AI エージェント向け: ドキュメントインデックスは https://www.mongodb.com/ja-jp/docs/llms.txt で利用できます。すべてのページの markdown バージョンは、いずれかの URL パスに .md を追加することで利用できます。

Azure Key Vault でカスタマーキーを管理する: パブリック ネットワーク

注意

この機能は、次の配置では使用できません。

  • 無料クラスター

  • Flex クラスター

詳しくは、「 制限 」を参照してください。

AKV（Azure Key Vault）のカスタマー マネージド キー（CMK）を使用して、Atlas で保管中のデータをさらに暗号化できます。 このページでは、Atlas プロジェクトとそのプロジェクト内のクラスターでAKVを使用してカスタマー キー管理を設定する方法について説明します。

前提条件

MongoDB プロジェクトでAKVを使用してカスタマー マネージド キーを有効にするには、次の手順を実行する必要があります。

  • M10 以上のクラスターを使用します。

  • Azureアカウントと Key Vault の認証情報と、暗号化のキーのキー識別子をAKVに用意します。

    これらのAzureコンポーネントの構成方法については、Azure のドキュメントを参照してください。

    Atlas は、Atlas プロジェクト内のクラスターの保管時の暗号化を有効にするときにこれらのリソースを使用します。

警告

特定のIP範囲への AKV アクセスを制限すると、Atlas はをプロビジョニングまで、ノードのアウトバウンドIPアドレスを認識しません。新しく追加されたノードは最初はAKV接続がなく、ノードのIPアドレスをファイアウォールに手動で追加するまで、KMS 操作は失敗します。この接続ギャップにより、ノードのスタートアップおよび障害復旧シミュレーションが停止したり失敗したりする可能性があります。

リージョン停止時シミュレーション、スケーリング、トポロジーの変更、またはマルチリージョンオーバーを実行するワークロードの場合は、代わりにプライベートエンドポイント経由でAzure Key Vaultを構成します。プライベートエンドポイントはIPアドレスの依存関係を排除し、中断のない KMS アクセスを確保します。

プロジェクトでのカスタマー マネージド キーの有効化

プロジェクト内のクラスターで CMK を有効にする前に、プロジェクトでCMKを有効にする必要があります。 Atlas UI と Atlas Administration API からプロジェクトでCMKを有効にできます。

1

Atlas で、プロジェクトの Advanced ページに移動します。

  1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

  2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

  3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

  4. サイドバーで、Advanced をクリックします。

    詳細ページが表示されます。

2

Encryption at Rest using your Key Management の横にあるボタンを On に切り替えます。

3

Azure Key Vault を選択します。

4

認証方法を設定します。

Atlas は AKV の 2 つの認証方法をサポートしています。

  • サービス プリンシパル（推奨）: プロジェクトに固有の Atlas マネージド サービス プリンシパルを使用して、AKV に認証します（シークレットレス認証）。詳細については、Azure Key Vault でのカスタマー キーの管理（シークレス）を参照してください。

  • 静的認証情報: カスタマーが管理する認証情報を提供します（ここで説明されています）。

5

Account Credentials を入力します。

clientId

Azureアプリケーションの Client ID（または Application ID）を入力します。必要なアクセス権が Active Directory Application に割り当てられていることを確認してください。詳細については、 「必要なアクセス権」 を参照してください。

テナント ID

Active Directory テナントのTenant ID （またはDirectory ID ）を入力します。

シークレット

Active Directory テナントに関連付けられているアプリケーションの有効期限が切れていないクライアント シークレットの 1 つを入力します。

Azure 環境

Active Directory テナントが存在する Azure クラウドを選択します。

6

Key Vault Credentials を入力します。

サブスクリプション ID

キーヴォールトのSubscription IDを入力します。

リソース グループ名

キーヴォールトを含むAzure Resource GroupのResource Group名を入力します。

キーヴォールト名

キーヴォールトの名前を入力します。キーヴォールトに必要なアクセス ポリシーがあることを確認します。詳細については、 「必要なアクセス権」 を参照してください。

注意

AKV へのプライベートエンドポイント接続を有効にして設定した後は、ここで AKV 認証情報を変更することはできません。

7

Encryption Key を入力します。

キー識別子

Key Vault で作成されたキーの完全なURLを入力します。

重要: キー識別子は、完全なAzure一般形式で指定する必要があります。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}

/{object-version} を追加できます。ただし、最新バージョンへの自動解決を有効にするには、 バージョンを省略することをお勧めします。

8

（任意）AKV へのプライベートエンドポイント接続を構成します。

詳細については、 「 プロジェクトでのプライベートエンドポイント接続の有効化と設定」を参照してください

9

ネットワーク設定を確認します。

Atlas Administration API を使用して Atlas を構成し、Azure Private Link を使用して AKV と通信するように設定した場合、Atlas と Key Vault 間のすべてのトラフィックが Azure のプライベート ネットワーク インターフェイスを介して行われるように、Atlas は Require Private Networking ステータスを Active に設定します。ステータスがInactive の場合、Atlas で AKV のプライベートエンドポイント接続を使用する場合は、必要に応じて、 プロジェクトのプライベートエンドポイント接続を有効にして設定する の手順を完了できます。

10

[Save] をクリックします。

Atlas は、暗号化プロセス中に Atlas コンソールにバナーを表示します。

Atlas クラスターのカスタマー キー管理の有効化

プロジェクトでカスタマー マネージド キーを有効 にした後、暗号化するデータを含む各 Atlas クラスターに対してカスタマー キー マネジメントを有効にする必要があります。

注意

該当プロジェクト内のクラスターのカスタマー キー管理を有効にするには、Project Owner ロールが必要です。

新しいクラスターの場合は、クラスターを作成するときに 独自の暗号化キーの管理設定を [Yes] に切り替えます。

既存クラスターの場合:

1

Atlas で、プロジェクトの Clusters ページに移動します。

  1. まだ表示されていない場合は、希望するプロジェクトを含む組織を選択しますナビゲーション バーのOrganizationsメニュー

  2. まだ表示されていない場合は、ナビゲーション バーのProjectsメニューから目的のプロジェクトを選択します。

  3. サイドバーで、 Database見出しの下のClustersをクリックします。

[ Clusters （クラスター） ] ページが表示されます。

2

クラスターの構成を変更します。

暗号化するデータを含むクラスターで、クリックします、次にEdit Configurationを選択します。

3

クラスター暗号化を有効にします。

  1. [Additional Settings] パネルを展開します。

  2. Manage your own encryption keys 設定を Yes に切り替えます。

  3. クラスターのRequire Private Networking設定のステータスを確認します。

    プロジェクト レベルで Atlas に対して CMK を使用した保管時の暗号化（プライベート ネットワーク経由）を設定した場合、ステータスは「Active」です。プロジェクトにプライベートエンドポイント接続を設定していない場合、ステータスは「Inactive」です。

4

変更内容を確認して適用します。

  1. [Review Changes] をクリックします。

  2. 変更内容を確認し、[Apply Changes] をクリックしてクラスターをアップデートします。

プロジェクトのカスタマー マネージド キーの無効化

プロジェクトの機能を無効にする前に、プロジェクト内の各クラスターでカスタマー キー管理を無効にする必要があります。

警告

Atlas プロジェクト内でカスタマー キー管理を無効にする前に、Atlas プロジェクト内のいずれかのクラスターが使用する AKV キーを無効にしたり削除したりし ない でください。Atlas がAKVキーにアクセスできない場合、そのキーが暗号化したデータにはアクセスできなくなります。

暗号化のキーへのアクセスを取り消す

Atlas の暗号化のキーへのアクセスは、 AKV内から取り消すことができます。 Atlas は、 AKV IP アクセス リストで Atlas コントロール プレーンが制限されていない限り、暗号化のキーへのアクセスを取り消すと、クラスターを自動的に一時停止します。

クラスターの自動一時停止を許可するには、次のいずれかを行う必要があります。

注意

MongoDB は、新しい Atlas コントロール プレーンの IP アドレスを徐々に追加します。 AKVの IP アクセス リストを使用している間は、IP アクセス リストを更新してクラスターの自動一時停止を許可する必要があります。

暗号化のキーへのアクセスを取り消す際に、AKV の IP アクセス リストが Atlas コントロール プレーンからのアクセスを制限している場合、Atlas のアクセスを取り消するため、クラスターを手動で一時停止する必要があります。

Azure Key 識別子のローテーション

注意

この機能は、次の配置では使用できません。

  • 無料クラスター

  • Flex クラスター

詳しくは、「 制限 」を参照してください。

開始する前に、 「 Azure キー識別子のローテーションについて 」を参照してください。

Atlasプロジェクトに関連付けられた AKV に新しいキーを作成する必要があります。次の手順では、Atlas で新しいキー識別子を指定して、Atlasプロジェクトキー識別子をローテーションする方法を説明します。

1

Atlas で、プロジェクトの Advanced ページに移動します。

  1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

  2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

  3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

  4. サイドバーで、Advanced をクリックします。

    詳細ページが表示されます。

2

[]Edit をクリックします。

3

Azure 認証情報を更新します。

  1. Azure Key Vaultセレクターがまだアクティブでない場合は、 Azure Key Vaultをクリックします。

  2. Encryption Keyセレクターがまだアクティブでない場合は、 Encryption Keyをクリックします。

  3. Key Identifierフィールドに Azure キー識別子を入力します。

    新しい暗号化キー識別子への完全なURLを含めます。 例:

    https://mykeyvault.vault.azure.net/keys/AtlasKMSKey/a241124e3d364e9eb99fbd3e11124b23

    重要

    暗号化のキーは、プロジェクト用に構成されたキーヴォールトに属している必要があります。 プロジェクトに現在構成されているキーヴォールトを表示するには、 Key Vaultセクションをクリックします。

  4. [Update Credentials] をクリックします。

Atlas は、キー識別子のローテーション プロセス中に Atlas UI にバナーを表示します。 変更がデプロイされるまで、元のキー識別子を削除したり無効にしたり しない でください。

クラスターが クラスターのバックアップを使用する場合は、スナップショットが暗号化にそのキーを使用していないことを検証するまで、元のキー識別子を削除したり無効にしたり しないでください。

関連トピック

戻る
Azure Key Vault
次へ
プライベートエンドポイント経由のアクセスの設定
このページを評価

項目一覧