Configurar recursos de segurança para clusters

DICAS 140-2

O Atlas habilita automaticamente o nível FIPS 140-2 2 para todos os bancos de dados.

Criptografia em trânsito

O Atlas exige TLS/SSL para criptografar as conexões com seus bancos de dados.

Os certificadosTLS/SSL são:

• Válido por 90 dias a partir do dia em que o Atlas emite o certificado.

• Rotacionado 42 dias antes da data de expiração do certificado.

Para saber mais sobre criptografia TLS, consulte o whitepaper de segurança do Atlas .

Para configurar a verificação de revogação de certificados OCSP SSL ou TLS, consulte Verificação de revogação de certificados OCSP.

Nuvem privada virtual

Todos os projetos Atlas com um ou mais clusters dedicados M10+ recebem seu próprio VPC dedicado (ou VNet se você utilizar o Azure). O Atlas implementa todos os clusters dedicados dentro deste VPC ou VNet.

Criptografia em descanso

Por padrão, o Atlas criptografa todos os dados armazenados em seus clusters do Atlas. O Atlas também permite criptografia em descanso usando seu Gerenciamento de Chaves.

Requisitos de rede e firewall

Certifique-se de que seu aplicativo possa alcançar seu ambiente MongoDB Atlas. Para adicionar o acesso de rede de entrada do seu ambiente do aplicativo para o Atlas, faça um dos seguintes:

1. Adicionar os endereços IP públicos à sua lista de acesso IP

2. Use emparelhamento VPC/VNet para adicionar endereços IP privados.

3. Adicionar endpoints privados.

Se o firewall bloquear conexões de rede de saída, abra também o acesso de saída do ambiente do aplicativo para o Atlas. Você deve configurar o firewall para permitir que seus aplicativos façam conexões de saída com as portas 27015 a 27017 para o tráfego TCP nos hosts do Atlas. Isso faz com que seus aplicativos tenham acesso aos bancos de dados armazenados no Atlas.

Se você não estiver usando o emparelhamento VPC/VNet e planeja se conectar ao Atlas usando endereços IP públicos, consulte as páginas a seguir para obter mais informações:

• Posso especificar meu próprio VPC para meu projeto MongoDB Atlas?

• Os IPs públicos dos clusters do Atlas mudam alguma vez?

Lista de acesso IP

O Atlas só permite conexões de cliente com o cluster a partir de entradas na lista de acesso IP do projeto. Para se conectar, você deve adicionar uma entrada à lista de acesso IP. Para configurar a lista de acesso IP para o projeto, consulte Configurar entradas da lista de acesso IP.

Para clusters Atlas implementados no Google Cloud Platform (GCP) ou Microsoft Azure, adicione os endereços IP dos seus serviços do Google Cloud ou Azure à lista de acesso IP do projeto Atlas para conceder a esses serviços acesso ao cluster.

Autenticação ou autorização de usuário

O Atlas exige que os clientes autentiquem para se conectar ao banco de dados. Você deve criar usuários do banco de dados para acessar o banco de dados. Para configurar usuários de banco de dados para seus clusters, consulte Configurar usuários de banco de dados. O Atlas oferece muitos recursos de segurança para autenticação e autorização de cluster.

Para acessar clusters em um projeto, os usuários devem pertencer a esse projeto. Os usuários podem pertencer a vários projetos.

Conexão de peering de rede

O Atlas oferece suporte a conexões de peering com outras conexões de peering de rede do AWS, do Azure ou do Google Cloud. Para saber mais, consulte Configurar uma conexão de peering de rede.

Endpoints privados

Atlas oferece suporte a endpoints privados em:

• AWS usando o recurso AWS PrivateLink.

• Azure usando o recurso Azure Private Link

• Google Cloud usando o recurso GCP Private Service Connect

Para utilizar endpoints privados, consulte Aprenda sobre Endpoints Privados no Atlas.

Acesso AWS unificado

Algumas funcionalidades do Atlas, incluindo a Data Federation e a Criptografia em repouso usando o Gerenciamento de chaves do cliente, usam as funções do AWS IAM para autenticação.

Para configurar um papel IAM AWS para Atlas para utilizar, consulte Configurar Acesso AWS Unificado.

