Puede almacenar las credenciales de AWS para un almacén de instantáneas compatible con S3 en la base de datos de la aplicación Ops Manager o en HashiCorp Vault. Al almacenar las credenciales en un almacén de claves, Ops Manager las recupera de HashiCorp Vault bajo demanda. La recuperación bajo demanda le permite centralizar, rotar y auditar credenciales confidenciales.
MongoDB Ops Manager admite HashiCorp Vault y almacenamiento de credenciales locales. Usted elige qué método usar para cada almacenamiento de snapshot compatible con S3.
Opciones de almacenamiento de credenciales
MongoDB Ops Manager admite dos ubicación de almacenamiento de credenciales para un almacenamiento de snapshot compatible con S3:
Ubicación de almacenamiento | Descripción |
|---|---|
AppDB | Ops Manager almacena la clave de acceso y la clave secreta de AWS en la base de datos de la aplicación Ops Manager. AppDB es el método predeterminado y no requiere HashiCorp Vault. |
Key Vault | Ops Manager lee la clave de acceso y la clave secreta de AWS desde HashiCorp Vault bajo demanda. Ops Manager almacena únicamente la ruta a cada secreto, no el valor del secreto. |
Utilice un almacén de claves cuando sus requisitos de seguridad o auditoría exijan un administrador de secretos centralizado. Utilice AppDB cuando no utilice HashiCorp Vault.
Cómo Ops Manager utiliza HashiCorp Vault
Para usar HashiCorp Vault para credenciales de almacenamiento de snapshot compatibles con S3, debe completar dos tareas de configuración:
Cree una configuración de almacén de claves que almacene los detalles de conexión y autenticación de su servidor HashiCorp Vault. Para obtener información sobre cómo hacerlo, consulte Configurar un almacén de claves para el almacenamiento de snapshot.
Configure un almacén de instantáneas compatible con S3 para usar el almacén de claves. Debe especificar el almacén de claves, la ruta a la clave de acceso de AWS y la ruta a la clave secreta de AWS. Ops Manager lee las credenciales del almacén de claves y las pasa a AWS S3. Para obtener más información, consulte Agregar un almacén de instantáneas compatible con S3.
Ops Manager se autentica en HashiCorp Vault mediante un token o un JWT. A continuación, Ops Manager lee la clave de acceso y la clave secreta de AWS desde las rutas secretas que especifique para el almacenamiento de instantáneas. Cada ruta debe proporcionarse en el formato <secret-path>/<key>.
Recuperación y almacenamiento en caché de credenciales
Ops Manager lee la clave de acceso y la clave secreta de AWS desde HashiCorp Vault y las almacena en caché en la memoria. Ops Manager no guarda estas credenciales en la base de datos de la aplicación.
Por defecto, MongoDB Ops Manager actualiza una credencial en caché cada cinco minutos. Para cambiar este intervalo, establezca la propiedad mms.keyVault.secret.cacheSoftTtlMs.
Si HashiCorp Vault no está disponible cuando Ops Manager actualiza una credencial en caché, Ops Manager sigue utilizando la última credencial conocida y registra el evento, por lo que las copias de seguridad existentes continúan. Si no existe ninguna credencial en caché y Ops Manager no puede acceder a HashiCorp Vault, la operación que necesita la credencial falla.
Importante
Ops Manager no tiene una alerta específicamente para la disponibilidad de HashiCorp Vault. Si Vault deja de ser accesible y no quedan credenciales en caché, los errores de copia de seguridad resultantes activan las mismas alertas de copia de seguridad que se aplican a cualquier tarea de copia de seguridad fallida. Configure las alertas de copia de seguridad para recibirlas. Para saber cómo, consulte Configurar ajustes de alerta en Ops Manager.
Cuando Ops Manager valida un almacenamiento de snapshot compatible con S3que utiliza un almacén de claves y S3 devuelve un error 401 o 403, Ops Manager actualiza las credenciales de HashiCorp Vault una vez y, a continuación, vuelve a intentarlo. Si el reintento también falla, Ops Manager devuelve un error y la validación falla.
Seguridad
MongoDB Ops Manager protege sus detalles de autenticación de HashiCorp Vault de la siguiente manera:
MongoDB Ops Manager cifra el secreto de autenticación de Vault en reposo con el archivo
gen.key, el mismo método que MongoDB Ops Manager utiliza para otras integraciones.Ops Manager redacta el secreto de autenticación de Vault y cualquier certificado personalizado en las respuestas de la API y en la consola de Ops Manager. Ops Manager devuelve
[REDACTED]en lugar del valor almacenado.
Requisitos
Para utilizar HashiCorp Vault para credenciales de almacenamiento de snapshot compatibles con S3, necesita:
Una implementación de HashiCorp Vault accesible.
Políticas de Vault, roles y rutas secretas que otorgan a Ops Manager acceso de solo lectura a las credenciales de AWS.
Conectividad de red segura y confiable entre Ops Manager, el daemon de copias de seguridad y HashiCorp Vault.
Migrar el almacenamiento de snapshot existente a HashiCorp Vault
Para cambiar un almacenamiento de snapshot compatible con S3existente de credenciales locales a HashiCorp Vault:
Cree una configuración de almacén de claves, como se describe en Configurar un almacén de claves para almacenamiento de snapshot.
Edite el almacenamiento de snapshot compatible con S3y establezca su ubicación de almacenamiento de credenciales en el almacén de claves, como se describe en Editar un almacenamiento de snapshot compatible con S3existente.