프라이빗 엔드포인트를 통한 AWS 고객 키 관리

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

Encryption at Rest using your Key Management 옆에 있는 버튼을 On으로 전환합니다.

Authorize a new IAM role 링크를 클릭하여 미사용 데이터 암호화를 위해 AWS KMS 키에 액세스할 수 있도록 Atlas에 AWS IAM 역할을 부여합니다.

미사용 데이터 암호화를 위한 AWS KMS 키에 액세스하려면, AWS CLI를 사용하여 새 역할 생성 절차를 따라 새로운 AWS IAM 역할을 생성합니다. 기존의 AWS IAM 역할을 승인하려면 기존 역할에 신뢰 관계 추가 절차를따르세요.

AWS 콘솔 또는 CLI를 통해 AWS IAM 역할에 액세스 정책을 추가하십시오. 자세한 내용은 IAM 정책 관리하기를 참조하세요.

미사용 데이터 암호화에 대한 액세스 정책은 다음과 유사합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}

암호화 키에 액세스하기 위해 1단계와 2단계를 반복하여 3단계에서 승인한 역할을 프로젝트에 할당합니다.

암호화 키에 액세스하기 위해 다음을 지정하고 Save를 클릭합니다.

1. 0} 드롭다운 목록에서 할당할 역할을 선택합니다.AWS IAM role

2. Customer Master Key ID 필드에 암호화 키를 지정합니다.

3. 암호화 키에 대한 AWS 리전을 선택합니다.

cloudProviderAccess 엔드포인트로 POST 요청을 전송합니다.

API 엔드포인트를 사용하여 새 AWS IAM 역할을 생성합니다. Atlas는 AWS 계정 인증에 이 역할을 사용합니다.

다음 단계에서 사용할 수 있도록 반환된 필드 값 atlasAWSAccountArn 및 atlasAssumedRoleExternalId를 준비해 두세요.

AWS IAM 역할 신뢰 정책을 수정합니다.

1. AWS 관리 콘솔에 로그인합니다.

2. Identity and Access Management (IAM) 서비스로 이동합니다.

3. 왼쪽 탐색에서 Roles 을 선택합니다.

4. 역할 목록에서 Atlas 액세스에 사용하려는 기존 IAM 역할을 클릭합니다.

5. 0}Trust Relationships 탭을 선택합니다.

6. Edit trust relationship 버튼을 클릭합니다.

7. Policy Document를 편집합니다. 다음 내용이 포함된 새 Statement 객체를 추가합니다.

   참고

   이 정책 문서는 MongoDB의 AWS 주체가 고객의 KMS 키를 암호화 및 복호화 작업에 사용할 수 있도록 허용합니다. Atlas 주체는 비밀이 아니며 모든 Atlas 고객에게 사용됩니다. 이 계정은 매우 제한적이고 목적이 한정된 AWS 계정이며, IAM 사용자 외에는 리소스가 없습니다. 정책 문서의 ExternalId는 각 Atlas 프로젝트마다 고유하지만 비밀이 아닙니다. ExternalId는 교차 컨텍스트(혼동된 대리인) 취약성을 완화하는 데 사용됩니다. 모든 고객의 키에 액세스하기 위해 공통 주체를 사용하는 Atlas의 방식은 여기에서 설명된 Amazon의 권장 액세스 방식입니다.

   참고

   1단계에서 강조 표시된 줄을 API 호출에서 반환된 값으로 바꿉니다.

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action:" "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. Update Trust Policy 버튼을 클릭합니다.

새 IAM 역할에 권한을 부여합니다.

API 엔드포인트를 사용하여 새로운 IAM 가정 역할 ARN을 승인하고 구성합니다. API 호출이 성공하면 AWS를 사용하는 Atlas 서비스를 구성할 때 roleId 값을 사용할 수 있습니다.

프로젝트에서 역할 권한 부여를 통해 AWS KMS 활성화

PATCH 요청을 encodingAtRest API 엔드포인트로 전송하여 권한이 부여된 AWS IAM 역할 ID로 awsKms.roleId 필드를 업데이트합니다.

curl --user "{public key}:{private key}" --digest \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

Encryption at Rest using your Key Management 섹션의 경우 Edit을 클릭합니다.

Grant Access to Keys with an AWS IAM Role 섹션의 정보를 읽고 Configure를 클릭합니다.

미사용 시 미사용 데이터 암호화를 위해 AWS KMS 키에 액세스할 수 있도록 Atlas에 AWS IAM 역할을 승인하고 할당하십시오.

