Gerenciar chaves de cliente com AWS KMS

Exemplo

Considere a seguinte hierarquia de criptografia para um conjunto de réplicas de três nós. O Atlas usa a CMK do AWS KMS para criptografar uma chave mestra exclusiva do MongoDB para cada nó no cluster. Cada nó também contém três bancos de dados, cada um deles criptografado com uma chave de criptografia exclusiva por banco de dados. Quando o cluster é inicializado, o Atlas descriptografa a chave mestra do MongoDB usando a CMK do AWS KMS e a fornece ao MongoDB Server.

clique para ampliar

Pré-requisitos

Para habilitar chaves gerenciadas pelo cliente com o AWS KMS para um projeto MongoDB, você deve:

• Use um cluster M10 ou superior.

• Use backups em nuvem para criptografar seus snapshots de backups. Backups legados não são compatíveis.

• Tenha uma chave simétrica do AWS KMS . Para saber como criar uma chave, consulte Criar chaves na documentação do AWS.

  Observação

  Para garantir a resiliência no caso de uma interrupção regional, configure sua chave KMS para ser uma chave multirregional.

  Para saber mais, consulte Reconfigurar a região do AWS KMS durante uma interrupção.

• Tenha um role AWS IAM com privilégios suficientes. O Atlas deve ter permissão para realizar as seguintes ações com sua chave:

  • Descrever a chave

  • Criptografar

  • Descriptografar

  Observação

  Se você quiser usar a chave do AWS KMS com um role do AWS IAM de uma conta da AWS diferente em vez do role do IAM que criou a chave do AWS KMS, verifique se você tem privilégios suficientes:

  • Adicione uma declaração de política de chave na chave AWS KMS para permitir o acesso de uma conta AWS externa.

  • Adicione uma política interna do IAM para o role do IAM na conta externa do AWS.

  Para acessar uma discussão abrangente sobre funções do IAM e chaves mestras do cliente, consulte a documentação da AWS.

  Após confirmar os privilégios acima, você pode seguir as etapas usuais para definir as configurações de KMS no Atlas, com a seguinte exceção:

  • Você deve fornecer o ARN completo para a chave AWS KMS (por exemplo, arn:aws:kms:eu-west-2:111122223333:key/12345678-1234-1234-1234-12345678) em vez da ID da chave mestre (por exemplo, 12345678-1234-1234-1234-12345678) no campo ID da chave AWS KMS.

  Para saber como criar uma função IAM, consulte Funções IAM na documentação AWS.

  O Atlas usa a mesma role do IAM e as mesmas configurações de chave do AWS KMS para todos os clusters em um projeto para o qual a criptografia em repouso está habilitada.

• Se a configuração do AWS KMS exigir, permita o acesso dos endereços IP do Atlas e dos endereços IP públicos ou nomes de host DNS dos nós do cluster para que o Atlas possa se comunicar com o KMS. Você deve incluir os endereços IP na política de função de IAM gerenciado configurando operadores de condição de endereço IP no documento de política. Se os endereços IP do nó forem alterados, você deverá atualizar sua configuração para evitar interrupções de conectividade.

Habilite para o acesso baseado em roles à sua chave de encriptação para um projeto

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}

curl --user "{public key}:{private key}" --digest \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'

Mude para o acesso baseado em roles à sua chave de encriptação para um projeto

Habilitar o gerenciamento de chaves do cliente para um Atlas cluster

Depois de habilitar o acesso baseado em função à sua chave de criptografia para um projeto, você deve habilitar o gerenciamento de chaves do cliente para cada cluster do Atlas que contém dados que você deseja criptografar.

Para novos clusters, alterne a configuração Gerenciar suas próprias chaves de encriptação para Yes quando você criar o cluster.

Para clusters existentes:

Chave mestra MongoDB - Responsabilidade do MongoDB

Quando você usa seu próprio provedor de nuvem KMS, o Atlas gira automaticamente as chaves mestras do MongoDB pelo menos a cada 90 dias. A rotação de suas chaves começará durante uma período de manutenção , se houver uma configurada. Adiar a manutenção (manual ou automaticamente) pode fazer com que a chave seja girada além da marca de 90dias. As chaves são giradas de forma contínua e o processo não exige que os dados sejam reescritos.

Sua chave mestre do cliente AWS - Sua responsabilidade

O Atlas não rotaciona automaticamente a CMK do AWS usado para Encryption at rest - fornecida pelo AWS.

Como prática recomendada, o Atlas cria um alert para lembrá-lo de alternar seu Amazon Web Services CMK a cada 90 dias por padrão quando você ativa a Criptografia em Repouso para um projeto do Atlas . Você pode configurar o período deste alerta.

Você mesmo pode alternar sua CMK da AWS ou configurar sua instância do AWS KMS para alternar automaticamente sua CMK. Se você configurar a alteração automática da CMK da AWS, o período padrão para alternar é de aproximadamente 365 dias.

Se já configurou uma rotação CMK automática em AWS e não deseja receber o alerta Atlas para rotacionar sua CMK a cada 90 dias, você pode modificar o período de alerta padrão para ser maior que 365 dias ou desabilitar o alerta.

Esta página explica como criar uma nova chave e atualizar o ID da CMK no Atlas para girar seu projeto do Atlas CMK. Esse método de rotação de chaves permite um controle mais granular do período de rotação em comparação com a rotação automática de CMK do AWS KMS .

Procedimento

Procedimento

Para reconfigurar sua região do AWS KMS, complete as seguintes etapas no Atlas: