Configurar el cifrado

Overview

Esta página describe la configuración del servidor para admitir el cifrado en reposo. Si utiliza MongoDB Atlas: sus datos ya están cifrados. MongoDB gestiona el cifrado de Atlas a nivel de proveedor de nube, pero también puede usar su propia solución de gestión de claves. Consulte la documentación de gestión de claves de Atlas para obtener más información.

MongoDB Enterprise 3.2 introduce una opción de cifrado nativo para el motor de almacenamiento WiredTiger. Fuera de Atlas, el cifrado solo está disponible para instalaciones empresariales que utilizan el motor de almacenamiento WiredTiger.

La gestión segura de las claves de cifrado es un requisito fundamental para el cifrado del almacenamiento. MongoDB utiliza una clave maestra que no se almacena con la instalación. Solo la clave maestra se gestiona externamente; otras claves se pueden almacenar con la instancia de MongoDB.

El motor de almacenamiento cifrado de MongoDB admite dos opciones de administración de claves para la clave maestra:

• Integración con un dispositivo de gestión de claves de terceros a través del Protocolo de Interoperabilidad de Gestión de Claves (KMIP). Recomendado

• Uso de la gestión de claves local a través de un archivo de claves.

Administrador de claves

MongoDB Enterprise admite la transferencia segura de claves con dispositivos de gestión de claves compatibles. El uso de un administrador de claves permite almacenar las claves en él.

MongoDB Enterprise admite la transferencia segura de claves con dispositivos de administración de claves compatibles con el Protocolo de interoperabilidad de administración de claves (KMIP).

Para obtener una lista de los socios certificados de MongoDB, consulta la Lista de socios.

security:
   enableEncryption: true
   kmip:
      serverName: "mdbhost.somecompany.com"
      port: 5696
      serverCAFile: "security/libs/trusted-ca.pem"
      clientCertificateFile: "security/libs/trusted-client.pem"

[initandlisten] Created KMIP key with id: <UID>
[initandlisten] Encryption key manager initialized using master key with id: <UID>

security:
   enableEncryption: true
   kmip:
      keyIdentifier: "a29fba3-fd8327a2-74ba-43aa-bd3b-78a549a5295f"
      serverName: "mdbhost.somecompany.com"
      port: 5696
      serverCAFile: "security/libs/trusted-ca.pem"
      clientCertificateFile: "security/libs/trusted-client.pem"

Administración de claves locales

El uso del método de archivo de claves no cumple con la mayoría de las pautas regulatorias de administración de claves y requiere que los usuarios administren de forma segura sus propias claves.

La gestión segura del archivo de claves es fundamental.

Para cifrar con un archivo de claves, debe tener un64 archivo de claves codificado en base que contenga una sola 16 32 cadena de caracteres o. Solo el propietario del proceso debe poder acceder a este archivo de claves.mongod

1. Cree el archivo de clave codificado base64 con la cadena de caracteres 16 o 32. Puede generar el archivo de clave codificado con el método que prefiera. Por ejemplo,

   openssl rand -base64 32 > mongodb-keyfile

2. Actualiza los permisos del archivo.

   chmod 600 mongodb-keyfile

3. Para utilizar el archivo de clave, inicie con las siguientes mongod opciones:

   • --enableEncryption,

   • --encryptionKeyFile <path to keyfile>,

   mongod --enableEncryption --encryptionKeyFile  mongodb-keyfile

   Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

4. Verifique si el administrador de claves de cifrado se inicializó correctamente con el archivo de claves. Si la operación se realizó correctamente, el proceso registrará el siguiente mensaje:

   [initandlisten] Encryption key manager initialized with key file: <path to keyfile>

Cifrar datos existentes en reposo

MongoDB no puede cifrar datos existentes. Al habilitar el cifrado con una nueva clave, la instancia de MongoDB no puede tener datos preexistentes.

Si está utilizando un conjunto de réplicas que tiene datos existentes, utilice una sincronización inicial continua para cifrar los datos.

Por ejemplo, considere un conjunto de réplicas con tres miembros. El conjunto de réplicas está en uso y contiene datos que desea cifrar. Estos son los pasos que seguiría para cifrar los datos en reposo: