문서 홈 → MongoDB 실행 및 관리 → MongoDB Atlas
AWS KMS로 고객 키 관리
이 페이지의 내용
참고
2021년 1월 26일 릴리스부터 고객 키 관리를 위해 AWS KMS 암호화 키에 대한 액세스를 관리하려면 IAM 사용자 대신 AWS IAM 역할을 사용해야 합니다.
AWS IAM 사용자에서 역할로 이동할 때 새 역할이 이전 AWS 고객 마스터 키에 액세스할 수 있는지 확인합니다.
중요
서버리스 인스턴스에서는 사용할 수 없는 기능입니다.
현재 서버리스 인스턴스는 이와 같은 기능을 지원하지 않습니다. 자세히 보려면 서버리스 인스턴스 제한을참조합니다.
AWS IAM 역할 을(를) 사용하도록 Atlas 프로젝트를 구성할 수 있습니다. 미사용 데이터 암호화를 위해 AWS KMS 키에 액세스합니다. 기존 역할을 사용하거나 프로젝트에 대해 미사용 데이터 암호화를 활성화할 때 새 역할을 만들 수 있습니다.
이 페이지에서는 역할 기반 액세스를 위해 Atlas 프로젝트의 고객 키 관리를 구성하는 방법을 설명합니다.
신규 또는 기존 Atlas 프로젝트에 대해 아직 미사용 데이터 암호화를 활성화하지 않은 경우, 프로젝트 의 암호화 키에 역할 기반 액세스 활성화 절차에 따라 Atlas 프로젝트에 대해 미사용 데이터 암호화를 활성화하세요. 이미 미사용 데이터 암호화를 활성화하고 암호화 키에 대한 자격 증명 기반 액세스를 구성한 Atlas 프로젝트가 있는 경우, 프로젝트 의 암호화 키에 대한 역할 기반 액세스로 전환 절차에 따라 역할 기반 액세스로 전환하세요. 암호화 키.
Atlas 프로젝트의 클러스터에서 활성화하기 전에 해당 프로젝트에 대한 고객 키 관리를 구성해야 합니다.
팁
다음도 참조하세요.
필요한 액세스 권한
고객 키 관리를 구성하려면 프로젝트에 대한 Project Owner 액세스 권한이 있어야 합니다.
2} 액세스 권한이 있는 사용자는 프로젝트에 자신을 으로 추가해야 Organization Owner Project Owner 합니다.
AWS KMS로 고객 관리형 키 활성화
Atlas의 고객 키 관리는 엔벨로프 암호화 라는 프로세스를 따릅니다. . 이 프로세스는 한 키를 다른 키로 암호화하여 여러 암호화 계층을 생성합니다. 고객 키 관리를 활성화하기 위해 Atlas는 다음 암호화 키를 사용합니다.
Customer-Managed Key (CMK)고객 관리형 키는 AWS KMS에서 생성, 소유 및 관리하는 암호화 키입니다. AWS KMS에서 CMK 를 생성하고 프로젝트 수준에서 Atlas에 연결합니다. AWS KMS에서 사용되는 CMK에 대해 자세히 알아보려면 AWS KMS 설명서 를 참조하세요. .
Atlas는 이 키는 MongoDB 마스터 키를 암호화하는 데만 사용합니다.
MongoDB Master KeyAtlas cluster의 각 노드는 MongoDB 마스터 키를 생성합니다. MongoDB 마스터 키는 MongoDB Server가 WiredTiger 스토리지 엔진 을 통해 파일을 암호화하는 데 사용하는 암호화 키입니다. Atlas는 암호화된 키 사본을 로컬에 저장합니다.
이 키는 CMK 로 암호화되며 데이터베이스별 암호화 키를 암호화합니다.
Per-Database Encryption KeyAtlas 클러스터의 각 노드는 클러스터의 데이터베이스별로 암호화 키도 생성합니다. Atlas는 이러한 키를 사용하여 WiredTiger를 통해 데이터를 읽고 쓰며, 이 키를 암호화하고 저장합니다.
이 키는 MongoDB 마스터 키로 암호화됩니다.
예제
3노드 복제본 세트에 대한 다음 암호화 계층 구조를 가정해 보겠습니다. Atlas는 AWS KMS의 CMK 를 사용하여 클러스터의 각 노드에 대해 고유한 MongoDB 마스터 키를 암호화합니다. 또한 각 노드에는 세 개의 데이터베이스가 포함되어 있으며, 각 데이터베이스는 고유한 데이터베이스별 암호화 키로 암호화됩니다. 클러스터가 시작되면 Atlas는 AWS KMS의 CMK 를 사용하여 MongoDB 마스터 키를 해독하고 이를 MongoDB 서버에 제공합니다.
참고
CMK 에 대한 Atlas의 액세스를 취소하면 Atlas는 클러스터의 노드를 종료하며 CMK 에 대한 액세스를 복원할 때까지 데이터에 액세스할 수 없습니다.
전제 조건
MongoDB 프로젝트의 AWS KMS에서 고객 관리형 키를 활성화하려면 다음을 수행해야 합니다.
대칭형 AWS KMS 키가 있어야 합니다. 키를 생성하는 방법을 알아보려면 키 생성 을 참조하세요. AWS 설명서에 있습니다.
참고
리전 중단 시 복원력을 보장하려면 KMS 키를 다중 리전 키로 구성합니다.
충분한 권한이 있는 AWS IAM 역할이 있어야 합니다. Atlas에는 키로 다음 조치를 수행할 수 있는 권한이 있어야 합니다:
참고
AWS KMS 키를 생성한 IAM 역할 대신 다른 AWS 계정의 AWS IAM 역할과 함께 AWS KMS 키를 사용하려면 충분한 권한이 있는지 확인합니다.
외부 AWS 계정을 포함하도록 AWS KMS 키 아래에 키 정책 설명(statement)을 추가합니다.
외부 AWS 계정의 IAM 역할에 대한 IAM 인라인 정책을 추가합니다.
IAM 역할 및 고객 마스터 키에 대한 포괄적인 설명은 AWS 설명서를 참조하세요.
위 권한을 확인한 후 일반적인 단계에 따라 Atlas에서 KMS 설정을 구성할 수 있습니다. 단, 다음과 같은 경우는 예외입니다.
<span tabindex=""0"" class=""leafygreen-ui-vm4wms"">AWS</span> <span tabindex=""0"" class=""leafygreen-ui-vm4wms"">KMS</span> 키 ID 필드에 마스터 키 ID (예:
12345678-1234-1234-1234-12345678) 대신에 <span tabindex=""0"" class=""leafygreen-ui-vm4wms"">AWS</span> <span tabindex=""0"" class=""leafygreen-ui-vm4wms"">KMS</span> 키의 전체 <span tabindex=""0"" class=""leafygreen-ui-vm4wms"">ARN</span> (예:arn:aws:kms:eu-west-2:111122223333:key/12345678-1234-1234-1234-12345678)을 제공해야 합니다.
IAM 역할을 생성하는 방법을 알아보려면 IAM 역할 을 참조하세요. AWS 설명서에 있습니다.
Atlas는 미사용 데이터 암호화가 활성화된 프로젝트의 모든 클러스터에 대해 동일한 IAM 역할 및 AWS KMS 키 설정을 사용합니다.
AWS KMS 구성에 필요한 경우 액세스를 허용합니다 .Atlas가 KMS와 통신할 수 있도록 Atlas IP 주소 및 클러스터 노드의 공용 IP 주소 또는 DNS 호스트 이름에서 관리형 IAM 역할 정책 에 IP 주소를 포함해야 합니다.IP 주소 조건 연산자 를 구성하여 정책 문서에 포함됩니다. 노드 IP 주소가 변경 되는 경우 연결이 중단되지 않도록 구성을 업데이트해야 합니다.
프로젝트의 암호화 키에 역할 기반 액세스 활성화
프로젝트의 암호화 키에 대한 역할 기반 액세스로 전환
중요
암호화 키를 역할 기반 액세스로 전환하면 해당 프로젝트의 암호화 키에 대해 역할 기반 액세스 구성을 취소하고 자격 증명 기반 액세스로 되돌릴 수 없습니다.
Atlas 클러스터에 대한 고객 키 관리 활성화
프로젝트의 암호화 키에 대한 역할 기반 액세스를 활성화 한 후에는 암호화하려는 데이터가 포함된 각 Atlas cluster에 대해 고객 키 관리를 활성화해야 합니다.
참고
해당 프로젝트의 클러스터에 대한 고객 키 관리를 사용하려면 Project Owner 역할이 있어야 합니다.
새 클러스터의 경우, 클러스터를 생성할 때 자체 암호화 키 관리 설정을 Yes로 토글합니다.
기존 클러스터의 경우:
프로젝트의 Database Deployments 페이지로 이동합니다.
이미 표시되어 있지 않은 경우 탐색 모음의 Organizations 메뉴에서 원하는 프로젝트가 포함된 조직을 선택합니다.
