비공개 엔드포인트를 통한 Azure Key Vault 로 고객 키 관리

사용 사례

Atlas 배포서버 가 단일 cloud 서비스 제공자 에 있다고 가정해 보겠습니다. 이제 AKV 에 대한 모든 액세스 는 cloud 제공자의 비공개 네트워킹 인프라를 통해 이루어져야 합니다. 이 페이지에서는 Atlas 프로젝트 에 대해 비공개 엔드포인트 연결을 활성화 하는 단계를 안내합니다.

혜택

Atlas 관리 API 를 사용하여 Atlas 가 비공개 엔드포인트를 사용하여 AKV 로 미사용 데이터 암호화를 구성하도록 허용할 수 있습니다. 이렇게 하면 AKV 에 대한 모든 트래픽이 비공개 엔드포인트 설정하다 를 통과할 수 있으며 AKV 가 공용 인터넷 또는 공용 IP 주소에 노출되는 것을 방지할 수 있습니다. 허용된 IP 주소를 유지하면서 모든 AKV 트래픽을 Azure 의 비공개 네트워크 내에 유지하여 데이터 보안을 강화할 필요가 없습니다.

제한 사항

Atlas 는 멀티클라우드 배포를 위해 비공개 엔드포인트를 통한 CMK 를 사용한 미사용 데이터 암호화를 지원 하지 않습니다. 멀티클라우드 클러스터가 있는 기존 프로젝트 에서 Azure Private Link 를 통한 CMK 를 사용하여 미사용 데이터 미사용 데이터 암호화 를 활성화 하는 경우, Atlas 는 프로젝트 에서 멀티클라우드 클러스터를 비활성화합니다.

Atlas 는 INACTIVE 상태 의 프로젝트에 대해 비공개 엔드포인트를 통한 CMK 를 사용하는 미사용 데이터 암호화를 지원 하지 않습니다.

는 또는 Amazon Web Services 클러스터에 대해 비공개 네트워킹을Atlas 통한 AKV 액세스 를 지원 하지 않습니다.Google Cloud Platform

프로젝트에서 고객 관리형 키 비활성화하기

해당 프로젝트 의 클러스터 에서 CMK를 활성화 하려면 먼저 프로젝트 에 대해 CMK 를 활성화 해야 합니다. Atlas UI 및 Atlas Administration API 에서 프로젝트 에 CMK 를 활성화 할 수 있습니다.

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

프로젝트에 대한 비공개 엔드포인트 연결 활성화 및 설정

Atlas 관리 API 를 통해서만 비공개 엔드포인트를 활성화 하고 설정하다 수 있습니다. AKV 에서 비공개 네트워킹을 활성화 하고 비공개 엔드포인트를 설정하다 하려면 다음을 수행해야 합니다.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \
--data '
  {
    "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
      "enabled": true,
      "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
      "keyVaultName": "string",
      "requirePrivateNetworking": true,
      "resourceGroupName": "string",
      "secret": "string",
      "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
      "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b"
    }
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints" \
--data '
  {
    "regionName": "US_CENTRAL"
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AZURE",
      "errorMessage": "string",
      "id": "24-hexadecimal-digit-string",
      "regionName": "string",
      "status": "INITIATING",
      "privateEndpointConnectionName": "string"
    }
  ],
  "totalCount": 0
}

프로젝트에 대해 CMK 를 사용한 미사용 데이터 암호화(사설 네트워킹을 통한)를 활성화 한 후 프로젝트 의 각 Atlas cluster 에 대해 CMK 를 사용한 미사용 데이터 암호화를 활성화 할 수 프로젝트.

Atlas 클러스터에 대한 고객 키 관리 활성화

Enable Customer-Managed Keys for a Project(프로젝트에 고객 관리형 키 활성화)를 활성화한 후에는 암호화하려는 데이터가 포함된 각 Atlas cluster 에 대해 고객 키 관리 를 활성화 해야 합니다. Atlas 프로젝트 에 비공개 엔드포인트 연결을 구성한 경우, Atlas 는 공용 인터넷을 사용한 연결을 허용하는 기존 클러스터를 포함하여 이미 고객 managed 키 를 활성화한 모든 클러스터가 비공개 엔드포인트 연결만 사용하도록 자동으로 마이그레이션합니다.

새 클러스터의 경우, 클러스터 를 생성할 때 자체 암호화 키 관리 설정을 Yes 로 전환하고, 아직 활성화되어 있지 않은 경우 로 전환합니다.

