/ /

/ /

Google Cloud Platform KMSによるカスタマーキーの管理

注意

この機能は、次の配置では使用できません。

M0 無料クラスター
Flex クラスター

詳しくは、「の制限」を参照してください。

Google Cloud Platform KMSのカスタマーマネージドキー（CMK）を使用して、 Atlasで保管中のデータをさらに暗号化できます。

Atlas は、Google Cloud KMS の CMK を使用して MongoDB マスターキーを暗号化および復号化します。これにより、クラスターデータベースファイルとクラウドプロバイダーのスナップショットが暗号化されます。Atlas が CMK を暗号化に使用する方法の詳細については、 Google Cloud KMS を使用したカスタマー管理キーの有効化を参照してください。

独自のクラウドプロバイダーKMS Bluetooth を使用する場合、Atlas はMongoDBマスターキーを少なくとも90 日ごとに自動的にローテーションします。メンテナンスウィンドウ中にキーローテーションが開始されます（構成されている場合）。メンテナンス（手動または自動）を延期すると、キーが 90 日を超えてローテーションされる可能性があります。キーは順次ローテーションされるため、プロセスでデータを書き換える必要はありません。

Atlas プロジェクトのカスタマーキーマネジメントを構成してから、そのプロジェクトのクラスターで有効にします。

Google Cloud Platform KMSによるカスタマーマネージドキーの有効化

Atlas では、エンベロープ暗号化というプロセスに沿ってカスタマーキーを管理します。このプロセスでは、あるキーを別のキーで暗号化することによって複数の暗号化レイヤーが作成されます。カスタマーキー管理を有効にするために、MongoDB Atlas では以下の暗号化キーが使用されます。

Customer-Managed Key (CMK)

カスタマー管理キーは、Google Cloud Platform KMS で作成、所有、管理する暗号化のキーです。 Google Cloud Platform KMS で CMK を作成し、プロジェクトレベルで Atlas に接続します。Google Cloud Platform KMS で使用されるCMKの詳細については、Google Cloud Platformドキュメントを参照してください。

Atlas はこのキーを MongoDB マスターキーの暗号化にのみ使用します。

MongoDB Master Key

Atlasマスターキーを作成しMongoDB 。 MongoDB マスターキーは、MongoDB Server がデータベースごとに暗号化されたキーを暗号化するために使用する暗号化キーです。 Atlas は、キーの暗号化されたコピーをローカルに保存します。

このキーは CMK で暗号化され、データベースごとに暗号化されたキーを暗号化します。

Per-Database Encryption Key

MongoDB Atlas の各ノードは、クラスター内のデータベースごとに暗号化のキーも作成します。Atlas はこれらのキーを使用して、WiredTiger を介してデータの読み取りと書き込みを行い、WiredTiger はこれらのキーを暗号化して保存します。

このキーは、MongoDB マスターキーで暗号化されます。

例

ノードが 3 つのレプリカセットの次の暗号化階層を検討してみましょう。 Atlasは、Google Cloud PlatformKMS の CMKMongoDB を使用して、クラスター内の各ノードで一意のマスターキーを暗号化します。また、各ノードには 3 つのデータベースが含まれており、それぞれがデータベースごとに固有の暗号化キーで暗号化されています。 When the cluster starts up, Atlas decrypts the MongoDB Master Key by using the CMK from Google Cloud KMS and supplies this to the MongoDB Server.

注意

Atlas の CMK へのアクセスを取り消すと、Atlas はクラスター内のノードをシャットダウンし、 CMK へのアクセスを復元するまでデータにアクセスできなくなります。

