Cifrar datos mediante un servicio de gestión de claves

Crea un secreto con tus credenciales de AWS.

Crea un secreto con los valores de los siguientes parámetros:

Para crear y etiquetar un secreto, ejecute los siguientes comandos con sus credenciales de AWS:

kubectl create secret generic aws-ear-creds \
  --from-literal="CustomerMasterKeyID=<customer-master-key>" \
  --from-literal="RoleId=<aws-arn>" \
  -n mongodb-atlas-system

kubectl label secret aws-ear-creds atlas.mongodb.com/type=credentials -n mongodb-atlas-system

Especifique el spec.encryptionAtRest.awsKms parámetro.

1. Agregue el objeto spec.encryptionAtRest.awsKms a la matriz spec.encryptionAtRest AtlasProject en el recurso personalizado, incluidos los siguientes parámetros:

   Parameter	Descripción
   spec.encryptionAtRest.awsKms.enabled	Marca que indica si este proyecto utiliza AWS KMS para cifrar datos en reposo. Para habilitar el cifrado en reposo con AWS KMS, configure este parámetro true en. Para deshabilitar el cifrado en reposo con AWS KMS, configure este parámetro false en. Si deshabilita el cifrado en reposo con AWS KMS, Atlas Kubernetes Operator elimina los detalles de configuración.
   spec.encryptionAtRest.awsKms.region	Etiqueta que indica la región de AWS donde existe la clave maestra del cliente.
   spec.encryptionAtRest.awsKms.secretRef.name	Nombre del secreto que contiene sus credenciales de AWS.
   spec.encryptionAtRest.awsKms.secretRef.namespace	Espacio de nombres que contiene sus credenciales de AWS. Si no se especifica, este parámetro toma como valor predeterminado el AtlasProject espacio de nombres del recurso personalizado.

   Debe utilizar un secreto que contenga los valores AccessKeyID SecretAccessKeyde,, CustomerMasterKeyID RoleIdy.

2. Ejecuta el siguiente comando:

   cat <<EOF | kubectl apply -f -
   apiVersion: atlas.mongodb.com/v1
   kind: AtlasProject
   metadata:
     name: my-project
   spec:
     name: Test Atlas Operator Project
     encryptionAtRest:
       awsKms:
         enabled: true
         region: US_EAST_1
         secretRef:
           name: aws-ear-creds
           namespace: mongodb-atlas-system
   EOF

Verifique la habilitación exitosa del cifrado en reposo en su proyecto.

Ejecute el siguiente comando para verificar si Atlas Kubernetes Operator detecta la configuración de AWS KMS para su proyecto.

kubectl get atlasprojects my-project -o=jsonpath='{.status.conditions[?(@.type=="EncryptionAtRestReadyType")].status}

true

Habilite el cifrado en reposo utilizando claves gestionadas por el cliente para su clúster.

Después de habilitar el cifrado en reposo mediante claves administradas por el cliente para su proyecto, debe habilitarlo en el nivel de clúster para cifrar los datos.

Ejecute el siguiente comando para agregar spec.deploymentSpec.encryptionAtRestProvider a AtlasDeployment su recurso personalizado, que habilita el cifrado en reposo usando su clave de AWS para este clúster:

cat <<EOF | kubectl apply -f -
      apiVersion: atlas.mongodb.com/v1
      kind: AtlasDeployment
      metadata:
        name: my-cluster
      spec:
        name: Test Atlas Operator Cluster
        DeploymentSpec:
          encryptionAtRestProvider: "AWS"
      EOF

Crea un secreto con tus credenciales de Azure.

Crea un secreto con los valores de los siguientes parámetros:

Para crear y etiquetar un secreto, ejecute los siguientes comandos con sus credenciales de Azure:

kubectl create secret generic azure-ear-creds \
  --from-literal="KeyIdentifier=<web-address>" \
  --from-literal="KeyVaultName=<key-vault>" \
  --from-literal="Secret=<secret>" \
  --from-literal="SubscriptionID=<subscription>" \
  -n mongodb-atlas-system

kubectl label secret azure-ear-creds atlas.mongodb.com/type=credentials -n mongodb-atlas-system

Especifique el spec.encryptionAtRest.azureKeyVault parámetro.

