Google Cloud KMS로 고객 키 관리하기
이 페이지의 내용
참고
GCP KMS 의 고객 관리형 키(CMK)를 사용하여 Atlas 에 있는 미사용 데이터를 추가로 암호화할 수 있습니다.
Atlas 는 GCP 의 CMK 를 사용하여 마스터 키를 암호화 KMS 및 복호화한 MongoDB 다음, 클러스터 데이터베이스 파일과 클라우드 제공자 스냅샷 을 암호화하는 데 사용됩니다. Atlas 가 CMK를 사용하여 암호화하는 방법에 대해 자세히 알아보려면 GCP KMS 로 고객 관리 키 활성화를 참조하세요.
자체 cloud 제공자 KMS 를 사용하는 경우 Atlas 는 최소 90 일마다 MongoDB 마스터 키를 자동으로 로테이션합니다. 유지 관리 기간이 구성되어 있는 경우 유지 관리 기간 기간 동안 키 로테이션이 시작됩니다. 유지 관리(수동 또는 자동)를 연기하면 키가 90일 표시를 지나 회전할 수 있습니다. 키는 롤링 방식으로 회전하며 프로세스 에서 데이터를 다시 쓸 필요가 없습니다.
Atlas 프로젝트의 클러스터에서 활성화하기 전에 해당 프로젝트에 대한 고객 키 관리를 구성해야 합니다.
Google Cloud KMS로 고객 관리형 키 활성화
Atlas의 고객 키 관리는 엔벨로프 암호화 라는 프로세스를 따릅니다. . 이 프로세스는 한 키를 다른 키로 암호화하여 여러 암호화 계층을 생성합니다. 고객 키 관리를 활성화하기 위해 Atlas는 다음 암호화 키를 사용합니다.
Customer-Managed Key (CMK)고객 관리 키는 Google Cloud KMS에서 생성, 소유 및 관리하는 암호화 키입니다. Google Cloud KMS에서 CMK를 생성하고 이를 프로젝트 수준에서 Atlas에 연결합니다. Google Cloud KMS에서 사용되는 CMK에 대한 자세한 내용은 Google 클라우드 문서를 참조하세요.
Atlas는 이 키를 MongoDB 마스터 키를 암호화하는 데에만 사용합니다.
MongoDB Master KeyAtlas cluster 의 각 노드 는 MongoDB 마스터 키를 생성합니다. MongoDB 마스터 키는 MongoDB Server 가 데이터베이스별 암호화 키를 암호화하는 데 사용하는 암호화 키입니다. Atlas 는 암호화됨 키 사본을 로컬에 저장합니다.
이 키는 CMK로 암호화되며 데이터베이스별 암호화 키를 암호화합니다.
Per-Database Encryption Key또한 Atlas 클러스터의 각 노드는 클러스터의 데이터베이스별로 암호화 키를 생성합니다. Atlas는 이러한 키를 사용하여 이러한 키를 암호화하고 저장하는 WiredTiger를 통해 데이터를 읽고 씁니다.
이 키는 MongoDB Master Key로 암호화됩니다.
예시
3노드 복제본 세트에 대한 다음 암호화 계층 구조를 가정해 보겠습니다. Atlas 는 GCP 의 CMK 를 사용하여 KMS MongoDB 클러스터의 각 노드에 대해 고유한 마스터 키를 암호화합니다. 또한 각 노드에는 세 개의 데이터베이스가 포함되어 있으며, 각 데이터베이스는 고유한 데이터베이스별 암호화 키로 암호화됩니다. 클러스터가 시작되면Atlas 는 MongoDB GCP 의 CMK 를 사용하여 마스터 키를 KMS 해독하고 이를 에 MongoDB Server 제공합니다.
참고
고객 마스터 키의 Atlas의 액세스 권한을 취소하면 Atlas는 클러스터의 노드를 종료하며 고객 마스터 키의 액세스 권한을 복원할 때까지 데이터에 액세스할 수 없습니다.
필요한 액세스 권한
고객 키 관리를 구성하려면 프로젝트에 대한 Project Owner 액세스 권한이 있어야 합니다.
2} 액세스 권한이 있는 사용자는 프로젝트에 자신을 으로 추가해야 Organization Owner Project Owner 합니다.
전제 조건
MongoDB 프로젝트에 대해 Google Cloud KMS에서 고객 관리형 키를 활성화하려면 다음이 필요합니다:
M10 이상의 클러스터를 사용해야 합니다.
Google Cloud 서비스 계정 키.
Google Cloud KMS의 대칭 암호화 키.
Google Cloud KMS 암호화 키와 연결된 키 버전 리소스 ID.
서비스 계정 키에 지정된 자격 증명이 있는 Google Cloud 서비스 계정으로서 다음을 수행할 수 있는 충분한 권한이 있어야 합니다.
Google Cloud KMS 암호화 키 버전을 가져옵니다.
Google Cloud KMS 암호화 키 버전으로 데이터를 암호화합니다.
Google Cloud KMS 암호화 키로 데이터를 해독합니다.
참고
키 버전이 아닌 키가 암호 해독을 처리합니다.
Google Cloud KMS 구성에 필요한 경우, Atlas가 KMS와 통신할 수 있도록 클러스터 노드의 Atlas IP 주소 및 공용 IP 주소 또는 DNS 호스트 이름에 대해 GCP의 액세스 수준을 생성합니다. 노드 IP 주소가 변경되면 연결이 중단되지 않도록 구성을 업데이트해야 합니다.
프로젝트에서 고객 관리형 키 비활성화하기
프로젝트의 클러스터에서 먼저 고객 키 관리를 활성화해야 해당 프로젝트의 클러스터에서 고객 키 관리를 활성화할 수 있습니다.
AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.
아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.
아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.
사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.