Google Cloud Platform KMSとAtlasによる CMK ワークフローの図

クリックして拡大します

必要なアクセス権

カスタマーキーマネジメントを構成するには、プロジェクトに対して Project Owner のアクセス権が必要です。

Organization Owner アクセス権を持つユーザーは、自分自身を Project Owner としてプロジェクトに追加する必要があります。

前提条件

プロジェクトでを使用してカスタマーマネージドキーを有効にするには、次のものが必要です。Google Cloud PlatformKMSMongoDB

M10 以上のクラスターを使用します。

Google Cloud Platformサービスアカウントキー。
Google Cloud Platform KMSの対称暗号化キー。
暗号化キーに関連付けられたキーバージョンID Google Cloud PlatformKMSリソース。
サービスアカウントキーで指定された認証情報を持つGoogle Cloud Platformサービスアカウントと、次の権限を持つ Google Cloud Platform サービスアカウント。
- Google Cloud Platform KMS暗号化キーのバージョンを取得します。
- Google Cloud Platform KMS暗号化キーバージョンを使用してデータを暗号化します。
- Google Cloud Platform KMS暗号化キーを使用してデータを復号化します。
注意
キーバージョンではなく、キーが復号を取り扱います。
Google Cloud Platform KMS 構成で必要な場合は、Atlas IPアドレスとクラスターノードのパブリックIPアドレスまたは DNS ホスト名用にGCPからアクセスレベルを作成して、Atlas が KMS と通信できるようにします。ノードのIPアドレスが変更された場合は、接続の中断を回避するために構成を更新する必要があります。

Tip

次の方法については、 Google Cloud Platformのドキュメントを参照してください。

プロジェクトでのカスタマーマネージドキーの有効化

プロジェクト内のクラスターで有効にする前に、プロジェクトでカスタマーキー管理を有効にする必要があります。

Atlas Atlasで、プロジェクトの {0 ページにGoします。GoAdvanced

まだ表示されていない場合は、プロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
サイドバーで、Advanced をクリックします。
詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

Google Cloud KMS を選択します。

Key Version Resource ID を入力します。

保管中のデータの暗号化に使用するGoogle Cloud Platform KMS キーのキーバージョンリソースIDを入力します。

キーバージョンリソースID は、CryptoKeyVersion の完全修飾リソース名です。

重要

認証方法を設定する前に、有効なIDを入力する必要があります。

認証方法を設定します。

Atlas はGCP KMS の 2 つの認証方法をサポートしています。

サービスアカウント（推奨） : Atlas が管理するプロジェクト固有のサービスアカウントを使用して、 GCP認証を行います。
静的認証情報 : カスタマーが管理するサービスアカウントキーを提供します。

Atlas では安全な方法でアクセスを許可するため、Atlasプロジェクト固有のサービスアカウントを使用してGCP認証を行います。その後、サービスアカウントに割り当てて、プロジェクトのリソースへのアクセスを制御できます。

注意

以前に静的認証情報を使用して保管時の暗号化を構成し、サービスアカウントベースの認証に移行する場合は、この移行は厳密に一方向であることに注意してください。Atlas は、静的認証情報認証方法への戻すをサポートしていません。

必要な権限がすでに設定されている既存の Atlas GCPサービスアカウントがある場合は、Connect Service Account ドロップダウンメニューからそれを選択します。そうでない場合、次の手順を実行します。

Atlasプロジェクトのサービスアカウントをまだ設定していない場合：

[Authorize a new service account をクリックします。Encrypt Data with GCP KMS ダイアログボックスが表示されます。
[Set Up] ボタンをクリックしてGCPリソースを作成します。Atlas はGCP フォルダーをプロビジョニングし、サービスアカウントを作成します。サービスアカウントを作成するには、フォルダーが必要です。
ドロップダウンメニューから Atlas サービスアカウントを選択するか、新しいアカウントを作成します。

表示される gcloud コマンドを実行して、サービスアカウントに次の必要な権限を付与します。

Enable Encrypt/Decrypt operations

gcloud kms keys add-iam-policy-binding \
  <key-name> \
    --location <location> \
    --keyring <keyring-name> \
    --member <ATLAS_OWNED_SERVICE_ACCOUNT_EMAIL> \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Enable GetPublicKey operations
```
gcloud kms keys add-iam-policy-binding \
  <key-name> \
    --location <location> \
    --keyring <keyring-name> \
    --member <ATLAS_OWNED_SERVICE_ACCOUNT_EMAIL> \
    --role="roles/cloudkms.viewer"
```

[Validate & Finish] をクリックして確定します。

Atlasプロジェクトの既存のサービスアカウントをお持ちの場合:

[Authorize a new service account をクリックします。Encrypt Data with GCP KMS ダイアログボックスが表示されます。
ドロップダウンメニューから既存の Atlas サービスアカウントを選択するか、新しいサービスアカウントを作成します。

