Amazon Web Services のプライベート エンドポイントを使用したカスタマー キーの管理

Atlas Atlasで、プロジェクトの {0 ページにGoします。GoAdvanced

警告: ナビゲーションの改善が進行中

現在、新しく改善されたナビゲーション エクスペリエンスを展開しています。次の手順が Atlas UIのビューと一致しない場合は、プレビュー ドキュメントを参照してください。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

Authorize a new IAM role のリンクをクリックして、 AWS IAM ロールを許可し、保管時の暗号化に使用する AWS KMS キーにアクセスできるようにします。

保存時の暗号化に使用する Amazon Web Services KMS キーにアクセスするための新しいAmazon Web Services IAM ロールを作成するには、「Amazon Web Services CLI を使用した新しいロールの作成 」の手順に従います。承認する既存の Amazon Web Services IAM ロールがある場合は、「既存のロールへの信頼関係の追加」手順に従ってください。

AWS Services コンソールまたは CLI を使用して、 AWS Web Services IAM ロールにアクセス ポリシーを追加します。詳細については、「 IAM ポリシーの管理 」を参照してください。

保管時の暗号化のアクセス ポリシーは次のようになります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}

ステップ 1 と 2 を繰り返して、ステップ 3 で承認したロールを、暗号化のキーにアクセスするためのプロジェクトに割り当てます。

暗号化のキーにアクセスするために以下を指定して、[Save] をクリックします。

1. AWS IAM role ドロップダウン リストから割り当てるロールを選択します。

2. Customer Master Key ID フィールドに暗号化のキーを指定します。

3. 暗号化のキーの Amazon Web Services リージョンを選択します。

cloudProviderAccess エンドポイントに POST リクエストを送信します。

API エンドポイントを使用して、新しいAmazon Web Services IAM ロールを作成します。Atlas は、Amazon Web Services アカウントの認証にこのロールを使用します。

返されたフィールド値 atlasAWSAccountArn と atlasAssumedRoleExternalId を、次の手順で使用するために保存しておきます。

Amazon Web Services IAM ロールの信頼ポリシーを変更します。

1. Amazon Web Servicesマネジメント コンソールにログインします。

2. Identity and Access Management (IAM)サービスに移動します。

3. 左側のナビゲーションからRolesを選択します。

4. ロールのリストから Atlas アクセスに使用する既存の IAM ロールをクリックします。

5. Trust Relationships タブを選択します。

6. Edit trust relationshipボタンをクリックします。

7. Policy Documentを編集します。 次のコンテンツを持つ新しいStatementオブジェクトを追加します。

   注意

   このポリシーステートメントにより、MongoDB のAWS Principal は、暗号化および復号化操作にカスタマーの KMS キーを使用できるようになります。 Atlas Principal は秘密ではなく、すべての Atlas カスタマー間で使用されます。これは、高度に制限された、目的限定のAWSアカウントであり、IAM ユーザー以外のリソースは含まれません。ポリシーExternalId ステートメント内の は Atlas のプロジェクトごとに一意ですが、秘密ではありません。 は、クロスコンテキスト（混乱した代理）への脆弱性の可能性を軽減するために使用されます。こちらExternalId で説明されているように、Atlas が共通のプリンシパルを使用してすべてのカスタマーのキーにアクセスする方法を、アクセス パターンとしてAmazonは推奨しています。

   注意

   強調表示された行を、ステップ 1 の API 呼び出しから返された値に置き換えます。

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action:" "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. Update Trust Policyボタンをクリックします。

新しく作成した IAM ロールを承認します。

APIエンドポイントを使用して、新しい IAM 引き受けロール ARN を承認および構成します。API 呼び出しに成功した場合は、 Amazon Web Services を使用する Atlas サービスを構成するときに roleId 値を使用できます。

ロール認証を用いたプロジェクトでの Amazon Web Services KMS の有効化

承認された Amazon Web Services IAM ロール ID を使用して awsKms.roleId フィールドを更新するには、encryptionAtRest API エンドポイントに PATCH リクエストを送信します。

curl --user "{public key}:{private key}" --digest \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

警告: ナビゲーションの改善が進行中

現在、新しく改善されたナビゲーション エクスペリエンスを展開しています。次の手順が Atlas UIのビューと一致しない場合は、プレビュー ドキュメントを参照してください。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Managementセクションで、[Edit] をクリックします。

Grant Access to Keys with an AWS IAM Role セクションの情報を読み、[Configure] をクリックします。

保管時の暗号化に使用する AWS KMS キーにアクセスするための AWS IAM ロールを、Atlas に承認して割り当てます。

保存時の暗号化に使用する Amazon Web Services KMS キーにアクセスするための新しいAmazon Web Services IAM ロールを作成するには、「Amazon Web Services CLI を使用した新しいロールの作成 」の手順に従います。承認する既存の Amazon Web Services IAM ロールがある場合は、「既存のロールへの信頼関係の追加」手順に従ってください。

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

警告: ナビゲーションの改善が進行中

現在、新しく改善されたナビゲーション エクスペリエンスを展開しています。次の手順が Atlas UIのビューと一致しない場合は、プレビュー ドキュメントを参照してください。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次の手順を実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [] の横にあるボタンを [] に切り替えます。Require Private Networking

3. [Set up] をクリックします。

   Set Up Private Networking for AWSページが表示されます。

各リージョンの暗号化のキーを複製します。

1. Amazon Web Services KMS ダッシュボードにサインインします。

2. Atlas UIで、Copy をクリックして、カスタマーマスター キーIDを保存します。

3. AWS KMS ダッシュボードで、必要なすべてのリージョンでキーを複製します。詳細については、 AWS のドキュメント を参照してください。

4. Atlas UIでクリックします Continue

プライベートエンドポイントを作成するAmazon Web Servicesリージョンを指定します。

1. ドロップダウンからAmazon Web Services のリージョンを選択します。

2. [Continue] をクリックします。

Atlas はこれらのリージョンにプライベートエンドポイントを自動的に作成し、プライベートネットワークを使用して接続できるようにします。

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

プライベートエンドポイントの使用を開始するには、Done をクリックします。

プライベートネットワークを有効にします。

encryptionAtRest エンドポイントに PATCHリクエストを送信し、requirePrivateNetworking フラグの値を true に設定します。

必要なパラメータの詳細については、「 1 つのプロジェクトのカスタマー マネージド キーを使用した保管時の暗号化の構成の更新 」を参照してください。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \
--data '
  {
    "awsKms": {
      "accessKeyID": "019dd98d94b4bb778e7552e4",
      "customerMasterKeyID": "string",
      "enabled": true,
      "region": "US_EAST_1",
      "roleId": "32b6e34b3d91647abb20e7b8",
      "secretAccessKey": "string",
      "requirePrivateNetworking": true
    }
  }'

プライベートエンドポイントを作成します。

Atlas Administration APIを使用して、Amazon Web Services KMS と通信するためのプライベートエンドポイントを作成します。

POSTencryptionAtRestAtlas でプライベートエンドポイントを作成するAmazon Web Servicesリージョンを使用して、 エンドポイントに リクエストを送信します。Atlas でプライベートエンドポイントを作成するリージョンごとに個別のリクエストを送信する必要があります。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \
--data '
  {
    "regionName": "US_EAST_1"
  }'

プライベートエンドポイントを作成すると、次の制限が適用されます。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみすべての新しいクラスターを作成します。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみ既存のクラスターに追加のノードを配置します。

リクエストのステータスを確認します。

プライベートエンドポイントのステータスを確認するには、 encryptionAtRestエンドポイントにGETリクエストを送信します。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AWS",
      "id": "24-hexadecimal-digit-string",
      "privateEndpointConnectionName": "string",
      "regionName": "US_EAST_1",
      "status": "INITIATING",
    }
  ],
  "totalCount": 1
}

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

警告: ナビゲーションの改善が進行中

現在、新しく改善されたナビゲーション エクスペリエンスを展開しています。次の手順が Atlas UIのビューと一致しない場合は、プレビュー ドキュメントを参照してください。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for AWS KMS ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

[Create new endpoints] をクリックします。

プライベートエンドポイントを作成するリージョンを指定します。

1. ドロップダウンからAmazon Web Services のリージョンを選択します。

2. [Continue] をクリックします。

Atlas はこれらのリージョンにプライベートエンドポイントを自動的に作成し、プライベートネットワークを使用して接続できるようにします。

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

プライベートエンドポイントの使用を開始するには、Done をクリックします。

プライベートエンドポイントを作成します。

Atlas Administration APIを使用して、Amazon Web Services KMS と通信するためのプライベートエンドポイントを作成します。

POSTencryptionAtRestAtlas にプライベートエンドポイントを作成させるAmazon Web Servicesリージョンを使用して、 エンドポイントに リクエストを送信します。Atlas でプライベートエンドポイントを作成するリージョンごとに個別のリクエストを送信する必要があります。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \
--data '
  {
    "regionName": "US_EAST_1"
  }'

プライベートエンドポイントを作成すると、次の制限が適用されます。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみすべての新しいクラスターを作成します。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみ既存のクラスターに追加のノードを配置します。

リクエストのステータスを確認します。

プライベートエンドポイントのステータスを確認するには、 encryptionAtRestエンドポイントにGETリクエストを送信します。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AWS",
      "id": "24-hexadecimal-digit-string",
      "privateEndpointConnectionName": "string",
      "regionName": "US_EAST_1",
      "status": "INITIATING",
    }
  ],
  "totalCount": 1
}

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

警告: ナビゲーションの改善が進行中

現在、新しく改善されたナビゲーション エクスペリエンスを展開しています。次の手順が Atlas UIのビューと一致しない場合は、プレビュー ドキュメントを参照してください。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for AWS KMS ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

プライベートエンドポイント接続を削除します。

1. 削除するプライベートエンドポイントの Actions 列の アイコンをクリックします。

2. プライベートエンドポイントの削除を確認するには、Delete をクリックします。

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

警告: ナビゲーションの改善が進行中

現在、新しく改善されたナビゲーション エクスペリエンスを展開しています。次の手順が Atlas UIのビューと一致しない場合は、プレビュー ドキュメントを参照してください。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for AWS KMS ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

警告: ナビゲーションの改善が進行中

現在、新しく改善されたナビゲーション エクスペリエンスを展開しています。次の手順が Atlas UIのビューと一致しない場合は、プレビュー ドキュメントを参照してください。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

プライベートネットワークを無効にします。

1. Encryption at Rest using your Key Management で AWS KMS を選択します。

2. Network Settings で、Require Private Networking の横にあるボタンを Off に切り替えます。

3. [Save] をクリックします。