암호화 구성

개요

이 페이지에서는 미사용 암호화를 지원하기 위한 서버 구성에 대해 설명합니다. MongoDB Atlas 를 사용하는 경우 데이터는 이미 암호화되어 있습니다. MongoDB는 클라우드 제공자 수준에서 Atlas 암호화를 관리하지만 자체 키 관리 솔루션을 사용할 수도 있습니다. 자세한 내용은 Atlas 키 관리 문서 를 참조하세요.

MongoDB Enterprise 3.2에는 WiredTiger 스토리지 엔진에 대한 네이티브 암호화 옵션이 도입되었습니다. Atlas 외부에서는 WiredTiger 스토리지 엔진을 사용하는 엔터프라이즈 설치에만 암호화를 사용할 수 있습니다.

암호화 키의 안전한 관리는 스토리지 암호화를 위한 중요한 요건입니다. MongoDB는 MongoDB 설치와 함께 저장되지 않는 마스터 키를 사용합니다. 마스터 키만 외부에서 관리되며, 다른 키는 MongoDB 인스턴스와 함께 저장할 수 있습니다.

MongoDB의 암호화된 스토리지 엔진은 마스터 키에 대해 두 가지 키 관리 옵션을 지원합니다.

• Key Management Interoperability Protocol(KMIP)를 통해 타사 키 관리 어플라이언스와 통합합니다. 권장

• 키 파일을 통한 로컬 키 관리 방식을 사용합니다.

키 관리자

MongoDB Enterprise는 호환되는 키 관리 어플라이언스를 사용하여 안전한 키 전송을 지원합니다. 키 관리자를 사용하면 키를 키 관리자에 저장할 수 있습니다.

MongoDB Enterprise는 Key Management Interoperability Protocol(KMIP)을 준수하는 키 관리 어플라이언스를 통해 안전한 키 전송을 지원합니다.

MongoDB의 인증 파트너 목록은 파트너 목록 을 참조하세요.

mongod --enableEncryption \
       --kmipServerName <KMIP Server HostName> \
       --kmipPort <KMIP server port> \
       --kmipServerCAFile ca.pem \
       --kmipClientCertificateFile client.pem

[initandlisten] Created KMIP key with id: <UID>
[initandlisten] Encryption key manager initialized using master key with id: <UID>

mongod --enableEncryption \
       --kmipServerName <KMIP Server HostName> \
       --kmipPort <KMIP server port> \
       --kmipServerCAFile ca.pem \
       --kmipClientCertificateFile client.pem \
       --kmipKeyIdentifier <UID>

로컬 키 관리

키 파일을 사용하여 암호화하려면 단일 16자 또는 32자 문자열을 포함하는 base64로 인코딩된 키 파일이 있어야 합니다. 키 파일은 mongod 프로세스의 소유자만 액세스할 수 있어야 합니다.

1. 16자 또는 32자 문자열을 사용해 base64로 인코딩된 키 파일을 생성합니다. 원하는 메서드를 사용하여 인코딩된 키 파일을 생성할 수 있습니다. 예를 들면 다음과 같습니다.

   openssl rand -base64 32 > mongodb-keyfile

2. 파일 권한을 업데이트합니다.

   chmod 600 mongodb-keyfile

3. 키 파일을 사용하려면 다음 옵션을 사용하여 mongod를 시작합니다.

   • --enableEncryption,

   • --encryptionKeyFile <path to keyfile>,

   mongod --enableEncryption --encryptionKeyFile  mongodb-keyfile

   구성에 필요한 추가 옵션을 포함합니다. 예를 들어 원격 클라이언트를 배포에 연결하거나 배포 멤버가 다른 호스트에서 실행되도록 하려면 --bind_ip 을(를) 지정합니다.

4. 암호화 키 관리자가 키 파일을 사용하여 성공적으로 초기화되었는지 확인합니다. 작업이 성공하면 프로세스는 다음 메시지를 기록합니다.

   [initandlisten] Encryption key manager initialized with key file: <path to keyfile>

기존 미사용 데이터 암호화

MongoDB는 기존 데이터를 암호화할 수 없습니다. 신규 키로 암호화를 활성화하면 MongoDB 인스턴스에 기존 데이터가 있을 수 없습니다.

기존 데이터가 있는 복제본 세트를 사용하는 경우, 롤링 초기 동기화를 사용하여 데이터를 암호화합니다.

예를 들어 멤버가 3명인 복제본 세트를 생각해 보겠습니다. 복제본 세트가 사용 중이며 암호화하려는 데이터를 보유하고 있습니다. 미사용 데이터를 암호화하기 위해 수행할 단계는 다음과 같습니다.