创建客户主密钥

创建客户主密钥

1. 登录到 AWS 管理控制台。

2. 导航到 AWS KMS控制台。

3. 创建客户主密钥

   按照有关 创建对称 密钥 的 官方文档创建新的对称密钥Amazon Web Services KMS。您创建的密钥是客户主密钥。 选择有助于识别的名称和描述；这些字段不会影响 集合扫描的功能或配置。

   在密钥生成过程的 Usage Permissions步骤中，应用以下默认密钥策略，该策略使身份和访问管理 ( IAM ) 策略能够授予对您的客户主密钥的访问权限：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Enable IAM User Permissions",
         "Effect": "Allow",
         "Principal": {
           "AWS": "<ARN of your AWS account principal>"
         },
         "Action": "kms:*",
         "Resource": "*"
       }
     ]
   }

   重要

   记录您的客户主密钥的 Amazon 资源名称 (ARN) 和区域。您将在本指南的后续步骤中用到它们。

   提示

   关键策略

   要了解有关密钥策略的更多信息，请参阅 AWS 官方文档中的 AWS KMS 中的密钥策略。

创建 AWS IAM 用户

1. 导航到 AWS IAM 控制台。

2. 创建 IAM 用户

   按照有关 添加用户 的 官方文档，在 管理控制台中创建新的编程 IAM 用户Amazon Web ServicesAmazon Web Services 。您将使用此IAM用户作为启用了 Queryable Encryption 的应用程序的服务帐户。 Amazon Web ServicesKMS您的应用程序使用 IAM 用户通过 进行身份验证，通过客户主密钥 (CMK) 对数据加密密钥 (DEK) 进行加密和解密。

   重要

   记录凭证

   确保在创建 IAM 用户的最后一步记录以下 IAM 凭证：

   • 访问密钥 ID

   • 秘密访问密钥

   您有一次机会记录这些凭证。如果在该步骤中没有记录这些凭证，则必须创建另一个 IAM 用户。

3. 授予权限

   向该 IAM 用户授予远程主密钥的 kms:Encrypt 和 kms:Decrypt 权限。

   重要

   新的客户端IAM用户不应具有主密钥的管理权限。 为了确保数据安全，请遵循 最小权限原则。

   以下内联策略允许 IAM 用户按照最小权限原则使用客户主密钥进行加密和解密：

   注意

   远程主密钥 ARN

   以下策略需要您在本指南的 创建主密钥 步骤中生成的密钥的 ARN 。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt", "kms:Encrypt"],
         "Resource": "<the Amazon Resource Name (ARN) of your remote master key>"
       }
     ]
   }

   要将上述政策应用于 IAM 用户，请遵守 AWS 文档中的添加 IAM 身份权限指南。

   重要

   在生产环境中使用 IAM 角色进行身份验证

   将启用了 Queryable Encryption 的应用程序部署到生产环境时，请使用IAM角色而不是IAM用户对应用程序进行身份验证。

   要了解有关 IAM 角色的更多信息，请参阅官方 AWS 文档中的以下页面：

   • IAM 角色

   • 何时创建 IAM 角色（而不是用户）

向 Azure 注册您的应用程序

1. 登录到 Azure。

2. 向 Azure Active Directory 注册您的应用程序

   要在 Azure Active Directory 上注册应用程序，请按照 Microsoft 官方文档 注册应用程序到 Microsoft 身份平台 快速入门。

   MongoDB Shell

   C#

   Go

   Java (Sync)

   Node.js

   Python

   重要

   记录凭证

   确保记录以下凭证：

   • 租户 ID

   • 客户 ID

   • 客户端密钥

   在本教程的后面内容中，您将需要它们来构造kmsProviders对象。

   重要

   记录凭证

   确保记录以下凭证：

   • 租户 ID

   • 客户 ID

   • 客户端密钥

   在本教程的后面内容中，您将需要它们来构造kmsProviders对象。

   重要

   记录凭证

   确保记录以下凭证：

   • 租户 ID

   • 客户 ID

   • 客户端密钥

   在本教程的后面内容中，您将需要它们来构造kmsProviders对象。

   重要

   记录凭证

   确保记录以下凭证：

   • 租户 ID

   • 客户 ID

   • 客户端密钥

   除非您在Azure虚拟机中运行客户端，否则您将需要这些凭证来构造本教程后面的kmsProviders对象。

   重要

   记录凭证

   确保记录以下凭证：

   • 租户 ID

   • 客户 ID

   • 客户端密钥

   在本教程的后面内容中，您将需要它们来构造kmsProviders对象。

   重要

   记录凭证

   确保记录以下凭证：

   • 租户 ID

   • 客户 ID

   • 客户端密钥

   在本教程的后面内容中，您将需要它们来构造kmsProviders对象。

创建客户主密钥

1. 创建 Azure Key Vault 和客户主密钥

   要创建新的 Azure Key Vault 实例和客户主密钥，请遵循 Microsoft 官方文档 使用 Azure 门户从 Azure Key Vault 设置和检索密钥 快速入门。

