Amazon Web Services のプライベート エンドポイントを使用したカスタマー キーの管理

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

Authorize a new IAM role のリンクをクリックして、 AWS IAM ロールを許可し、保管時の暗号化に使用する AWS KMS キーにアクセスできるようにします。

保存時の暗号化に使用する Amazon Web Services KMS キーにアクセスするための新しいAmazon Web Services IAM ロールを作成するには、「Amazon Web Services CLI を使用した新しいロールの作成 」の手順に従います。承認する既存の AWS IAM ロールがある場合は、「既存のロールに信頼関係を追加する」手順に従ってください。

Amazon Web Services コンソールまたは CLI を使用して、 Amazon Web Services IAM ロールにアクセス ポリシーを追加します。詳細については、「IAM ポリシーの管理」を参照してください。

保管時の暗号化のアクセス ポリシーは次のようになります。

{  "Version": "2012-10-17",  "Statement": [    {      "Effect": "Allow",      "Action": [        "kms:Decrypt",        "kms:Encrypt",        "kms:DescribeKey"      ],      "Resource": [        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"      ]    }  ]}

ステップ 1 と 2 を繰り返して、ステップ 3 で承認したロールを、暗号化のキーにアクセスするためのプロジェクトに割り当てます。

暗号化のキーにアクセスするために以下を指定して、[Save] をクリックします。

1. AWS IAM role ドロップダウン リストから割り当てるロールを選択します。

2. Customer Master Key ID フィールドに暗号化のキーを指定します。

3. 暗号化のキーの AWS リージョンを選択します。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Managementセクションで、[Edit] をクリックします。

Grant Access to Keys with an AWS IAM Role セクションの情報を読み、[Configure] をクリックします。

保管時の暗号化に使用する AWS KMS キーにアクセスするための AWS IAM ロールを、Atlas に承認して割り当てます。

保存時の暗号化に使用する Amazon Web Services KMS キーにアクセスするための新しいAmazon Web Services IAM ロールを作成するには、「Amazon Web Services CLI を使用した新しいロールの作成 」の手順に従います。承認する既存の AWS IAM ロールがある場合は、「既存のロールに信頼関係を追加する」手順に従ってください。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次の手順を実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [] の横にあるボタンを [] に切り替えます。Require Private Networking

3. [Set up] をクリックします。

   Set Up Private Networking for AWSページが表示されます。

各リージョンの暗号化のキーを複製します。

1. Amazon Web Services KMS ダッシュボードにサインインします。

2. Atlas UIで、Copy をクリックして、カスタマーマスター キーIDを保存します。

3. Amazon Web Services KMS ダッシュボードで、必要なすべてのリージョンでキーを複製します。詳しくは、Amazon Web Services のドキュメント を参照してください。

4. Atlas UIでクリックします Continue

プライベートエンドポイントを作成するAWSリージョンを指定します。

1. ドロップダウンからAmazon Web Services のリージョンを選択します。

2. [Continue] をクリックします。

Atlas はこれらのリージョンにプライベートエンドポイントを自動的に作成し、プライベートネットワークを使用して接続できるようにします。

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

プライベートエンドポイントの使用を開始するには、Done をクリックします。

プライベートネットワークを有効にします。

encryptionAtRest エンドポイントに PATCHリクエストを送信し、requirePrivateNetworking フラグの値を true に設定します。

必要なパラメータの詳細については、「 1 つのプロジェクトのカスタマー マネージド キーを使用した保管時の暗号化の構成の更新 」を参照してください。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \--header "Accept: application/vnd.atlas.2024-11-13+json" \--header "Content-Type: application/vnd.atlas.2024-11-13+json" \--include \--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \--data '  {    "awsKms": {      "accessKeyID": "019dd98d94b4bb778e7552e4",      "customerMasterKeyID": "string",      "enabled": true,      "region": "US_EAST_1",      "roleId": "32b6e34b3d91647abb20e7b8",      "secretAccessKey": "string",      "requirePrivateNetworking": true    }  }'