表示される gcloud コマンドを実行して、サービスアカウントに次の必要な権限を付与します。

Enable Encrypt/Decrypt operations

gcloud kms keys add-iam-policy-binding \
  <key-name> \
    --location <location> \
    --keyring <keyring-name> \
    --member <ATLAS_OWNED_SERVICE_ACCOUNT_EMAIL> \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Enable GetPublicKey operations
```
gcloud kms keys add-iam-policy-binding \
  <key-name> \
    --location <location> \
    --keyring <keyring-name> \
    --member <ATLAS_OWNED_SERVICE_ACCOUNT_EMAIL> \
    --role="roles/cloudkms.viewer"
```

[Validate & Finish] をクリックして確定します。

Authorize with static credentials を On に切り替えることで、サービスアカウントキーを手動で指定できます。テキストボックスに、 GCPサービスアカウントの暗号化認証情報を含むJSONオブジェクトとして形式したキーを入力します。

重要

静的認証情報は、将来のリリースでは廃止される予定です。可能な場合は、新しいプロジェクトにはサービスアカウント認証を使用します。静的認証情報を使用する既存のプロジェクトは、引き続きそれらを使用できますが、サービスアカウント認証に移行すると切り替えることはできません。

[Save] をクリックします。

Atlas クラスターのカスタマーキー管理の有効化

プロジェクトでカスタマーマネージドキーを有効にした後、暗号化するデータを含む各 Atlas クラスターに対してカスタマーキーマネジメントを有効にする必要があります。

注意

該当プロジェクト内のクラスターのカスタマーキー管理を有効にするには、Project Owner ロールが必要です。

新しいクラスターの場合は、クラスターを作成するときに独自の暗号化キーの管理設定を [Yes] に切り替えます。

既存クラスターの場合:

AtlasGoClustersAtlas で、プロジェクトのページにGoします。

まだ表示されていない場合は、希望するプロジェクトを含む組織を選択しますナビゲーションバーのOrganizationsメニュー
まだ表示されていない場合は、ナビゲーションバーのProjectsメニューから目的のプロジェクトを選択します。
サイドバーで、 Database見出しの下のClustersをクリックします。

[ Clusters （クラスター） ] ページが表示されます。

クラスターの構成を変更します。

暗号化するデータを含むクラスターで、クリックします、次にEdit Configurationを選択します。

クラスター暗号化を有効にします。

[Additional Settings] パネルを展開します。
Manage your own encryption keys 設定を Yes に切り替えます。
クラスターのRequire Private Networking設定のステータスを確認します。
プロジェクトレベルで Atlas のCMKを使用した保管時の暗号化（オーバープライベートネットワーク）を構成した場合、ステータスはActiveです。プロジェクトにプライベートエンドポイント接続を構成していない場合、ステータスはInactiveです。

変更内容を確認して適用します。

[Review Changes] をクリックします。
変更内容を確認し、[Apply Changes] をクリックしてクラスターをアップデートします。

アラート

Atlas では、プロジェクトのカスタマーキー管理を設定すると、 encryption key rotation alertが自動的に作成されます。このアラートはGCP キーバージョンリソース ID をローテーションすることでいつでもリセットできます。

GCP キーバージョンリソース ID のローテーション

注意

この機能は、次の配置では使用できません。

M0 無料クラスター
Flex クラスター

詳しくは、「制限」を参照してください。

MongoDB マスターキー - MongoDB の責任

Google Cloud CMK - お客様の責任

Atlasは、キー管理に使用されるキーバージョンリソースを自動的にローテーションしませID Google Cloud Platformん。

ベストプラクティスとして、Atlasalert 90プロジェクトで保管時の暗号化を有効にする場合、GCP キーバージョンリソース ID のローテーションを促すため、Atlas はデフォルトで日ごとに作成します。このアラートの期間は構成により変更できます。

Google Cloud Platform CMK を自分でローテーションすることも、 CMK を自動的にローテーションさせるようGoogle Cloud Platform KMSインスタンスを構成することも可能です。Google Cloud Platform CMK の自動ローテーションを構成する場合、デフォルトのローテーション期間は約 365 日です。

で自動 CMK Google Cloud PlatformAtlasローテーションをすでに設定していて、90 日ごとに CMK をローテーションするためのアラートを受信したくない場合は、デフォルトのアラート期間を 365 日より長く変更できます。

