カスタマーキー管理を使用した保管時の暗号化

注意

このページは、Atlas InfiniteとAtlas Coreの両方に適用されます。

カスタマーマネージドキーを使用してデータベースレベルの保管時の暗号化を有効にすることで、データのセキュリティをさらに強化できます。ユーザーはクラウドプロバイダーの KMS 内に保存されている暗号化のキーを所有し、制御します。Atlas が保管中のデータをどのように暗号化し、利用可能なキーの種類がどのように異なるかを学ぶには、「Atlas 保管時の暗号化の概要」を参照してください。

キー管理機能を使用して保管時の暗号化を構成すると、Atlas プロジェクトに追加料金が発生します。詳細については、「高度なセキュリティ」を参照してください。

注意

MongoDB Atlas共有責任モデルは、安全で回復力のあるデータ環境を維持するためのMongoDBとそのカスタマーの補完的な役割を定義します。このフレームワークの下、 MongoDB は基礎のプラットフォームのセキュリティと運用上の整合性を管理しますが、カスタマーは特定の配置の構成、管理、データポリシーに責任を負います。所有者のセキュリティと運用の優れ性の詳細な内訳については、共有責任モデルを参照してください。

プロジェクト内のすべてのクラスターと専用サーチ配置で保管時の暗号化のカスタマーマネージドキーが有効になっていることを強制するには、Atlas リソースポリシーを使用します。リソースポリシーを使用すると、クラスターまたはサーチ配置を作成または変更する前に CMK を要求できます。

重要

Flex クラスターで利用できない機能

Flex クラスターは現時点ではこの機能をサポートしていません。詳しくは、「Atlas Flex の制限事項」をご覧ください。

Atlas プロジェクト向けに保管時の暗号化を構成する際、次のカスタマーキー管理プロバイダーの 1 つ以上を使用できます。

注意

Atlas Infiniteのパブリックプレビューには、カスタマーキーマネジメントに適用する制限がいくつかあります。全リストについては、パブリックプレビューの制限事項をご覧ください。

パブリックプレビューにおいて、AtlasはAtlas Infiniteでのみ、Amazon Web Services KMSを介したカスタマー管理キーをサポートしています。Azure Key VaultおよびGoogle Cloud Platform KMSはサポートされていません。Atlas Infiniteクラスターがカスタマー管理キーを使用している場合、そのスナップショットを作成したプロジェクト内で復元する必要があります。プロジェクト間および組織間の復元はサポートされていません。

Atlasプロジェクトにキー管理プロバイダーを 1 つ以上構成したら、暗号化が必要な Atlas クラスターごとにカスタマーキー管理を有効にできます。キー管理プロバイダーは、クラスタークラウドサービスプロバイダーと同じである必要はありません。

Atlas Infiniteクラスターでは、デフォルトの暗号化とカスタマーマネージドキーの間で、どちらの方向にも移行できます。Atlas Infiniteは移行をキーローテーションとして扱います。クラスターは利用可能な状態を維持し、移行が完了するまで前のキーは有効なままです。詳細については、「Atlas Infinite 暗号化」を参照してください。

注意

カスタマーキー管理を有効または無効にすると、Atlas は最初の同期を実行してクラスターデータを再び暗号化します。クラスター上のMongoDB Search およびMongoDB ベクトル検索インデックスも再構築されます。

または、M10 以上の Atlas クラスターを Azure リージョンのみに配置しているプロジェクトの場合は、Atlas Administration API を使用して、AKV 内に Azure Private Link を自動的に作成できます。これにより Atlas は AKV と Azure のプライベートネットワークインターフェースを介して安全に通信できるようになります。詳細については、Azure Key Vault を使用したカスタマーキーの管理を参照してください。

KMS プロバイダーが利用できなくなっても、実行中のクラスターは無効になりません。このようなクラスターを再起動し、キーが取り消されている場合、Atlas はそれを無効にします。

データ分類レベルや使用する暗号化のタイプなど、暗号化の推奨事項の詳細については、Atlas アーキテクチャセンターの「Atlas データ暗号化の推奨事項」を参照してください。

