Configurar el cifrado

Overview

En esta página se analiza la configuración del servidor para soportar el cifrado en reposo. Si utiliza MongoDB Atlas, tus datos ya están cifrados. MongoDB gestiona el cifrado de Atlas a nivel del proveedor de nube, pero también puede utilizar su propia solución de gestión de claves. Consulta la documentación de gestión de claves de Atlas para más detalles.

MongoDB Enterprise 3.2 introduce una opción de cifrado nativo para el motor de almacenamiento WiredTiger. Fuera de Atlas, el cifrado solo está disponible para instalaciones empresariales que utilizan el motor de almacenamiento WiredTiger.

La gestión segura de las claves de cifrado es un requisito fundamental para el cifrado del almacenamiento. MongoDB utiliza una clave maestra que no se almacena con la instalación. Solo la clave maestra se gestiona externamente; otras claves se pueden almacenar con la instancia de MongoDB.

El motor de almacenamiento cifrado de MongoDB proporciona dos opciones de gestión de claves para la clave maestra:

• Integración con un dispositivo de gestión de claves de terceros a través del Protocolo de Interoperabilidad de Gestión de Claves (KMIP). Recomendado

• Uso de la gestión local de llaves a través de un archivo llave.

Administrador de claves

MongoDB Enterprise admite la transferencia segura de claves con dispositivos de gestión de claves compatibles. Utilizar un administrador de llaves permite que las llaves se almacenen en el administrador de llaves.

MongoDB Enterprise admite la transferencia segura de claves con dispositivos de gestión de claves que cumplen con el protocolo de Interoperabilidad de Gestión de Claves (KMIP).

Para obtener una lista de los socios certificados de MongoDB, consulta la Lista de socios.

security:
   enableEncryption: true
   kmip:
      serverName: "mdbhost.somecompany.com"
      port: 5696
      serverCAFile: "security/libs/trusted-ca.pem"
      clientCertificateFile: "security/libs/trusted-client.pem"

[initandlisten] Created KMIP key with id: <UID>
[initandlisten] Encryption key manager initialized using master key with id: <UID>

security:
   enableEncryption: true
   kmip:
      keyIdentifier: "a29fba3-fd8327a2-74ba-43aa-bd3b-78a549a5295f"
      serverName: "mdbhost.somecompany.com"
      port: 5696
      serverCAFile: "security/libs/trusted-ca.pem"
      clientCertificateFile: "security/libs/trusted-client.pem"

Gestión local de claves

El uso del método keyfile no cumple con la mayoría de las directrices regulatorias de gestión de claves y requiere que los usuarios gestionen de manera segura sus propias claves.

La gestión segura del archivo de claves es fundamental.

Para cifrar con un archivo de claves, debe tener un archivo de claves codificado en base64 que contenga una única cadena de 16 o 32 caracteres. Solo el propietario del proceso debe poder acceder a este archivo de claves.mongod

1. Cree el archivo de claves codificado en base64 con la string de 16 o 32 caracteres. Se puede generar el archivo clave codificado utilizando cualquier método que se prefiera. Por ejemplo,

   openssl rand -base64 32 > mongodb-keyfile

2. Actualiza los permisos del archivo.

   chmod 600 mongodb-keyfile

3. Para utilizar el archivo de clave, inicie con las siguientes mongod opciones:

   • --enableEncryption,

   • --encryptionKeyFile <path to keyfile>,

   mongod --enableEncryption --encryptionKeyFile  mongodb-keyfile

   Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

4. Verifique si el administrador de claves de cifrado se inicializó correctamente con el archivo de claves. Si la operación se realizó correctamente, el proceso registrará el siguiente mensaje:

   [initandlisten] Encryption key manager initialized with key file: <path to keyfile>

Encriptar datos existentes en reposo

MongoDB no puede encriptar los datos existentes. Cuando habilitas el cifrado con una nueva clave, la instancia de MongoDB no puede tener ningún dato preexistente.

Si estás utilizando un set de réplicas que sí tiene datos existentes, utiliza una sincronización inicial en escala para cifrar los datos.

Por ejemplo, considere un set de réplicas con tres nodos. El set de réplicas está en uso y contiene datos que deseas cifrar. Estos son los pasos que deberías seguir para cifrar los datos en reposo: