미사용 데이터 암호화를 위해 AWS KMS 키에 액세스하려면 AWS IAM 역할 을 사용하도록 Atlas 프로젝트를 구성할 수 있습니다. 프로젝트에 미사용 데이터 암호화를 활성화할 때 기존 역할을 사용하거나 새 역할을 생성할 수 있습니다.
참고
The MongoDB Atlas Shared Responsibility Model defines the complementary duties of MongoDB and its customers in maintaining a secure and resilient data environment. Under this framework, MongoDB manages the security and operational integrity of the underlying platform, while customers are responsible for the configuration, management, and data policies of their specific deployments. For a detailed breakdown of ownership across security and operational excellence, see Shared Responsibility Model.
이 페이지에서는 역할 기반 액세스를 위해 Atlas 프로젝트의 고객 키 관리를 구성하는 방법을 설명합니다. AWS KMS에서 AWS PrivateLink를 설정하여 Atlas와 AWS KMS 간의 모든 트래픽이 AWS의 프라이빗 네트워크 인터페이스를 통해 이루어지도록 할 수 있습니다.
아직 신규 또는 기존 Atlas 프로젝트에 대해 미사용 데이터 암호화를 활성화하지 않은 경우, 프로젝트의 암호화 키에 역할 기반 액세스 활성화 절차에 따라 Atlas 프로젝트에 대해 미사용 데이터 암호화를 활성화하세요. 이미 미사용 데이터 암호화를 활성화하고 암호화 키에 대한 자격 증명 기반 액세스를 구성한 Atlas 프로젝트가 있는 경우, 프로젝트의 암호화 키에 대한 역할 기반 액세스로 전환 절차에 따라 암호화 키에 대한 역할 기반 액세스로 전환하세요.
참고
Atlas Infinite
Atlas Infinite in public preview supports customer-managed keys through AWS KMS. To learn how encryption at rest works for Atlas Infinite, see Atlas Infinite Encryption.
Atlas 프로젝트의 클러스터에서 활성화하기 전에 해당 프로젝트에 대한 고객 키 관리를 구성해야 합니다.
필요한 액세스 권한
고객 키 관리를 구성하려면 프로젝트에 대한 Project Owner 액세스 권한이 있어야 합니다.
2} 액세스 권한이 있는 사용자는 프로젝트에 자신을 으로 추가해야 Organization Owner Project Owner 합니다.
AWS KMS로 고객 관리형 키 활성화
Atlas의 고객 키 관리는 봉투 암호화라는 프로세스를 따릅니다. 이 프로세스는 하나의 키를 다른 키로 암호화하여 여러 계층의 암호화를 생성합니다. 고객 키 관리를 활성화하기 위해 Atlas는 다음과 같은 암호화 키를 사용합니다.
Customer-Managed Key (CMK)Customer-managed keys are encryption keys that you create, own, and manage in AWS KMS. You create the CMK in AWS KMS and connect it to Atlas at the Project level. To learn more about the CMKs used in AWS KMS, see AWS KMS Documentation.
Atlas는 이 키를 MongoDB 마스터 키를 암호화하는 데에만 사용합니다.
MongoDB Master KeyAtlas cluster 의 각 노드 는 MongoDB 마스터 키를 생성합니다. MongoDB 마스터 키는 MongoDB Server 가 데이터베이스별 암호화 키를 암호화하는 데 사용하는 암호화 키입니다. Atlas 는 암호화됨 키 사본을 로컬에 저장합니다.
이 키는 CMK로 암호화되며 데이터베이스별 암호화 키를 암호화합니다.
Per-Database Encryption Key또한 Atlas 클러스터의 각 노드는 클러스터의 데이터베이스별로 암호화 키를 생성합니다. Atlas는 이러한 키를 사용하여 이러한 키를 암호화하고 저장하는 WiredTiger를 통해 데이터를 읽고 씁니다.