プライベートエンドポイントを作成します。

Atlas Administration APIを使用して、Amazon Web Services KMS と通信するためのプライベートエンドポイントを作成します。

POSTAtlasencryptionAtRest でプライベートエンドポイントを作成するAWSリージョンを使用して、 エンドポイントに リクエストを送信します。Atlas でプライベートエンドポイントを作成するリージョンごとに、個別のリクエストを送信する必要があります。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \--header "Accept: application/vnd.atlas.2024-11-13+json" \--header "Content-Type: application/vnd.atlas.2024-11-13+json" \--include \--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \--data '  {    "regionName": "US_EAST_1"  }'

プライベートエンドポイントを作成すると、次の制限が適用されます。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみすべての新しいクラスターを作成します。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみ既存のクラスターに追加のノードを配置します。

リクエストのステータスを確認します。

プライベートエンドポイントのステータスを確認するには、 encryptionAtRestエンドポイントにGETリクエストを送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \--header "Accept: application/vnd.atlas.2024-11-13+json" \--header "Content-Type: application/vnd.atlas.2024-11-13+json" \--include \--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"

{  "links": [    {      "href": "https://cloud.mongodb.com/api/atlas",      "rel": "self"    }  ],  "results": [    {      "cloudProvider": "AWS",      "id": "24-hexadecimal-digit-string",      "privateEndpointConnectionName": "string",      "regionName": "US_EAST_1",      "status": "INITIATING",    }  ],  "totalCount": 1}

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for AWS KMS ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

[Create new endpoints] をクリックします。

プライベートエンドポイントを作成するリージョンを指定します。

1. ドロップダウンからAmazon Web Services のリージョンを選択します。

2. [Continue] をクリックします。

Atlas はこれらのリージョンにプライベートエンドポイントを自動的に作成し、プライベートネットワークを使用して接続できるようにします。

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

プライベートエンドポイントの使用を開始するには、Done をクリックします。

プライベートエンドポイントを作成します。

Atlas Administration APIを使用して、Amazon Web Services KMS と通信するためのプライベートエンドポイントを作成します。

POSTencryptionAtRestAtlas でプライベートエンドポイントを作成するAWSリージョンを含む、 エンドポイントに リクエストを送信します。 Atlas でプライベートエンドポイントを作成するリージョンごとに個別のリクエストを送信する必要があります。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \--header "Accept: application/vnd.atlas.2024-11-13+json" \--header "Content-Type: application/vnd.atlas.2024-11-13+json" \--include \--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \--data '  {    "regionName": "US_EAST_1"  }'

プライベートエンドポイントを作成すると、次の制限が適用されます。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみすべての新しいクラスターを作成します。

• Atlas は、承認されたプライベートエンドポイントを持つリージョンにのみ既存のクラスターに追加のノードを配置します。

リクエストのステータスを確認します。

プライベートエンドポイントのステータスを確認するには、 encryptionAtRestエンドポイントにGETリクエストを送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \--header "Accept: application/vnd.atlas.2024-11-13+json" \--header "Content-Type: application/vnd.atlas.2024-11-13+json" \--include \--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"

{  "links": [    {      "href": "https://cloud.mongodb.com/api/atlas",      "rel": "self"    }  ],  "results": [    {      "cloudProvider": "AWS",      "id": "24-hexadecimal-digit-string",      "privateEndpointConnectionName": "string",      "regionName": "US_EAST_1",      "status": "INITIATING",    }  ],  "totalCount": 1}

Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントは、次のいずれかのステータスになります。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for AWS KMS ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

プライベートエンドポイント接続を削除します。

1. 削除するプライベートエンドポイントの Actions 列の アイコンをクリックします。

2. プライベートエンドポイントの削除を確認するには、Delete をクリックします。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints for AWS KMS ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. AWS KMS が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for AWS KMS ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

プライベートネットワークを無効にします。

1. Encryption at Rest using your Key Management で AWS KMS を選択します。

2. Network Settings で、Require Private Networking の横にあるボタンを Off に切り替えます。

3. [Save] をクリックします。