注意

カスタマーマネージドキーを使用した保管時の暗号化が有効なクラスターの場合、Atlas のデータ検証には、データの復号化のために、お使いの KMS への余計アクセスが必要です。詳細については、データ検証 KMS の使用方法。を参照してください。

必要なアクセス権

カスタマーキーマネジメントを構成するには、プロジェクトに対して Project Owner のアクセス権が必要です。

Organization Owner アクセス権を持つユーザーは、自分自身を Project Owner としてプロジェクトに追加する必要があります。

カスタマーキー管理による Atlas の構成

キーマネジメントを使用した保管時の暗号化には、有効なキーマネジメントプロバイダーの認証情報と暗号化のキーが必要です。これらの詳細を提供し、カスタマーキー管理を有効にするには、以下の手順に従ってください。

Atlas で、プロジェクトの Advanced ページに移動します。

まだ表示されていない場合は、プロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
サイドバーで、Advanced をクリックします。
詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

（任意）Search Node Data Encryption の横にあるボタンを On に切り替えます。

検索ノードのすべてのデータの暗号化をオプションで有効にできます。この機能は、後で有効にすることもできます。

詳細については、「検索ノードのカスタマーキー管理を有効にする」を参照してください。

キー管理プロバイダーアカウントの認証情報を入力し、暗号化のキーを入力します。

[Save] をクリックします。

（オプション）Atlas コントロールプレーンをアクセス先またはアクセス元として許可します。

詳細については、「Atlas Control Plane からのアクセス許可」を参照してください。

Atlas Control Plane からのアクセス許可

KMS 構成によっては、Atlas が KMS と通信できるように、次の IP アドレスを KMS アクセスリストに追加する必要があります。追加する IP アドレスは次のとおりです。

Atlas Control Plane の外向き IP アドレス
Atlas クラスターノードのパブリック IP アドレス (データプレーン)
Atlas ゲートウェイ IP アドレス

Atlas と KMS 間の通信を有効にするには、次の操作を実行します。

エンドポイントに GET `returnAllControlPlaneIpAddresses` リクエストを送信します。

この API エンドポイントは、クラウドプロバイダーとリージョン別に分類されたインバウンドとアウトバウンド Atlas コントロールプレーン IP アドレスのリストを CIDR 形式で返します。詳細については、AWS、Azure 、GCP でカスタマー　キーを管理するための前提条件を参照してください。

返された送信元 IP アドレスをクラウドプロバイダーの IP アクセスリストに追加します。

詳細については、AWS、Azure、GCP でカスタマーキーを管理するための前提条件を参照してください。

Atlas クラスターのカスタマーキー管理の有効化

カスタマーキー管理で Atlas を構成したら、暗号化するデータを含む Atlas クラスターごとにカスタマーキー管理を有効にする必要があります。

注意

該当プロジェクト内のクラスターのカスタマーキー管理を有効にするには、Project Owner ロールが必要です。

新しいクラスターの場合:

クラスター暗号化を有効にします。

クラスター構成フォームで Manage your own encryption keys 設定を Yes に切り替えます。

変更内容を確認して適用します。

[Review Changes] をクリックします。
変更内容を確認し、[Apply Changes] をクリックしてクラスターを配置します。

任意: 新しいクラスターノードの IP アドレスを追加します。

キー管理構成によっては、Atlas クラスターノードの IP アドレスをクラウドプロバイダーの KMS アクセスリストに追加して、クラスターが KMS と通信できるようにする必要があります。クラスターと KMS 間の通信を有効にするには、次の操作を実行します。

ipAddresses エンドポイントに GET リクエストを送信します。returnAllIpAddresses API エンドポイントは、新しいクラスターノードからの IP アドレスのリストを次のように返します。
```
{  "groupId": "xxx", // ObjectId  "services": {    "clusters": [      {        "clusterName": "Cluster0",        "inbound": [          "3.92.113.229",          "3.208.110.31",          "107.22.44.69"          ],        "outbound": [          "3.92.113.229",          "3.208.110.31",          "107.22.44.69"        ]      }    ]  }}
```
返された IP アドレスをクラウドプロバイダーの IP アクセスリストに追加します。IP アクセスリストは、プロビジョニングプランのロールバック前に、変更する必要があります。クラスターは、プロビジョニングプランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。
詳細については、AWS、Azure、GCP でカスタマーキーを管理するための前提条件を参照してください。
注意
IP アクセスリストの更新にさらに時間が必要な場合は、次の解決策があります。
- 保管時の暗号化機能を使用せずにクラスターをプロビジョニングし、IP アクセスリストをアップデートしてから有効にします。
- クラウドプロバイダーの KMS でより包括的な IP アクセスリストを構成し、保管時の暗号化を使用してクラスターを起動してから、IP アクセスリストを変更します。

