通过私有端点使用Azure Key Vault管理客户数密钥

用例(Use Case)

假设您的Atlas部署在单个云服务提供商上。 现在，您要求对AKV的所有访问权限都通过云提供商的私有网络基础架构进行。 本页将引导您完成为Atlas项目启用私有端点连接的步骤。

收益分析

您可以使用Atlas Administration API ，允许Atlas使用私有端点通过AKV配置静态加密。 这样，流向AKV的所有流量都可以通过一设立私有端点，避免将AKV暴露给公共互联网或公共IP地址。 它无需维护允许的IP地址，同时通过将所有AKV流量保持在Azure的专用网络内来增强数据安全性。

限制

Atlas不支持使用通过私有端点的集合扫描对多云部署进行静态加密。 如果您在具有多云集群的现有项目中通过Azure Private Link使用集合扫描启用静态静态加密， Atlas会禁用项目中的多云集群。

Atlas不支持通过私有端点使用集合扫描对处于INACTIVE状态的项目进行静态加密。

Atlas不支持通过私有网络对Amazon Web Services 或Google Cloud Platform 集群进行 AKV 访问权限。

为项目启用客户托管密钥

您必须为项目启用集合扫描 ，然后才能在该项目中的集群上启用CMK。 您可以通过Atlas用户界面和Atlas Administration API为项目启用集合扫描 。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest" \
--data '
  {
    "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
      "enabled": true,
      "keyIdentifier": "https://{EXAMPLEKeyVault}.vault.azure.net/keys/{EXAMPLEKey}/      d891821e3d364e9eb88fbd3d11807b86",
      "keyVaultName": "string",
      "resourceGroupName": "string",
      "secret": "string",
      "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
      "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b"
    }
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
    "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b",
    "valid": true
  }
}

为项目启用和设置私有端点连接

您只能使用Atlas Administration API启用和设立私有端点。 要启用私有网络并在AKV中设立私有端点，您必须执行以下操作：

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \
--data '
  {
    "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
      "enabled": true,
      "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
      "keyVaultName": "string",
      "requirePrivateNetworking": true,
      "resourceGroupName": "string",
      "secret": "string",
      "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
      "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b"
    }
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints" \
--data '
  {
    "regionName": "US_CENTRAL"
  }'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AZURE",
      "errorMessage": "string",
      "id": "24-hexadecimal-digit-string",
      "regionName": "string",
      "status": "INITIATING",
      "privateEndpointConnectionName": "string"
    }
  ],
  "totalCount": 0
}

为项目启用使用 集合扫描 的静态加密（通过专用网络）后，您可以为项目中的每个Atlas 集群启用使用 集合扫描 的静态 加密 。

为 Atlas 集群启用客户密钥管理

为项目启用客户管理的密钥后，您必须为包含要加密的数据的每个Atlas 集群启用客户密钥管理。 如果您为Atlas项目配置了私有端点连接， Atlas会自动迁移您已启用客户托管密钥的所有集群（包括允许使用公共互联网连接的现有集群），以仅使用私有端点连接。

对于新集群，请在创建集群时将“管理自己的加密密钥”设置切换为Yes （如果尚未启用）。

对于现有群组：

禁用项目的客户管理密钥

要为项目禁用集合扫描 ，必须先删除与项目关联的所有私有端点，无论其状态如何。 如果您尝试为与活动私有端点关联的项目禁用集合扫描 ， Atlas会显示错误。

删除项目的所有私有端点后，必须先禁用项目中每个集群的客户密钥管理，然后再禁用项目的功能。

禁用项目的私有端点连接

要禁用项目的私有端点连接，必须首先删除与该项目关联的所有私有端点，无论其状态如何。 如果项目与活动的私有端点关联， Atlas不会禁用项目的私有端点连接。

删除项目的所有私有端点后，您可以使用Atlas Administration API禁用项目的私有端点连接。 要禁用私有端点连接，请向端点发送PATCH请求，并将requirePrivateNetworking布尔标志值设立为false 。

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "5e4ea010-a908-45a1-a70b-ebd2e4feb055",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "secret": "string",
    "subscriptionID": "d0dd68eb-7e97-448c-b361-f7a7213dc7e2",
    "tenantID": "f95ac700-4c8f-4a38-a8d1-1582733edd5b"
  }
}

拒绝或删除私有端点连接

要成功删除私有端点，请向Atlas Administration API端点发送DELETE请求，并指定项目的ID和要删除的私有端点的 ID。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request DELETE "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/{endpointId}" \
--data '
  {
    "cloudProvider": "AZURE",
    "regions": [
      "string"
    ]
  }'

当您使用Atlas Administration API删除私有端点时，在Atlas删除私有端点时，私有端点会转换为DELETING状态。

如果您从Azure用户界面删除或拒绝活动的私有端点， Atlas会自动尝试在同一地区中重新创建新的私有端点。 您可以通过向Atlas Administration API encryptionAtRest获取所有端点或获取一个端点发送GET请求来检查私有端点的状态，您必须在路径中指定私有端点的ID 。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/json" \
--header "Content-Type: application/json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints/"

当Atlas尝试创建新的私有端点时，您拒绝或删除的私有端点的状态将转换为PENDING_RECREATION ，并且Atlas尝试创建的新端点处于INITIATING状态。 创建新的私有端点后，必须予以批准。

撤销对加密密钥的访问权限

您可以从AKV中撤销 Atlas 对加密密钥的访问权限，以冻结您的数据。 当您撤销对加密密钥的访问权限时， Atlas会自动暂停您的集群。

轮换 Azure 密钥标识符

开始之前，请学习；了解关于轮换Azure密钥标识符。

您必须在与Atlas项目关联的AKV中创建新密钥。 以下过程介绍如何通过在Atlas中指定新的密钥标识符来轮换Atlas项目密钥标识符。