클러스터를 위한 보안 기능 구성

전송 중 암호화

Atlas는 데이터베이스에 대한 연결을 암호화하기 위해 TLS를 요구합니다.

TLS 인증서는 다음과 같습니다.

• Atlas 인증서를 발급한 날로부터 90 일 동안 유효합니다.

• 인증서 만료 날짜 42 일 전에 로테이션되었습니다.

TLS 암호화 에 대해 자세히 학습 Atlas 보안 백서를 참조하세요.

To configure SSL or TLS OCSP certificate revocation checking, see OCSP Certificate Revocation Check.

가상 사설 클라우드

하나 이상의 M10+ 전용 클러스터가 있는 모든 Atlas 프로젝트에는 전용 VPC가 제공됩니다(또는 Azure를 사용하는 경우 VNet). Atlas는 모든 전용 클러스터를 이 VPC 또는 VNet 내에 배포합니다.

저장된 데이터 암호화

기본값으로 Atlas는 Advanced Encryption Standard(AES)-256을 사용하여 미사용 상태의 모든 클러스터 저장 및 스냅샷 볼륨을 암호화합니다. Atlas Core 클러스터에서 클라우드 공급자는 이 디스크 암호화를 자동화하고 암호화 키를 관리합니다. Atlas는 고객 managed 키를 사용한 미사용 데이터 암호화도 지원합니다.

FIPS 140-2

Atlas는 모든 데이터베이스에 대해 FIPS 140-2 레벨 2을 기본값 비활성화합니다. 사용 중인 환경에 따라 Atlas 에서 활성화 해야 하는 경우 MongoDB Atlas for Government를 사용하세요.

MongoDB Atlas for Government는 모든 데이터베이스에 대해 FIPS 140-2 레벨 2 를 자동으로 활성화합니다.

네트워크 및 방화벽 요구 사항

애플리케이션이 MongoDB Atlas 환경에 연결할 수 있는지 확인하세요. 애플리케이션 환경에서 Atlas로의 인바운드 네트워크 액세스를 추가하려면 다음 중 하나를 수행하세요.

1. IP 액세스 목록에 공인 IP 주소 추가하기

2. VPC/VNet 피어링을 사용하여 비공개 IP 주소를 추가합니다.

3. 비공개 엔드포인트를 추가합니다.

방화벽 이 아웃바운드 네트워크 연결을 차단하는 경우 애플리케이션 환경에서 Atlas 로의 아웃바운드 액세스 도 허용해야 합니다. 애플리케이션이 클러스터의 호스트 이름 또는 IP 주소의 TCP 트래픽에 대해 포트 27015 ~ 27017 에 아웃바운드 연결을 할 수 있도록 방화벽 구성해야 합니다. 이렇게 하면 애플리케이션이 Atlas 에 저장된 데이터베이스에 액세스 .

클러스터 IP 주소의 현재 목록을 얻으려면 Atlas 관리 API 의 Return All IP for One 프로젝트 엔드포인트 를 사용합니다.

curl --header "Authorization: Bearer <access-token>" \
     --header "Accept: application/vnd.atlas.2025-03-12+json" \
     --request GET \
     "https://cloud.mongodb.com/api/atlas/v2/groups/{GROUP-ID}/ipAddresses"

VPC/VNet 피어링을 사용하지 않고 공용 IP 주소를 사용하여 Atlas에 연결하려는 경우, 다음 페이지에서 추가 정보를 확인하세요.

• MongoDB Atlas 프로젝트에 자체 VPC를 지정할 수 있나요?

• Atlas 클러스터의 공용 IP가 변경되나요?

IP 액세스 목록

Atlas는 해당 프로젝트의 IP 액세스 목록에 있는 항목에서만 클러스터에 대한 클라이언트 연결을 허용합니다. 연결하려면 IP 액세스 목록에 항목을 추가해야 합니다. 프로젝트의 IP 액세스 목록을 설정하려면 IP 액세스 목록 항목 구성을 참조하세요.

Google Cloud 또는 Microsoft Azure에 배포된 Atlas 클러스터의 경우, Google Cloud 또는 Azure 서비스의 IP 주소를 Atlas 프로젝트 IP 액세스 목록에 추가하여 해당 서비스가 클러스터에 접근할 수 있도록 허용합니다.

사용자 인증 또는 권한 부여

Atlas requires clients to authenticate to connect to the database. You must create database users to access the database. To set up database users to your clusters, see Configure Database Users. Atlas offers many security features for cluster authentication and authorization.

프로젝트의 클러스터에 액세스하려면 사용자가 해당 프로젝트에 속해 있어야 합니다. 사용자는 여러 프로젝트에 소속될 수 있습니다.

네트워크 피어링 연결

Atlas는 다른 AWS, Azure 또는 Google Cloud 네트워크 피어링 연결과의 피어링 연결을 지원합니다. 자세한 학습은 네트워크 피어링을 참조하세요.

비공개 엔드포인트

Atlas는 다음에 대한 비공개 엔드포인트를 지원합니다:

• AWS PrivateLink 기능 사용하는 AWS

• Azure Azure Private Link 기능 사용하는 Azure

• GCP Private Service Connect 기능 사용하는 Google Cloud Platform

비공개 엔드포인트를 사용하려면 Learn About Private Endpoints in Atlas(Atlas의 비공개 엔드포인트에 대해 알아보기)를 참조하세요.