既存クラスターの場合:

Atlas で、プロジェクトの Clusters ページに移動します。

まだ表示されていない場合は、希望するプロジェクトを含む組織を選択しますナビゲーションバーのOrganizationsメニュー
まだ表示されていない場合は、ナビゲーションバーのProjectsメニューから目的のプロジェクトを選択します。
サイドバーで、 Database見出しの下のClustersをクリックします。

[ Clusters （クラスター） ] ページが表示されます。

クラスターの構成を変更します。

暗号化するデータを含むクラスターで、クリックします、次にEdit Configurationを選択します。

クラスター暗号化を有効にします。

[Additional Settings] パネルを展開します。
Manage your own encryption keys 設定を Yes に切り替えます。
クラスターのRequire Private Networking設定のステータスを確認します。
プロジェクトレベルで Atlas に対して CMK を使用した保管時の暗号化（プライベートネットワーク経由）を設定した場合、ステータスは「Active」です。プロジェクトにプライベートエンドポイント接続を設定していない場合、ステータスは「Inactive」です。

変更内容を確認して適用します。

[Review Changes] をクリックします。
変更内容を確認し、[Apply Changes] をクリックしてクラスターをアップデートします。

検索ノードのカスタマーキー管理の有効化

プロジェクトのカスタマーキーマネジメントを構成する場合、検索ノードのカスタマーキーマネジメントを使用して暗号化を有効にすることもできます。これにより、インデックスを含むMongoDB SearchとMongoDB ベクトル検索のワークロードは、カスタマーマネージドキーで暗号化された状態になります。

この機能は KMS プロバイダー全体で利用できます。

カスタマーマネージドキーを使用して検索ノードデータの暗号化を有効にする方法は以下のとおりです。

Atlas で、プロジェクトの Advanced ページに移動します。

まだ表示されていない場合は、プロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
サイドバーで、Advanced をクリックします。
詳細ページが表示されます。

カスタマーキー管理を使用するか、構成を編集して保管時の暗号化を有効にします。

カスタマーキー管理をまだ構成していない場合は、「カスタマーキー管理で Atlas を構成」の手順に従います。

それ以外の場合は、Encryption at Rest using your Key Management の横にある Edit ボタンをクリックします。

Search Node Data Encryption の横にあるボタンを On に切り替えます。

[Save] をクリックします。

プロジェクトレベルで検索ノードのデータ暗号化を有効にすると、Atlas は検索ノードを持つ新規または既存のクラスターに対して、クラスター暗号化 1 または 2 を設定することで、クラスターレベルでも暗号化を有効にします。Atlas はカスタマーマネージドキーを使用して検索ノードを暗号化し、検索インデックスを再構築します。このプロセスにかかる時間は、インデックスのサイズと数によって異なります。

注意

プロジェクトレベルでカスタマーキーマネジメントを無効にするか、カスタマー管理キーが無効になると、Atlas はクラスターを一時停止し、Search ノードを削除するため、データベースクエリが利用できなくなります。

カスタマーキーマネジメントを再度有効にするか、キー構成を修正すると、Atlas はクラスターの一時停止を解除し、新しい検索ノードをプロビジョニングして、最初の同期を実行します。最初の同期が完了すると、検索機能が再開されます。

