パブリック ネットワーク経由で Azure Key Vault を使用してカスタマー キーを管理する

前提条件

MongoDB プロジェクトでAKVを使用してカスタマー マネージド キーを有効にするには、次の手順を実行する必要があります。

• M10 以上のクラスターを使用します。

• Azureアカウントと Key Vault の認証情報と、暗号化のキーのキー識別子をAKVに用意します。

  • アカウントには、クライアント ID、テナント ID、およびシークレットが必要です。

  • キーヴォールトには、サブスクリプション ID、リソース グループ名、およびキーヴォールト名が必要です。

  これらのAzureコンポーネントの構成方法については、 Azureドキュメント を参照してください。

  Atlas は、Atlas プロジェクト内のクラスターの保管時の暗号化を有効にするときにこれらのリソースを使用します。

• ユーザーがクラスターを簡単に作成または変更できるようにするには、キーへの公開アクセスを許可します。 キーの範囲を絞り込んでリスクを軽減するには、 TLSや認証などの制御を使用します。

• 定義されたIP範囲へのアクセスを制限するには、Atlas IPアドレスとクラスター ノードのパブリックIPアドレスからのアクセスを許可します。

  • Atlas が AKV と通信できることを確認します。接続の中断を回避するには、ノードのIPアドレスが 変更される たびに 構成を更新 してください。例、インバウンド アクセス ルールを更新する必要がある場合があります。

  • AKV へのアクセスを制限すると、 IPアドレスが変更されたときの複雑さが増す。例、クラスターを作成または更新するときは、AKV 内のすべての新しいIPアドレスへのアクセスを許可する必要があります。

• Atlas コントロール プレーンの送信IPアドレスを追加します。Atlas Administration APIを使用して送信IPアドレスを取得する方法については、「 Atlas Control Plane のIPアドレスの取得 」を参照してください。

• If your App registrations use 条件付きアクセス ポリシー を使用する場合は一般的ではありません。アプリ登録用に Atlas Control Plane のIPアドレス と クラスター ノードのパブリックIPアドレス からのリクエストを許可する必要があります。これはアプリ登録にのみ使用され、キーヴォールトアクセスには使用されません。

プロジェクトでのカスタマー マネージド キーの有効化

プロジェクト内のクラスターで CMK を有効にする前に、プロジェクトでCMKを有効にする必要があります。 Atlas UI と Atlas Administration API からプロジェクトでCMKを有効にできます。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

Atlas クラスターのカスタマー キー管理の有効化

プロジェクトでカスタマー マネージド キーを有効 にした後、暗号化するデータを含む各 Atlas クラスターに対してカスタマー キー マネジメントを有効にする必要があります。

新しいクラスターの場合は、クラスターを作成するときに 独自の暗号化キーの管理設定を [Yes] に切り替えます。

既存クラスターの場合:

プロジェクトのカスタマー マネージド キーの無効化

プロジェクトの機能を無効にする前に、プロジェクト内の各クラスターでカスタマー キー管理を無効にする必要があります。

暗号化のキーへのアクセスを取り消す

Atlas の暗号化のキーへのアクセスは、 AKV内から取り消すことができます。 Atlas は、 AKV IP アクセス リストで Atlas コントロール プレーンが制限されていない限り、暗号化のキーへのアクセスを取り消すと、クラスターを自動的に一時停止します。

クラスターの自動一時停止を許可するには、次のいずれかを行う必要があります。

• AKVの IP アクセス リストを無効にする

• Atlas コントロール プレーン から AKV へのアクセスを許可します。

IPAtlas暗号化のキーへのアクセスを取り消すときに、 コントロール プレーンからのアクセスが制限されている場合は、 Atlas アクセスを取り消すためにクラスターを手動で一時停止する必要がありAtlas 。

Azure Key 識別子のローテーション

開始する前に、 「 Azure キー識別子のローテーションについて 」を参照してください。

Atlasプロジェクトに関連付けられた AKV に新しいキーを作成する必要があります。次の手順では、Atlas で新しいキー識別子を指定して、Atlasプロジェクトキー識別子をローテーションする方法を説明します。

関連トピック

• Atlas クラスターの配置時にキー管理を使用して保管時の暗号化を有効にするには、「独自の暗号化キーの管理 」を参照してください。

• 既存の Atlas クラスターでキー管理を使用して保管時の暗号化を有効にするには、 「 保管時の暗号化の有効化 」を参照してください。

• Atlas でキー管理を使用した保管時の暗号化の詳細については、「 カスタマー キー管理を使用した保管時の暗号化 」を参照してください。

• MongoDB の保存時の暗号化の詳細については、MongoDB サーバーのドキュメントの「保存時の暗号化」を参照してください。

• クラウドバックアップによる保管時の暗号化について詳しくは、「ストレージ エンジンとクラウドバックアップの暗号化」を参照してください。

• 検索ノードでカスタマーキー管理を有効にするには、検索ノードのデータ暗号化の有効化を参照してください。