공용 네트워크를 통한 AWS 고객 키 관리

cloudProviderAccess 엔드포인트에 게시 요청 보냅니다.

API 엔드포인트를 사용하여 새 AWS IAM 역할을 생성합니다. Atlas는 AWS 계정 인증에 이 역할을 사용합니다.

다음 단계에서 사용할 수 있도록 반환된 필드 값 atlasAWSAccountArn 및 atlasAssumedRoleExternalId를 준비해 두세요.

AWS IAM 역할 신뢰 정책을 수정합니다.

1. AWS 관리 콘솔에 로그인합니다.

2. Identity and Access Management (IAM) 서비스로 이동합니다.

3. 왼쪽 탐색에서 Roles 을 선택합니다.

4. 역할 목록에서 Atlas 액세스에 사용하려는 기존 IAM 역할을 클릭합니다.

5. 0}Trust Relationships 탭을 선택합니다.

6. Edit trust relationship 버튼을 클릭합니다.

7. Policy Document를 편집합니다. 다음 내용이 포함된 새 Statement 객체를 추가합니다.

   참고

   이 정책 문서는 MongoDB의 AWS 주체가 고객의 KMS 키를 암호화 및 복호화 작업에 사용할 수 있도록 허용합니다. Atlas 주체는 비밀이 아니며 모든 Atlas 고객에게 사용됩니다. 이는 매우 제한적이고 목적이 제한된 AWS 계정으로, IAM 사용자 외에는 다른 리소스가 없습니다. ExternalId는 정책 성명서에서 각 Atlas 프로젝트마다 고유하지만 비밀은 아닙니다. ExternalId는 교차 컨텍스트(혼동된 대리자) 취약성의 가능성을 완화하는 데 사용됩니다. 모든 고객의 키에 액세스하기 위해 Atlas가 공통 주체를 사용하는 방식은 Amazon에서 권장하는 액세스 패턴이며, 여기에 설명되어 있습니다.

   참고

   1단계에서 강조 표시된 줄을 API 호출에서 반환된 값으로 바꿉니다.

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. Update Trust Policy 버튼을 클릭합니다.

새 IAM 역할에 권한을 부여합니다.

Use the API endpoint to authorize and configure the new IAM Assumed Role ARN. If the API call is successful, you can use the roleId value when configuring Atlas services that use AWS.

프로젝트에서 역할 권한 부여를 통해 AWS KMS 활성화

Send a PATCH request to the encryptionAtRest API endpoint to update the awsKms.roleId field with your authorized AWS IAM role ID.

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'