기존 클러스터의 경우:

프로젝트에서 고객 관리형 키 비활성화하기

프로젝트 에 대해 CMK 를 비활성화하려면 상태 에 관계없이 먼저 프로젝트 와 연결된 모든 비공개 엔드포인트 를 제거 해야 합니다. 활성 비공개 엔드포인트 와 연결된 프로젝트 에 대해 CMK 를 비활성화하려고 하면 Atlas 에서 오류를 표시합니다.

프로젝트의 모든 비공개 엔드포인트 를 제거한 후에는 프로젝트 의 각 클러스터 에서 고객 키 관리 를 비활성화해야 프로젝트 에서 해당 기능 을 비활성화할 수 프로젝트.

비공개 엔드포인트 연결 거부 또는 제거

비공개 엔드포인트를 성공적으로 제거 DELETE 하려면 Atlas 관리 API 엔드포인트에 요청 을 보내고 삭제 하려는 프로젝트 및 비공개 엔드포인트의 ID 를 지정합니다. 삭제 하려는 비공개 엔드포인트의 ID 를 조회 하려면 GET Atlas Administration API Return One Private Endpoint Service for One Provider endpoint(1개의 제공자 엔드포인트에 대해 1개의 비공개 엔드포인트 서비스 반환)에 요청 을 전송합니다.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-10-23+json" \\ or a different version of the Atlas Admin API
--header "Content-Type: application/json" \
--include \
--request DELETE "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/{endpointId}" \
--data '
  {
    "cloudProvider": "AZURE",
    "regions": [
      "string"
    ]
  }'

Atlas Administration API 를 사용하여 비공개 엔드포인트를 삭제 하면 비공개 엔드포인트는 DELETING 상태로 전환되는 반면 Atlas 는 비공개 엔드포인트를 삭제합니다.

Azure UI 에서 활성 비공개 엔드포인트를 제거 하거나 거부하면 Atlas 는 동일한 리전 에 새 비공개 엔드포인트를 자동으로 다시 생성하려고 시도합니다. 요청 을 Atlas 관리 API 에 전송하여 비공개 엔드포인트의 상태를 GET encryptionAtRest 확인하거나, 경로에 비공개 엔드포인트의 ID 를 지정해야 하는 엔드포인트 1개 가져오기 를 수행할 수 있습니다.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-10-23+json" \\ or a different version of the Atlas Admin API
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/"

Atlas 가 새 비공개 엔드포인트를 만들려고 시도하는 동안 거부하거나 제거한 비공개 엔드포인트의 상태는 PENDING_RECREATION (으)로 전환되고 Atlas 가 생성을 시도하는 새 엔드포인트는 INITIATING 상태 가 됩니다. 새 비공개 엔드포인트를 만든 후에는 승인해야 합니다.

프로젝트에 대한 비공개 엔드포인트 연결 비활성화

프로젝트 의 비공개 엔드포인트 연결을 비활성화하려면 먼저 상태 에 관계없이 프로젝트 와 연결된 모든 비공개 엔드포인트 를 제거 해야 합니다. 프로젝트 가 활성 비공개 엔드포인트 와 연결된 경우 Atlas 는 프로젝트 에 대한 비공개 엔드포인트 연결을 비활성화하지 않습니다.

프로젝트 의 모든 비공개 엔드포인트 를 제거한 후, Atlas 관리 API 를 사용하여 프로젝트 에 대한 비공개 엔드포인트 연결을 비활성화할 수 있습니다. 비공개 엔드포인트 연결을 비활성화하려면 requirePrivateNetworking 부울 플래그 값을 false 로 설정하다 하여 엔드포인트 에 PATCH 요청 을 보냅니다.

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "secret": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b"
  }
}

암호화 키에 대한 액세스 권한 철회하기

AKV 내에서 암호화 키 에 대한 Atlas의 액세스 를 취소하여 데이터를 동결할 수 있습니다. 암호화 키 에 액세스 를 취소하면 Atlas 가 클러스터를 자동으로 일시 중지합니다.

Azure 키 식별자 회전하기

시작하기 전에 Azure 키 식별자 순환 정보를 학습 보세요.

Atlas 프로젝트 와 연결된 AKV 에서 새 키를 만들어야 합니다. 다음 절차에서는 Atlas 에서 새 키 식별자를 지정하여 Atlas 프로젝트 키 식별자를 회전하는 방법을 설명합니다.