   重要

   记录凭证

   确保记录以下凭证：

   • 密钥名称

   • 密钥标识符（本指南后面称为keyVaultEndpoint ）

   • keyVersion

   在本教程的后面内容中，您将需要它们来构造dataKeyOpts对象。

2. 授予权限

   授予您的客户端应用程序对该密钥的wrap和unwrap权限。

注册 GCP 服务帐号

1. 注册或登录您在 Google Cloud 上的现有帐户。

2. 为项目创建服务帐户

   要在GCP 上创建服务帐号，请按照 创建服务帐号 Google 官方文档中的指南。

3. 添加服务帐户密钥

   要在 上添加服务帐户密钥，请按照GCP 管理服务帐户密钥 Google 官方文档中的指南。

   MongoDB Shell

   C#

   Go

   Java (Sync)

   Node.js

   Python

   重要

   创建服务帐户密钥时，您会收到私钥信息的一次性下载。 请务必以 PKCS12 或 JSON 格式下载此文件，以便在本教程后面使用。

   重要

   创建服务帐户密钥时，您会收到私钥信息的一次性下载。 请务必以 PKCS12 或 JSON 格式下载此文件，以便在本教程后面使用。

   重要

   创建服务帐户密钥时，您会收到私钥信息的一次性下载。 请务必以 PKCS12 或 JSON 格式下载此文件，以便在本教程后面使用。

   重要

   创建服务帐户密钥时，您会收到私钥信息的一次性下载。 除非您使用附加的服务帐户，否则请确保以 PKCS 12或JSON格式下载此文件，以便在本教程后面使用。

   重要

   创建服务帐户密钥时，您会收到私钥信息的一次性下载。 请务必以 PKCS12 或 JSON 格式下载此文件，以便在本教程后面使用。

   重要

   创建服务帐户密钥时，您会收到私钥信息的一次性下载。 请务必以 PKCS12 或 JSON 格式下载此文件，以便在本教程后面使用。

创建 GCP 客户主密钥

1. 创建新的客户主密钥

   创建密钥环和对称 密钥 来自 Google 官方文档的指南。

   此密钥是您的客户主密钥 ( CMK )。

   记录您的客户主密钥的以下详细信息，以便在本教程的后续步骤中使用。

   字段	必需	说明
   key_name	是	客户主密钥的标识符。
   key_ring	是	您的密钥所属的密钥群组的标识符。
   key_version	No	已命名密钥的版本。
   位置	是	为密钥指定的区域。
   端点	No	Google Cloud Platform KMS 的主机和可选端口。默认值为cloudkms.googleapis.com 。

配置符合 KMIP 的密钥提供商

要将 MongoDB 驱动程序客户端连接到KMIP兼容密钥提供商，您必须配置KMIP兼容密钥提供商，使其接受客户端的 TLS 证书。

有关如何接受客户端证书的信息，请参阅符合KMIP的密钥提供商的文档。

指定您的证书

客户端必须通过 TLS 连接到KMIP兼容密钥提供商，并提供KMIP兼容密钥提供商接受的客户端证书：

const tlsOptions = {
  kmip: {
    tlsCAFile: process.env["KMIP_TLS_CA_FILE"], // Path to your TLS CA file
    tlsCertificateKeyFile: process.env["KMIP_TLS_CERT_FILE"], // Path to your TLS certificate key file
  },
};

var tlsOptions = new Dictionary<string, SslSettings>();
var sslSettings = new SslSettings();
var clientCertificate = new X509Certificate2(_appSettings["Kmip:TlsCertP12"]!); // Full path to your client certificate p12 file
sslSettings.ClientCertificates = new[] { clientCertificate };
tlsOptions.Add("kmip", sslSettings);

openssl pcks12 -export -out "<new pcks12 certificate>" -in "<certificate to convert>" \
-name "<new certificate name>" -password "<new certificate password>"

tlsOpts := map[string]interface{}{
	"tlsCertificateKeyFile": os.Getenv("KMIP_TLS_CERT_ECDSA_FILE"), // Path to your client certificate file
	"tlsCAFile":             os.Getenv("KMIP_TLS_CA_ECDSA_FILE"),   // Path to your KMIP certificate authority file
}
kmipConfig, err := options.BuildTLSConfig(tlsOpts)
if err != nil {
	panic(fmt.Sprintf("Unable to retrieve certificates from your environment: %s\n", err))
}
tlsConfig := map[string]*tls.Config{
	"kmip": kmipConfig,
}

-Djavax.net.ssl.enabled=true
-Djavax.net.ssl.keyStoreType=pkcs12
-Djavax.net.ssl.keyStore=REPLACE-WITH-PATH-TO-PKC-KEYSTORE
-Djavax.net.ssl.keyStorePassword=REPLACE-WITH-KEYSTORE-PASSWORD
-Djavax.net.ssl.trustStoreType=jks
-Djavax.net.ssl.trustStore=REPLACE-WITH-PATH-TO-TRUSTSTORE
-Djavax.net.ssl.trustStorePassword=REPLACE-WITH-TRUSTSTORE-PASSWORD

const tlsOptions = {
  kmip: {
    tlsCAFile: process.env.KMIP_TLS_CA_FILE, // Path to your TLS CA file
    tlsCertificateKeyFile: process.env.KMIP_TLS_CERT_FILE, // Path to your TLS certificate key file
  },
};

tls_options = {
    "kmip": {
        "tlsCAFile": os.environ['KMIP_TLS_CA_FILE'], # Path to your TLS CA file
        "tlsCertificateKeyFile": os.environ['KMIP_TLS_CERT_FILE'] # Path to your TLS certificate key file
    }
}