Además de cifrar sus datos en reposo en Atlas con las claves gestionadas por el cliente (CMK) que usted crea, posee y administra en su AWS KMS, puede agregar otra capa de seguridad configurando todo el tráfico a su AWS KMS para que utilice AWS PrivateLink.
Nota
El modelo de responsabilidad compartida de MongoDB Atlas define las funciones complementarias de MongoDB y sus clientes para mantener un entorno de datos seguro y resiliente. En este marco, MongoDB gestiona la seguridad y la integridad operativa de la plataforma subyacente, mientras que los clientes son responsables de la configuración, la gestión y las polÃticas de datos de sus implementaciones especÃficas. Para obtener un desglose detallado de la responsabilidad en materia de seguridad y excelencia operativa, consulte el modelo de responsabilidad compartida.
Esta página describe cómo configurar AWS PrivateLink en su AWS KMS para garantizar que todo el tráfico entre Atlas y su AWS KMS se realice a través de las interfaces de red privada de AWS.
Considerations
Antes de habilitar el cifrado en reposo mediante AWS KMS a través de PrivateLink, revise los siguientes casos de uso, beneficios, limitaciones y requisitos previos.
Caso de uso
Supongamos que su implementación de Atlas se encuentra en un único proveedor de servicios en la nube. Ahora necesita que todo el acceso a su AWS KMS se realice a través de la infraestructura de red privada de su proveedor. Esta página le guiará a través de los pasos necesarios para habilitar las conexiones de punto final privadas para su proyecto de Atlas.
Beneficios
Puedes configurar el cifrado en reposo con AWS KMS a través de una red privada. Esta configuración permite que todo el tráfico hacia tu AWS KMS pase por un conjunto de puntos de conexión privados, evitando asà que tu AWS KMS quede expuesto a Internet o a direcciones IP públicas. Además, elimina la necesidad de mantener direcciones IP permitidas, a la vez que mejora la seguridad de los datos al mantener todo el tráfico de AWS KMS dentro de la red privada de AWS.
Limitaciones
Atlas admite el cifrado en reposo mediante AWS KMS a través de redes privadas únicamente para implementaciones en una sola nube.
Atlas admite el cifrado en reposo mediante AWS KMS a través de redes privadas únicamente para proyectos en estado
ACTIVE.
Requisitos previos
Para habilitar las claves administradas por el cliente con AWS KMS para un proyecto de MongoDB, debe:
- Utilice un clúster M10 o mayor.
Necesitas un rol de AWS IAM con privilegios suficientes. Atlas debe tener permiso para realizar las siguientes acciones con tu clave:
Nota
Si desea utilizar la clave de AWS KMS con un rol de AWS IAM de una cuenta de AWS diferente a la del rol de IAM que creó la clave de AWS KMS, asegúrese de tener los privilegios suficientes:
Agregue una declaración de polÃtica clave debajo de la clave AWS KMS para incluir la cuenta externa de AWS.
Añade una polÃtica en lÃnea de IAM para el rol de IAM en la cuenta externa de AWS.
Para obtener información detallada sobre los roles de IAM y las claves maestras de cliente, consulte la documentación de AWS.
Después de confirmar los privilegios indicados, podrá seguir los pasos habituales para configurar los ajustes de KMS en Atlas, con la siguiente excepción:
- Debe proporcionar el ARN completo de la clave de AWS KMS (por ejemplo,
arn:aws:kms:eu-west-2:111122223333:key/12345678-1234-1234-1234-12345678) en lugar del ID de la clave maestra (por ejemplo,12345678-1234-1234-1234-12345678) en el campo ID de clave de AWS KMS.
Para aprender a crear un rol de IAM, consulte la sección Roles de IAM en la documentación de AWS.
Atlas utiliza la misma función de IAM y la misma configuración de clave de AWS KMS para todos los clústeres de un proyecto en el que esté habilitado el cifrado en reposo.