1. Agregue el objeto spec.encryptionAtRest.azureKeyVault a la matriz spec.encryptionAtRest AtlasProject en el recurso personalizado, incluidos los siguientes parámetros:

   Parameter	Descripción
   spec.encryptionAtRest.azureKeyVault.azureEnvironment	Ubicación de implementación deAzure donde residen las credenciales de la cuenta de Azure. Los valores válidos AZURE son, AZURE_CHINA AZURE_GERMANYy.
   spec.encryptionAtRest.azureKeyVault.clientID	string de 36 caracteres hexadecimales única que identifica su aplicación de Azure .
   spec.encryptionAtRest.azureKeyVault. enabled	Marca que indica si este proyecto usa Azure Key Vault para cifrar datos en reposo. Para habilitar el cifrado en reposo con Azure Key Vault, configure este parámetro true en. Para deshabilitar el cifrado en reposo con Azure Key Vault, configure este parámetro false en. Si deshabilita el cifrado en reposo con Azure Key Vault, Atlas Kubernetes Operator elimina los detalles de configuración.
   spec.encryptionAtRest.azureKeyVault.resourceGroupName	Etiqueta que identifica el grupo de recursos Azure que contiene tu Azure Key Vault. Azure muestra el nombre del grupo de recursos en la página de detalles del grupo de recursos.
   spec.encryptionAtRest.azureKeyVault.secretRef.name	Nombre del secreto que contiene sus credenciales de Azure.
   spec.encryptionAtRest.azureKeyVault.secretRef.namespace	Espacio de nombres que contiene sus credenciales de Azure. Si no se especifica, este parámetro toma como valor predeterminado el AtlasProject espacio de nombres del recurso personalizado.
   spec.encryptionAtRest.azureKeyVault. tenantID	string única de caracteres hexadecimales de 36 que identifica al inquilino Azure Active directorio dentro de su Azure suscripción. Azure muestra el ID de inquilino en la página de propiedades del inquilino.

   Debe utilizar un secreto que contenga los valores KeyVaultName KeyIdentifierde,, Secret SubscriptionIDy.

2. Ejecuta el siguiente comando:

   cat <<EOF | kubectl apply -f -
   apiVersion: atlas.mongodb.com/v1
   kind: AtlasProject
   metadata:
     name: my-project
   spec:
     name: Test Atlas Operator Project
     encryptionAtRest:
       azureKeyVault:
         azureEnvironment: AZURE
         clientID: "12345678-90ab-cdef-1234-567890abcdef"
         enabled: true
         resourceGroupName: "myResourceGroup"
         tenantID: "e8e4b6ba-ff32-4c88-a9af-EXAMPLEID"
         secretRef:
           name: azure-ear-creds
           namespace: mongodb-atlas-system
   EOF

Verifique la habilitación exitosa del cifrado en reposo en su proyecto.

Ejecute el siguiente comando para comprobar si Atlas Kubernetes Operator detecta la configuración de Azure Key Vault para su proyecto.

kubectl get atlasprojects my-project -o=jsonpath='{.status.conditions[?(@.type=="EncryptionAtRestReadyType")].status}

true

Habilite el cifrado en reposo utilizando claves gestionadas por el cliente para su clúster.

Después de habilitar el cifrado en reposo mediante claves administradas por el cliente para su proyecto, debe habilitarlo en el nivel de clúster para cifrar los datos.

Ejecute el siguiente comando para agregar spec.deploymentSpec.encryptionAtRestProvider a AtlasDeployment su recurso personalizado, que habilita el cifrado en reposo usando su clave de Azure para este clúster:

cat <<EOF | kubectl apply -f -
      apiVersion: atlas.mongodb.com/v1
      kind: AtlasDeployment
      metadata:
        name: my-cluster
      spec:
        name: Test Atlas Operator Cluster
        DeploymentSpec:
          encryptionAtRestProvider: "AZURE"
      EOF

Crea un secreto con tus credenciales de Google Cloud.

