暗号化されたスナップショットへのアクセス

カスタマーキー管理を使用した保管時の暗号化を使用すると、Atlas はスナップショット内のmongod データファイルを暗号化します。スナップショットをダウンロードして復元する場合、適切な復号キーを提供できるmongod KMIPサーバーにアクセスしない限り、はこれらのデータファイルを読み取ることができません。 KMIP プロキシスタンドアロンを使用してmongod データファイルにアクセスできます。 KMIP プロキシスタンドアロンを、特定のオペレーティングシステム用のバイナリとしてダウンロードします。

注意

暗号化されたスナップショットへのアクセスは、public previewの Atlas Infinite クラスターでサポートされています。詳細については、「 MongoDB Atlas Infinite: 概要」を参照してください。

Considerations

デフォルトでは、KMIP プロキシスタンドアロンは/<dbPath>/cloudProviderCredentials/<keyID>.<cloudProvider>.metadata ファイルに保存されている認証情報を使用します。

キーをローテーションすると、これらの認証情報は最新のキーローテーションを反映します。
KMIP プロキシスタンドアロンバイナリがこれらの認証情報を使用してスナップショットを復号化できない場合、バイナリには古い認証情報を含むディスク上のメタデータファイルをアップデートする必要があることを示すエラーメッセージが表示されます。任意のテキストエディタを使用してメタデータファイルを更新できます。
暗号化のキーへのロールベースアクセスを使用する場合、 /<dbPath>/cloudProviderCredentials/<keyID>.<cloudProvider>.metadataファイルには有効な認証情報が含まれません。

次のいずれかのアクションを実行します。
- /<dbPath>/cloudProviderCredentials/<keyID>.<cloudProvider>.metadataroleIdファイルを更新します。空のを使用します。フィールドとフィールドの暗号化のキーにアクセスできる IAM ロールに基づいて一時的な認証情報を提供します。accessKeyIdsecretAccessKey
  { "accessKeyId": "TemporaryAccessKeyId", "secretAccessKey": "TemporarySecretAccessKey", "roleId": "", "region": "us-east-1" }
- 次のオプションを使用して KMIP プロキシスタンドアロンバイナリを起動します。
  - awsAccessKey
  - awsSecretAccessKey
  - awsSessionToken
  - awsRegion
IAM ロールに基づいて一時的な認証情報を生成するには、 AWSドキュメントを参照してください。
暗号化されたスナップショットは、暗号化されていないスナップショットと同じ方法でダウンロードできます。セキュリティのベストプラクティスとして、プロジェクトの暗号化のキーへのロールベースのアクセスを使用することを推奨します。

手順

Atlas で、プロジェクトの Backup の詳細に移動します。

まだ表示されていない場合は、プロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Database見出しの下のBackupをクリックします。
バックアップの詳細が表示されます。
クラスターリンクをクリックします。

暗号化されたスナップショットをダウンロードします。

まだ選択していない場合は、 Snapshotsタブをクリックします。
Actions列で、次を展開します[ Actions ] メニューをクリックし、ダウンロードするスナップショットの [ Download ] をクリックします。
Atlas はスナップショットを準備します。ダウンロードの準備ができると、Atlas は 1 回限り使用するダウンロードリンクを生成し、作成から 1 時間で期限切れになります。 Atlas でダウンロードリンクがメールで送信され、Restores & Downloadsタブに表示されます。

KMIP プロキシスタンドアロンをダウンロードします。

Preparing Snapshot Downloadモーダルで、 Download KMIP Proxyをクリックし、ご使用のオペレーティングシステム用のバイナリを選択します。

download KMIP Proxy Standaloneリンクにアクセスするには、次のいずれかの手順を実行することもできます。

[Restores & Downloads] タブをクリックします。
Atlas で、プロジェクトの [Advanced] ページに移動します。
1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
2. まだ表示されていない場合は、ナビゲーションバーの Projects メニューからプロジェクトを選択します。
3. サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
4. サイドバーで、Advanced をクリックします。
  詳細ページが表示されます。
リンクはEncryption at Rest using your Key Managementセクションに表示されます。

KMIP プロキシスタンドアロンを起動します。

ターミナルまたはコマンドプロンプトウィンドウを開きます。

指定されたパラメーターを使用して次のコマンドを呼び出します。

kmipProxyStandalone
  -awsAccessKeyId <accessKey> -awsSecretAccessKey <secretAccessKey> \
  -awsSessionToken <token> -awsRegion <region> -cloudProvider aws \
  -dbpath <dbpath> -kmipPort <kmipPort> -mongodPort <mongodPort>

Parameter	説明
`awsAccessKey`	カスタマーマスターキーにアクセスするための権限を持つ IAM アクセスキーID 。 `/<dbPath>/cloudProviderCredentials/<keyID>.<cloudProvider>.metadata`ファイルに`accessKeyId`を指定しなかった場合にのみ必要です。
`awsSecretAccessKey`	カスタマーマスターキーにアクセスする権限を持つ IAM シークレットアクセスキー。 `/<dbPath>/cloudProviderCredentials/<keyID>.<cloudProvider>.metadata`ファイルに`secretAccessKey`を指定しなかった場合にのみ必要です。
`awsSessionToken`	一時的なAWSセキュリティ認証情報を付与するときに使用するトークン。
`awsRegion`	AWSカスタマーマスターキーが存在するAWSリージョン。 `/<dbPath>/cloudProviderCredentials/<keyID>.<cloudProvider>.metadata`ファイルに`region`を指定しなかった場合にのみ必要です。
`cloudProvider`	クラウドサービスプロバイダー。値は`aws`である必要があります。
`dbpath`	プロキシを作成する`mongod`データディレクトリへのパス。
`kmipPort`	KMIP プロキシを実行するポート。
`mongodPort`	`mongod`を実行するポート。

kmipProxyStandalone
  -cloudProvider <azure|gcp> -dbpath <dbpath> \
  -kmipPort <kmipPort> -mongodPort <mongodPort>

Parameter	説明
`cloudProvider`	クラウドサービスプロバイダー。有効な値は`azure`または`gcp`です。
`dbpath`	プロキシを作成する`mongod`データディレクトリへのパス。
`kmipPort`	KMIP プロキシを実行するポート。
`mongodPort`	`mongod`を実行するポート。

KMIP プロキシスタンドアロンは、の KMIP 証明書を生成し、それをlocalhost dbpathに書込みます。

`mongod` プロセスを開始します。

指定されたパラメーターを使用して次のコマンドを呼び出します。

注意

このコマンドは、Atlas Enterprise カスタマーでのみ使用できます。

mongod --dbpath <dbpath> --port  <mongodPort> --enableEncryption --kmipPort <kmipPort> --kmipServerName 127.0.0.1 --kmipServerCAFile <dbpath>/kmipCA.pem --kmipActivateKeys false --kmipClientCertificateFile <dbpath>/kmipClient.pem

Parameter	説明
`dbpath`	`mongod`がデータを保存するディレクトリへのパス。
`port`	`mongod`がクライアント接続をリッスンするポート。
`kmipPort`	KMIPサーバーがリッスンするポート。
`kmipServerCAFile`	KMIPサーバーへの安全なクライアント接続を検証するために使用される CA ファイルへのパスです。
`kmipActivateKeys`	MongoDB サーバー v 5.2以降の場合、MongoDB サーバーのキーを有効にするか無効にするかを指定するフラグ。 MongoDB サーバーを起動するとき、このパラメータの値は`false`である必要があります。
`kmipClientCertificateFile`	KMIPサーバーに対してMongoDB を認証するために使用されるクライアント証明書へのパスです。