S3 互換の読み取りのAWS認証情報は、Ops Managerアプリケーションデータベースまたは HashiCorp Vault に保存できます。認証情報をキーヴォールトに保存すると、Ops Manager はオンデマンドで HashiCorp Vault から認証情報を取得します。オンデマンド取得により、機密認証情報を一元化、ローテーション、監査することができます。
MongoDB Ops Managerは HashiCorp Vault とローカル認証情報ストレージをサポートしています。S3互換のスナップショットストレージについては、使用する方法を選択します。
認証情報ストレージ オプション
MongoDB Ops Managerは、S3互換のスナップショットストレージの2つの認証情報保存ロケーションをサポートします。
ストレージ ロケーション | 説明 |
|---|---|
AppDB | Ops Manager は、 AWSアクセスキーとシークレットキーを Ops Managerアプリケーションデータベースに保存します。 AppDB はデフォルトのメソッドであり、HashiCorp Vault は必要ありません。 |
Key Vault | Ops Manager は、オンデマンドで HashiCorp Vault からAWSアクセスキーと秘密キーを読み取ります。 Ops Manager は、シークレット値ではなく、各シークレットへのパスのみを保存します。 |
セキュリティまたは監査の要件で一元的なシークレットマネージャーが必要な場合は、キーボールトを使用します。HashiCorp Vault を使用しない場合は、AppDB を使用します。
How Ops Manager Uses HashiCorp Vault
S3互換のスナップショットストア認証情報に HashiCorp Vault を使用するには、2 つの構成タスクを完了する必要があります。
HashiCorp Vault サーバーの接続詳細と認証詳細を保存するキーボルト構成を作成します。詳細については、「 スナップショットストアのキーボルトの構成」を参照してください。
キーヴォールトを使用するには、S3 互換の読み取りを構成します。キーヴォールト、 AWSアクセスキーへのパス、 AWS秘密キーへのパスを指定します。 Ops Manager はキーヴォールトから認証情報を読み取り、 AWS S3 に渡します。方法については、「 S3 互換スナップショット ストアを 1 つ追加する 」を参照してください。
MongoDB Ops Manager は、トークンまたは JWT のいずれかを使用して HashiCorp Vault に認証します。次に、Ops Manager は、 読み取りに指定された シークレット パス からAWSアクセス キーと シークレット キーを読み取ります。各パスは<secret-path>/<key> の形式で指定します。
認証情報の取得とキャッシュ
Ops Manager は、HashiCorp Vault からAWSアクセスキーと秘密キーを読み取り、メモリにキャッシュします。 MongoDB Ops Manager はこれらの認証情報を Ops Managerアプリケーションデータベースに保存しません。
デフォルトで、MongoDB Ops Manager はキャッシュされた認証情報を 5 分ごとに更新します。この間隔を変更するには、mms.keyVault.secret.cacheSoftTtlMs プロパティを設定します。
Ops Manager がキャッシュされた認証情報を更新するときに HashiCorp Vault が利用できない場合、Ops Manager は最後に認識された認証情報を引き続き使用し、イベントをログに記録するため、既存のバックアップは継続されます。キャッシュされた認証情報が存在せず、Ops Manager が HashiCorp Vault にアクセスできない場合、認証情報が必要な操作は失敗します。
重要
Ops Manager は HashiCorp Vault のアベイラビリティに専用のアラートを持っていません。Vault がアクセス不可になり、キャッシュされた認証情報が残っていない場合、その結果として発生するバックアップの失敗は、失敗したバックアップジョブに適用されるバックアップアラートと同じアラートをtriggerします。バックアップアラートを受信するために設定します。設定方法については、MongoDB Ops Manager でのアラート設定の構成を参照してください。
MongoDB Ops Manager がキーボルトを使用する S3 互換のスナップショットストアを検証し、S3 が 401 または 403 エラーを返す場合、MongoDB Ops Manager は HashiCorp Vault から認証情報を 1 度更新してから再試行します。再試行も失敗した場合、MongoDB Ops Manager はエラーを返し、検証は失敗します。
セキュリティ
MongoDB Ops Manager は、HashiCorp Vault 認証の詳細を次のように保護します。
MongoDB Ops Manager は、他の統合に使用されるのと同じ方法で、
gen.keyファイルを使用して保管中の Vault 認証シークレットを暗号化します。MongoDB Ops Manager は、API 応答と MongoDB Ops Manager コンソールで、Vault 認証シークレットとカスタム証明書を隠します。MongoDB Ops Manager は、保存された値の代わりに
[REDACTED]を返します。
要件
S3互換のスナップショットストア認証情報に HashiCorp Vault を使用するには、次のものが必要です。
アクセス可能な HashiCorp Vault 配置。
Ops Manager にAWS認証情報への読み取り専用アクセスを許可する Vault ポリシー、ロール、シークレット パス。
MongoDB Ops Manager、バックアップデーモン、HashiCorp Vault 間の安全で信頼性の高いネットワーク接続。
既存の読み取りを HashiCorp Vault に移行する
既存の S3互換のスナップショットストアをローカル認証情報から HashiCorp Vault に切り替えるには、次の手順で操作します。
スナップショットストアのキーボールトの構成で説明されているように、キーボールト構成を作成します。
「既存の S3互換スナップショットストアを編集する」に記述されているように、S3互換スナップショットストアを編集し、認証情報ストレージのロケーションをキーボールトに設定します。