Si la configuración de AWS KMS lo requiere, permita el acceso desde las direcciones IP de Atlas y las direcciones IP públicas o nombres de host DNS de los nodos de su clúster para que Atlas pueda comunicarse con KMS. Debe incluir las direcciones IP en la polÃtica de su rol de IAM administrado configurando operadores de condición de dirección IP en su documento de polÃtica. Si las direcciones IP de los nodos cambian, debe actualizar su configuración para evitar interrupciones de conectividad.
Procedimientos
Habilite el acceso basado en roles para su llave de cifrado en un proyecto
En Atlas, ve a la página Advanced de tu proyecto.
Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.
Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Database & Network Access en la sección Security.
Haz clic en el enlace Authorize a new IAM role para autorizar un rol de AWS IAM a Atlas para que acceda a tus claves de AWS KMS para el cifrado en reposo.
Para crear un nuevo rol de AWS IAM que permita acceder a las claves de AWS KMS para su cifrado en reposo, siga el procedimiento «Crear un nuevo rol con la CLI de AWS». Si ya tiene un rol de AWS IAM que desea autorizar, siga el procedimiento «Agregar relaciones de confianza a un rol existente».
Agregue una directiva de acceso a su rol de AWS IAM a través de la consola de AWS o la CLI. Consulte la sección "Administración de directivas de IAM" para obtener más información.
Nota
Esta polÃtica permite que el Principal de AWS de MongoDB utilice la clave KMS del cliente para operaciones de cifrado y descifrado. El Principal de Atlas no es secreto y se utiliza para todos los clientes de Atlas. Se trata de una cuenta de AWS altamente restringida y con un propósito limitado, sin recursos adicionales aparte del usuario de IAM. El ExternalId en la polÃtica es único para cada proyecto de Atlas, pero no es secreto. El ExternalId se utiliza para mitigar la posibilidad de vulnerabilidades de contexto cruzado (delegado confuso). El uso por parte de Atlas de un principal común para acceder a las claves de todos los clientes es un patrón de acceso recomendado por Amazon, como se describe aquÃ.
La polÃtica de acceso para el cifrado en reposo es similar a la siguiente:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:Encrypt", "kms:DescribeKey" ], "Resource": [ "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789" ] } ] }
EnvÃa una solicitud POST al extremo cloudProviderAccess.
Utilice el punto final de la API para crear un nuevo rol de AWS IAM. Atlas utilizará este rol para autenticarse con su cuenta de AWS.
Mantén a la mano los valores de los campos devueltos atlasAWSAccountArn y atlasAssumedRoleExternalId para usarlos en el siguiente paso.
Modifica tu polÃtica de confianza de rol de AWS IAM.
Inicie sesión en su consola de administración de AWS.
Navega al servicio Identity and Access Management (IAM).
Selecciona Roles en la navegación del lado izquierdo.
Haz clic en el rol IAM existente que deseas utilizar para acceder a Atlas desde la lista de roles.
Selecciona la pestaña Trust Relationships.
Haga clic en el botón Edit trust relationship.
Editar el Policy Document. Agrega un objeto
Statementnuevo con el siguiente contenido.Nota
Esta polÃtica permite que el Principal de AWS de MongoDB utilice la clave KMS del cliente para operaciones de cifrado y descifrado. El Principal de Atlas no es secreto y se utiliza para todos los clientes de Atlas. Se trata de una cuenta de AWS altamente restringida y con un propósito limitado, sin recursos adicionales aparte del usuario de IAM. El
ExternalIden la polÃtica es único para cada proyecto de Atlas, pero no es secreto. ElExternalIdse utiliza para mitigar la posibilidad de vulnerabilidades de contexto cruzado (delegado confuso). El uso por parte de Atlas de un principal común para acceder a las claves de todos los clientes es un patrón de acceso recomendado por Amazon, como se describe aquÃ.Nota
Reemplace las lÃneas destacadas con los valores devueltos de la llamada a la API en el paso 1.