미사용 데이터 암호화를 위한 AWS KMS 키에 액세스하려면, AWS CLI를 사용하여 새 역할 생성 절차를 따라 새로운 AWS IAM 역할을 생성합니다. 기존의 AWS IAM 역할을 승인하려면 기존 역할에 신뢰 관계 추가 절차를따르세요.

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

Private Endpoints for AWS KMS 페이지로 고 (Go) .

Advanced 페이지의 Encryption at Rest using your Key Management 섹션에서 다음 단계를 수행합니다.

1. AWS KMS 이 접힌 경우 Network Settings 를 펼칩니다.

2. Require Private Networking 옆에 있는 버튼을 토글합니다.

3. Set up를 클릭합니다.

   Set Up Private Networking for AWS 페이지가 표시됩니다.

각 리전 에서 암호화 키 복제합니다.

1. Amazon Web Services KMS 대시보드에 로그인합니다.

2. Atlas UI 에서 Copy 을 클릭하여 고객 마스터 키 ID 저장합니다.

3. Amazon Web Services KMS 대시보드 에서 원하는 모든 리전에 키를 복제합니다. 자세한 학습 은 Amazon Web Services 설명서를 참조하세요.

4. Atlas UI 에서 다음을 클릭합니다. Continue

비공개 엔드포인트 생성하려는 Amazon Web Services 리전을 지정합니다.

1. 드롭다운에서 Amazon Web Services 리전을 선택합니다.

2. Continue를 클릭합니다.

Atlas 이러한 리전에 비공개 엔드포인트 자동으로 생성하여 비공개 네트워킹을 사용하여 연결할 수 있도록 합니다.

Atlas 비공개 엔드포인트의 현재 상태를 반영하는 데 최대 3분이 걸릴 수 있습니다. 비공개 엔드포인트의 상태는 다음 중 하나일 수 있습니다.

비공개 엔드포인트 사용을 시작하려면 Done 를 클릭합니다.

비공개 네트워킹을 활성화합니다.

엔드포인트에 PATCH 요청 encryptionAtRest 보내고 requirePrivateNetworking 플래그 값을(으)로 설정하다 true.

필수 매개변수에 대해 자세히 학습 1개의 프로젝트에 고객 관리형 키를 사용하여 미사용 데이터 암호화를 위한 구성 업데이트를 참조하세요.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/" \
--data '
  {
    "awsKms": {
      "accessKeyID": "019dd98d94b4bb778e7552e4",
      "customerMasterKeyID": "string",
      "enabled": true,
      "region": "US_EAST_1",
      "roleId": "32b6e34b3d91647abb20e7b8",
      "secretAccessKey": "string",
      "requirePrivateNetworking": true
    }
  }'

비공개 엔드포인트를 생성합니다.

Atlas 관리 API 사용하여 Amazon Web Services KMS와 통신할 비공개 엔드포인트를 생성합니다.

Atlas 에서 비공개 엔드포인트를 생성할 Amazon Web Services POST 리전 있는 엔드포인트로 요청 보냅니다.encryptionAtRest Atlas 에서 비공개 엔드포인트를 생성하려는 각 리전 에 대해 별도의 요청 보내야 합니다.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \
--data '
  {
    "regionName": "US_EAST_1"
  }'

비공개 엔드포인트를 생성한 후에는 다음과 같은 제한 사항이 적용.

• Atlas 는 승인된 비공개 엔드포인트 가 있는 리전에서만 모든 새 클러스터를 생성합니다.

• Atlas 는 승인된 비공개 엔드포인트 가 있는 리전에서만 기존 클러스터에 대한 추가 노드를 배포합니다.

요청 상태를 확인합니다.

비공개 엔드포인트의 상태를 확인하려면 encryptionAtRest 엔드포인트에 GET 요청 을 보냅니다 .

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AWS",
      "id": "24-hexadecimal-digit-string",
      "privateEndpointConnectionName": "string",
      "regionName": "US_EAST_1",
      "status": "INITIATING",
    }
  ],
  "totalCount": 1
}

Atlas 비공개 엔드포인트의 현재 상태를 반영하는 데 최대 3분이 걸릴 수 있습니다. 비공개 엔드포인트의 상태는 다음 중 하나일 수 있습니다.

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

Private Endpoints for AWS KMS 페이지로 고 (Go) .

