Google Cloud KMS로 고객 키 관리하기

프로젝트의 Advanced 페이지로 이동합니다.

1. 이미 표시되어 있지 않은 경우 탐색 모음의 Organizations 메뉴에서 원하는 프로젝트가 포함된 조직을 선택합니다.

2. 이미 표시되어 있지 않은 경우 Projects 탐색 모음의 프로젝트 메뉴에서 원하는 프로젝트를 선택합니다.

3. 사이드바에서 Advanced를 클릭합니다.

Encryption at Rest using your Key Management 옆의 버튼을 On 로 전환합니다.

Google Cloud KMS 을(를) 선택합니다.

Service Account Key 을(를) 입력합니다.

Service Account Key의 형식은 JSON 객체로 지정해야 합니다. 여기에는 GCP 서비스 계정에 대한 암호화 자격 증명이 포함됩니다.

Key Version Resource ID 을(를) 입력합니다.

키 버전 리소스 ID는 CryptoKeyVersion의 정규화된 리소스 이름입니다.

Save 을(를) 클릭합니다.

프로젝트의 Database Deployments 페이지로 이동합니다.

1. 이미 표시되어 있지 않은 경우 탐색 모음의 Organizations 메뉴에서 원하는 프로젝트가 포함된 조직을 선택합니다.

2. 이미 표시되어 있지 않은 경우 Projects 탐색 모음의 프로젝트 메뉴에서 원하는 프로젝트를 선택합니다.

3. Database Deployments 페이지가 아직 표시되지 않은 경우 사이드바에서 Database를 클릭합니다.

선택 사항: 새 클러스터 노드에서 IP 주소를 추가합니다.

키 관리 서비스 구성에 따라 클러스터가 KMS와 통신할 수 있도록 Atlas 클러스터 노드 IP 주소를 클라우드 제공자 KMS 목록에 추가해야 할 수도 있습니다. 클러스터와 KMS 간의 통신을 활성화하려면 다음을 수행합니다.

1. ipAddresses 엔드포인트에 GET 요청을 보냅니다. API 엔드포인트 는 다음과 같이 기존 클러스터 노드의 IP 주소 목록을 반환합니다.

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ],
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 반환된 IP 주소를 클라우드 제공자의 IP 액세스 목록에 추가합니다. 자세한 내용은 AWS, Azure 및 GCP 를 사용하여 고객 키를 관리하기 위한 전제 조건을 참조하세요.

클러스터의 구성을 수정합니다.

암호화하려는 데이터가 포함된 클러스터의 경우 줄임표 ...를 클릭한 다음 Edit Configuration 선택합니다.

클러스터 암호화를 활성화합니다.

1. Additional Settings 패널을 펼칩니다.

2. 0} 설정을 Manage your own encryption keys 로 Yes 전환합니다.

변경 사항을 검토하고 적용합니다.

1. Review Changes를 클릭합니다.

2. 변경 사항을 검토한 다음 Apply Changes을 클릭하여 클러스터를 업데이트합니다.

프로젝트의 Advanced 페이지로 이동합니다.

1. 이미 표시되어 있지 않은 경우 탐색 모음의 Organizations 메뉴에서 원하는 프로젝트가 포함된 조직을 선택합니다.

2. 이미 표시되어 있지 않은 경우 Projects 탐색 모음의 프로젝트 메뉴에서 원하는 프로젝트를 선택합니다.

3. 사이드바에서 Advanced를 클릭합니다.

Edit 클릭합니다..

GCP 키 세부 정보를 업데이트합니다.

1. Google Cloud KMS 탭이 아직 활성화되지 않은 경우 Google Cloud KMS를 클릭합니다.

2. Encryption Key Credentials 대화 상자가 아직 표시되지 않은 경우 Encryption Key Credentials을 확장합니다.

3. Key Identifier 항목에 GCP 키 버전 리소스 ID를 입력합니다.

   CryptoKeyVersion에 대한 정규화된 리소스 이름을 포함합니다.

   예제

   projects/my-project-0/locations/us-east4/keyRings/my-key-ring-0/cryptoKeys/my-key-0/cryptoKeyVersions/1

   암호화 키는 Atlas 프로젝트에 대해 구성된 Google Cloud 서비스 계정 키에 반드시 속해야 합니다. 프로젝트에 대해 현재 구성된 서비스 계정 키를 보려면 Service Account Key 섹션을 클릭하세요.

4. Update Credentials를 클릭합니다.

키 식별자 교체 프로세스 중에는 Atlas 콘솔에 배너가 표시됩니다.

클러스터에서 데이터베이스 배포 백업을 사용하는 경우, 암호화에 해당 키를 사용하는 스냅샷이 없는지 확인할 때까지 원래 키 버전 리소스 ID를 삭제하거나 비활성화하지 마세요.