/ /

Atlas アクセス権

Docs Home

ネットワークピアリングの構成

注意

この機能は、M0 クラスターと Flex クラスターでは使用できません。

Atlas は、AWS、Google Cloud、Azure でホストされている専用クラスターと、マルチクラウドのシャーディングされたクラスターにおけるネットワークピアリング接続をサポートしています。

ネットワークピアリングで、Atlas VPC とクラウドプロバイダーの VPC の間で確立されるプライベート接続では、パブリックネットワークのトラフィックを分離することで、セキュリティが強化されます。

Atlas では、異なるクラウドプロバイダーの単一リージョンに配置するクラスター間のネットワークピアリングはサポートしていません。

Atlas Kubernetes Operator を使用してネットワークピアリング接続を管理するには、spec.networkPeers を指定して更新します。パラメータ（AtlasProject カスタムリソースの）。サポートされているカスタムリソースのいずれかで specフィールドを変更するたびに、Atlas Kubernetes Operator は対応する Atlas 構成を作成または更新します。

前提条件

Atlas Kubernetes Operator を使用してネットワークピアリングを構成するには、次のものが必要です。

Atlas Kubernetes Operatorが配置された実行中の Kubernetes クラスター。
The Project Owner or Organization Owner role in Atlas.
まだ作成していない場合は、 Amazon Web Services で VPC を作成します。詳細については、 Amazon VPCを使い始めるを参照してください。
アウトバウンドトラフィックのネットワークトラフィックルール。

Atlas に接続するリソースにアタッチされた AWS セキュリティグループに、次のネットワークトラフィックルールを作成します。

権限
方向
ポート
ターゲット
許可する
アウトバウンド
27015から27017
使用している Atlas CIDR

Atlas Kubernetes Operatorが配置された実行中の Kubernetes クラスター。
The Project Owner or Organization Owner role in Atlas.
まだ作成していない場合は、Azureで VNet を作成します。詳しくは、「 Azure portal を使用して仮想ネットワークを作成する」を参照してください。
ネットワークピアリング接続を構成するために必要な Azure ロール。

詳しくは、 Azure権限を参照してください。

Atlas ピアリングアプリケーション ID のサービスプリンシパル。

注意

Atlas がAzure VPCとのネットワークピアリング接続を作成する方法の詳細については、ネットワークピアリングの[]タブを参照してください。Azure

各 Azure ネットワークピアリング接続を作成する前に、次の手順を完了する必要があります。

次の Azure CLI コマンドを実行し、指定された Atlas ピアリングアプリケーション ID を使用してサービスプリンシパルを作成します。
az ad sp create --id e90a1407-55c3-432d-9cb1-3638900a9d22
これは、サブスクライブごとに 1 回だけ必要です。次のメッセージが表示された場合は、Atlas ピアリングアプリケーション ID を持つサービスプリンシパルはすでに存在します。次の手順に進みます。
Another object with the same value for property servicePrincipalNames already exists.

次の例のpeering-role.jsonファイルをコピーし、現在の作業ディレクトリに保存します。

1 {
2   "Name":"AtlasPeering/<azureSubscriptionId>/<resourceGroupName>/<vnetName>",
3   "IsCustom":true,
4   "Description":"Grants MongoDB access to manage peering connections on network /subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>",
5   "Actions":[
6       "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/read",
7       "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/write",
8       "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/delete",
9       "Microsoft.Network/virtualNetworks/peer/action"
10   ],
11   "AssignableScopes":[
12       "/subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>"
13   ]
14 }

peering-role.jsonの変数を、ピアリング接続を作成する Azure VNet に関する詳細に置き換えます。

変数
説明
azureSubscriptionId
VNet が存在する Azure サブスクリプションの一意の識別子。
resourceGroupName
Azure リソースグループの名前。
vnetName
Azure VNet の名前。
次の Azure CLI コマンドを実行し、 peering-role.jsonファイルを使用してロール定義を作成します。
az role definition create --role-definition peering-role.json

