클러스터를 위한 보안 기능 구성

전송 중 암호화

데이터베이스에 대한 연결을 암호화하기 위해 Atlas가 TLS/SSL을 요구합니다.

TLS/SSL 인증서는 다음과 같습니다.

• Atlas 가 인증서를 발급한 날로부터 90 일 동안 유효합니다.

• 인증서 만료 날짜 42 일 전에 로테이션되었습니다.

TLS 암호화 에 학습 보려면 Atlas 보안 백서를 참조하세요.

SSL 또는 TLS OCSP 인증서 해지 확인을 구성하려면 OCSP 인증서 해지 확인을 참조하세요.

가상 사설 클라우드

하나 이상의 M10+ 전용 클러스터가 있는 모든 Atlas 프로젝트에는 전용 VPC (또는 Azure를 사용하는 경우에는 VNet)가 제공됩니다. Atlas는 이 VPC 또는 VNet 내에 모든 전용 클러스터를 배포합니다.

저장된 데이터 암호화

기본적으로 Atlas는 Atlas 클러스터에 저장된 모든 데이터를 암호화합니다. Atlas는 키 관리를 사용한 미사용 데이터 암호화도 지원합니다.

네트워크 및 방화벽 요구 사항

애플리케이션이 MongoDB Atlas 환경에 연결할 수 있는지 확인하세요. 애플리케이션 환경에서 Atlas로의 인바운드 네트워크 액세스를 추가하려면 다음 중 하나를 수행하세요.

1. IP 액세스 목록에 공인 IP 주소 추가하기

2. VPC/VNet 피어링을 사용하여 비공개 IP 주소를 추가합니다.

3. 비공개 엔드포인트를 추가합니다.

방화벽이 아웃바운드 네트워크 연결을 차단하는 경우, 애플리케이션 환경에서 MongoDB Atlas로의 아웃바운드 액세스 권한을 허용해야 합니다. 애플리케이션이 Atlas 호스트의 TCP 트래픽에 대해 포트 27015부터 27017까지 아웃바운드 연결을 할 수 있도록 방화벽을 구성해야 합니다. 이렇게 하면 애플리케이션이 Atlas에 저장된 데이터베이스에 액세스할 수 있습니다.

VPC/VNet 피어링을 사용하지 않고 공용 IP 주소를 사용하여 Atlas에 연결하려는 경우, 다음 페이지에서 추가 정보를 확인하세요.

• MongoDB Atlas 프로젝트에 자체 VPC를 지정할 수 있나요?

• Atlas 클러스터의 공용 IP가 변경되나요?

IP 액세스 목록

Atlas는 해당 프로젝트의 IP 액세스 목록에 있는 항목에서만 클러스터에 대한 클라이언트 연결을 허용합니다. 연결하려면 IP 액세스 목록에 항목을 추가해야 합니다. 프로젝트의 IP 액세스 목록을 설정하려면 IP 액세스 목록 항목 구성을 참조하세요.

Google Cloud Platform(GCP) 또는 Microsoft Azure에 배포된 Atlas 클러스터의 경우, Google Cloud 또는 Azure 서비스의 IP 주소를 Atlas 프로젝트 IP 액세스 목록에 추가하여 해당 서비스가 클러스터에 접근할 수 있도록 허용하세요.

사용자 인증 또는 권한 부여

Atlas는 데이터베이스에 연결하기 위해 클라이언트에 인증을 요구합니다. 데이터베이스에 액세스하려면 데이터베이스 사용자를 생성해야 합니다. 클러스터에 데이터베이스 사용자를 설정하려면 데이터베이스 사용자 구성을 참조하세요. Atlas는 클러스터 인증 및 권한 부여를 위한 다양한 보안 기능을 제공합니다.

프로젝트의 클러스터에 액세스하려면 사용자가 해당 프로젝트에 속해 있어야 합니다. 사용자는 여러 프로젝트에 소속될 수 있습니다.

네트워크 피어링 연결

Atlas는 다른 AWS, Azure 또는 Google Cloud 네트워크 피어링 연결과의 피어링 연결을 지원합니다. 자세한 내용은 네트워크 피어링 연결 설정을 참조하세요.

비공개 엔드포인트

Atlas는 다음에 대한 비공개 엔드포인트를 지원합니다:

• Amazon Web Services AWS PrivateLink 기능을 사용하는 Amazon Web Services

• Azure Private Link 기능을 사용하는 Azure.

• GCP 비공개 서비스 연결 기능을 사용하는 Google Cloud

비공개 엔드포인트를 사용하려면 Learn About Private Endpoints in Atlas(Atlas의 비공개 엔드포인트에 대해 알아보기)를 참조하세요.

통합 AWS 액세스

Data Federation 및 고객 키 관리를 사용한 미사용 데이터 암호화를 포함한 일부 Atlas 기능은 인증을 위해 AWS IAM 역할을 사용합니다.

