Gestiona las claves de los clientes con Azure Key Vault: Red pública

Requisitos previos

Para habilitar llaves gestionadas por el cliente con AKV para un proyecto de MongoDB, debes:

• Utilice un clúster M10 o mayor.

• Tenga la cuenta de Azure y las credenciales de Key Vault, y el identificador de clave para la clave de cifrado en su AKV.

  • Para la cuenta, debes tener el ID de cliente, ID de inquilino y secreto. Para obtener información sobre una opción sin secretos, consulta Gestiona las claves de los clientes con Azure Key Vault (Autenticación sin secretos).

  • Para el almacén de claves, se debe disponer del ID de suscripción, el nombre del grupo de recursos y el nombre del almacén de claves.

  Para aprender cómo configurar estos componentes de Azure, consulta la Documentación de Azure.

  Atlas utiliza estos recursos al habilitar el cifrado en reposo para un clúster en el proyecto Atlas.

• Para ayudar a los usuarios a crear o cambiar un clúster fácilmente, puede permitir el acceso público a la clave. Para reducir el alcance de la clave y mitigar riesgos, utiliza controles como TLS y autenticación.

• Para acceso restringido a rangos de IP definidos, permitir acceso desde direcciones IP de Atlas y las direcciones IP públicas de los nodos de tu clúster.

  • Asegura que Atlas pueda comunicarse con el AKV. Para evitar interrupciones en la conectividad, actualiza su configuración cada vez que las direcciones IP de los nodos cambien. Por ejemplo, es posible que deba actualizar sus reglas de acceso entrante.

  • Si restringes el acceso al AKV, aumentas la complejidad cuando cambian las direcciones IP. Por ejemplo, cuando creas o actualizas un clúster, debes conceder acceso en la AKV a todas las direcciones IP nuevas.

• Agrega las direcciones IP salientes del plano de control de Atlas. Para aprender a recuperar tus direcciones IP salientes utilizando la API de Administración de Atlas, consulta Obtener direcciones IP del plano de control de Atlas o utiliza la operación de API Listar direcciones IP del plano de control.

• Si su App registrations utiliza políticas de acceso condicional, lo cual es poco común, debe permitir solicitudes desde las direcciones IP del plano de control de Atlas y las direcciones IP públicas de los nodos de su clúster para el registro de la aplicación. Esto es solo para el registro de la aplicación y no se utiliza para el acceso al key vault.

Habilita claves gestionadas por el cliente para un proyecto

Debes habilitar llave maestra de cliente para un proyecto antes de poder habilitarlo en un clúster dentro de ese proyecto. Puedes habilitar llave maestra de cliente para un proyecto desde la Interfaz de Usuario de Atlas y la API de Administración de Atlas.

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

Activar la gestión de claves de cliente para un clúster de Atlas

Después de habilitar las claves administradas por el cliente para un proyecto, debe habilitar la administración de claves del cliente para cada clúster de Atlas que contenga datos que desee cifrar.

Para los nuevos clústeres, activa la configuración Gestiona tus propias claves de cifrado en Yes al crear el clúster.

Para los clústeres existentes:

Deshabilitar claves administradas por el cliente para un proyecto

Debe deshabilitar la gestión de claves de clientes en cada clúster de un proyecto antes de poder deshabilitar la funcionalidad para ese proyecto.

Revocar acceso a una llave de cifrado

Puedes revocar el acceso de Atlas a una llave de cifrado desde AKV. Atlas pausa automáticamente tus clústeres cuando revocas el acceso a la clave de cifrado, a menos que tu AKV lista de acceso IP restrinja el plano de control de Atlas.

Para permitir la pausa automática de tu clúster, debes:

• Desactiva la lista de acceso IP para tu AKV

• Permite acceso a tu AKV desde el plano de control de Atlas.

Si la lista de acceso IP para tu AKV restringe el acceso desde el plano de control Atlas cuando revocas el acceso a una llave de cifrado, debes pausar manualmente tus clústeres para revocar el acceso de Atlas.

Rota tu identificador de clave de Azure

Antes de comenzar, aprenda Sobre la rotación de su identificador de clave de Azure.

Debe crear una nueva clave en AKV asociada al proyecto Atlas. El procedimiento siguiente documenta cómo rotar el identificador clave de tu proyecto Atlas especificando un nuevo identificador clave en Atlas.

Temas relacionados

• Para habilitar el cifrado en reposo utilizando la gestión de claves al implementar un clúster de Atlas, consulta Administra tus propias llaves de cifrado.

• Para activar el cifrado en reposo usando la gestión de claves para un clúster de Atlas existente, consulta Activar el cifrado en reposo.

• Para obtener más información sobre el cifrado en reposo utilizando la gestión de claves en Atlas, consulta Cifrado en reposo utilizando la gestión de claves del cliente.

• Para obtener más información sobre el cifrado en reposo de MongoDB, consulta Cifrado en reposo en la documentación del servidor de MongoDB.

• Para obtener más información sobre el cifrado en reposo con copias de seguridad en la nube, consulta Motor de almacenamiento y cifrado de copias de seguridad en la nube.

• Para habilitar la Gestión de clave del cliente para Search Nodes, consulte Habilitar cifrado de datos en Search Nodes.