이 키는 MongoDB Master Key로 암호화됩니다.
예시
3노드 복제본 세트에 대한 다음 암호화 계층 구조를 고려하세요. Atlas는 AWS KMS의 CMK를 사용하여 클러스터의 각 노드에 대해 고유한 MongoDB 마스터 키를 암호화합니다. 또한 각 노드에는 데이터베이스가 3개씩 있으며 각 데이터베이스는 고유한 암호화 키로 암호화됩니다. 클러스터가 시작되면 Atlas는 AWS KMS의 CMK를 사용하여 MongoDB 마스터 키의 암호를 해독하고 이를 MongoDB Server에 제공합니다.
참고
고객 마스터 키의 Atlas의 액세스 권한을 취소하면 Atlas는 클러스터의 노드를 종료하며 고객 마스터 키의 액세스 권한을 복원할 때까지 데이터에 액세스할 수 없습니다.
AWS 고객 마스터 키 교체
MongoDB 마스터 키 - MongoDB의 책임
자체 클라우드 공급자 KMS를 사용하는 경우 Atlas는 최소한 90 일마다 MongoDB 마스터 키를 자동으로 교체합니다. 키 순환은 구성된 유지 관리 기간이 있는 경우 이 기간 동안 시작됩니다. 유지 보수를 연기하면 (수동 또는 자동으로) 키가 90일을 지나서 로테이션될 수 있습니다. 키는 롤링 방식으로 로테이션하며 프로세스에서 데이터를 다시 기록할 필요가 없습니다.
귀하의 AWS CMK - 귀하의 책임
Atlas는 AWS에서 제공하는 미사용 데이터 암호화에 사용되는 AWS CMK를 자동으로 순환하지 않습니다.
Atlas 프로젝트에 대해 미사용 데이터 암호화를 허용하면 Atlas는 기본적으로 90일마다 권장사항의 일환으로 AWS CMK를 로테이션하도록 알려주는 alert을(를) 생성합니다. 해당 알림의 기간은 사용자가 구성할 수 있습니다.
You can rotate your AWS CMK yourself or configure your AWS KMS instance to automatically rotate your CMK. If you configure automatic AWS CMK rotation, the default time period for rotation is approximately 365 days.
자동 고객 마스터 키 로테이션을 AWS에서 이미 설정한 상태에서 90 일마다 고객 마스터 키를 로테이션하라는 Atlas 경고를 받고 싶지 않은 경우, 기본값 경고 기간을 365 일보다 길게 수정하거나 경고를 비활성화할 수 있습니다.
이 페이지에서는 Atlas에서 새 키를 만들고 CMK ID를 업데이트하여 Atlas 프로젝트 CMK를 로테이션하는 방법을 설명합니다. 이 키 순환 방식은 AWS KMS 자동 CMK 순환에 비해 순환 주기를 더 세밀하게 제어하도록 지원합니다.
중요
미사용 데이터 암호화가 포함된 클라우드 백업
For clusters using Encryption at Rest and Back Up Your Cluster, Atlas uses the project's CMK and AWS IAM user credentials at the time of the snapshot to automatically encrypt the snapshot data files. This is an additional layer of encryption on the existing encryption applied to all Atlas storage and snapshot volumes.
Atlas는 교체 후 새 CMK로 스냅샷을 다시 암호화하지 않습니다. 프로젝트의 모든 백업 사용 클러스터에서 여전히 해당 CMK를 사용하는 스냅샷이 있는지 확인할 때까지 이전 CMK를 삭제하지 마십시오. Atlas는 Backup Scheduling, Retention, On-Demand Snapshots에 따라 백업을 삭제합니다. Atlas가 특정 CMK에 따라 모든 스냅샷을 삭제한 후에는 해당 CMK를 안전하게 삭제할 수 있습니다.
절차
Atlas 에서 프로젝트 의 Advanced 페이지로 이동합니다.
아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.
아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.
