プライベートエンドポイントにわたる Azure Key Vault を使用したカスタマーキーの管理

Atlas で、プロジェクトの [Advanced] ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

Azure Key Vault を選択します。

認証方法を設定します。

Atlas は AKV の 2 つの認証方法をサポートしています。

• サービス プリンシパル（推奨）:プロジェクトに固有の Atlas が管理するサービス プリンシパルを使用して、AKV（ シークレット認証）に認証します。詳しくは、 「 Azure Key Vault シークレットレス認証 」を参照してください。

• 静的認証情報: カスタマーが管理する認証情報を提供します（ここで説明されています）。

Account Credentialsを入力します。

Key Vault Credentials を入力します。

Encryption Key を入力します。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}

（任意）AKV へのプライベートエンドポイント接続を構成します。

詳細については、 「 プロジェクトでのプライベートエンドポイント接続の有効化と設定」を参照してください

ネットワーク設定を確認します。

Azure Private Link を使用してAtlas Administration API を使用して Atlas を構成し、Atlas と Key Vault 間のすべてのトラフィックがAzureのプライベート ネットワーク インターフェースで行われるようにした場合、Atlas はRequire Private NetworkingステータスをActiveに設定します。 ステータスがInactive の場合、Atlas で AKV へのプライベートエンドポイント接続を使用する場合 は、プロジェクトのプライベートエンドポイント接続の有効化と設定 の手順を完了できます。

Save[ をクリックします。

Atlas は、暗号化プロセス中に Atlas コンソールにバナーを表示します。

encryptionAtRest エンドポイント となる接続されたデバイスに PATCHリクエストを送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

プロジェクトの CMK を使用した保管時の暗号化の構成を確認します。

AKVを使用して管理するキーを使用して保管時の暗号化を有効にして構成するには、 GETリクエストをencryptionAtRestエンドポイントに送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

プロジェクトでCMKを使用して保管時の暗号化を正常に有効にしている場合、レスポンスではenabledはtrueになります。 プライベートネットワークを設定して 、Atlasと Key Vault 間のすべてのトラフィックがAzureのプライベートネットワークインターフェイスを介して行われるようにすることができます。 詳細については、 「 プロジェクトでのプライベートエンドポイント接続の有効化と設定 」を参照してください。

Atlas で、プロジェクトの [Advanced] ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints forAzure Key VaultページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. Azure Key Vault が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for Azure Key Vault ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

Create new endpoints[ をクリックします。

プライベートエンドポイントを作成するリージョンを指定します。

1. ドロップダウンからリージョンを選択します。

2. [Continue] をクリックします。

   Atlas はこれらのリージョンにプライベートエンドポイントを自動的に作成し、プライベートネットワークを使用して接続できるようにします。

プライベートエンドポイントを承認します。

プライベートエンドポイントを使用するには、AKV 内の各エンドポイントを承認する必要があります。プライベートエンドポイント接続を承認するには、 Azure UI 、 CLI 、または Terraform を使用できます。

各リージョンのプライベートエンドポイントの場合、Approve Endpoints ページには各プライベートエンドポイントのステータスが表示されます。プライベートエンドポイントを承認してから、プライベートエンドポイントの現在のステータスが Atlas に反映されるまでに最大 3 分かかります。プライベートエンドポイントのステータスの詳細については、「 プライベートエンドポイントとそのステータスの表示 」を参照してください。

Doneプライベートエンドポイントの使用を開始するには、 をクリックします。

プライベートエンドポイントを作成します。

POSTAtlas でプライベートエンドポイントを作成する Azure リージョンを含む エンドポイント に リクエストを送信します。Atlas でプライベートエンドポイントを作成するリージョンごとに個別のリクエストを送信する必要があります。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints" \
--data '
  {
    "regionName": "US_CENTRAL"
  }'

AKV へのプライベートエンドポイント接続を承認します。

プライベートエンドポイント接続を承認するには、 Azure UI 、 CLI 、または Terraform を使用できます。

リクエストのステータスを確認します。

プライベートエンドポイントのステータスを確認するには、 encryptionAtRestエンドポイントにGETリクエストを送信します。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AZURE",
      "errorMessage": "string",
      "id": "24-hexadecimal-digit-string",
      "regionName": "string",
      "status": "INITIATING",
      "privateEndpointConnectionName": "string"
    }
  ],
  "totalCount": 0
}

プライベートエンドポイントを承認してから、プライベートエンドポイントの現在のステータスが Atlas に反映されるまでに最大 3 分かかります。 プライベートエンドポイントは、次のいずれかのステータスになります。

Atlas で、プロジェクトの [Advanced] ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints forAzure Key VaultページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. Azure Key Vault が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for Azure Key Vault ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

プライベートエンドポイント接続を削除します。

1. 削除するプライベートエンドポイントの Actions 列の アイコンをクリックします。

2. プライベートエンドポイントの削除を確認するには、Delete をクリックします。

Atlas で、プロジェクトの [Advanced] ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

Private Endpoints forAzure Key VaultページにGo。

Advanced ページの Encryption at Rest using your Key Management セクションで、次のアクションを実行します。

1. Azure Key Vault が折りたたまれている場合は、Network Settings を展開します。

2. [Manage] をクリックします。

   Private Endpoints for Azure Key Vault ページには、リージョン、エンドポイント名、Atlas クラスターのプライベートエンドポイントのステータス、プライベートエンドポイントで実行できるアクションが表示されます。

Atlas で、プロジェクトの [Advanced] ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

4. サイドバーで、Advanced をクリックします。

   詳細ページが表示されます。

プライベートネットワークを無効にします。

1. Encryption at Rest using your Key Management で Azure Key Vault を選択します。

2. Network Settings で、Require Private Networking の横にあるボタンを Off に切り替えます。

3. [Save] をクリックします。