{ "Version": "2020-03-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "<atlasAWSAccountArn>" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "sts:ExternalId": "<atlasAssumedRoleExternalId>" } } } ] } Haga clic en el botón Update Trust Policy.
Authorize el rol de IAM recién creado.
Utilice el punto final de la API para autorizar y configurar el nuevo ARN del rol asumido de IAM. Si la llamada a la API se realiza correctamente, puede utilizar el valor roleId al configurar los servicios de Atlas que utilizan AWS.
Habilitar AWS KMS con autorización de rol en el proyecto
EnvÃe una solicitud PATCH al punto final de la API encryptionAtRest para actualizar el campo awsKms.roleId con su ID de rol de AWS IAM autorizado.
Nota
Este comando curl utiliza un token de acceso a la cuenta de servicio(OAuth 2.0) para autenticarse en lugar de claves API. Para obtener más información, consulte Introducción a la API de administración de Atlas.
Ejemplo
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/json" \ --header "Content-Type: application/json" \ --include \ --request PATCH \ "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \ --data ' { "awsKms": { "enabled": true, "roleId": "<roleId>", "customerMasterKeyID": "<master-key-id>", "region": "<aws-region>" } }'
Después de habilitar el acceso basado en roles para la clave de cifrado de su proyecto, habilite las conexiones de punto final privadas para su proyecto siguiendo las instrucciones de Habilitar y configurar conexiones de punto final privadas para un proyecto.
Cambie a acceso basado en roles para su llave de cifrado en un Proyecto
AWS requiere el uso de roles de IAM en lugar de usuarios de IAM para administrar el acceso a las claves de cifrado de AWS KMS dentro de Atlas. Si inicialmente configuró su proyecto para usar credenciales de usuario de IAM para acceder a las claves de AWS KMS, cambie al acceso basado en roles siguiendo el procedimiento que se describe a continuación.
Importante
Si cambia tus llaves de cifrado al acceso basado en roles, no podrás deshacer la configuración de acceso basado en roles ni volver al acceso basado en credenciales para las llaves de cifrado en ese proyecto.
En Atlas, ve a la página Advanced de tu proyecto.
Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.
Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Database & Network Access en la sección Security.
Autoriza y asigna un rol de AWS IAM a Atlas para acceder a tus claves de AWS KMS para el cifrado en reposo.
Para crear un nuevo rol de AWS IAM que permita acceder a las claves de AWS KMS para su cifrado en reposo, siga el procedimiento «Crear un nuevo rol con la CLI de AWS». Si ya tiene un rol de AWS IAM que desea autorizar, siga el procedimiento «Agregar relaciones de confianza a un rol existente».
Para actualizar la gestión de llave de cifrado con la API de administración de Atlas, utilice los mismos pasos que se indican en el procedimiento anterior.
Habilitar y configurar las conexiones de nodos privados para un Proyecto
Para habilitar la red privada y configurar un punto final privado en su AWS KMS, debe hacer lo siguiente:
En Atlas, ve a la página Advanced de tu proyecto.
Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.
Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Database & Network Access en la sección Security.
Ve a la página Private Endpoints for AWS KMS.
En la página Advanced, en la sección Encryption at Rest using your Key Management, realiza los siguientes pasos:
Expande Network Settings para tu AWS KMS si está colapsado.
Activa el botón junto a Require Private Networking.
Haga clic en Set up.
Se muestra la página Set Up Private Networking for AWS.
Replica tu clave de cifrado en cada región.
Inicia sesión en tu panel de control de AWS KMS.
En la interfaz de usuario de Atlas, haz clic en Copy para guardar tu identificador de llave maestra de cliente ID.
En el panel de control de AWS KMS, replique su clave en todas las regiones deseadas. Para obtener más información, consulte la documentación de AWS.
En la Interfaz de Usuario de Atlas, haz clic en Continue
Especifique las regiones de AWS donde desea crear puntos de conexión privados.