Atlas가 사용할 AWS IAM 역할을 설정하려면 통합 AWS 액세스 설정을 참조하세요.

클러스터 인증 및 권한 부여

Atlas는 클러스터 인증 및 권한 부여를 위해 다음과 같은 보안 기능을 제공합니다.

키 관리를 사용한 미사용 데이터 암호화

Atlas는 스토리지 엔진과 클라우드 제공업체 백업을 암호화하기 위해 AWS KMS, Azure Key Vault, Google Cloud를 지원합니다. 휴면 상태 암호화를 사용하려면 고객 키 관리를 사용한 휴면 상태에서의 암호화를 참조하세요.

클라이언트 사이드 필드 레벨 암호화

Atlas는 필드 자동 암호화를 포함하여 클라이언트 사이드 필드 레벨 암호화를 지원합니다. 모든 Atlas 사용자는 MongoDB의 자동 클라이언트 사이드 필드 레벨 암호화 기능을 사용할 수 있습니다.

자세한 내용은 클라이언트 사이드 필드 레벨 암호화 요구 사항에서 확인하세요.

데이터베이스 감사

Atlas는 모든 시스템 이벤트 조치에 대한 감사를 지원합니다. 데이터베이스 감사를 사용하려면 데이터베이스 감사 설정을 참조하세요.

액세스 추적

Atlas는 인증 로그를 Atlas UI에 직접 표시하므로 클러스터에 대한 인증 시도의 성공 및 실패를 쉽게 검토할 수 있습니다. 데이터베이스 액세스 기록을 보려면 데이터베이스 액세스 기록 보기를 참조하세요.

Atlas UI 액세스를 위한 다단계 인증

Atlas는 Atlas 계정에 대한 액세스를 제어할 수 있도록 MFA 를 지원합니다. MFA를 설정하려면 다단계 인증 옵션 관리를 참조하세요.

Atlas Control Plane에 대한 액세스 허용

다음 Atlas 기능 중 하나를 사용하는 경우 네트워크의 IP 액세스 목록에 Atlas IP 주소를 추가해야 할 수 있습니다.

• 알림 웹훅

• 고객 키 관리를 사용한 미사용 암호화

  참고

  미사용 데이터 암호화 기능을 활성화하는 경우, 샤딩된 클러스터 사용 시 CSRS(config 서버 복제본 세트)를 포함하여 배포에 있는 모든 호스트에 대해 공용 IP에서의 액세스를 허용해야 합니다.

{
  "controlPlane": {
    "inbound": {
      "aws": { // cloud provider
        "us-east-1": [ // region
          "3.92.113.229/32",
          "3.208.110.31/32",
          "107.22.44.69/32"
          ...,
        ],
        ...
       }
     },
     "outbound": {
       "aws": { // cloud provider
         "us-east-1": [ // region
           "3.92.113.229/32",
           "3.208.110.31/32",
           "107.22.44.69/32"
           ...,
         ],
         ...
        }
      }
  },
  "data_federation": {
    "inbound": {},
    "outbound" {}
  },
  "app_services": {
    "inbound": {},
    "outbound" {}
  },
  ...
}

Data Federation에 대한 액세스 허용

사용자의 네트워크에서 특정 IP 주소로만 아웃바운드 요청을 허용하는 경우, 요청이 연합 데이터베이스 인스턴스에 도달할 수 있도록 TCP 포트 27017에 다음과 같은 IP 주소에 대한 액세스를 허용해야 합니다.

108.129.35.102
13.54.14.65
18.138.155.47
18.140.240.47
18.196.201.253
18.200.7.156
18.204.47.197
18.231.94.191
3.122.67.212
3.6.3.105
3.8.218.156
3.9.125.156
3.9.90.17
3.98.247.136
3.99.32.43
3.130.39.53
3.132.189.43
35.206.65.216
35.209.197.46
35.210.31.154
35.210.66.17
20.23.173.153
20.23.171.79
20.96.56.124
20.190.207.191
20.197.103.232
20.197.103.246
34.217.220.13
34.237.78.67
35.158.226.227
52.192.130.90
52.193.61.21
52.64.205.136
54.203.115.97
54.69.142.129
54.91.120.155
54.94.3.214
65.1.222.250
99.81.123.21

OCSP 인증서 해지 확인

사용자의 네트워크가 특정 IP 주소로만 아웃바운드 요청을 허용하는 경우, SSL 또는 TLS OCSP 인증서 폐기 확인을 허용하기 위해서는 SSL 또는 TLS 인증서의 OCSP URL에서 찾을 수 있는 Atlas의 CA (인증 기관) OCSP Responder 서버에 대한 접근을 허용해야 합니다.

OCSP 인증서 해지 확인을 사용하지 않도록 설정하려면 애플리케이션에서 사용하는 MongoDB 드라이버 버전에 대한 설명서를 참조하세요.