Crea un secreto con los valores de los siguientes parámetros:

El siguiente ejemplo muestra el contenido de un ServiceAccountKey archivo JSON:

{
  "type": "service_account",
  "project_id": "my-project-common-0",
  "private_key_id": "e120598ea4f88249469fcdd75a9a785c1bb3\",
  "private_key": "-----BEGIN PRIVATE KEY-----\\nMIIEuwIBA(truncated)SfecnS0mT94D9\\n-----END PRIVATE KEY-----\\n\",
  "client_email": "my-email-kms-0@my-project-common-0.iam.gserviceaccount.com\",
  "client_id": "10180967717292066",
  "auth_uri": "https://accounts.google.com/o/oauth2/auth",
  "token_uri": "https://accounts.google.com/o/oauth2/token",
  "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
  "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/my-email-kms-0%40my-project-common-0.iam.gserviceaccount.com"
  "universe_domain": "googleapis.com"
}

Para crear y etiquetar un secreto, ejecuta los siguientes comandos con tus credenciales de Google Cloud:

kubectl create secret generic azure-ear-creds \
  --from-literal="KeyVersionResourceID=<resource-id>" \
  --from-file="ServiceAccountKey=<your-service-account-key-files.json>" \
  -n mongodb-atlas-system

kubectl label secret gcp-ear-creds atlas.mongodb.com/type=credentials -n mongodb-atlas-system

Especifique el spec.encryptionAtRest.googleCloudKms parámetro.

1. Agregue el objeto spec.encryptionAtRest.googleCloudKms a la matriz spec.encryptionAtRest AtlasProject en el recurso personalizado, incluidos los siguientes parámetros:

   Parameter	Descripción
   spec.encryptionAtRest.googleCloudKms.enabled	Marca que indica si este proyecto usa Google Cloud KMS para cifrar datos en reposo. Para habilitar el cifrado en reposo con Google Cloud KMS, configure este parámetro true en. Para deshabilitar el cifrado en reposo con Google Cloud KMS, configure este parámetro false en. Si deshabilita el cifrado en reposo con Google Cloud KMS, Atlas Kubernetes Operator elimina los detalles de configuración.
   spec.encryptionAtRest.googleCloudKms.secretRef.name	Nombre del secreto que contiene las credenciales de Google Cloud.
   spec.encryptionAtRest.googleCloudKms.secretRef.namespace	Espacio de nombres que contiene tus credenciales de Google Cloud. Si no se especifica, este parámetro toma como valor predeterminado el espacio de nombres del recurso personalizado AtlasProject.

   Debe utilizar un secreto que contenga los valores KeyVersionResourceID de ServiceAccountKey y.

2. Ejecuta el siguiente comando:

   cat <<EOF | kubectl apply -f -
   apiVersion: atlas.mongodb.com/v1
   kind: AtlasProject
   metadata:
     name: my-project
   spec:
     name: Test Atlas Operator Project
     encryptionAtRest:
       googleCloudKms:
         enabled: true
         secretRef:
           name: gcp-ear-creds
           namespace: mongodb-atlas-system
   EOF

Verifique la habilitación exitosa del cifrado en reposo en su proyecto.

Ejecute el siguiente comando para verificar si Atlas Kubernetes Operator detecta la configuración de Google Cloud KMS para su proyecto.

kubectl get atlasprojects my-project -o=jsonpath='{.status.conditions[?(@.type=="EncryptionAtRestReadyType")].status}

true

Habilite el cifrado en reposo utilizando claves gestionadas por el cliente para su clúster.

Después de habilitar el cifrado en reposo mediante claves administradas por el cliente para su proyecto, debe habilitarlo en el nivel de clúster para cifrar los datos.

Ejecute el siguiente comando para agregar spec.deploymentSpec.encryptionAtRestProvider a su AtlasDeployment recurso personalizado, que habilita el cifrado en reposo usando su clave de Google Cloud para este clúster:

cat <<EOF | kubectl apply -f -
      apiVersion: atlas.mongodb.com/v1
      kind: AtlasDeployment
      metadata:
        name: my-cluster
      spec:
        name: Test Atlas Operator Cluster
        DeploymentSpec:
          encryptionAtRestProvider: "GCP"
      EOF