Seleccione las regiones de AWS en el menú desplegable.
Haga clic en Continue.
Atlas crea automáticamente nodos privados en estas regiones para permitirle conectarse utilizando redes privadas.
Atlas puede tardar hasta tres minutos en reflejar el estado actual de tu nodo privado. El punto final privado puede tener uno de los siguientes estados:
Activo | Indica que el nodo privado está aprobado y Atlas puede estar usándolo o ya lo está haciendo. |
Fallido | Indica que la creación del punto final privado falló. |
Habilitar la red privada.
EnvÃa una solicitud PATCH al punto final encryptionAtRest y establece el valor del indicador requirePrivateNetworking en true.
Para obtener más información sobre los parámetros necesarios, consulte la sección "Actualizar la configuración para el cifrado en reposo mediante claves gestionadas por el cliente para un proyecto".
Nota
Este comando curl utiliza un token de acceso a la cuenta de servicio(OAuth 2.0) para autenticarse en lugar de claves API. Para obtener más información, consulte Introducción a la API de administración de Atlas.
Ejemplo
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/vnd.atlas.2024-11-13+json" \ --header "Content-Type: application/vnd.atlas.2024-11-13+json" \ --include \ --request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \ --data ' { "awsKms": { "accessKeyID": "019dd98d94b4bb778e7552e4", "customerMasterKeyID": "string", "enabled": true, "region": "US_EAST_1", "roleId": "32b6e34b3d91647abb20e7b8", "secretAccessKey": "string", "requirePrivateNetworking": true } }'
Crea un extremo privado.
Utilice la API de administración de Atlas para crear un punto final privado que le permita comunicarse con su AWS KMS.
EnvÃa una solicitud POST al punto final encryptionAtRest con la región de AWS en la que deseas que Atlas cree el punto final privado. Debes enviar una solicitud independiente para cada región en la que quieras que Atlas cree un punto final privado.
Ejemplo
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/vnd.atlas.2024-11-13+json" \ --header "Content-Type: application/vnd.atlas.2024-11-13+json" \ --include \ --request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \ --data ' { "regionName": "US_EAST_1" }'
Después de crear el nodo privado, se aplican las siguientes restricciones:
Atlas crea todos los nuevos clústeres solo en las regiones con nodos privados aprobados.
Atlas implementa nodos adicionales para los clústeres existentes solo en las regiones con puntos finales privados aprobados.
Consulta el estado de tu solicitud.
Para comprobar el estado del punto final privado, envÃe una solicitud GET al punto final encryptionAtRest.
Ejemplo
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/vnd.atlas.2024-11-13+json" \ --header "Content-Type: application/vnd.atlas.2024-11-13+json" \ --include \ --request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"
{ "links": [ { "href": "https://cloud.mongodb.com/api/atlas", "rel": "self" } ], "results": [ { "cloudProvider": "AWS", "id": "24-hexadecimal-digit-string", "privateEndpointConnectionName": "string", "regionName": "US_EAST_1", "status": "INITIATING", } ], "totalCount": 1 }
Atlas puede tardar hasta tres minutos en reflejar el estado actual de tu nodo privado. El punto final privado puede tener uno de los siguientes estados:
Activo | Indica que el nodo privado está aprobado y Atlas puede estar usándolo o ya lo está haciendo. |
Fallido | Indica que la creación del punto final privado falló. |
Después de habilitar la administración de claves de cliente para su proyecto y configurar los puntos finales privados, habilite la administración de claves de cliente para cada clúster de Atlas en su proyecto siguiendo las instrucciones de Habilitar la administración de claves de cliente para un clúster de Atlas.
Importante
Si dispone de un clúster de AWS multirregión existente con la administración de claves de cliente habilitada mediante una clave de AWS KMS de una sola región, no podrá habilitar la opción Require Private Networking. Esta configuración no es compatible.