以下に示す Azure CLI コマンドを実行して、作成したロールをサービスプリンシパルに割り当てます。

変数をpeering-role.jsonファイルで使用したのと同じ値に置き換えます。

az role assignment create  \
--role "AtlasPeering/<azureSubscriptionId>/<resourceGroupName>/<vnetName>" \
--assignee "e90a1407-55c3-432d-9cb1-3638900a9d22" \
--scope "/subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>"

Atlas Kubernetes Operatorが配置された実行中の Kubernetes クラスター。
The Project Owner or Organization Owner role in Atlas.
IAM ユーザーポリシーが定められ、かつコンピュートネットワーク管理者ロール（ネットワークリソースの作成、変更、削除が可能）を持つGoogle Cloud Platformユーザーアカウント。Google Cloud Platformでプライベートエンドポイントと接続を管理する方法について詳しくは、「 VPC （VPC）ネットワークの作成と変更」を参照してください。
まだ作成していない場合は、 Google Cloud PlatformでVPCを作成します。詳しくは、GCPドキュメントを参照してください。

手順

次の手順で、クライアントがネットワークピアリング接続を使用して Atlas クラスターに接続できるようにします。

`spec.networkPeers`パラメータを指定します。

既存のコンテナまたは新しいコンテナを使用するようにネットワークピアリングを構成できます。

既存のコンテナを使用

spec.networkPears の指定AtlasProject カスタムリソースのパラメータ。次のプレースホルダーを自分の値に置き換えます。

プレースホルダー	説明
`spec.networkPeers.providerName`	クラウドプロバイダー名。 `AWS`を指定します。
`spec.networkPeers.containerId`	使用するネットワークピアリングコンテナの一意の識別子です。 `containerId`を指定しない場合は、 `atlasCIDRblock`を設定する必要があります。詳しくは、この手順のCreate New Containerセクションを参照してください。
`spec.networkPeers.accepterRegionName`	Amazon Web Servicesのリージョン VPC。
`spec.networkPeers.awsAccountId`	Amazon Web Servicesアカウントの一意の識別子です。コンソールのホームページの右上隅にあるアカウント名をクリックすると、 Amazon Web ServicesにアカウントIDが表示されます。
`spec.networkPeers.routeTableCidrBlock`	用のAmazon Web ServicesVPC CIDR ブロック。Amazon Web Servicesは、の詳細ページに CIDR VPCブロックを表示します。
`spec.networkPeers.vpcId`	Amazon Web Services VPCの一意の識別子です。 Amazon Web ServicesはVPCID VPCの詳細ページに表示します。

次のコマンドを実行します:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
  name: my-project
spec:
  name: Test Atlas Operator Project
  networkPeers:
  - providerName: "AWS"
    containerID: "6dc5f17280eef56a459fa3fb"
    accepterRegionName: "us-east-2"
    awsAccountId: "12345678"
    routeTableCidrBlock: "10.0.0.0/24"
    vpcId: "vpc-12345678"
EOF

新しいコンテナの作成

spec.networkPears の指定AtlasProject カスタムリソースのパラメータ。次のプレースホルダーを自分の値に置き換えます。

プレースホルダー	説明
`spec.networkPeers.providerName`	クラウドプロバイダー名。 `AWS`を指定します。
`spec.networkPeers.atlasCidrBlock`	Atlas Kubernetes Operator が新しいコンテナを作成する Atlas CIDR ブロック。`atlasCidrBlock` を指定しない場合は、既存のコンテナの `containerId` を指定する必要があります。詳しくは、この手順の Use Existing Container セクションを参照してください。
`spec.networkPeers.containerRegion`	(任意) Atlas Kubernetes Operator が新しいコンテナを作成する AWS リージョン。ユーザーが `containerRegion` または `containerId` を指定しない場合、Atlas Kubernetes Operator は `accepterRegionName` と同じリージョン内に新しいコンテナを作成します。
`spec.networkPeers.accepterRegionName`	Amazon Web Servicesのリージョン VPC。
`spec.networkPeers.awsAccountId`	Amazon Web Servicesアカウントの一意の識別子です。コンソールのホームページの右上隅にあるアカウント名をクリックすると、 Amazon Web ServicesにアカウントIDが表示されます。
`spec.networkPeers.routeTableCidrBlock`	用のAmazon Web ServicesVPC CIDR ブロック。Amazon Web Servicesは、の詳細ページに CIDR VPCブロックを表示します。
`spec.networkPeers.vpcId`	Amazon Web Services VPCの一意の識別子です。 Amazon Web ServicesはVPCID VPCの詳細ページに表示します。

