Visão geral da criptografia em descanso do Atlas

Criptografia do Atlas Core

Para Atlas Core, seu provedor de nuvem criptografa os volumes de armazenamento que contêm seus dados do cluster. O provedor de nuvem automatiza essa criptografia de disco e gerencia as chaves de criptografia em um KMS. Esta criptografia de disco no nível de volume padrão não requer nenhuma configuração, está sempre ativada e não pode ser desativada. Você pode adicionar outra camada de segurança ativando a criptografia em descanso no nível do banco de dados com chaves gerenciadas pelo cliente.

Ao configurar a criptografia em descanso com chaves gerenciadas pelo cliente, o Atlas adiciona criptografia em nível de banco de dados além da criptografia de disco padrão. Para aprender como configurar chaves gerenciadas pelo cliente, consulte Criptografia em descanso usando o Gerenciamento de Chaves do Cliente.

Criptografia Atlas Infinite

Com o Atlas Infinite, a criptografia em descanso é habilitada por padrão e é sempre aplicada a todo o seu banco de dados. Seu cluster é executado em uma camada de armazenamento compartilhada e, portanto, a criptografia em descanso não pode ser configurada no nível do volume ou desativada. O MongoDB gerencia uma chave de criptografia padrão exclusiva para cada organização do Atlas e a rotaciona automaticamente a cada 90 dias. Essa rotação é transparente e não requer nenhuma ação da sua parte. As chaves nunca são compartilhadas entre clientes. Além disso, você pode aplicar uma camada de criptografia adicional com chaves gerenciadas pelo cliente. Ao configurar a criptografia em descanso com chaves gerenciadas pelo cliente, o Atlas adiciona criptografia em nível de banco de dados além da criptografia padrão.

O Atlas criptografa seus dados no nível do banco de dados, no nó de computação antes que os dados cheguem à camada de armazenamento no cluster Atlas Infinite.

O Atlas Infinite usa criptografia de envelope para proteger seus dados. O Atlas criptografado seus dados com chave de criptografia de dados e criptografado essas chaves com uma chave de criptografia de chave (KEK). O MongoDB é gerenciado as KEKs na camada de armazenamento em vez de em nós de computação individuais. Como resultado, cada nó de computação em seu cluster pode descriptografar os dados que recebe da camada de armazenamento.

A criptografia em nível de banco de dados difere da criptografia de disco em nível de volume padrão que o Atlas Core usa. Para o Atlas Core, seu provedor de nuvem criptografa os volumes de armazenamento. Para o Atlas Infinite, o Atlas criptografa os dados antes que eles saiam do nó de computação e armazena os dados criptografados.

Como o MongoDB gerencia uma chave separada para cada organização, para clusters que usam criptografia padrão, o Atlas não oferece suporte a restaurar entre organizações e só oferece suporte a restaurar entre projetos dentro da mesma organização.

Para saber mais sobre a arquitetura do Atlas Infinite, consulte MongoDB Atlas Infinite: Visão geral.

Como funciona o gerenciamento de chaves do cliente (Atlas Core)

O gerenciamento de chaves do cliente no Atlas segue um processo chamado criptografia de envelope. Esse processo cria várias camadas de criptografia ao criptografar uma chave com outra chave. Para habilitar o gerenciamento de chaves do cliente, o Atlas usa as seguintes chaves de criptografia:

Customer-Managed Key (CMK)

Chaves gerenciadas pelo cliente são chaves de criptografia que você cria, possui e gerencia no seu provedor de gerenciamento de chaves. Você cria a chave mestra do cliente em seu provedor de gerenciamento de chaves e a conecta ao Atlas no nível de projeto. Para saber mais sobre as chaves mestras do clienteusadas em seu provedor de gerenciamento de chaves, consulte a documentação do seu provedor de gerenciamento de chaves.

O Atlas usa essa chave somente para criptografar as chaves mestras do MongoDB.

MongoDB Master Key

Cada nó em seu cluster Atlas cria uma Chave Mestre MongoDB . As chaves mestres MongoDB são chaves de criptografia que um MongoDB Server usa para criptografar as chaves de criptografia por banco de dados. O Atlas salva uma cópia criptografada da chave localmente.

Essa chave é criptografada com a chave mestra do cliente e criptografa as chaves de criptografia por banco de dados.

Per-Database Encryption Key

Cada nó no cluster do Atlas também cria uma chave de criptografia por cada banco de dados no seu cluster. O Atlas usa essas chaves para ler e gravar dados através do WiredTiger, que também criptografa e armazena essas chaves.

Essa chave é criptografada com a chave mestra MongoDB.

Rotação de chaves

O Atlas não pode girar chaves de criptografia gerenciadas pelo cliente. Consulte a documentação do seu provedor de gerenciamento de chaves para obter orientações sobre rotação de chaves. Quando você define o gerenciamento de chave de cliente em um projeto, o Atlas cria um alerta de rotação de chave de90dias.

Para o Atlas Core, o Atlas rotaciona as chaves mestras do MongoDB que sua chave gerenciada pelo cliente criptografa:

Quando você usa seu próprio KMS do provedor de nuvem, o Atlas rotaciona automaticamente as MongoDB Master Keys pelo menos a cada 90 dias. Sua rotação de chaves começará durante um período de manutenção, se você tiver um configurado. O adiamento da manutenção (manual ou automaticamente) pode fazer com que a chave seja rotacionada além da marca de 90dias. As chaves são giradas de forma contínua e o processo não exige que os dados sejam reescritos.

Para o Atlas Infinite, o Atlas rotaciona a chave de criptografia padrão automaticamente a cada 90 dias. A rotação adiciona uma nova versão da chave. As versões da chave que criptografaram seus dados existentes permanecem válidas, portanto, os dados gravados anteriormente permanecem legíveis.

Migrar entre tipos de chave (Atlas Infinite)

Para o Atlas Infinite, você pode migrar entre a criptografia padrão e uma chave gerenciada pelo cliente em qualquer direção. O Atlas Infinite trata a migração como uma rotação de chave. Seu cluster permanece disponível durante a migração, e a chave anterior permanece válida até que a migração seja concluída.