Activar la gestión de claves de cliente para un clúster de Atlas
Después de habilitar el acceso basado en roles para su clave de cifrado para un proyecto, debe habilitar la administración de claves de cliente para cada clúster de Atlas que contenga datos que desee cifrar.
Nota
Debes tener el rol de Project Owner para permitir la gestión de claves de cliente para el clúster en ese proyecto.
llave maestra de cliente multirregional
Para las claves CMK de AWS multirregión, asegúrese de agregar el ARN de cada clave regional a la polÃtica de claves de KMS para que los clústeres de Atlas en esas regiones puedan acceder a ella.
Para clústeres Atlas multirregión en AWS que utilizan redes privadas de AWS KMS, la configuración de KMS debe abarcar todas las regiones de Atlas que utiliza el clúster. Duplique la clave multirregión en cada región y cree un punto de conexión privado de AWS KMS en cada una de ellas.
Para los nuevos clústeres, activa la configuración Gestiona tus propias claves de cifrado en Yes al crear el clúster.
Para los clústeres existentes:
En Atlas, ve a la página Clusters de tu proyecto.
Si aún no se muestra, seleccione la organización que contiene su proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no aparece, selecciona el proyecto deseado en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Clusters en la sección Database.
Active el cifrado del clúster.
Expande el panel Additional Settings.
Se debe cambiar el ajuste de Manage your own encryption keys a Yes.
Se debe verificar el estado de la configuración de Require Private Networking para el clúster.
Si configuró el cifrado en reposo mediante CMK (a través de redes privadas) para Atlas a nivel de proyecto, el estado es Active. Si no ha configurado ninguna conexión de punto final privado para su proyecto, el estado es Inactive.
Deshabilitar claves administradas por el cliente para un proyecto
Para deshabilitar CMK para un proyecto, primero debe eliminar todos los puntos de conexión privados asociados al proyecto, independientemente de su estado. Atlas mostrará un error si intenta deshabilitar CMK para un proyecto que esté asociado con puntos de conexión privados activos.
Después de remover todos los nodos privados de un Proyecto, debe desactivar la gestión de claves del cliente en cada clúster del Proyecto antes de desactivar la funcionalidad para el Proyecto.
Advertencia
No desactive ni elimine ninguna clave de AWS KMS que utilice cualquier clúster de su proyecto Atlas antes de haber desactivado la administración de claves de cliente en dicho proyecto. Si Atlas no puede acceder a una clave de AWS KMS, los datos cifrados por dicha clave quedarán inaccesibles.
Crear nuevos endpoints para un proyecto
Después de habilitar y configurar las conexiones de nodos privados para tu Proyecto, puedes agregar nodos adicionales en cualquier momento desde la Interfaz de Usuario de Atlas y la API de administración de Atlas.
En Atlas, ve a la página Advanced de tu proyecto.
Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.
Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Database & Network Access en la sección Security.
Ve a la página Private Endpoints for AWS KMS.
En la página Advanced, en la sección Encryption at Rest using your Key Management, realiza las siguientes acciones:
Expande Network Settings para tu AWS KMS si está colapsado.
Haga clic en Manage.
La página Private Endpoints for AWS KMS muestra las regiones, el nombre del punto final, el estado de los nodos privados de tus clústeres de Atlas y las acciones que puedes realizar sobre los nodos privados.
Especifique las regiones donde desea crear nodos privados.
Seleccione las regiones de AWS en el menú desplegable.
Haga clic en Continue.
Atlas crea automáticamente nodos privados en estas regiones para permitirle conectarse utilizando redes privadas.
Atlas puede tardar hasta tres minutos en reflejar el estado actual de tu nodo privado. El punto final privado puede tener uno de los siguientes estados:
Activo | Indica que el nodo privado está aprobado y Atlas puede estar usándolo o ya lo está haciendo. |
Fallido | Indica que la creación del punto final privado falló. |
Crea un extremo privado.
Utilice la API de administración de Atlas para crear un punto final privado que le permita comunicarse con su AWS KMS.