次のコマンドを実行します:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
  name: my-project
spec:
  name: Test Atlas Operator Project
  networkPeers:
  - providerName: "AWS"
    atlasCidrBlock: "10.8.0.0/21"
    containerRegion: "us-west-1"
    accepterRegionName: "us-east-2"
    awsAccountId: "12345678"
    routeTableCidrBlock: "10.0.0.0/24"
    vpcId: "vpc-12345678"
EOF

`WAITING FOR USER` のステータスを確認します。

次のコマンドを実行します:
kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.statusName}'
WAITING FOR USER
statusNameの値がWAITING FOR USERの場合は次のステップに進みます。 statusNameがWAITING FOR USERでない場合は、数分待ってからこのステップをもう一度試してください。

AWSでVPCピアリング接続を受け入れます。

詳細については、 VPCピアリング接続の受け入れを参照してください。

Atlas Kubernetes Operator を使用して、VPC 接続のステータスを確認します。

再度次のコマンドを実行して、VPC 接続の状態を確認します。Atlas Kubernetes Operator は、ネットワークピアリング接続が完了すると READY を返します。

kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.statusName}'

READY

`spec.networkPeers`パラメータを指定します。

既存のコンテナまたは新しいコンテナを使用するようにネットワークピアリングを構成できます。

既存のコンテナを使用

spec.networkPears の指定AtlasProject カスタムリソースのパラメータ。次のプレースホルダーを自分の値に置き換えます。

プレースホルダー	説明
`spec.networkPeers.providerName`	クラウドプロバイダー名。 `AZURE`を指定します。
`spec.networkPeers.containerId`	使用するネットワークピアリングコンテナの一意の識別子です。 `containerId`を指定しない場合は、 `atlasCIDRblock`を設定する必要があります。詳しくは、この手順のCreate New Containerセクションを参照してください。
`spec.networkPeers.accepterRegionName`	Azure region for your VPC.
`spec.networkPeers.azureSubscriptionId`	Azure サブスクライブの一意な識別子です。 Azureでは、サブスクリプションの詳細ページにサブスクリプション ID が表示されます。
`spec.networkPeers.resourceGroupName`	VPC を含む Azure リソースグループを識別する、人間が判読可能なラベル。Azureでは、リソースグループの詳細ページにリソースグループ名が表示されます。
`spec.networkPeers.azureDirectoryId`	Azure Active ディレクトリテナントの一意な識別子です。Azure は、テナントプロパティページ上でこれを `Tenant ID` として表示します。
`spec.networkPeers.vnetName`	Azure VNET を識別する、人間が判読可能なラベル。 Azureでは VNET の詳細ページに VNET 名が表示されます。

次のコマンドを実行します:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
  name: my-project
spec:
  name: Test Atlas Operator Project
  networkPeers:
  - providerName: "AZURE"
    containerID: "6dc5f17280eef56a459fa3fb"
    accepterRegionName: "US_EAST_2"
    azureSubscriptionId: "12345678"
    resourceGroupName: "my-group"
    azureDirectoryId: "x0xxx10-00x0-0x01-0xxx-x0x0x01xx100"
    vnetName: "my-vnet"
EOF

