Administrar claves de clientes con AWS a través de una red pública

En Atlas, vaya a la Advanced Página para su proyecto.

1. Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.

2. Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.

3. En la barra lateral, haz clic en Database & Network Access en la sección Security.

4. En la barra lateral, haga clic en Advanced.

   La página Avanzada se muestra.

Cambie el botón junto Encryption at Rest using your Key Management a On a.

Haga clic en el Authorize a new IAM role enlace para autorizar una función de AWS IAM en Atlas para acceder a sus claves de AWS KMS para el cifrado en reposo.

Para crear un nuevo rol de AWS IAM y acceder a sus claves de AWS KMS para el cifrado en reposo, siga el procedimiento "Crear un nuevo rol con la CLI de AWS". Si ya tiene un rol de AWS IAM que desea autorizar, siga el procedimiento "Añadir relaciones de confianza a un rol existente".

Agregue una política de acceso a su rol de IAM de AWS mediante la consola de AWS o la CLI. Consulte Administrar políticas de IAM para obtener más información.

La política de acceso para el cifrado en reposo es similar a la siguiente:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}

Repita los pasos 1 y 2 para asignar el rol que autorizó en el paso 3 a su proyecto para acceder a su clave de cifrado.

Especifique lo siguiente para acceder a su clave de cifrado y haga clic Save en.

1. Seleccione el rol que desea asignar de la lista desplegable AWS IAM role.

2. Especifique su clave de cifrado en el campo Customer Master Key ID.

3. Seleccione la región de AWS para su clave de cifrado.

Envíe una solicitud POST al punto cloudProviderAccess final.

Utilice el punto de conexión de la API para crear un nuevo rol de AWS IAM. Atlas utilizará este rol para la autenticación con su cuenta de AWS.

Mantenga los valores de campo devueltos atlasAWSAccountArn y atlasAssumedRoleExternalId a mano para usarlos en el siguiente paso.

Modifique su política de confianza del rol de AWS IAM.

1. Inicie sesión en su consola de administración de AWS.

2. Navegue hasta el servicio Identity and Access Management (IAM).

3. Seleccione Roles en la navegación del lado izquierdo.

4. Haga clic en el rol de IAM existente que desea utilizar para acceder a Atlas de la lista de roles.

5. Seleccione la pestaña Trust Relationships.

6. Haga clic en el botón Edit trust relationship.

7. Edite el Policy Document. Agregue un nuevo objeto Statement con el siguiente contenido.

   Nota

   Esta declaración de política permite que el principal de AWS de MongoDB utilice la clave KMS del cliente para operaciones de cifrado y descifrado. El principal de Atlas no es secreto y se utiliza en todos los clientes de Atlas. Se trata de una cuenta de AWS altamente restringida y con fines limitados, sin recursos aparte del usuario de IAM. El ExternalId en la declaración de política es único para cada proyecto de Atlas, pero no es secreto. El ExternalId se utiliza para mitigar la posibilidad de vulnerabilidades entre contextos (delegado confuso). El uso de un principal común por parte de Atlas para acceder a las claves de todos los clientes es un patrón de acceso recomendado por Amazon, como se describe aquí.

   Nota

   Reemplace las líneas destacadas con los valores devueltos de la llamada a la API en el paso 1.

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action:" "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. Haga clic en el botón Update Trust Policy.

Autorizar la función IAM recién creada.

Utilice el punto de conexión de la API para autorizar y configurar el nuevo ARN de rol asumido de IAM. Si la llamada a la API se realiza correctamente, puede usar el roleId valor al configurar los servicios de Atlas que utilizan AWS.

Habilitar AWS KMS con autorización de roles en el proyecto

Envía una solicitud PATCH al punto final de la API encryptionAtRest para actualizar el campo awsKms.roleId con tu ID autorizado de rol de AWS IAM.

curl --user "{public key}:{private key}" --digest \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'

En Atlas, ve a la página Advanced de tu proyecto.

1. Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.

2. Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.

3. En la barra lateral, haz clic en Database & Network Access en la sección Security.

4. En la barra lateral, haga clic en Advanced.

   La página Avanzada se muestra.

Para la Encryption at Rest using your Key Management sección,Edit haga clic en.

Lea la información en la Grant Access to Keys with an AWS IAM Role sección y haga clic Configure en.

Autorice y asigne una función de AWS IAM a Atlas para acceder a sus claves de AWS KMS para el cifrado en reposo.

Para crear un nuevo rol de AWS IAM y acceder a sus claves de AWS KMS para el cifrado en reposo, siga el procedimiento "Crear un nuevo rol con la CLI de AWS". Si ya tiene un rol de AWS IAM que desea autorizar, siga el procedimiento "Añadir relaciones de confianza a un rol existente".