EnvÃa una solicitud POST al punto final encryptionAtRest con la región de AWS en la que deseas que Atlas cree el punto final privado. Debes enviar una solicitud independiente para cada región en la que desees que Atlas cree un punto final privado.
Nota
Este comando curl utiliza un token de acceso a la cuenta de servicio(OAuth 2.0) para autenticarse en lugar de claves API. Para obtener más información, consulte Introducción a la API de administración de Atlas.
Ejemplo
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/vnd.atlas.2024-11-13+json" \ --header "Content-Type: application/vnd.atlas.2024-11-13+json" \ --include \ --request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \ --data ' { "regionName": "US_EAST_1" }'
Después de crear el nodo privado, se aplican las siguientes restricciones:
Atlas crea todos los nuevos clústeres solo en las regiones con nodos privados aprobados.
Atlas implementa nodos adicionales para los clústeres existentes solo en las regiones con puntos finales privados aprobados.
Consulta el estado de tu solicitud.
Para comprobar el estado del punto final privado, envÃe una solicitud GET al punto final encryptionAtRest.
Ejemplo
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/vnd.atlas.2024-11-13+json" \ --header "Content-Type: application/vnd.atlas.2024-11-13+json" \ --include \ --request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"
{ "links": [ { "href": "https://cloud.mongodb.com/api/atlas", "rel": "self" } ], "results": [ { "cloudProvider": "AWS", "id": "24-hexadecimal-digit-string", "privateEndpointConnectionName": "string", "regionName": "US_EAST_1", "status": "INITIATING", } ], "totalCount": 1 }
Atlas puede tardar hasta tres minutos en reflejar el estado actual de tu nodo privado. El punto final privado puede tener uno de los siguientes estados:
Activo | Indica que el nodo privado está aprobado y Atlas puede estar usándolo o ya lo está haciendo. |
Fallido | Indica que la creación del punto final privado falló. |
Rechazar o remover la conexión de endpoint privado
Se pueden remover las conexiones de nodos privados desde la Interfaz de Usuario de Atlas y la API de administración de Atlas.
En Atlas, ve a la página Advanced de tu proyecto.
Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.
Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Database & Network Access en la sección Security.
Ve a la página Private Endpoints for AWS KMS.
En la página Advanced, en la sección Encryption at Rest using your Key Management, realiza las siguientes acciones:
Expande Network Settings para tu AWS KMS si está colapsado.
Haga clic en Manage.
La página Private Endpoints for AWS KMS muestra las regiones, el nombre del punto final, el estado de los nodos privados de tus clústeres de Atlas y las acciones que puedes realizar sobre los nodos privados.
Para eliminar correctamente un punto final privado, envÃe una solicitud DELETE al punto final de la API de administración de Atlas e indique el ID del proyecto y del punto final privado que desea eliminar. Puede recuperar el ID del punto final privado que desea eliminar enviando una solicitud GET al punto final "Devolver un servicio de punto final privado para un proveedor" de la API de administración de Atlas.
Nota
Este comando curl utiliza un token de acceso a la cuenta de servicio(OAuth 2.0) para autenticarse en lugar de claves API. Para obtener más información, consulte Introducción a la API de administración de Atlas.
Ejemplo
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/vnd.atlas.2024-10-23+json" \\ or a different version of the Atlas Admin API --header "Content-Type: application/json" \ --include \ --request DELETE "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/ privateEndpoints/{endpointId}" \ --data ' { "cloudProvider": "AWS", "regions": [ "string" ] }'
Cuando utilices la API de administración de Atlas para borrar un punto final privado, el punto final privado pasa al estado DELETING mientras Atlas lo borra.
Si elimina o rechaza un punto de conexión privado activo desde la interfaz de usuario de AWS, Atlas intentará automáticamente recrear un nuevo punto de conexión privado en la misma región.