Autenticação e autorização de cluster

O Atlas oferece os seguintes recursos de segurança para autenticação e autorização de clusters.

Criptografia em repouso usando o gerenciamento de chaves

Atlas oferece suporte ao uso de AWS KMS, Azure Key Vault e Google Cloud para criptografar mecanismos de armazenamento e backups de provedores de nuvem. Para usar a criptografia em repouso, consulte Criptografia em repouso usando o Customer Key Management.

Criptografia no nível de campo do cliente

O Atlas é compatível com criptografia no nível do campo do lado do cliente, incluindo criptografia automática de campos. Todos os usuários do Atlas têm o direito de utilizar as funcionalidades automáticas de criptografia no nível do campo do MongoDB do lado do cliente.

Para saber mais, consulte Requisitos de criptografia no nível do campo do cliente.

Auditoria de banco de dados

O Atlas oferece suporte à auditoria de todas as ações de eventos do sistema. Para usar auditoria de banco de dados, consulte Configurar auditoria de banco de dados.

Rastreamento de acesso

O Atlas apresenta os logs de autenticação diretamente na UI do Atlas, para que você possa revisar facilmente as tentativas de autenticação bem-sucedidas e malsucedidas feitas nos seus clusters. Para visualizar seu histórico de acesso ao banco de dados, consulte Visualizar histórico de acesso ao banco de dados.

Autenticação multifator para acesso Atlas UI

O Atlas suporta MFA para ajudá-lo a controlar o acesso às suas contas Atlas. Para configurar o MFA, consulte Gerenciar suas opções de autenticação multifatorial.

Permitir acesso de ou para o plano de controle Atlas

Se você usar algum dos seguintes recursos do Atlas, talvez seja necessário adicionar endereços IP do Atlas à lista de acesso IP da sua rede:

• Alerta de Webhooks

• Criptografia em repouso usando o gerenciamento de chaves de cliente

  Observação

  Se você habilitar o recurso criptografia em descanso, deverá permitir o acesso a partir de IPs públicos para todos os hosts da sua implantação, inclusive CSRS (servidor de configuração dos conjuntos de réplicas), se estiver usando clusters fragmentados.

Buscar endereços IP do plano de controle do Atlas

Envie uma solicitação GET para o endpoint controlPlaneIPAddresses para buscar os endereços IP atuais do plano de controle do Atlas. O endpoint da API retorna uma lista de endereços IP de entrada e saída do plano de controle do Atlas em notação CIDR, categorizados por provedor de nuvem e região, semelhante ao seguinte:

{
  "inbound":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },"gcp":{
      "<region-name>":["<IP-address>", ...]
      ...
    }
  },
  "outbound":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "gcp":{
      "<region-name>":["<IP-address>", ...],
      ...
    }
  }
}

Importante

A API de Administração do Atlas usa os termos inbound e outbound em relação ao plano de controle, não à sua rede. Como resultado:

• As regras de entrada da sua rede devem corresponder aos outbound CIDRs listados na API de administração do Atlas.

• As regras de saída da sua rede devem corresponder aos inbound CIDRs listados na API de administração do Atlas.

O diagrama a seguir mostra a relacionamento entre inbound e outbound para o plano de controle e sua rede:

clique para ampliar

Para adicionar os endereços IP retornados à lista de acesso KMS IP do seu fornecedor de nuvem, consulte os pré-requisitos para gerenciar chaves de cliente com AWS , Azure e GCP.

Permitir acesso ao Data Federation

Se sua rede permitir HTTPS requests de saída somente para endereços IP específicos, você deverá permitir o acesso dos endereços IP de entrada na porta TCP 27017 para que suas solicitações possam chegar à instância do banco de dados federado. Recomendamos que você use a API de administração do Atlas para buscar os endereços IP do plano de controle de entrada atual do Atlas.

Verificação de revogação de certificado OCSP

Se a sua rede permitir solicitações de saída somente para endereços IP específicos, para permitir a verificação de revogação de certificados OCSP SSL ou TLS, você deverá permitir o acesso aos servidores RespondentesOCSP da CA (Autoridade de Certificação) do Atlas que podem ser encontrados no URL OCSP do certificado SSL ou TLS .

Para desativar a verificação de revogação de certificados OCSP, consulte a documentação da versão do driver MongoDB que seu aplicativo usa.