新しいコンテナの作成

spec.networkPears の指定AtlasProject カスタムリソースのパラメータ。次のプレースホルダーを自分の値に置き換えます。

プレースホルダー	説明
`spec.networkPeers.providerName`	クラウドプロバイダー名。 `AZURE`を指定します。
`spec.networkPeers.atlasCidrBlock`	Atlas Kubernetes Operator が新しいコンテナを作成する Atlas CIDR ブロック。`atlasCidrBlock` を指定しない場合は、既存のコンテナの `containerId` を指定する必要があります。詳しくは、この手順の Use Existing Container セクションを参照してください。
`spec.networkPeers.containerRegion`	(Optional) Azure region in which Atlas Kubernetes Operator creates a new container. If you don't specify either a `containerRegion` or a `containerId`, Atlas Kubernetes Operator creates a new container in the same region as the `accepterRegionName`.
`spec.networkPeers.accepterRegionName`	Azure region for your VPC.
`spec.networkPeers.azureSubscriptionId`	Azure サブスクライブの一意な識別子です。 Azureでは、サブスクリプションの詳細ページにサブスクリプション ID が表示されます。
`spec.networkPeers.resourceGroupName`	VPC を含む Azure リソースグループを識別する、人間が判読可能なラベル。Azureでは、リソースグループの詳細ページにリソースグループ名が表示されます。
`spec.networkPeers.azureDirectoryId`	Azure アクティブディレクトリテナントの一意な識別子です。Azure は、テナントプロパティページ上でこれを `Tenant ID` として表示します。
`spec.networkPeers.vnetName`	Azure VNET を識別する、人間が判読可能なラベル。 Azureでは VNET の詳細ページに VNET 名が表示されます。

次のコマンドを実行します:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
  name: my-project
spec:
  name: Test Atlas Operator Project
  networkPeers:
  - providerName: "AZURE"
    atlasCidrBlock: "10.8.0.0/21"
    containerRegion: "US_WEST"
    azureSubscriptionId: "12345678"
    resourceGroupName: "my-group"
    azureDirectoryId: "x0xxx10-00x0-0x01-0xxx-x0x0x01xx100"
    vnetName: "my-vnet"
EOF

Atlas Kubernetes Operator を使用して、VPC 接続のステータスを確認します。

次のコマンドを実行して、VPC 接続のステータスを確認してください。Atlas Kubernetes Operator は、ネットワークピアリング接続が完了すると READY を返します。

kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.status}'

READY

`spec.networkPeers`パラメータを指定します。

既存のコンテナまたは新しいコンテナを使用するようにネットワークピアリングを構成できます。

既存のコンテナを使用

spec.networkPears の指定AtlasProject カスタムリソースのパラメータ。次のプレースホルダーを自分の値に置き換えます。

プレースホルダー	説明
`spec.networkPeers.providerName`	クラウドプロバイダー名。 `GCP`を指定します。
`spec.networkPeers.containerId`	使用するネットワークピアリングコンテナの一意の識別子です。 `containerId`を指定しない場合は、 `atlasCIDRblock`と`containerRegion`を設定する必要があります。詳しくは、この手順のCreate New Containerセクションを参照してください。
`spec.networkPeers.gcpProjectId`	Google Cloud Platformプロジェクトの一意の識別子。 Google Cloud Platformでは、プロジェクトの詳細ページにプロジェクトIDが表示されます。
`spec.networkPeers.routeTableCidrBlock`	用の CIDRGoogle Cloud PlatformVPC ブロック。Google Cloud Platformは、の詳細ページに CIDR VPCブロックを表示します。
`spec.networkPeers.networkName`	Google Cloud Platform VPCの人間が判読可能なラベル。 Google Cloud Platformでは、 VPCの詳細ページにネットワーク名が表示されます。

次のコマンドを実行します:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
    name: my-project
spec:
  name: Test Atlas Operator Project
  networkPeers:
  - providerName: "GCP"
    containerId: "6dc5f17280eef56a459fa3fb"
    gcpProjectId: "12345678"
    networkName: "my-vpc"
EOF