이미 표시되어 있지 않은 경우 Projects 탐색 모음의 프로젝트 메뉴에서 원하는 프로젝트를 선택합니다.
Database Deployments 페이지가 아직 표시되지 않은 경우 사이드바에서 Database를 클릭합니다.
선택 사항: 새 클러스터 노드에서 IP 주소를 추가합니다.
키 관리 서비스 구성에 따라 클러스터가 KMS와 통신할 수 있도록 Atlas 클러스터 노드 IP 주소를 클라우드 제공자 KMS 목록에 추가해야 할 수도 있습니다. 클러스터와 KMS 간의 통신을 활성화하려면 다음을 수행합니다.
ipAddresses엔드포인트에 GET 요청을 보냅니다. API 엔드포인트 는 다음과 같이 기존 클러스터 노드의 IP 주소 목록을 반환합니다.{ "groupId": "xxx", // ObjectId "services": { "clusters": [ { "clusterName": "Cluster0", "inbound": [ "3.92.113.229", "3.208.110.31", "107.22.44.69" ], "outbound": [ "3.92.113.229", "3.208.110.31", "107.22.44.69" ] } ] } } 반환된 IP 주소를 클라우드 제공자의 IP 액세스 목록에 추가합니다. 자세한 내용은 AWS, Azure 및 GCP 를 사용하여 고객 키를 관리하기 위한 전제 조건을 참조하세요.
클러스터의 구성을 수정합니다.
암호화하려는 데이터가 포함된 클러스터의 경우 줄임표 ...를 클릭한 다음 Edit Configuration 선택합니다.
클러스터 암호화를 활성화합니다.
Additional Settings 패널을 펼칩니다.
0} 설정을 Manage your own encryption keys 로 Yes 전환합니다.
변경 사항을 검토하고 적용합니다.
Review Changes를 클릭합니다.
변경 사항을 검토한 다음 Apply Changes을 클릭하여 클러스터를 업데이트합니다.
AWS 고객 마스터 키 교체
참고
이 기능은
M0무료 클러스터,M2및M5클러스터에서는 사용할 수 없습니다. 자세한 내용은 Atlas M0(무료 클러스터), M2 및 M5 제한을 참조하세요.이 기능은 현재 서버리스 인스턴스에서 지원되지 않습니다. 자세한 내용은 서버리스 인스턴스 제한사항을 참조하십시오.
MongoDB 마스터 키 - MongoDB의 책임
자체 클라우드 제공자 KMS 를 사용하는 경우 Atlas는 90 일마다 MongoDB 마스터 키를 자동으로 로테이션합니다. 이러한 키는 롤링 방식으로 회전하며 프로세스에서 데이터를 다시 쓸 필요가 없습니다.
사용자의 AWS CMK - 사용자의 책임
Atlas는 AWS에서 제공하는 미사용 데이터 암호화에 사용되는 AWS CMK를 자동으로 순환하지 않습니다.
Atlas 프로젝트에 대해 미사용 alert 데이터 암호화를 활성화 하면 Atlas는 기본적으로 90 일마다 AWS CMK 를 로테이션하도록 알려주는 를 생성하는 것이 좋습니다. 이 경고의 기간을 구성할 수 있습니다.
AWS CMK 를 직접 로테이션하거나 AWS KMS 인스턴스를 자동으로 로테이션 하도록 구성할 수 있습니다. CMK . 자동 AWS CMK 로테이션을 구성하는 경우 기본 로테이션 기간은 약 365 일입니다.
이미 AWS에서 자동 CMK 로테이션을 설정한 상태에서 90일마다 CMK를 로테이션하라는 Atlas의 경고를 받지 않으려면 기본 경고 기간을 365일보다 길게 수정하거나 경고를 비활성화할 수 있습니다.
이 페이지에서는 Atlas에서 새 키를 만들고 CMK ID를 업데이트하여 Atlas 프로젝트 CMK를 순환하는 방법을 설명합니다. 이 키 순환 방식은 AWS KMS 자동 CMK 순환에 비해 순환 주기를 더 세밀하게 제어할 수 있습니다.
중요
미사용 데이터 암호화가 포함된 클라우드 백업
미사용 데이터 암호화 및 데이터베이스 배포 백업을 사용하는 클러스터의 경우, Atlas는 스냅샷 시점에 프로젝트의 CMK 및 AWS IAM 사용자 자격 증명을 사용하여 스냅샷 데이터 파일을 자동으로 암호화합니다. 이를 통해 모든 Atlas 스토리지 및 스냅샷 볼륨에 적용되는 기존 암호화에 대해 암호화 계층을 추가합니다.
