Gerencie Chaves de Consumidor com o Azure Key Vault em Endpoints Privados

Caso de uso

Suponha que seu sistema do Atlas esteja em um único provedor de serviços de nuvem. Agora você tem um requisito de que todo o acesso ao seu AKV ocorra sobre a infraestrutura de rede privada do seu provedor de nuvem. Esta página orienta você pelas etapas para habilitar conexões de endpoint privadas para seu projeto Atlas .

Benefícios

Você pode usar a API de administração do Atlas para permitir que o Atlas configure a criptografia em repouso com o AKV usando endpoints privados. Isso permite que todo o tráfego para o AKV passe por um conjunto de endpoints privados e evite expor o AKV à Internet pública ou a endereços IP públicos. Ele elimina a necessidade de manter endereços IP permitidos e, ao mesmo tempo, melhora a segurança dos dados ao manter todo o tráfego do AKV dentro da rede privada do Azure.

Limitações

O Atlas não oferece suporte à criptografia em repouso usando CMK em endpoints privados para multinuvem . Se você habilitar a criptografia em descanso usando CMK sobre o Azure Private Link em um projeto existente com clusters de multinuvem , o Atlas desabilitará os clusters de multinuvem em seu projeto.

O Atlas não permite Encryption at Rest usando CMK em Endpoints Privados para projetos no estado INACTIVE .

O Atlas não oferece suporte ao acesso AKV por redes privadas para clusters da Amazon Web Services ou da Google Cloud Platform .

Habilitar chaves gerenciadas pelo cliente para um projeto

Você deve habilitar a CMK para um projeto antes de habilitá-la em um cluster nesse projeto. Você pode habilitar CMK para um projeto a partir da UI do Atlas e da API de Administração do Atlas .

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

Habilitar e configurar conexões de endpoint privado para um projeto

Você pode habilitar e configurar endpoints privados somente usando a API de administração do Atlas . Para habilitar redes privadas e configurar um endpoint privado em seu AKV, você deve fazer o seguinte:

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \
--data '
  {
    "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
      "enabled": true,
      "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
      "keyVaultName": "string",
      "requirePrivateNetworking": true,
      "resourceGroupName": "string",
      "secret": "string",
      "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
      "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b"
    }
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints" \
--data '
  {
    "regionName": "US_CENTRAL"
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AZURE",
      "errorMessage": "string",
      "id": "24-hexadecimal-digit-string",
      "regionName": "string",
      "status": "INITIATING",
      "privateEndpointConnectionName": "string"
    }
  ],
  "totalCount": 0
}

Depois de ativar a criptografia em repouso usando CMK (Over Private Networking) para seu projeto, você poderá ativar a encryption at rest usando CMK para cada cluster do Atlas em seu projeto.

Habilitar o gerenciamento de chaves do cliente para um Atlas cluster

Após Habilitar Chaves Gerenciadas pelo Cliente para um Projeto, você deve habilitar o gerenciamento de chave do cliente para cada cluster do Atlas que contém dados que você deseja criptografar. Se você configurou conexões de endpoint privadas para seu projeto do Atlas , o Atlas migrará automaticamente todos os clusters para os quais você já habilitou chaves gerenciadas pelo cliente, incluindo clusters existentes que permitem conexões utilizando a Internet pública, para utilizar somente a conexão do endpoint privado.

Para novos clusters, alterne a configuração Gerenciar suas próprias chaves de encriptação para Yes, se ainda não estiver habilitado, quando você criar o cluster.

Para clusters existentes:

Desativar chaves gerenciadas pelo consumidor para um projeto

Para desabilitar a CMK para um projeto, você deve primeiro remover todos os endpoints privados associados ao projeto, independentemente de seu estado. O Atlas exibe um erro se você tentar desabilitar a CMK para um projeto associado a endpoints privados ativos.

Após remover todos os endpoints privados de um projeto, você deve desabilitar o gerenciamento de chaves do cliente em cada cluster do projeto antes de desabilitar o recurso para o projeto.

Rejeitar ou remover conexão de endpoint privado

Para remover um endpoint privado, envie uma DELETE solicitação de para o endpoint da API de administração do Atlas e especifique a ID do projeto e do endpoint privado que você deseja excluir. Você pode recuperar o ID do endpoint privado que deseja excluir enviando uma GET solicitação de para o Serviço de retorno de um endpoint privado da API do Atlas para um endpoint do fornecedor.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-10-23+json" \\ or a different version of the Atlas Admin API
--header "Content-Type: application/json" \
--include \
--request DELETE "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/{endpointId}" \
--data '
  {
    "cloudProvider": "AZURE",
    "regions": [
      "string"
    ]
  }'

Quando você exclui um endpoint privado usando a API de administração do Atlas , o endpoint privado transita para o status DELETING enquanto o Atlas exclui o endpoint privado.

Se você remover ou rejeitar um endpoint privado ativo da interface do usuário do Azure , o Atlas tentará recriar automaticamente um novo endpoint privado na mesma região. Você pode verificar o status do endpoint privado enviando uma solicitação de GET para a API de administração do Atlas encryptionAtRest obter todos os endpoints ou obter um endpoint, para o qual você deve especificar o ID do endpoint privado no caminho.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-10-23+json" \\ or a different version of the Atlas Admin API
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/"

Enquanto o Atlas tenta criar um novo endpoint privado, o status do endpoint privado que você rejeitou ou removeu transições para PENDING_RECREATION e o novo endpoint que o Atlas tenta criar está no estado INITIATING . Você deve aprovar o novo endpoint privado após ele ser criado.

Desativar conexões de endpoint privado para um projeto

Para desativar as conexões de endpoint privado para um projeto, você deve primeiro remover todos os endpoints privados associados ao projeto, independentemente do estado. O Atlas não desabilita as conexões de endpoint privado para um projeto se o projeto estiver associado a endpoints privados ativos.

Após remover todos os endpoints privados de um projeto, você pode desabilitar as conexões de endpoints privados do projeto usando a API de administração do Atlas . Para desabilitar uma conexão de endpoint privado, envie uma solicitação de PATCH para o endpoint com o valor do sinalizador booleano requirePrivateNetworking definido como false.

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "secret": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b"
  }
}

Revogar Acesso a uma Chave de Encriptação

Você pode revogar o acesso do Atlas a uma chave de criptografia de dentro do AKV para congelar seus dados. O Atlas pausa automaticamente seus clusters quando você revoga o acesso à chave de criptografia.

Gire seu Identificador de Chave Azure

Antes de começar, saiba mais sobre como girar seu identificador de chave Azure.

Você deve criar uma nova chave no AKV associado ao seu projeto Atlas . O procedimento a seguir documenta como girar o Identificador de Chave do projeto Atlas especificando um novo identificador de chave no Atlas.