPアドレスからのアクセスを許可します。

  • Atlas が AKV と通信できることを確認します。接続の中断を回避するには、ノードのIPアドレスが 変更される たびに 構成を更新 してください。例、インバウンド アクセス ルールを更新する必要がある場合があります。

  • AKV へのアクセスを制限すると、 IPアドレスが変更されたときの複雑さが増す。例、クラスターを作成または更新するときは、AKV 内のすべての新しいIPアドレスへのアクセスを許可する必要があります。

プロジェクトでのカスタマー マネージド キーの有効化

プロジェクト内のクラスターで CMK を有効にする前に、プロジェクトでCMKを有効にする必要があります。 Atlas UI と Atlas Administration API からプロジェクトでCMKを有効にできます。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest" \
--data '
  {
    "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
      "enabled": true,
      "keyIdentifier": "https://{EXAMPLEKeyVault}.vault.azure.net/keys/{EXAMPLEKey}/      d891821e3d364e9eb88fbd3d11807b86",
      "keyVaultName": "string",
      "resourceGroupName": "string",
      "secret": "string",
      "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
      "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b"
    }
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
    "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b",
    "valid": true
  }
}

Atlas クラスターのカスタマー キー管理の有効化

プロジェクトでカスタマー マネージド キーを有効 にした後、暗号化するデータを含む各 Atlas クラスターに対してカスタマー キー マネジメントを有効にする必要があります。

新しいクラスターの場合は、クラスターを作成するときに 独自の暗号化キーの管理設定を [Yes] に切り替えます。

既存クラスターの場合:

プロジェクトのカスタマー マネージド キーの無効化

プロジェクトの機能を無効にする前に、プロジェクト内の各クラスターでカスタマー キー管理を無効にする必要があります。

暗号化のキーへのアクセスを取り消す

Atlas の暗号化のキーへのアクセスは、 AKV内から取り消すことができます。 Atlas は、 AKV IP アクセス リストで Atlas コントロール プレーンが制限されていない限り、暗号化のキーへのアクセスを取り消すと、クラスターを自動的に一時停止します。

クラスターの自動一時停止を許可するには、次のいずれかを行う必要があります。

• AKVの IP アクセス リストを無効にする

• Atlas コントロール プレーン から AKV へのアクセスを許可します。

IPAtlas暗号化のキーへのアクセスを取り消すときに、 コントロール プレーンからのアクセスが制限されている場合は、 Atlas アクセスを取り消すためにクラスターを手動で一時停止する必要がありAtlas 。

Azure Key 識別子のローテーション

開始する前に、 「 Azure キー識別子のローテーションについて 」を参照してください。

Atlasプロジェクトに関連付けられた AKV に新しいキーを作成する必要があります。次の手順では、Atlas で新しいキー識別子を指定して、Atlasプロジェクトキー識別子をローテーションする方法を説明します。

関連トピック

• Atlas クラスターの配置時にキー管理を使用して保管時の暗号化を有効にするには、「独自の暗号化キーの管理 」を参照してください。

• 既存の Atlas クラスターでキー管理を使用して保管時の暗号化を有効にするには、 「 保管時の暗号化の有効化 」を参照してください。

• Atlas でキー管理を使用した保管時の暗号化の詳細については、「 カスタマー キー管理を使用した保管時の暗号化 」を参照してください。

• MongoDB の保存時の暗号化の詳細については、MongoDB サーバーのドキュメントの「保存時の暗号化」を参照してください。

• クラウドバックアップによる保管時の暗号化について詳しくは、「ストレージ エンジンとクラウドバックアップの暗号化」を参照してください。