Administrar claves de clientes con Azure Key Vault a través de una red pública

Requisitos previos

Para habilitar claves administradas por el cliente con AKV para un proyecto MongoDB, debe:

• Utilice un clúster M10 o mayor.

• Tenga la cuenta de Azure y las credenciales de Key Vault, y el identificador de clave para la clave de cifrado en su AKV.

  • Para la cuenta, debe tener el ID de cliente, el ID de inquilino y el secreto. Para obtener información sobre la opción sin secreto,consulte Administrar claves de cliente con Azure Key Vault (Autenticación sin secreto).

  • Para el almacén de claves, se debe disponer del ID de suscripción, el nombre del grupo de recursos y el nombre del almacén de claves.

  Para obtener información sobre cómo configurar estos componentes de Azure, consulte la Documentación de Azure.

  Atlas utiliza estos recursos al habilitar el cifrado en reposo para un clúster en el proyecto Atlas.

• Para facilitar la creación o modificación de un clúster por parte de los usuarios, puede permitir el acceso público a la clave. Para limitar el alcance de la clave y mitigar los riesgos, utilice controles como TLS y autenticación.

• Para acceder restringido a rangos de IP definidos, permita el acceso desde las direcciones IP de Atlas y las direcciones IP públicas de los nodos de su clúster.

  • Asegúrese de que Atlas pueda comunicarse con su AKV. Para evitar interrupciones de conectividad, actualice su configuración cada vez que cambien las direcciones IP de los nodos. Por ejemplo, podría necesitar actualizar sus reglas de acceso entrante.

  • Si restringe el acceso al AKV, se crea mayor complejidad cuando cambian las direcciones IP. Por ejemplo, al crear o actualizar un clúster, debe otorgar acceso al AKV a cualquier nueva dirección IP.

• Agregue las direcciones IP salientes del plano de control de Atlas. Para saber cómo recuperar sus direcciones IP salientes mediante la API de administración de Atlas, consulte Obtener direcciones IP del plano de control de Atlas o utilice la operación de la API "Enumerar direcciones IP del plano de control".

• Si tu App registrations Para usar políticas de acceso condicional, lo cual es poco común, debe permitir solicitudes desde las direcciones IP del plano de control de Atlas y las direcciones IP públicas de los nodos del clúster para el registro de aplicaciones. Esto se usa solo para el registro de aplicaciones y no para el acceso al almacén de claves.

Habilitar claves administradas por el cliente para un proyecto

Debe habilitar CMK para un proyecto antes de poder habilitarlo en un clúster de ese proyecto. Puede habilitar CMK para un proyecto desde la interfaz de usuario de Atlas y la API de administración de Atlas.

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

Activar la gestión de claves de cliente para un clúster de Atlas

Después de habilitar las claves administradas por el cliente para un proyecto, debe habilitar la administración de claves del cliente para cada clúster de Atlas que contenga datos que desee cifrar.

Para los clústeres nuevos, cambie la configuración Administrar sus propias claves de cifrado a Yes cuando cree el clúster.

Para los clústeres existentes:

Deshabilitar claves administradas por el cliente para un proyecto

Debe deshabilitar la administración de claves de cliente en cada clúster de un proyecto antes de poder deshabilitar la función para el proyecto.

Revocar el acceso a una clave de cifrado

Puede revocar el acceso de Atlas a una clave de cifrado desde AKV. Atlas pausa automáticamente sus clústeres al revocar el acceso a la clave de cifrado, a menos que su lista de acceso IP de AKV restrinja el plano de control de Atlas.

Para permitir la pausa automática de su clúster, debe:

• Desactivar la lista de acceso IP para su AKV

• Permitir el acceso a su AKV desde el plano de control Atlas.

Si la lista de acceso IP de su AKV restringe el acceso desde el plano de control de Atlas cuando revoca el acceso a una clave de cifrado, debe pausar sus clústeres manualmente para revocar el acceso de Atlas.

Rota tu identificador de clave de Azure

Antes de comenzar, aprenda Sobre la rotación de su identificador de clave de Azure.

Debe crear una nueva clave en el AKV asociado al proyecto Atlas. El siguiente procedimiento describe cómo rotar el identificador de clave de su proyecto Atlas especificando un nuevo identificador de clave en Atlas.

Temas relacionados

• Para habilitar el cifrado en reposo mediante su administración de claves al implementar un clúster Atlas, consulte Administrar sus propias claves de cifrado.

• Para habilitar el cifrado en reposo mediante la administración de claves para un clúster Atlas existente, consulte Habilitar el cifrado en reposo.

• Para obtener más información sobre el cifrado en reposo utilizando la gestión de claves en Atlas, consulta Cifrado en reposo utilizando la gestión de claves del cliente.

• Para obtener más información sobre el cifrado en reposo de MongoDB, consulte Cifrado en reposo en la documentación del servidor MongoDB.

• Para obtener más información sobre el cifrado en reposo con copias de seguridad en la nube, consulte Motor de almacenamiento y cifrado de copias de seguridad en la nube.

• Para habilitar la administración de claves de cliente para los nodos de búsqueda,consulte Habilitar el cifrado de datos del nodo de búsqueda.