AWS KMS로 고객 키 관리

Atlas에서 프로젝트의 Advanced 페이지로 이동합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced 을 클릭합니다.

   고급 페이지가 표시됩니다.

Encryption at Rest using your Key Management 옆의 버튼을 On로 전환합니다.

링크를 클릭하여 미사용 데이터 미사용 데이터 암호화 Authorize a new IAM role 위해 AWS KMS 키에 액세스 수 있도록 Atlas 에AWS IAM 역할 을 승인합니다.

미사용 데이터 암호화를 위한 AWS KMS 키에 액세스하려면, AWS CLI를 사용하여 새 역할 생성 절차를 따라 새로운 AWS IAM 역할을 생성합니다. 기존의 AWS IAM 역할을 승인하려면 기존 역할에 신뢰 관계 추가 절차를따르세요.

AWS 콘솔 또는 CLI를 통해 AWS IAM 역할에 액세스 정책을 추가합니다. 자세한 사항은 IAM 정책 관리하기를 참조하세요.

미사용 데이터 암호화에 대한 액세스 정책은 다음과 유사합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}

암호화 키에 액세스하기 위해 1단계와 2단계를 반복하여 3단계에서 승인한 역할을 프로젝트에 할당합니다.

암호화 키에 액세스하기 위해 다음을 지정하고 Save를 클릭합니다.

1. 0} 드롭다운 목록에서 할당할 역할을 선택합니다.AWS IAM role

2. Customer Master Key ID 필드에 암호화 키를 지정합니다.

3. 암호화 키에 대한 AWS 리전을 선택합니다.

cloudProviderAccess 엔드포인트로 POST 요청을 전송합니다.

API 엔드포인트를 사용하여 새 AWS IAM 역할을 생성합니다. Atlas는 AWS 계정 인증에 이 역할을 사용합니다.

다음 단계에서 사용할 수 있도록 반환된 필드 값 atlasAWSAccountArn 및 atlasAssumedRoleExternalId를 준비해 두세요.

AWS IAM 역할 신뢰 정책을 수정합니다.

1. AWS 관리 콘솔에 로그인합니다.

2. Identity and Access Management (IAM) 서비스로 이동합니다.

3. 왼쪽 탐색에서 Roles 을 선택합니다.

4. 역할 목록에서 Atlas 액세스에 사용하려는 기존 IAM 역할을 클릭합니다.

5. 0}Trust Relationships 탭을 선택합니다.

6. Edit trust relationship 버튼을 클릭합니다.

7. Policy Document를 편집합니다. 다음 내용이 포함된 새 Statement 객체를 추가합니다.

   참고

   이 정책 문서는 MongoDB의 AWS 주체가 고객의 KMS 키를 암호화 및 복호화 작업에 사용할 수 있도록 허용합니다. Atlas 주체는 비밀이 아니며 모든 Atlas 고객에게 사용됩니다. 이 계정은 매우 제한적이고 목적이 한정된 AWS 계정이며, IAM 사용자 외에는 리소스가 없습니다. 정책 문서의 ExternalId는 각 Atlas 프로젝트마다 고유하지만 비밀이 아닙니다. ExternalId는 교차 컨텍스트(혼동된 대리인) 취약성을 완화하는 데 사용됩니다. 모든 고객의 키에 액세스하기 위해 공통 주체를 사용하는 Atlas의 방식은 여기에서 설명된 Amazon의 권장 액세스 방식입니다.

   참고

   1단계에서 강조 표시된 줄을 API 호출에서 반환된 값으로 바꿉니다.

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action:" "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. Update Trust Policy 버튼을 클릭합니다.

새 IAM 역할에 권한을 부여합니다.

API 엔드포인트를 사용하여 새로운 IAM 가정 역할 ARN을 승인하고 구성합니다. API 호출이 성공하면 AWS를 사용하는 Atlas 서비스를 구성할 때 roleId 값을 사용할 수 있습니다.

프로젝트에서 역할 권한 부여를 통해 AWS KMS 활성화

PATCH 요청을 encodingAtRest API 엔드포인트로 전송하여 권한이 부여된 AWS IAM 역할 ID로 awsKms.roleId 필드를 업데이트합니다.

curl --user "{public key}:{private key}" --digest \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'

Atlas에서 프로젝트의 Advanced 페이지로 이동합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced 을 클릭합니다.

   고급 페이지가 표시됩니다.

Encryption at Rest using your Key Management 섹션의 경우 Edit 을 클릭합니다.

Grant Access to Keys with an AWS IAM Role 섹션의 정보를 읽고 Configure를 클릭합니다.

미사용 시 미사용 데이터 암호화를 위해 AWS KMS 키에 액세스할 수 있도록 Atlas에 AWS IAM 역할을 승인하고 할당하십시오.

미사용 데이터 암호화를 위한 AWS KMS 키에 액세스하려면, AWS CLI를 사용하여 새 역할 생성 절차를 따라 새로운 AWS IAM 역할을 생성합니다. 기존의 AWS IAM 역할을 승인하려면 기존 역할에 신뢰 관계 추가 절차를따르세요.