사이드바에서 Security 제목 아래의 Database & Network Access를 클릭합니다.
사이드바에서 Advanced를 클릭합니다.
고급 페이지가 표시됩니다.
AWS CMK 세부 정보를 업데이트합니다.
다음 정보를 입력합니다.
필드작업AWS IAM role
이미 KMS 키에 대한 액세스 권한이 있는 기존 AWS IAM 역할을 선택하거나, 새 역할을 승인하고 이 역할에 다음 권한으로 KMS 키에 대한 액세스 권한을 부여합니다.
Customer Master Key ID
AWS 고객 마스터 키 ID를 입력합니다.
Customer Master Key Region
AWS CMK를 생성한 AWS 리전을 선택합니다.
Atlas Amazon Web Services 는 를 지원 Amazon Web Services KMS Amazon 리전만 나열합니다.
Save를 클릭합니다.
CMK 로테이션 프로세스 중에 Atlas 콘솔에 배너가 표시됩니다. 변경 사항이 배포될 때까지 CMK를 삭제하거나 비활성화하지 마십시오.
장애 시 AWS KMS 리전 재구성하기
리전 장애 중에는 AWS KMS 리전을 사용하지 못할 수 있습니다. 고객 키 관리를 사용한 미사용 데이터 암호화를 허용한 경우, 적어도 하나의 노드를 계속 사용할 수 있는 동안 암호화 및 암호 해독 작업을 수행할 수 있습니다. 그러나 모든 노드를 사용할 수 없게 되면 암호화 작업을 수행할 수 없습니다. 장애 중에 노드가 다시 시작되면 노드를 사용할 수 없게 됩니다.
사용할 수 없는 노드를 정상 상태로 돌리려면 현재 AWS KMS 리전을 사용 가능한 리전으로 재구성하면 됩니다. KMS 리전을 변경하려면 AWS KMS 키가 멀티 리전 키여야 합니다. 멀티 리전 키를 생성하려면 Amazon Web Services 문서를 참조하십시오.
참고
단일 리전 키를 멀티 리전 키로 변환할 수 없습니다.
절차
Amazon Web Services KMS 리전 재구성하려면 Atlas 에서 다음 단계를 완료하세요.
Atlas 에서 프로젝트 의 Advanced 페이지로 이동합니다.
아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.
아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.
사이드바에서 Security 제목 아래의 Database & Network Access를 클릭합니다.
사이드바에서 Advanced를 클릭합니다.
고급 페이지가 표시됩니다.
다음 단계
공용 네트워크 또는 AWS PrivateLink를 통해 AWS KMS의 고객 마스터 키(CMK)를 사용할 수 있습니다. 자세한 내용은 다음을 참조하세요.
검색 노드에 고객 관리형 키 활성화
By default, MongoDB and search processes run on the same nodes. With this architecture, customer-managed encryption applies to your database data, but it does not apply to search indexes.
전용 검색 노드를 활성화 하면 검색 프로세스가 별도의 노드에서 실행 . 이를 통해 검색 노드 데이터 암호화를 활성화 할 수 있으므로 동일한 고객 관리 키로 데이터베이스 데이터와 검색 인덱스를 모두 암호화하여 포괄적인 암호화 적용 범위를 확보할 수 있습니다.
공개 미리 보기 기간 동안에는 Atlas Infinite 클러스터 클러스터에서 전용 검색 노드가 지원되지 않습니다.
참고
Database nodes and Search Nodes use different encryption methods with the same customer-managed keys. Database nodes use the WiredTiger Encrypted Storage Engine, while Search Nodes use encryption at the disk level.
관련 주제
To learn more about MongoDB Encryption at Rest, see Encryption at Rest in the MongoDB server documentation.
클라우드 백업을 사용한 미사용 데이터 암호화에 대해 자세히 알아보려면 스토리지 엔진 및 클라우드 백업 암호화를 참조하세요.