前提条件

プロジェクトに関連付けられたアカウントに新しいサービスアカウントキーを作成する必要があります。Google Cloud PlatformAtlas

手順

次の手順では、Atlas で新しいキーバージョンリソース ID を指定して、Atlas プロジェクトキー識別子をローテーションする方法を説明します。

AtlasGoAdvancedAtlas で、プロジェクトのページにGoします。

まだ表示されていない場合は、プロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
サイドバーで、Advanced をクリックします。
詳細ページが表示されます。

[]Edit をクリックします。

GCP キーの詳細を更新します。

Google Cloud KMSタブがまだアクティブになっていない場合は、 Google Cloud KMSをクリックします。
Encryption Key Credentialsダイアログボックスがまだ表示されていない場合は、 Encryption Key Credentialsを展開します。
Key Identifierエントリに GCP キーバージョンリソース ID を入力します。
CryptoKeyVersion の完全修飾リソース名を含めます。
例
projects/my-project-0/locations/us-east4/keyRings/my-key-ring-0/cryptoKeys/my-key-0/cryptoKeyVersions/1
Google Cloud Platform暗号化のキーは、Atlas プロジェクト用に構成されたサービスアカウントキーに属している必要があります。プロジェクトに現在設定されているサービスアカウントキーを表示するには、[ Service Account Key ] セクションをクリックします。
[Update Credentials] をクリックします。

Atlas は、キー識別子のローテーションプロセス中に Atlas コンソールにバナーを表示します。

警告

変更が配置されるまで、元のキーバージョンリソース ID を削除したり無効にしたりしないでください。

クラスターがクラスターのバックアップを使用する場合は、スナップショットが暗号化にそのキーを使用していないことを確認するまで、元のキーバージョンリソース ID を削除したり無効にしたりしないでください。

アラート

Atlas は、この手順の完了時にencryption key rotation alertタイマーをリセットします。

検索ノードでのカスタマーマネージドキーの有効化

デフォルトでは、MongoDBプロセスと検索プロセスは同じノードで実行されます。このアーキテクチャでは、カスタマーマネージドの暗号化はデータベースデータに適用されますが、検索インデックスには適用されません。

専用の検索ノードを有効にすると、検索プロセスは別々のノードで実行されます。これにより、検索ノードデータの暗号化が有効になり、データベースデータと検索インデックスの両方を同じカスタマーマネージドキーで暗号化して、包括的な暗号化をカバーすることができます。

注意

この機能は KMS プロバイダー全体で利用できますが、検索ノードは AWS 上にある必要があります。

注意

Google Cloud Platform KMSによるカスタマー マネージド キーの有効化

例

注意

必要なアクセス権

前提条件

注意

Tip

プロジェクトでのカスタマー マネージド キーの有効化

Atlas Atlasで、プロジェクトの {0 ページにGoします。Go.leafygreen-ui-8n27nz{font-style:normal;font-weight:700;}Advanced

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

Google Cloud KMS を選択します。

Key Version Resource ID を入力します。

重要

認証方法を設定します。

注意

重要

[Save] をクリックします。

Atlas クラスターのカスタマー キー管理の有効化

注意

AtlasGoClustersAtlas で、プロジェクトの ページにGoします。

クラスターの構成を変更します。

クラスター暗号化を有効にします。

変更内容を確認して適用します。

アラート

GCP キー バージョン リソース ID のローテーション

注意

MongoDB マスターキー - MongoDB の責任

Google Cloud CMK - お客様の責任

前提条件

手順

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

[]Edit をクリックします。

GCP キーの詳細を更新します。

例

警告

アラート

検索ノードでのカスタマー マネージド キーの有効化

注意

関連トピック

Google Cloud Platform KMSによるカスタマーマネージドキーの有効化

プロジェクトでのカスタマーマネージドキーの有効化

Atlas Atlasで、プロジェクトの {0 ページにGoします。GoAdvanced

Atlas クラスターのカスタマーキー管理の有効化

AtlasGoClustersAtlas で、プロジェクトのページにGoします。

GCP キーバージョンリソース ID のローテーション

AtlasGoAdvancedAtlas で、プロジェクトのページにGoします。

検索ノードでのカスタマーマネージドキーの有効化