Atlas는 교체 후 새 CMK로 스냅샷을 다시 암호화하지 않습니다. 프로젝트의 모든 백업 지원 클러스터에서 해당 CMK를 여전히 사용하는 스냅샷이 있는지 확인할 때까지 이전 CMK를 삭제하지 않도록 합니다. Atlas는 백업 스케줄링, 보존 및 온디맨드 스냅샷에 따라 백업을 삭제합니다. Atlas가 특정 CMK에 따라 모든 스냅샷을 삭제한 후에는 해당 CMK를 안전하게 삭제할 수 있습니다.
절차
프로젝트의 Advanced 페이지로 이동합니다.
이미 표시되어 있지 않은 경우 탐색 모음의 Organizations 메뉴에서 원하는 프로젝트가 포함된 조직을 선택합니다.
이미 표시되어 있지 않은 경우 Projects 탐색 모음의 프로젝트 메뉴에서 원하는 프로젝트를 선택합니다.
사이드바에서 Advanced를 클릭합니다.
Encryption at Rest using your Key Management 섹션에서 Edit 을 클릭합니다..
AWS CMK 세부 정보를 업데이트합니다.
다음 정보를 입력합니다.
필드작업AWS IAM role이미 KMS 키에 대한 액세스 권한이 있는 기존 AWS IAM 역할을 선택하거나, 새 역할을 승인하고 이 역할에 다음 권한으로 KMS 키에 대한 액세스 권한을 부여합니다.
Customer Master Key IDAWS 고객 마스터 키 ID를 입력합니다.Customer Master Key RegionAWS CMK를 생성한 AWS 리전을 선택합니다.
참고
Atlas는 AWS KMS를 지원하는 AWS 리전만 나열합니다.
Save를 클릭합니다.
CMK 로테이션 프로세스 중에 Atlas 콘솔에 배너가 표시됩니다. 변경 사항이 배포될 때까지 CMK를 삭제하거나 비활성화하지 마세요.
운영 중단 중 AWS KMS 리전 재구성하기
리전 가동 중단 중에는 AWS KMS 리전을 사용할 수 없게 될 수 있습니다. 고객 키 관리를 사용한 미사용 데이터 암호화를 허용한 경우, 적어도 하나의 노드를 계속 사용할 수 있는 동안 암호화 및 암호 해독 작업을 수행할 수 있습니다. 그러나 모든 노드를 사용할 수 없게 되면 암호화 작업을 수행할 수 없습니다. 중단 중에 노드가 다시 시작되면 노드를 사용할 수 없게 됩니다.
사용할 수 없는 노드를 정상 상태로 되돌리려면 현재 AWS KMS 리전을 사용 가능한 리전으로 재구성하면 됩니다. KMS 리전을 변경하려면 AWS KMS 키가 다중 리전 키 여야 합니다. . 멀티 리전 키를 생성하려면 AWS 설명서를 참조하세요.
참고
단일 리전 키를 다중 리전 키로 변환할 수 없습니다.
절차
AWS KMS 리전을 재구성하려면 Atlas에서 다음 단계를 완료하세요:
프로젝트의 Advanced 페이지로 이동합니다.
이미 표시되어 있지 않은 경우 탐색 모음의 Organizations 메뉴에서 원하는 프로젝트가 포함된 조직을 선택합니다.
이미 표시되어 있지 않은 경우 Projects 탐색 모음의 프로젝트 메뉴에서 원하는 프로젝트를 선택합니다.
사이드바에서 Advanced를 클릭합니다.
Encryption at Rest using your Key Management 섹션에서 Edit 을 클릭합니다..
AWS CMK 자격 증명을 확인합니다.
Atlas가 데이터를 다시 암호화하지 않도록 하려면 AWS IAM role 및 Customer Master Key ID 항목에 기존 자격 증명이 반영되어 있는지 확인하세요.
Customer Master Key Region 을(를) 업데이트합니다.
멀티 리전 키를 구성한 다른 AWS 리전을 선택합니다.
Save 을(를) 클릭합니다.
관련 주제
MongoDB 미사용 데이터 암호화에 대해 자세히 알아보려면 MongoDB 서버 설명서에서 미사용 데이터 암호화를 참조하세요.
클라우드 백업을 사용한 미사용 데이터 암호화에 대해 자세히 알아보려면 스토리지 엔진 및 클라우드 백업 암호화를 참조하세요.