Gerenciar chaves de cliente com AWS em uma rede pública

No Atlas, VáGo para a Advanced página do seu projeto.

1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

3. Na barra lateral, clique em Advanced sob o título Security.

   A página Avançado é exibida.

Alterne o botão ao lado de Encryption at Rest using your Key Management para On.

Clique no link Authorize a new IAM role para autorizar uma função de IAM da AWS no Atlas para acessar suas chaves da AWS KMS para criptografia em descanso.

Para criar um novo role IAM do AWS para acessar suas chaves KMS do AWS para encryption at rest, siga o procedimento Criar novo role com o AWS CLI. Se você tiver um role AWS IAM existente que deseja autorizar, siga o procedimento Adicionar relacionamentos de confiança sa um role existente.

Adicione uma política de acesso à sua função IAM da AWS através do console ou CLI da AWS. Consulte Gerenciamento de políticas do IAM para mais informações.

A política de acesso para encryption at rest é similar ao exemplo a seguir:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}

Repita as etapas 1 e 2 para atribuir o role que você autorizou na etapa 3 ao seu projeto para acessar a chave de encriptação.

Especifique o seguinte para acessar sua chave de criptografia e clique em Save.

1. Selecione a role a ser atribuída na lista suspensa AWS IAM role.

2. Especifique sua chave de encriptação no campo Customer Master Key ID.

3. Selecione a região da AWS para sua chave de criptografia.

Envie uma solicitação POST para o ponto de extremidade cloudProviderAccess .

Use o ponto de extremidade da API para criar um novo papel IAM do AWS. O Atlas usará esse papel para autenticação com sua conta do AWS.

Mantenha os valores de campo retornados atlasAWSAccountArn e atlasAssumedRoleExternalId perto para uso na próxima etapa.

Modifique sua política de confiança de role do AWS IAM.

1. Faça login no Console de gerenciamento da AWS .

2. Navegue até o serviço de Identity and Access Management (IAM).

3. Selecione Roles na navegação do lado esquerdo.

4. Clique no papel IAM existente que você deseja utilizar para acesso do Atlas a partir da lista de papéis.

5. Selecione a guia Trust Relationships.

6. Clique no botão Edit trust relationship.

7. Edite o Policy Document. Adicione um novo objeto Statement com o seguinte conteúdo.

   Observação

   Essa declaração de política permite que o principal do MongoDB na AWS use a chave KMS do cliente para operações de criptografia e descriptografia. O principal do Atlas não é secreto e é usado com todos os clientes do Atlas. Essa é uma conta da AWS altamente restrita e de propósito limitado, sem recursos além do usuário do IAM. O ExternalId na declaração de política é exclusivo para cada projeto do Atlas, mas não é secreto. O ExternalId é usado para mitigar a possibilidade de vulnerabilidades entre contextos (deputado confuso). O uso do Atlas de um principal comum para acessar as chaves de todos os clientes é um padrão de acesso recomendado pela Amazon, conforme descrito aqui.

   Observação

   Substitua as linhas destacadas pelos valores retornados da chamada de API na etapa 1.

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action:" "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. Clique no botão Update Trust Policy.

Autorize a função do IAM recém-criada.

Use o endpoint da API para autorizar e configurar o novo IAM Assumed Role ARN. Se a chamada da API for bem-sucedida, você pode usar o valor roleId ao configurar serviços do Atlas que utilizam AWS.

Habilite o AWS KMS com autorização de função no projeto

Envie uma solicitação PATCH ao ponto de extremidade da API encryptionAtRest para atualizar o campo awsKms.roleId com seu ID de função do AWS IAM autorizado.

curl --user "{public key}:{private key}" --digest \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'

No Atlas, váGo para a Advanced página do seu projeto.

1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

3. Na barra lateral, clique em Advanced sob o título Security.

   A página Avançado é exibida.

Para a seção Encryption at Rest using your Key Management, clique em Edit .

Leia as informações na seção Grant Access to Keys with an AWS IAM Role e clique em Configure.

Autorize o Atlas fornecendo um role do AWS IAM que lhe permita acessar suas chaves do AWS KMS para encryption at rest.

Para criar um novo role IAM do AWS para acessar suas chaves KMS do AWS para encryption at rest, siga o procedimento Criar novo role com o AWS CLI. Se você tiver um role AWS IAM existente que deseja autorizar, siga o procedimento Adicionar relacionamentos de confiança sa um role existente.