Para agentes de IA: um índice de documentação está disponível em https://www.mongodb.com/pt-br/docs/llms.txt — as versões de markdown de todas as páginas estão disponíveis anexando .md a qualquer caminho de URL.
Menu Docs
Página inicial do Docs
/ /
Acesso ao Atlas
Página inicial do Docs
/
Gestão
/
Atlas Kubernetes Operator
/
Acesso ao Atlas
Página inicial do Docs
/
Gestão
/
Atlas Kubernetes Operator
/
Acesso ao Atlas

Criptografar dados usando um serviço de gerenciamento de chaves

Atlas encrypts all cluster storage and snapshot volumes at rest by default. You can add another layer of security by using your cloud provider's KMS together with the MongoDB encrypted storage engine.

Você pode usar um ou mais dos seguintes provedores de KMS do cliente para criptografia em descanso no Atlas:

Observação

O fornecedor de gerenciamento de chaves não precisa corresponder ao fornecedor de serviços de cloud do cluster.

Para saber mais sobre como usar seu KMS com o Atlas, consulte:

Para gerenciar sua criptografia KMS com Atlas Kubernetes Operator, você pode especificar e atualizar o spec.encryptionAtRest parâmetro para o AtlasProject Recurso Personalizado. Cada vez que você altera o campo spec em qualquer um dos recursos personalizados suportados, o Atlas Kubernetes Operator cria ou atualiza a configuração correspondente do Atlas.

Pré-requisitos

Para configurar a criptografia em descanso usando o Amazon Web Services KMS no Atlas Kubernetes Operator, você exige:

Importante

Se você alternar suas chaves de encriptação para acesso baseado em role, não poderá desfazer a configuração de acesso baseado em role e reverter para acesso baseado em credenciais para chaves de encriptação nesse projeto.

Procedimento

Criptografe seus dados do Atlas usando uma chave managed pelo cliente com o seguinte procedimento:

1

Crie um segredo com suas credenciais da AWS.

Crie um segredo com os valores para os seguintes parâmetros:

Parâmetro
Descrição

CustomerMasterKeyID

string alfanumérica exclusiva que identifica a chave mestra do cliente da Amazon Web Services que você usa para criptografar e descriptografar as chaves mestras do MongoDB .

RoleID

Amazon Web Services ARN exclusivo que identifica a função do Amazon Web Services IAM com permissão para managed sua chave mestra do cliente Amazon Web Services . Para encontrar esse valor:

  1. Go para a seção Roles do Console de gerenciamento Amazon Web Services .

  2. Clique no papel IAM que você editou ou criou para acesso do Atlas.

AWS exibe o ARN na seção Summary.

Para criar e rotular um segredo, execute os seguintes comandos com suas credenciais do Amazon Web Services :

kubectl create secret generic aws-ear-creds \
  --from-literal="CustomerMasterKeyID=<customer-master-key>" \
  --from-literal="RoleID=<aws-arn>" \
  -n mongodb-atlas-system
kubectl label secret aws-ear-creds atlas.mongodb.com/type=credentials -n mongodb-atlas-system
2

Especifique o parâmetro spec.encryptionAtRest.awsKms.

  1. Adicione o objeto spec.encryptionAtRest.awsKms ao spec.encryptionAtRest array no AtlasProject Recurso Personalizado, incluindo os seguintes parâmetros:

    Parâmetro
    Descrição

    spec.encryptionAtRest.awsKms.enabled

    Sinalizador que indica se este projeto usa AWS KMS para criptografar dados em repouso. Para habilitar a criptografia em descanso usando Amazon Web Services KMS, defina este parâmetro como true. Para desabilitar a criptografia em descanso usando o AWS KMS, defina este parâmetro como false. Se você desativar a criptografia em descanso usando o AWS KMS, o Atlas Kubernetes Operator remove os detalhes de configuração.

    spec.encryptionAtRest.awsKms.region

    Label that indicates the AWS region where the customer master key exists.

    spec.encryptionAtRest.awsKms.secretRef.name

    Nome do segredo que contém suas credenciais do Amazon Web Services .

    spec.encryptionAtRest.awsKms.secretRef.namespace

    Namespace que contém suas credenciais do Amazon Web Services. Se não especificado, este parâmetro assume o valor padrão do namespace do recurso personalizado AtlasProject.

    Você deve usar um segredo que contenha os valores para AccessKeyID, SecretAccessKey, CustomerMasterKeyID e RoleID.

  2. Execute o seguinte comando:

    cat <<EOF | kubectl apply -f -
    apiVersion: atlas.mongodb.com/v1
    kind: AtlasProject
    metadata:
      name: my-project
    spec:
      name: Test Atlas Operator Project
      encryptionAtRest:
        awsKms:
          enabled: true
          region: US_EAST_1
          secretRef:
            name: aws-ear-creds
            namespace: mongodb-atlas-system
    EOF
3

Verifique a ativação bem-sucedida da criptografia em descanso em seu projeto.

Execute o seguinte comando para verificar se o Atlas Kubernetes Operator detecta a configuração do Amazon Web Services KMS para seu projeto.

kubectl get atlasprojects my-project -n mongodbatlas-system -o=jsonpath='{.status.conditions[?(@.type=="EncryptionAtRestReady")].status}'
true
4

Habilite a criptografia em descanso usando chaves managed pelo cliente para seu cluster.

Depois de habilitar a criptografia em descanso usando chaves managed pelo cliente para seu projeto, você deve habilitá-la no nível do cluster para criptografar dados.

Execute o seguinte comando para adicionar o spec.deploymentSpec.encryptionAtRestProvider ao seu AtlasDeployment Recurso Personalizado, que habilita a criptografia em descanso usando sua chave AWS para este cluster:

cat <<EOF | kubectl apply -f -
      apiVersion: atlas.mongodb.com/v1
      kind: AtlasDeployment
      metadata:
        name: my-cluster
      spec:
        name: Test Atlas Operator Cluster
        DeploymentSpec:
          encryptionAtRestProvider: "AWS"
      EOF
Voltar
X.509
Próximo
Autenticação federada
Avalie esta página

Nesta página