暗号化された Atlas クラスターへのノードの追加

レプリカセットクラスターまたはシャーディングされたクラスターにノードまたはシャードを追加する。

M10 以降のクラスターに選出可能なノードを追加するか、シャーディングされたクラスター内のシャードの数を増やすことができます。

任意: 新しいクラスターノードまたはシャードから IP アドレスを追加する。

ipAddresses エンドポイントに GET リクエストを送信します。この returnAllIpAddresses API エンドポイントは、新しいクラスターノードまたはシャードからの IP アドレスのリストを次のように返します。
```
{  "groupId": "xxx", // ObjectId  "services": {    "clusters": [      {        "clusterName": "Cluster0",        "inbound": [          "3.92.113.229",          "3.208.110.31",          "107.22.44.69"          ], // List<String>        "outbound": [          "3.92.113.229",          "3.208.110.31",          "107.22.44.69"        ]      }    ]  }}
```
返された IP アドレスをクラウドプロバイダーの IP アクセスリストに追加します。IP アクセスリストは、プロビジョニングプランのロールバック前に、変更する必要があります。クラスターは、プロビジョニングプランが IP アクセス制限からロールバックする前に、最大 3 日間プロビジョニングを試みます。
詳細については、AWS、Azure、GCP でカスタマーキーを管理するための前提条件を参照してください。

KMS 構成の検証

Atlas は KMS 構成を検証します。

認証情報を追加または更新するとき。
15 分ごと。
保管時の暗号化 API エンドポイントを使用して、オンデマンドで。

次のいずれかの条件に一致する場合、Atlas は予定されている次回検証チェックで、すべての mongod と mongos プロセスをシャットダウンします。

キー管理プロバイダーの認証情報が無効になった
暗号化のキーを誰かが削除または無効にした

Atlas がキー管理マネジメントプロバイダーに接続できない場合、または Atlas が誤ったアラームの可能性を検出した場合でも、Atlas はプロセスをシャットダウンしません。すべての新しいプロジェクトで KMS ネットワークへのアクセス失敗が伝達されるように、Encryption at Rest KMS network access denied アラートはデフォルトで有効になっています。アラート設定を構成できます。

Atlas がクラスターをシャットダウンすると、次のイベントが発生します。

Atlas は、影響を受けるすべてのクラスターのリストを作成して、Project Owner に送信します。
Clusters ページには、保管時の暗号化設定が無効なため、Atlas がクラスターを無効にした状態が反映されています。

無効にされたクラスターではデータの読み取りも書き込みもできません。ディスクやインスタンスサイズの変更などの更新は、無効にされたクラスターに送信できます。Atlas はユーザーが暗号化キーを復元すると、こうした変更を処理します。また、メンテナンスとセキュリティパッチの適用は継続します。無効にされたクラスターではすべてのデータが保持されるため、課金は継続されます。

注意

仮想マシンの電源

Atlas は、クラスターが無効になっている間も、クラスターが実行中の仮想マシン（VM）を停止しません。Atlas がサーバーを再起動するパッチを実行する場合がありますが、VM の電源はオフとオンに切り替わりません。

データへのアクセス権を復活するには、次のアクションを実行します。

カスタマーキー管理で Atlas を構成してから認証情報が変更された場合は、認証情報を更新します。
キーが無効化または削除されている場合は、キーを復元します。

構成を更新してから、[Try Again] をクリックして有効にします。再試行しない場合、Atlas は予定される次回のチェックで検証します。Atlas で構成の有効性が確認されると、すべての mongod と mongos プロセスが再開します。

警告

キーが削除された場合、キーを復元してクラスターへのアクセスを回復します。有効なキーがないと、カスタマーキーマネジメントを使用してキーを変更したり、保管時の暗号化を無効にしたりすることはできません。

削除されたキーの復元

削除されたキーを復元するには、キー管理プロバイダーのドキュメントを参照してください。

データ検証 KMS 使用状況

カスタマーマネージドキーを使用する保管時の暗号化が有効なクラスターの場合、Atlas データ検証には、検証チェック中にデータの復号化を行うために余計な KMS アクセスが必要です。

データ検証は、すべてのプロジェクトでデフォルトで有効になっています。余計な KMS のコスト、リクエスト、またはセキュリティの考慮が要件と一致しない場合は、オプトアウトできます。

KMS の使用

データ検証が有効になっている場合、検証インスタンスは暗号化されたクラスターからデータを複号化するため、お客様の KMS に対してより多くのリクエストを行います。

リクエストボリューム:

Atlas は検証中に、レプリカセットのノードごとに 1 時間に約 1 件の復号リクエストを行います。7 日間の検証ウィンドウを持つ標準の 3 ノードレプリカセットでは、約 500 件の KMS リクエストが追加で発生します。