Advanced 페이지의 Encryption at Rest using your Key Management 섹션에서 다음 작업을 수행합니다.

1. AWS KMS 이 접힌 경우 Network Settings 를 펼칩니다.

2. Manage를 클릭합니다.

   Private Endpoints for AWS KMS 페이지에는 리전, 엔드포인트 이름, Atlas cluster의 비공개 엔드포인트 상태, 비공개 엔드포인트 에서 수행할 수 있는 조치가 표시됩니다.

Create new endpoints를 클릭합니다.

비공개 엔드포인트 생성하려는 리전을 지정합니다.

1. 드롭다운에서 Amazon Web Services 리전을 선택합니다.

2. Continue를 클릭합니다.

Atlas 이러한 리전에 비공개 엔드포인트 자동으로 생성하여 비공개 네트워킹을 사용하여 연결할 수 있도록 합니다.

Atlas 비공개 엔드포인트의 현재 상태를 반영하는 데 최대 3분이 걸릴 수 있습니다. 비공개 엔드포인트의 상태는 다음 중 하나일 수 있습니다.

비공개 엔드포인트 사용을 시작하려면 Done 를 클릭합니다.

비공개 엔드포인트를 생성합니다.

Atlas 관리 API 사용하여 Amazon Web Services KMS와 통신할 비공개 엔드포인트를 생성합니다.

Atlas 에서 비공개 엔드포인트를 생성하려는 Amazon Web Services리전 POST 있는 엔드포인트로 요청 보냅니다.encryptionAtRest Atlas 에서 비공개 엔드포인트를 생성하려는 각 리전 에 대해 별도의 요청 보내야 합니다.

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints" \
--data '
  {
    "regionName": "US_EAST_1"
  }'

비공개 엔드포인트를 생성한 후에는 다음과 같은 제한 사항이 적용.

• Atlas 는 승인된 비공개 엔드포인트 가 있는 리전에서만 모든 새 클러스터를 생성합니다.

• Atlas 는 승인된 비공개 엔드포인트 가 있는 리전에서만 기존 클러스터에 대한 추가 노드를 배포합니다.

요청 상태를 확인합니다.

비공개 엔드포인트의 상태를 확인하려면 encryptionAtRest 엔드포인트에 GET 요청 을 보냅니다 .

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-11-13+json" \
--header "Content-Type: application/vnd.atlas.2024-11-13+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AWS/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AWS",
      "id": "24-hexadecimal-digit-string",
      "privateEndpointConnectionName": "string",
      "regionName": "US_EAST_1",
      "status": "INITIATING",
    }
  ],
  "totalCount": 1
}

Atlas 비공개 엔드포인트의 현재 상태를 반영하는 데 최대 3분이 걸릴 수 있습니다. 비공개 엔드포인트의 상태는 다음 중 하나일 수 있습니다.

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

Private Endpoints for AWS KMS 페이지로 고 (Go) .

Advanced 페이지의 Encryption at Rest using your Key Management 섹션에서 다음 작업을 수행합니다.

1. AWS KMS 이 접힌 경우 Network Settings 를 펼칩니다.

2. Manage를 클릭합니다.

   Private Endpoints for AWS KMS 페이지에는 리전, 엔드포인트 이름, Atlas cluster의 비공개 엔드포인트 상태, 비공개 엔드포인트 에서 수행할 수 있는 조치가 표시됩니다.

비공개 엔드포인트 연결을 제거합니다.

1. 제거 하려는 비공개 엔드포인트의 Actions 열에 있는 아이콘을 클릭합니다.

2. Delete 를 클릭하여 비공개 엔드포인트 삭제를 확인합니다.

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

Private Endpoints for AWS KMS 페이지로 고 (Go) .

Advanced 페이지의 Encryption at Rest using your Key Management 섹션에서 다음 작업을 수행합니다.

1. AWS KMS 이 접힌 경우 Network Settings 를 펼칩니다.

2. Manage를 클릭합니다.

   Private Endpoints for AWS KMS 페이지에는 리전, 엔드포인트 이름, Atlas cluster의 비공개 엔드포인트 상태, 비공개 엔드포인트 에서 수행할 수 있는 조치가 표시됩니다.

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

비공개 네트워킹을 비활성화합니다.

1. Encryption at Rest using your Key Management에서 AWS KMS을 선택합니다.

2. Network Settings에서 Require Private Networking 옆의 버튼을 Off로 전환합니다.

3. Save를 클릭합니다.