통합 AWS 액세스

Data Federation 및 고객 키 관리를 사용한 미사용 데이터 암호화를 포함한 일부 Atlas 기능은 인증 에 Amazon Web Services IAM 역할을 사용합니다.

Atlas에서 사용할 AWS IAM 역할을 설정하려면 통합 AWS 액세스 설정하기를 참조하세요.

클러스터 인증 및 권한 부여

Atlas는 클러스터 인증 및 권한 부여를 위해 다음과 같은 보안 기능을 제공합니다.

키 관리를 사용한 미사용 데이터 암호화

Atlas는 스토리지 엔진과 클라우드 공급자 백업을 암호화하기 위해 AWS KMS, Azure Key Vault, Google Cloud를 지원합니다. 미사용 데이터 암호화를 사용하려면 고객 키 관리를 사용한 미사용 데이터 암호화를 참조하세요.

클라이언트 사이드 필드 레벨 암호화

Atlas supports client-side field level encryption, including automatic encryption of fields. All Atlas users are entitled to use MongoDB automatic client-side field level encryption features.

자세한 학습 은 클라이언트 사이드 필드 레벨 암호화 요구 사항을 참조하세요.

데이터베이스 감사

Atlas는 모든 시스템 이벤트 조치에 대한 감사를 지원합니다. 데이터베이스 감사를 사용하려면 데이터베이스 감사 설정을 참조하세요.

액세스 추적

Atlas는 인증 로그를 Atlas UI에 직접 표시하므로 클러스터에 대한 인증 시도의 성공 및 실패를 검토할 수 있습니다. 데이터베이스 액세스 기록을 보려면 데이터베이스 액세스 기록 보기를 참조하세요.

Atlas UI 액세스를 위한 다단계 인증

Atlas는 Atlas 계정에 대한 액세스를 제어할 수 있도록 MFA를 지원합니다. MFA를 설정하려면 다단계 인증 옵션 관리를 참조하세요.

Atlas Control Plane에 대한 액세스 허용

다음 Atlas 기능 중 하나를 사용하는 경우 네트워크의 IP 액세스 목록에 Atlas IP 주소를 추가해야 할 수 있습니다.

• 알림 웹훅

• 고객 키 관리를 사용한 미사용 암호화

• LDAP 인증 또는 권한 부여

  참고

  미사용 데이터 암호화 기능을 활성화하는 경우, 샤딩된 클러스터 사용 시 CSRS(config 서버 복제본 세트)를 포함하여 배포서버 내 모든 호스트에 대해 공용 IP 액세스를 허용해야 합니다.

Atlas Control Plane IP 주소 가져오기

Send a GET request to the controlPlaneIPAddresses endpoint to fetch the current Atlas control plane IP addresses. The API endpoint returns a list of inbound and outbound Atlas control plane IP addresses in CIDR notation categorized by cloud provider and region, similar to the following:

{
  "inbound":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "gcp":{
      "<region-name>":["<IP-address>", ...]
      ...
    }
  },
  "outbound":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "gcp":{
      "<region-name>":["<IP-address>", ...],
      ...
    }
  },
  "gateways":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "gcp":{
      "<region-name>":["<IP-address>", ...],
      ...
    }
  }
}

중요

Atlas 관리 API는 제어 평면과 관련하여 inbound 및 outbound 용어를 사용하며 이는 사용자의 네트워크와 관련이 없습니다. 그 결과는 다음과 같은 상황이 발생합니다.

• 네트워크의 인바운드 규칙은 Atlas Administration API에 나열된 outbound CIDR과 일치해야 합니다.

• 네트워크의 아웃바운드 규칙은 Atlas Administration API에 나열된 inbound CIDR과 일치해야 합니다.

다음 다이어그램은 컨트롤 플레인과 네트워크에 대한 inbound 와 outbound 간의 관계 보여줍니다.

클릭하여 확대

반환된 IP 주소를 클라우드 제공자의 KMS IP 액세스 목록에 추가하려면 AWS, Azure 및 GCP를 사용하여 고객 키를 관리하기 위한 사전 구성 요소를 참조하세요.

중요

Atlas는 시간이 지남에 따라 제어 플레인 IP 주소를 업데이트할 수 있습니다. Atlas와 KMS 간의 연결을 계속 유지하려면 주기적으로 현재 제어 플레인 IP 주소를 가져와서 KMS 액세스 목록을 업데이트하십시오.

Data Federation에 대한 액세스 허용

네트워크에서 특정 IP 주소로의 아웃바운드 HTTPS 요청만 허용하는 경우 요청이 연합 데이터베이스 인스턴스에 도달할 수 있도록 TCP 포트 27017의 인바운드 IP 주소에서의 액세스를 허용해야 합니다. 현재 인바운드 및 아웃바운드 Atlas 제어 영역 IP 주소를 가져오려면 Atlas 관리자 API를 사용하는 것이 좋습니다.

OCSP 인증서 해지 확인

사용자의 네트워크가 특정 IP 주소로만 아웃바운드 요청을 허용하는 경우, SSL 또는 TLS OCSP 인증서 폐기 확인을 허용하기 위해서는 SSL 또는 TLS 인증서의 OCSP URL에서 찾을 수 있는 Atlas의 CA (인증 기관) OCSP Responder 서버에 대한 접근을 허용해야 합니다.

To disable OCSP certificate revocation checking, refer to the documentation for the MongoDB driver version that your application uses.

OCSP 동작은 인증서 제공자에 따라 달라집니다. 인증서에 OCSP 응답기 URL이 포함되어 있는 경우에만 취소 확인이 수행됩니다.