見積もりコスト:

ほとんどのクラスターでは、検証に関連する KMS コストは最小限です。現在の価格については、お使いのクラウドプロバイダーのドキュメントを参照してください。

セキュリティに関する考慮事項:

検証インスタンスは、KMS 監査ログに余計なプリンシパルとして表示されます。
KMS で IP アローリストを使用する場合は、検証インスタンスの IP 範囲をアローリストに追加する必要がある可能性があります。
検証インスタンスは、クラスターノードと同じカスタマーマネージドキーを使用します。

検証インスタンス IP 範囲の現在のリストについては、MongoDB サポートにお問い合わせください。

暗号化されたクラスターの IP アローリスト構成

ほとんどの KMS 設定では、データ検証のために余計 IP アローリストの変更は必要としません。ただし、お使いの KMS が IP ベースのアクセス制御を使用している場合 (例: ファイアウォール制限ありの Azure Key Vault)、検証インスタンスの IP 範囲をアローリストに追加する必要があります。それ以外の場合、検証に失敗します。

KMS の IP アローリストを設定するには：

Amazon Web Services KMSは通常、IAM ロールによるアクセスを許可します。IAM ポリシーで Atlas ロールが許可されている場合、検証インスタンスに追加の IP アローリスト構成は必要ありません。

データ検証の詳細については、「クラスター整合性のデータ検証」を参照してください。

詳細

戻る

Atlasの保管時の暗号化の概要

AWS KMS

カスタマー キー管理を使用した保管時の暗号化

必要なアクセス権

カスタマー キー管理による Atlas の構成

Atlas で、プロジェクトの Advanced ページに移動します。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

（任意）Search Node Data Encryption の横にあるボタンを On に切り替えます。

キー管理プロバイダー アカウントの認証情報を入力し、暗号化のキーを入力します。

[Save] をクリックします。

（オプション）Atlas コントロール プレーンをアクセス先またはアクセス元として許可します。

Atlas Control Plane からのアクセス許可

エンドポイントに GET returnAllControlPlaneIpAddresses リクエストを送信します。

返された送信元 IP アドレスをクラウドプロバイダーの IP アクセス リストに追加します。

Atlas クラスターのカスタマー キー管理の有効化

クラスター暗号化を有効にします。

変更内容を確認して適用します。

任意: 新しいクラスター ノードの IP アドレスを追加します。

Atlas で、プロジェクトの Clusters ページに移動します。

クラスターの構成を変更します。

クラスター暗号化を有効にします。

変更内容を確認して適用します。

検索ノードのカスタマー キー管理の有効化

Atlas で、プロジェクトの Advanced ページに移動します。

カスタマー キー管理を使用するか、構成を編集して保管時の暗号化を有効にします。

Search Node Data Encryption の横にあるボタンを On に切り替えます。

[Save] をクリックします。

暗号化された Atlas クラスターへのノードの追加

レプリカセット クラスターまたはシャーディングされたクラスターにノードまたはシャードを追加する。

任意: 新しいクラスター ノードまたはシャードから IP アドレスを追加する。

KMS 構成の検証

削除されたキーの復元

データ検証 KMS 使用状況

KMS の使用

暗号化されたクラスターの IP アローリスト構成

詳細

カスタマーキー管理を使用した保管時の暗号化

カスタマーキー管理による Atlas の構成

キー管理プロバイダーアカウントの認証情報を入力し、暗号化のキーを入力します。

（オプション）Atlas コントロールプレーンをアクセス先またはアクセス元として許可します。

エンドポイントに GET `returnAllControlPlaneIpAddresses` リクエストを送信します。

返された送信元 IP アドレスをクラウドプロバイダーの IP アクセスリストに追加します。

Atlas クラスターのカスタマーキー管理の有効化

任意: 新しいクラスターノードの IP アドレスを追加します。

検索ノードのカスタマーキー管理の有効化

カスタマーキー管理を使用するか、構成を編集して保管時の暗号化を有効にします。

レプリカセットクラスターまたはシャーディングされたクラスターにノードまたはシャードを追加する。

任意: 新しいクラスターノードまたはシャードから IP アドレスを追加する。