Mientras Atlas intenta crear un nuevo endpoint privado, el estado del endpoint privado que rechazaste o eliminaste pasa a PENDING_RECREATION y el nuevo endpoint que Atlas intenta crear está en estado INITIATING. Debes aprobar el nuevo nodo privado después de que se cree.
Ver nodos privados y su estado
Puedes ver los nodos privados en las diferentes regiones y sus estados desde la Interfaz de Usuario de Atlas y la API de administración de Atlas.
En Atlas, ve a la página Advanced de tu proyecto.
Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.
Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Database & Network Access en la sección Security.
Ve a la página Private Endpoints for AWS KMS.
En la página Advanced, en la sección Encryption at Rest using your Key Management, realiza las siguientes acciones:
Expande Network Settings para tu AWS KMS si está colapsado.
Haga clic en Manage.
La página Private Endpoints for AWS KMS muestra las regiones, el nombre del punto final, el estado de los nodos privados de tus clústeres de Atlas y las acciones que puedes realizar sobre los nodos privados.
Puede ver el punto final privado y sus estados desde la API de administración de Atlas enviando una solicitud GET a la API de administración de Atlas encryptionAtRest obtener todos los puntos finales u obtener un punto final, para lo cual debe especificar la ID del punto final privado en la ruta.
Nota
Este comando curl utiliza un token de acceso a la cuenta de servicio(OAuth 2.0) para autenticarse en lugar de claves API. Para obtener más información, consulte Introducción a la API de administración de Atlas.
Ejemplo
Devolver todos los nodos privados para un proyecto
curl --header "Authorization: Bearer {ACCESS-TOKEN}" \ --header "Accept: application/vnd.atlas.2024-10-23+json" \\ or a different version of the Atlas Admin API --header "Content-Type: application/json" \ --include \ --request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints/"
Cada nodos privados puede estar en uno de los siguientes estados:
Activo | Indica que el nodo privado está aprobado y Atlas puede estar usándolo o ya lo está haciendo. |
Fallido | Indica que la creación del punto final privado falló. |
Desactivar conexiones de nodos privados para un Proyecto
Para deshabilitar las conexiones de puntos finales privados de un proyecto, primero debe eliminar todos los puntos finales privados asociados a él, independientemente de su estado. Atlas no deshabilita las conexiones de puntos finales privados de un proyecto si este está asociado a puntos finales privados activos.
Después de remover todos los nodos privados para un Proyecto, puedes inhabilitar las conexiones de nodo privado para el Proyecto utilizando la Interfaz de Usuario de Atlas y la API de administración de Atlas.
En Atlas, ve a la página Advanced de tu proyecto.
Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.
Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Database & Network Access en la sección Security.
Para deshabilitar una conexión de punto final privado, envÃe una solicitud PATCH al punto final con el valor del indicador booleano requirePrivateNetworking establecido en false.
Ejemplo
{ "awsKms": { "accessKeyID": "019dd98d94b4bb778e7552e4", "customerMasterKeyID": "string", "enabled": true, "region": "US_EAST_1", "roleId": "32b6e34b3d91647abb20e7b8", "secretAccessKey": "string" "requirePrivateNetworking": false } }
Temas relacionados
Para habilitar el cifrado en reposo utilizando la gestión de claves al implementar un clúster de Atlas, consulta Administra tus propias llaves de cifrado.
Para activar el cifrado en reposo usando la gestión de claves para un clúster de Atlas existente, consulta Activar el cifrado en reposo.
Para obtener más información sobre el cifrado en reposo utilizando la gestión de claves en Atlas, consulta Cifrado en reposo utilizando la gestión de claves del cliente.
Para obtener más información sobre el cifrado en reposo de MongoDB, consulte la sección "Cifrado en reposo" en la documentación del servidor MongoDB.
Para obtener más información sobre el cifrado en reposo con copias de seguridad en la nube, consulta Motor de almacenamiento y cifrado de copias de seguridad en la nube.
Para habilitar la Gestión de clave del cliente para Search Nodes, consulte Habilitar cifrado de datos en Search Nodes.