Para agentes de IA: um índice de documentação está disponível em https://www.mongodb.com/pt-br/docs/llms.txt — as versões de markdown de todas as páginas estão disponíveis anexando .md a qualquer caminho de URL.
Menu Docs
Página inicial do Docs
/ /
Acesso ao Atlas
Página inicial do Docs
/
Gestão
/
Atlas Kubernetes Operator
/
Acesso ao Atlas
Página inicial do Docs
/
Gestão
/
Atlas Kubernetes Operator
/
Acesso ao Atlas

Criptografar dados usando um serviço de gerenciamento de chaves

O Atlas criptografa todo o armazenamento do cluster e volumes de snapshot em repouso por padrão. Você pode adicionar outra camada de segurança usando o KMS do seu provedor de nuvem junto com o mecanismo de armazenamento criptografado do MongoDB.

Você pode usar um ou mais dos seguintes provedores de KMS do cliente para criptografia em descanso no Atlas:

Observação

O fornecedor de gerenciamento de chaves não precisa corresponder ao fornecedor de serviços de cloud do cluster.

Para saber mais sobre como usar seu KMS com o Atlas, consulte:

Para gerenciar sua criptografia KMS com Atlas Kubernetes Operator, você pode especificar e atualizar o spec.encryptionAtRest parâmetro para o AtlasProject Recurso Personalizado. Cada vez que você altera o campo spec em qualquer um dos recursos personalizados suportados, o Atlas Kubernetes Operator cria ou atualiza a configuração correspondente do Atlas.

Pré-requisitos

Para configurar a criptografia em descanso usando o Amazon Web Services KMS no Atlas Kubernetes Operator, você exige:

Importante

Se você alternar suas chaves de encriptação para acesso baseado em role, não poderá desfazer a configuração de acesso baseado em role e reverter para acesso baseado em credenciais para chaves de encriptação nesse projeto.

Procedimento

Criptografe seus dados do Atlas usando uma chave managed pelo cliente com o seguinte procedimento:

1

Crie um segredo com suas credenciais da AWS.

Crie um segredo com os valores para os seguintes parâmetros:

Parâmetro
Descrição

CustomerMasterKeyID

string alfanumérica exclusiva que identifica a chave mestra do cliente da Amazon Web Services que você usa para criptografar e descriptografar as chaves mestras do MongoDB .

RoleID

Amazon Web Services ARN exclusivo que identifica a função do Amazon Web Services IAM com permissão para managed sua chave mestra do cliente Amazon Web Services . Para encontrar esse valor:

  1. Go para a seção Roles do Console de gerenciamento Amazon Web Services .

  2. Clique no papel IAM que você editou ou criou para acesso do Atlas.

AWS exibe o ARN na seção Summary.

Para criar e rotular um segredo, execute os seguintes comandos com suas credenciais do Amazon Web Services :

kubectl create secret generic aws-ear-creds \
  --from-literal="CustomerMasterKeyID=<customer-master-key>" \
  --from-literal="RoleID=<aws-arn>" \
  -n mongodb-atlas-system
kubectl label secret aws-ear-creds atlas.mongodb.com/type=credentials -n mongodb-atlas-system
2

Especifique o parâmetro spec.encryptionAtRest.awsKms.

  1. Adicione o objeto spec.encryptionAtRest.awsKms ao spec.encryptionAtRest array no AtlasProject Recurso Personalizado, incluindo os seguintes parâmetros:

    Parâmetro
    Descrição

    spec.encryptionAtRest.awsKms.enabled

    Sinalizador que indica se este projeto usa AWS KMS para criptografar dados em repouso. Para habilitar a criptografia em descanso usando Amazon Web Services KMS, defina este parâmetro como true. Para desabilitar a criptografia em descanso usando o AWS KMS, defina este parâmetro como false. Se você desativar a criptografia em descanso usando o AWS KMS, o Atlas Kubernetes Operator remove os detalhes de configuração.

    spec.encryptionAtRest.awsKms.region

    Etiqueta que indica a região do Amazon Web Services onde está a chave mestra do cliente.

    spec.encryptionAtRest.awsKms.secretRef.name

    Nome do segredo que contém suas credenciais do Amazon Web Services .

    spec.encryptionAtRest.awsKms.secretRef.namespace

    Namespace que contém suas credenciais do Amazon Web Services. Se não especificado, este parâmetro assume o valor padrão do namespace do recurso personalizado AtlasProject.

    Você deve usar um segredo que contenha os valores para AccessKeyID, SecretAccessKey, CustomerMasterKeyID e RoleID.

  2. Execute o seguinte comando:

    cat <<EOF | kubectl apply -f -
    apiVersion: atlas.mongodb.com/v1
    kind: AtlasProject
    metadata:
      name: my-project
    spec:
      name: Test Atlas Operator Project
      encryptionAtRest:
        awsKms:
          enabled: true
          region: US_EAST_1
          secretRef:
            name: aws-ear-creds
            namespace: mongodb-atlas-system
    EOF
3

Verifique a ativação bem-sucedida da criptografia em descanso em seu projeto.

Execute o seguinte comando para verificar se o Atlas Kubernetes Operator detecta a configuração do Amazon Web Services KMS para seu projeto.

kubectl get atlasprojects my-project -n mongodbatlas-system -o=jsonpath='{.status.conditions[?(@.type=="EncryptionAtRestReady")].status}'
true
4

Habilite a criptografia em descanso usando chaves managed pelo cliente para seu cluster.

Depois de habilitar a criptografia em descanso usando chaves managed pelo cliente para seu projeto, você deve habilitá-la no nível do cluster para criptografar dados.

Execute o seguinte comando para adicionar o spec.deploymentSpec.encryptionAtRestProvider ao seu AtlasDeployment Recurso Personalizado, que habilita a criptografia em descanso usando sua chave AWS para este cluster:

cat <<EOF | kubectl apply -f -
      apiVersion: atlas.mongodb.com/v1
      kind: AtlasDeployment
      metadata:
        name: my-cluster
      spec:
        name: Test Atlas Operator Cluster
        DeploymentSpec:
          encryptionAtRestProvider: "AWS"
      EOF
Voltar
X.509
Próximo
Autenticação federada
Avalie esta página

Nesta página