Para agentes de IA: hay un índice de documentación disponible en https://www.mongodb.com/es/docs/llms.txt — versiones en markdown de todas las páginas están disponibles agregando .md a cualquier ruta URL.
Docs Menu
Docs Home
/ /
Atlas Access
Docs Home
/
Gestión
/
Operador de Atlas Kubernetes
/
Atlas Access
Docs Home
/
Gestión
/
Operador de Atlas Kubernetes
/
Atlas Access

Cifrar datos usando un Key Management Service

Atlas aplica cifrado a todo el almacenamiento de clúster y los volúmenes de snapshot en reposo por defecto. Puede añadir otra capa de seguridad utilizando el KMS de su proveedor de nube junto con el motor de almacenamiento cifrado de MongoDB.

Puedes usar uno o más de los siguientes proveedores de KMS del cliente para la encriptación en reposo en Atlas:

Nota

El proveedor de gestión de claves no necesita coincidir con el proveedor del servicio en la nube del clúster.

Para obtener más información sobre el uso de tu KMS con Atlas, consulta:

Para gestionar tu cifrado KMS con Atlas Kubernetes Operator, puedes especificar y actualizar el spec.encryptionAtRest parámetro del AtlasProject recurso personalizado. Cada vez que cambie el campo spec en cualquiera de los recursos personalizados compatibles, Atlas Kubernetes Operator crea o actualiza la configuración de Atlas correspondiente.

Requisitos previos

Para configurar la encriptación en reposo usando AWS KMS en Atlas Kubernetes Operator, se requiere:

Importante

Si cambia tus llaves de cifrado al acceso basado en roles, no podrás deshacer la configuración de acceso basado en roles ni volver al acceso basado en credenciales para las llaves de cifrado en ese proyecto.

Procedimiento

Encripte sus datos de Atlas usando una clave gestionada por el cliente con el siguiente procedimiento:

1

Crea un secreto con tus credenciales de AWS.

Crea un secreto con los valores de los siguientes parámetros:

Parameter
Descripción

CustomerMasterKeyID

string alfanumérica única que identifica la clave maestra de cliente de AWS que se utiliza para cifrar y descifrar las claves maestras de MongoDB.

RoleID

ARN único de AWS que identifica el rol IAM de AWS IAM con permiso para gestionar tu clave maestra de cliente AWS . Para encontrar este valor:

  1. Ir a la sección Roles de la Consola de gestión de AWS.

  2. Haga clic en el rol IAM que editó o creó para el acceso a Atlas.

AWS muestra el ARN en la sección Summary.

Para crear y etiquetar un secreto, ejecuta los siguientes comandos con tus credenciales de AWS:

kubectl create secret generic aws-ear-creds \
  --from-literal="CustomerMasterKeyID=<customer-master-key>" \
  --from-literal="RoleID=<aws-arn>" \
  -n mongodb-atlas-system
kubectl label secret aws-ear-creds atlas.mongodb.com/type=credentials -n mongodb-atlas-system
2

Especifica el parámetro spec.encryptionAtRest.awsKms.

  1. Agregue el objeto spec.encryptionAtRest.awsKms a spec.encryptionAtRest arreglo en el AtlasProject Recurso personalizado, que incluye los siguientes parámetros:

    Parameter
    Descripción

    spec.encryptionAtRest.awsKms.enabled

    Indicador que indica si este Proyecto utiliza AWS KMS para cifrar datos en reposo. Para habilitar el cifrado en reposo mediante AWS KMS, establezca este parámetro en true. Para deshabilitar el cifrado en reposo usando AWS KMS, establezca este parámetro en false. Si deshabilita el cifrado en reposo usando AWS KMS, Atlas Kubernetes Operator removerá los detalles de configuración.

    spec.encryptionAtRest.awsKms.region

    Etiqueta que indica la región de AWS donde existe la llave maestra de cliente.

    spec.encryptionAtRest.awsKms.secretRef.name

    Nombre del secreto que contiene tus credenciales de AWS.

    spec.encryptionAtRest.awsKms.secretRef.namespace

    Namespace que contiene tus credenciales de AWS. Si no se especifica, este parámetro por defecto es el namespace del recurso personalizado AtlasProject.

    Debes usar un secreto que contenga los valores de AccessKeyID, SecretAccessKey, CustomerMasterKeyID y RoleID.

  2. Ejecuta el siguiente comando:

    cat <<EOF | kubectl apply -f -
    apiVersion: atlas.mongodb.com/v1
    kind: AtlasProject
    metadata:
      name: my-project
    spec:
      name: Test Atlas Operator Project
      encryptionAtRest:
        awsKms:
          enabled: true
          region: US_EAST_1
          secretRef:
            name: aws-ear-creds
            namespace: mongodb-atlas-system
    EOF
3

Comprueba la habilitación exitosa del cifrado en reposo en tu proyecto.

Ejecute el siguiente comando para verificar si Atlas Kubernetes Operator detecta la configuración de AWS KMS para su proyecto.

kubectl get atlasprojects my-project -n mongodbatlas-system -o=jsonpath='{.status.conditions[?(@.type=="EncryptionAtRestReady")].status}'
true
4

Habilite el cifrado en reposo utilizando claves gestionadas por el cliente para su clúster.

Después de habilitar el cifrado en reposo utilizando claves administradas por el cliente para tu proyecto, debes activarlo a nivel de clúster para cifrar los datos.

Ejecuta el siguiente comando para agregar el spec.deploymentSpec.encryptionAtRestProvider a tu AtlasDeployment Recurso personalizado, que habilita el cifrado en reposo utilizando tu clave AWS para este clúster:

cat <<EOF | kubectl apply -f -
      apiVersion: atlas.mongodb.com/v1
      kind: AtlasDeployment
      metadata:
        name: my-cluster
      spec:
        name: Test Atlas Operator Cluster
        DeploymentSpec:
          encryptionAtRestProvider: "AWS"
      EOF
Volver
X.509
Next
Autenticación federada
Califique esta página

En esta página