新しいコンテナの作成

spec.networkPears の指定AtlasProject カスタムリソースのパラメータ。次のプレースホルダーを自分の値に置き換えます。

プレースホルダー	説明
`spec.networkPeers.providerName`	クラウドプロバイダー名。 `GCP`を指定します。
`spec.networkPeers.atlasCidrBlock`	Atlas Kubernetes Operator が新しいコンテナを作成する Atlas CIDR ブロック。`atlasCidrBlock` を指定しない場合は、既存のコンテナの `containerId` を指定する必要があります。詳しくは、この手順の Use Existing Container セクションを参照してください。
`spec.networkPeers.containerRegion`	Google Cloud Platformのリージョン VPC。
`spec.networkPeers.containerRegion`	Google Cloud region in which Atlas Kubernetes Operator creates a new container. If you don't specify `containerRegion`, you must specify the `containerId` of an existing container. To learn more, see the Use Existing Container section in this procedure.
`spec.networkPeers.gcpProjectId`	Google Cloud Platformプロジェクトの一意の識別子。 Google Cloud Platformでは、プロジェクトの詳細ページにプロジェクトIDが表示されます。
`spec.networkPeers.routeTableCidrBlock`	用の CIDRGoogle Cloud PlatformVPC ブロック。Google Cloud Platformは、の詳細ページに CIDR VPCブロックを表示します。
`spec.networkPeers.networkName`	Google Cloud Platform VPCの人間が判読可能なラベル。 Google Cloud Platformでは、 VPCの詳細ページにネットワーク名が表示されます。

次のコマンドを実行します:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
    name: my-project
spec:
  name: Test Atlas Operator Project
  networkPeers:
  - providerName: "GCP"
    atlasCidrBlock: "10.8.0.0/21"
    gcpProjectId: "12345678"
    networkName: "my-vpc"
EOF

`PENDING ACCEPTANCE` のステータスを確認します。

次のコマンドを実行します:
kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.status}'
PENDING ACCEPTANCE
statusの値がPENDING ACCEPTANCEの場合は次のステップに進みます。 statusがPENDING ACCEPTANCEでない場合は、数分待ってからこのステップをもう一度試してください。

Google Cloud でVPCピアリング接続を作成します。

詳細については、 VPCネットワークピアリングの使用を参照してください。

Atlas Kubernetes Operator を使用して、VPC 接続のステータスを確認します。

再度次のコマンドを実行して、VPC 接続の状態を確認します。Atlas Kubernetes Operator は、ネットワークピアリング接続が完了すると READY を返します。

kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.status}'

READY

戻る

シークレットストレージ

プライベートエンドポイント

1	{
2	"Name":"AtlasPeering/<azureSubscriptionId>/<resourceGroupName>/<vnetName>",
3	"IsCustom":true,
4	"Description":"Grants MongoDB access to manage peering connections on network /subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>",
5	"Actions":[
6	"Microsoft.Network/virtualNetworks/virtualNetworkPeerings/read",
7	"Microsoft.Network/virtualNetworks/virtualNetworkPeerings/write",
8	"Microsoft.Network/virtualNetworks/virtualNetworkPeerings/delete",
9	"Microsoft.Network/virtualNetworks/peer/action"
10	],
11	"AssignableScopes":[
12	"/subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>"
13	]
14	}

変数	説明
`azureSubscriptionId`	VNet が存在する Azure サブスクリプションの一意の識別子。
`resourceGroupName`	Azure リソースグループの名前。
`vnetName`	Azure VNet の名前。

ネットワークピアリングの構成

前提条件

手順

spec.networkPeersパラメータを指定します。

既存のコンテナを使用

新しいコンテナの作成

WAITING FOR USER のステータスを確認します。

AWSでVPCピアリング接続を受け入れます。

Atlas Kubernetes Operator を使用して、VPC 接続のステータスを確認します。

spec.networkPeersパラメータを指定します。

既存のコンテナを使用

新しいコンテナの作成

Atlas Kubernetes Operator を使用して、VPC 接続のステータスを確認します。

spec.networkPeersパラメータを指定します。

既存のコンテナを使用

新しいコンテナの作成

PENDING ACCEPTANCE のステータスを確認します。

Google Cloud でVPCピアリング接続を作成します。

Atlas Kubernetes Operator を使用して、VPC 接続のステータスを確認します。

`spec.networkPeers`パラメータを指定します。

`WAITING FOR USER` のステータスを確認します。

`spec.networkPeers`パラメータを指定します。

`spec.networkPeers`パラメータを指定します。

`PENDING ACCEPTANCE` のステータスを確認します。