プライベートエンドポイントにわたる Azure Key Vault を使用したカスタマーキーの管理

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

Azure Key Vault を選択します。

認証方法を設定します。

Atlas は AKV の 2 つの認証方法をサポートしています。

• サービス プリンシパル（推奨）:プロジェクトに固有の Atlas が管理するサービス プリンシパルを使用して、AKV（ シークレット認証）に認証します。詳しくは、 「 Azure Key Vault（シークレットレス）でカスタマー キーを管理する 」を参照してください。

• 静的認証情報: カスタマーが管理する認証情報を提供します（ここで説明されています）。

Account Credentials を入力します。

Key Vault Credentials を入力します。

Encryption Key を入力します。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}

（任意）AKV へのプライベートエンドポイント接続を構成します。

詳細については、 「 プロジェクトでのプライベートエンドポイント接続の有効化と設定」を参照してください

ネットワーク設定を確認します。

If you configured Atlas using the Atlas Administration API to communicate with AKV using Azure Private Link to ensure that all traffic between Atlas and Key Vault takes place over Azure's private network interfaces, Atlas sets the Require Private Networking status to Active. If the status is Inactive, you can, optionally, complete the steps to Enable and Set up Private Endpoint Connections for a Project if you want Atlas to use private endpoint connections for your AKV.

[Save] をクリックします。

Atlas は、暗号化プロセス中に Atlas コンソールにバナーを表示します。

PATCHエンドポイントとなる接続されたデバイスにencryptionAtRest リクエストを送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

プロジェクトの CMK を使用した保管時の暗号化の構成を確認します。

AKV を使用して管理するキーを使用して保管時の暗号化を有効化および構成するリクエストを確認するには、GETリクエストをencryptionAtRest エンドポイントに送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

プロジェクトでCMKを使用して保管時の暗号化を正常に有効にしている場合、レスポンスではenabledはtrueになります。 プライベートネットワークを設定して 、Atlasと Key Vault 間のすべてのトラフィックがAzureのプライベートネットワークインターフェイスを介して行われるようにすることができます。 詳細については、 「 プロジェクトでのプライベートエンドポイント接続の有効化と設定 」を参照してください。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints for Azure Key Vault ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. Azure Key Vault が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for Azure Key Vault ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

[Create new endpoints] をクリックします。

プライベートエンドポイントを作成するリージョンを指定します。

1. ドロップダウンからリージョンを選択します。

2. [Continue] をクリックします。

   Atlas はこれらのリージョンにプライベートエンドポイントを自動的に作成し、プライベートネットワークを使用して接続できるようにします。

プライベートエンドポイントを承認します。

プライベートエンドポイントを使用するには、AKV 内の各エンドポイントを承認する必要があります。プライベートエンドポイント接続を承認するには、 Azure UI 、 CLI 、または Terraform を使用できます。

各リージョンのプライベートエンドポイントの場合、Approve Endpoints ページには各プライベートエンドポイントのステータスが表示されます。プライベートエンドポイントを承認してから、Atlas がプライベートエンドポイントの現在のステータスを反映するまでに最大 3 分かかります。プライベートエンドポイントのステータスの詳細については、「 プライベートエンドポイントとそのステータスの表示 」を参照してください。

プライベートエンドポイントの使用を開始するには、Done をクリックします。

プライベートエンドポイントを作成します。

Send a POST request to the endpoint with the Azure region in which you want Atlas to create the private endpoint. You must send a separate request for each region in which you want Atlas to create a private endpoint.

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints" \
--data '
  {
    "regionName": "US_CENTRAL"
  }'

AKV へのプライベートエンドポイント接続を承認します。

Azure UI を使用できます 、 CLI 、または Terraform を使用してプライベートエンドポイント接続を承認します。

リクエストのステータスを確認します。

プライベートエンドポイントのステータスを確認するには、 encryptionAtRestエンドポイントにGETリクエストを送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AZURE",
      "errorMessage": "string",
      "id": "24-hexadecimal-digit-string",
      "regionName": "string",
      "status": "INITIATING",
      "privateEndpointConnectionName": "string"
    }
  ],
  "totalCount": 0
}

プライベートエンドポイントを承認してから、プライベートエンドポイントの現在のステータスが Atlas に反映されるまでに最大 3 分かかります。 プライベートエンドポイントは、次のいずれかのステータスになります。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints for Azure Key Vault ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. Azure Key Vault が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for Azure Key Vault ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

プライベートエンドポイント接続を削除します。

1. 削除するプライベートエンドポイントの Actions 列の アイコンをクリックします。

2. プライベートエンドポイントの削除を確認するには、Delete をクリックします。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints for Azure Key Vault ページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. Azure Key Vault が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for Azure Key Vault ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

Atlas で、プロジェクトの Advanced ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

プライベートネットワークを無効にします。

1. Encryption at Rest using your Key Management で Azure Key Vault を選択します。

2. Network Settings で、Require Private Networking の横にあるボタンを Off に切り替えます。

3. [Save] をクリックします。