S 互換のスナップショットストアの Amazon Web3 Services 認証情報は、MongoDB Ops Manager アプリケーションデータベースまたは HashiCorp Vault に保存できます。キーボルトに認証情報を保存すると、MongoDB Ops Manager はオンデマンドで HashiCorp Vault から認証情報を取得します。オンデマンド取得は、機密な認証情報の一元化、ローテーション、監査に役立ちます。
MongoDB Ops Managerは HashiCorp Vault とローカル認証情報ストレージをサポートしています。S3互換のスナップショットストレージについては、使用する方法を選択します。
認証情報ストレージ オプション
MongoDB Ops Managerは、S3互換のスナップショットストレージの2つの認証情報保存ロケーションをサポートします。
ストレージ ロケーション | 説明 |
|---|---|
AppDB | MongoDB Ops Manager は、AWS アクセス キーとシークレット キーを MongoDB Ops Manager アプリケーションデータベースに保存します。AppDB はデフォルトの方法であり、HashiCorp Vault は必要ありません。 |
Key Vault | MongoDB Ops Managerは、HashiCorp VaultからオンデマンドでAWSアクセス キーとシークレット キーを読み取ります。MongoDB Ops Manager は、各シークレットのパスのみを保存し、シークレット値は保存しません。 |
セキュリティまたは監査の要件で一元的なシークレットマネージャーが必要な場合は、キーボールトを使用します。HashiCorp Vault を使用しない場合は、AppDB を使用します。
How Ops Manager Uses HashiCorp Vault
S3互換のスナップショットストア認証情報に HashiCorp Vault を使用するには、2 つの構成タスクを完了する必要があります。
HashiCorp Vault サーバーの接続詳細と認証詳細を保存するキーボルト構成を作成します。詳細については、「 スナップショットストアのキーボルトの構成」を参照してください。
キーボールトを使用するために S3 互換のスナップショットストアを構成します。キーボールト、AWS アクセスキーへのパス、AWS シークレットキーへのパスを指定します。Ops Manager はキーボールトから認証情報を読み取り、AWS S3 に渡します。方法については、「1 つの S3 互換スナップショットストアを追加する」を参照してください。
MongoDB Ops Manager は、トークンまたは JSON web token を使用して HashiCorp Vault に認証します。その後、MongoDB Ops Manager は、スナップショットストアに指定したシークレット パスから Amazon Web Services アクセス キーとシークレット キーを読み取ります。各パスは <secret-path>/<key> の形式で提供されます。
認証情報の取得とキャッシュ
MongoDB Ops Manager は HashiCorp Vault から Amazon Web Services アクセスキーとシークレットキーを読み取り、メモリにキャッシュします。MongoDB Ops Manager はこれらの認証情報を MongoDB Ops Manager アプリケーションデータベースに保存しません。
デフォルトで、MongoDB Ops Manager はキャッシュされた認証情報を 5 分ごとに更新します。この間隔を変更するには、mms.keyVault.secret.cacheSoftTtlMs プロパティを設定します。
Ops Manager がキャッシュされた認証情報を更新するときに HashiCorp Vault が利用できない場合、Ops Manager は最後に認識された認証情報を引き続き使用し、イベントをログに記録するため、既存のバックアップは継続されます。キャッシュされた認証情報が存在せず、Ops Manager が HashiCorp Vault にアクセスできない場合、認証情報が必要な操作は失敗します。
重要
MongoDB Ops Manager には、HashiCorp Vault の可用性に特化されたアラートはありません。Vault がアクセス不可になり、キャッシュされた認証情報が残っていない場合、バックアップの失敗により、失敗したバックアップジョブに適用されるのと同じバックアップアラートが trigger されます。バックアップアラートを受信するには、バックアップアラートを構成します。詳細については、「アラート設定の構成」を参照してください。
MongoDB Ops Manager がキーボルトを使用する S3 互換のスナップショットストアを検証し、S3 が 401 または 403 エラーを返す場合、MongoDB Ops Manager は HashiCorp Vault から認証情報を 1 度更新してから再試行します。再試行も失敗した場合、MongoDB Ops Manager はエラーを返し、検証は失敗します。
セキュリティ
MongoDB Ops Manager は、HashiCorp Vault 認証の詳細を次のように保護します。
MongoDB Ops Manager は、他の統合に使用されるのと同じ方法で、
gen.keyファイルを使用して保管中の Vault 認証シークレットを暗号化します。MongoDB Ops Manager は、API 応答と MongoDB Ops Manager コンソールで、Vault 認証シークレットとカスタム証明書を隠します。MongoDB Ops Manager は、保存された値の代わりに
[REDACTED]を返します。
要件
S3互換のスナップショットストア認証情報に HashiCorp Vault を使用するには、次のものが必要です。
アクセス可能な HashiCorp Vault 配置。
Ops Manager に Amazon Web Services 認証情報への読み取り専用アクセスを付与する Vault ポリシー、ロール、シークレットパス。
MongoDB Ops Manager、バックアップデーモン、HashiCorp Vault 間の安全で信頼性の高いネットワーク接続。
既存の読み取りを HashiCorp Vault に移行する
既存の S3互換のスナップショットストアをローカル認証情報から HashiCorp Vault に切り替えるには、次の手順で操作します。
スナップショットストアのキーボールトの構成で説明されているように、キーボールト構成を作成します。
「既存の S3互換スナップショットストアを編集する」に記述されているように、S3互換スナップショットストアを編集し、認証情報ストレージのロケーションをキーボールトに設定します。