고급 페이지가 표시됩니다.
Atlas 클러스터에 대한 고객 키 관리 활성화
프로젝트에 대해 고객 관리형 키를 활성화한 후에는 암호화하려는 데이터가 포함된 각 Atlas 클러스터에 대해 고객 키 관리를 활성화해야 합니다.
참고
해당 프로젝트의 클러스터에 대한 고객 키 관리를 사용하려면 Project Owner 역할이 있어야 합니다.
새 클러스터의 경우, 클러스터를 만들 때 자체 암호화 키 관리 설정을 Yes로 전환합니다.
기존 클러스터의 경우:
AtlasGo Atlas 에서 프로젝트 의 Clusters 페이지로 고 (Go) 합니다.
아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 원하는 프로젝트가 포함된 조직을 선택합니다.
아직 표시되지 않은 경우 탐색 표시줄의 Projects 메뉴에서 원하는 프로젝트를 선택합니다.
아직 표시되지 않은 경우 사이드바에서 Clusters를 클릭합니다.
Clusters(클러스터) 페이지가 표시됩니다.
알림
프로젝트에 대한 고객 키 관리를 구성하면 Atlas가 자동으로 encryption key rotation alert 를 생성합니다. GCP 키 버전 리소스 ID를 교체하여 언제든지 이 경고를 재설정할 수 있습니다.
GCP 키 버전 리소스 ID 회전
참고
MongoDB 마스터 키 - MongoDB의 책임
자체 cloud 제공자 KMS 를 사용하는 경우 Atlas 는 최소 90 일마다 MongoDB 마스터 키를 자동으로 로테이션합니다. 유지 관리 기간이 구성되어 있는 경우 유지 관리 기간 기간 동안 키 로테이션이 시작됩니다. 유지 관리(수동 또는 자동)를 연기하면 키가 90일 표시를 지나 회전할 수 있습니다. 키는 롤링 방식으로 회전하며 프로세스 에서 데이터를 다시 쓸 필요가 없습니다.
Google Cloud CMK - 귀하의 책임
Atlas는 Google Cloud 키 관리에 사용되는 키 버전 리소스 ID를 자동으로 교체하지 않습니다.
권장 사항으로, Atlas 프로젝트에 대해 미사용 데이터 암호화를 활성화하면 기본적으로 90일마다 GCP 키 버전 리소스 ID를 교체하도록 alert가 생성됩니다. 해당 알림의 기간은 사용자가 구성할 수 있습니다.
다음을 회전 할 수 있습니다. 직접 GCP CMK 를 생성하거나 자동으로 회전하도록 KMSGCP 인스턴스를 구성합니다.CMK . 자동 GCP CMK 로테이션을 구성하는 경우 기본 로테이션 기간은 약 365 일입니다.
Google Cloud에서 이미 자동 CMK 교체를 설정했고 90일마다 CMK를 교체하라는 Atlas 알림을 수신하지 않으려는 경우 기본 알림 기간을 365일 이상으로 수정할 수 있습니다.
전제 조건
Atlas 프로젝트와 연결된 Google Cloud 계정에서 새 서비스 계정 키를 만들어야 합니다.
절차
다음 절차에서는 Atlas에서 새 키 버전 리소스 ID를 지정해 Atlas 프로젝트 키 식별자를 교체하는 방법을 설명합니다.
AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.
아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.
아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.
사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.
고급 페이지가 표시됩니다.
GCP 키 세부 정보를 업데이트합니다.
Google Cloud KMS 탭이 아직 활성화되지 않은 경우 Google Cloud KMS를 클릭합니다.
Encryption Key Credentials 대화 상자가 아직 표시되지 않은 경우 Encryption Key Credentials를 확장합니다.
Key Identifier 항목에 GCP 키 버전 리소스 ID를 입력합니다.
CryptoKeyVersion에 대한 정규화된 리소스 이름을 포함합니다.
예시
projects/my-project-0/locations/us-east4/keyRings/my-key-ring-0/cryptoKeys/my-key-0/cryptoKeyVersions/1 암호화 키는 Atlas 프로젝트에 대해 구성된 Google Cloud 서비스 계정 키에 반드시 속해야 합니다. 프로젝트에 대해 현재 구성된 서비스 계정 키를 보려면 Service Account Key 섹션을 클릭하세요.
Update Credentials를 클릭합니다.
키 식별자 교체 프로세스 중에는 Atlas 콘솔에 배너가 표시됩니다.
경고
변경 사항이 배포될 때까지 원래 키 버전 리소스 ID를 삭제하거나 비활성화하지 마세요.
클러스터에서 클러스터 백업을 사용하는 경우 해당 키가 암호화에 사용된 스냅샷이 없음을 확인할 때까지 원래 키 버전 리소스 ID를 삭제하거나 비활성화하지 않도록 합니다.
알림
이 절차가 완료되면 Atlas에서 encryption key rotation alert 타이머를 재설정합니다.
관련 주제
Atlas 클러스터를 배포할 때 키 관리를 사용하여 저장된 암호화를 활성화하려면 자체 암호화 키 관리를 참조하세요.
기존 Atlas 클러스터에 대해 키 관리를 사용하여 저장된 암호화를 활성화하려면 저장된 암호화 활성화를 참조하세요.
Atlas의 키 관리를 사용한 저장 데이터 암호화에 대해 자세히 알아보려면 고객 키 관리를 사용한 저장 데이터 암호화를 참조하세요.
MongoDB 미사용 데이터 암호화에 대한 자세한 내용은 MongoDB 서버 문서의 미사용 데이터 암호화를 참조하세요.
클라우드 백업을 사용한 미사용 데이터 암호화에 대해 자세히 알아보려면 스토리지 엔진 및 클라우드 백업 암호화를 참조하세요.