Administrar claves de clientes con Azure Key Vault a través de una red pública

Requisitos previos

Para habilitar claves administradas por el cliente con AKV para un proyecto MongoDB, debe:

• Utilice un clúster M10 o mayor.

• Ten la cuenta Azure y las credenciales de Key Vault, y el identificador de clave para la clave de cifrado en tu AKV.

  • Para la cuenta, debes tener el ID de cliente, ID de inquilino y secreto. Para aprender sobre una opción sin secretos, consulta Administrar claves de cliente con Azure Key Vault (autenticación sin secretos).

  • Para el almacén de claves, se debe disponer del ID de suscripción, el nombre del grupo de recursos y el nombre del almacén de claves.

  Para obtener información sobre cómo configurar estos componentes de Azure, consulte la Documentación de Azure.

  Atlas utiliza estos recursos al habilitar el cifrado en reposo para un clúster en el proyecto Atlas.

• Para ayudar a los usuarios a crear o cambiar un clúster fácilmente, puede permitir el acceso público a la clave. Para delimitar el alcance de la clave y mitigar riesgos, utiliza controles como TLS y autenticación.

• Para acceso restringido a rangos de IP definidos, permitir acceso desde direcciones IP de Atlas y las direcciones IP públicas de los nodos de tu clúster.

  • Asegúrate de que Atlas pueda comunicarse con tu AKV. Para evitar interrupciones en la conectividad, actualiza tu configuración cuando las direcciones IP de los nodos cambien. Por ejemplo, se podría necesitar actualizar las reglas de acceso entrante.

  • Si se restringe el acceso al AKV, se genera más complejidad cuando las direcciones IP cambian. Por ejemplo, cuando se crea o actualiza un clúster, se debe conceder acceso en el AKV a cualquier nueva dirección IP.

• Agregue las direcciones IP salientes del plano de control de Atlas. Para saber cómo recuperar sus direcciones IP salientes mediante la API de administración de Atlas, consulte Obtener direcciones IP del plano de control de Atlas o utilice la operación de la API "Enumerar direcciones IP del plano de control".

• Si tu App registrations usa políticas de acceso condicional, lo que es poco común, debes permitir solicitudes desde las direcciones IP del Atlas Control Plane y las direcciones IP públicas de los nodos de tu clúster para el registro de aplicaciones. Esto se utiliza solo para el registro de la aplicación y no se usa para el acceso al almacén de claves.

Habilita claves gestionadas por el cliente para un proyecto

Debes habilitar llave maestra de cliente para un proyecto antes de poder habilitarlo en un clúster de ese proyecto. Puedes habilitar llave maestra de cliente para un proyecto desde la Interfaz de Usuario de Atlas y la API de administración de Atlas.

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

Activar la gestión de claves de cliente para un clúster de Atlas

Después de habilitar las claves administradas por el cliente para un proyecto, debe habilitar la administración de claves del cliente para cada clúster de Atlas que contenga datos que desee cifrar.

Para los clústeres nuevos, cambie la configuración Administrar sus propias claves de cifrado a Yes cuando cree el clúster.

Para los clústeres existentes:

Deshabilitar claves administradas por el cliente para un proyecto

Debe deshabilitar la gestión de claves de clientes en cada clúster de un proyecto antes de poder deshabilitar la funcionalidad para ese proyecto.

Revocar acceso a una llave de cifrado

Puedes revocar el acceso de Atlas a una clave de cifrado desde dentro de AKV. Atlas pausa automáticamente sus clústeres cuando revoca el acceso a la clave de cifrado, a menos que la lista de acceso IP de AKV restrinja el plano de control de Atlas.

Para permitir la pausa automática de tu clúster, debes:

• Desactivar la lista de acceso IP para su AKV

• Permita el acceso a su AKV desde el plano de control de Atlas.

Si la lista de acceso IP de tu AKV restringe el acceso desde el plano de control de Atlas cuando revocas el acceso a una llave de cifrado, debes pausar tus clústeres manualmente para revocar el acceso de Atlas.

Rota tu identificador de clave de Azure

Antes de comenzar, aprenda Sobre la rotación de su identificador de clave de Azure.

Debe crear una nueva clave en el AKV asociada al proyecto Atlas. El siguiente procedimiento documenta cómo rotar el Identificador de clave de su proyecto Atlas especificando un nuevo identificador de clave en Atlas.

Temas relacionados

• Para habilitar el cifrado en reposo mediante su administración de claves al implementar un clúster Atlas, consulte Administrar sus propias claves de cifrado.

• Para habilitar el cifrado en reposo mediante la administración de claves para un clúster Atlas existente, consulte Habilitar el cifrado en reposo.

• Para obtener más información sobre el cifrado en reposo utilizando la gestión de claves en Atlas, consulta Cifrado en reposo utilizando la gestión de claves del cliente.

• Para obtener más información sobre el cifrado en reposo de MongoDB, consulta Cifrado en reposo en la documentación del servidor de MongoDB.

• Para obtener más información sobre el cifrado en reposo con copias de seguridad en la nube, consulta Motor de almacenamiento y cifrado de copias de seguridad en la nube.

• Para habilitar la Gestión de clave del cliente para Search Nodes, consulte Habilitar cifrado de datos en Search Nodes.