Para agentes de IA: um índice de documentação está disponível em https://www.mongodb.com/pt-br/docs/llms.txt — as versões de markdown de todas as páginas estão disponíveis anexando .md a qualquer caminho de URL.
Menu Docs
Página inicial do Docs
/ /
AWS KMS
Página inicial do Docs
/ /
Criptografia em descanso
/
AWS KMS
Página inicial do Docs
/
Gestão
/
Clusters
/
Gerenciar clusters
/
Armazenamento
/
Criptografia em descanso
/
AWS KMS

Gerenciar chaves de cliente com AWS por meio de pontos de extremidade privados

Além de criptografar seus dados em repouso no Atlas com as chaves gerenciadas pelo cliente (CMK) que você cria, possui e gerencia em seu Amazon Web Services KMS, você pode adicionar outra camada de segurança configurando todo o tráfego para seu Amazon Web Services KMS para usar o AWS PrivateLink.

Observação

The MongoDB Atlas Shared Responsibility Model defines the complementary duties of MongoDB and its customers in maintaining a secure and resilient data environment. Under this framework, MongoDB manages the security and operational integrity of the underlying platform, while customers are responsible for the configuration, management, and data policies of their specific deployments. For a detailed breakdown of ownership across security and operational excellence, see Shared Responsibility Model.

Esta página descreve como configurar o AWS PrivateLink em seu Amazon Web Services KMS para garantir que todo o tráfego entre o Atlas e seu Amazon Web Services KMS ocorra nas interfaces de rede privada do Amazon Web Services.

Considerações

Antes de habilitar a Encryption at rest usando o Amazon Web Services KMS pelo PrivateLink, revise os seguintes casos de uso, benefícios, limitações e pré-requisitos.

Caso de uso

Suponha que seu sistema do Atlas esteja em um único provedor de serviços de nuvem. Agora você tem um requisito de que todo o acesso ao seu Amazon Web Services KMS ocorra na infraestrutura de rede privada do seu fornecedor de nuvem. Esta página orienta você pelas etapas para habilitar conexões de private endpoint para seu projeto Atlas .

Benefícios

Você pode configurar a criptografia em descanso com Amazon Web Services KMS em uma rede privada. Essa configuração permite que todo o tráfego para seu AWS KMS passe por um conjunto de private endpoints e evita expor seu AWS KMS à Internet pública ou a endereços IP públicos. Essa configuração também elimina a necessidade de manter endereços IP permitidos e aprimora a segurança dos dados, mantendo todo o tráfego do Amazon Web Services KMS dentro da rede privada do Amazon Web Services.

Limitações

  • O Atlas oferece suporte à Encryption at rest usando o Amazon Web Services KMS em redes privadas apenas para sistemas de nuvem única.

  • O Atlas permite Encryption at rest usando o AWS KMS em redes privadas somente para projetos no estado ACTIVE.

Pré-requisitos

Para habilitar chaves gerenciadas pelo cliente com o AWS KMS para um projeto do MongoDB, você deve:

  • Use um cluster M10 ou superior.

  • Tenha um role AWS IAM com privilégios suficientes. O Atlas deve ter permissão para realizar as seguintes ações com sua chave:

    Observação

    Se desejar usar a chave KMS da AWS com uma função IAM da AWS de uma conta da AWS diferente, em vez da função IAM que criou a chave KMS da AWS, verifique se você tem privilégios suficientes:

    • Adicione uma declaração de política de chave na chave AWS KMS para permitir o acesso de uma conta AWS externa.

    • Adicione uma política interna do IAM para o role do IAM na conta externa do AWS.

    Para acessar uma discussão abrangente sobre roles do IAM e chaves mestras do cliente, consulte a documentação da AWS.

    Após confirmar os privilégios acima, você pode seguir as etapas usuais para definir as configurações de KMS no Atlas, com a seguinte exceção:

    • Você deve fornecer o ARN completo para a chave KMS da AWS (por exemplo, arn:aws:kms:eu-west-2:111122223333:key/12345678-1234-1234-1234-12345678) em vez da ID da chave mestra (por exemplo 12345678-1234-1234-1234-12345678) no campo de ID da chave KMS da AWS.

    Para saber como criar um role IAM, consulte Funções IAM na documentação AWS.

    O Atlas usa a mesma role do IAM e as mesmas configurações de chave do AWS KMS para todos os clusters em um projeto para o qual a criptografia em repouso está habilitada.

  • Se a configuração do AWS KMS exigir, permita o acesso dos endereços IP do Atlas e dos endereços IP públicos ou nomes de host DNS dos nós do cluster para que o Atlas possa se comunicar com o KMS. Você deve incluir os endereços IP em sua política de função gerenciada do IAM configurando operadores de condição de endereço IP em seu documento de política. Se os endereços IP do nó forem alterados, você deverá atualizar sua configuração para evitar interrupções de conectividade.

Procedimentos

Habilite para o acesso baseado em roles para sua chave de encriptação para um projeto

1

No Atlas, vá para a página Advanced do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Database & Network Access sob o título Security.

  4. Na barra lateral, clique em Advanced.

    A página Avançado é exibida.

2

Alterne o botão ao lado de Encryption at Rest using your Key Management para On.

3

Clique no link Authorize a new IAM role para autorizar uma função de IAM da AWS no Atlas para acessar suas chaves da AWS KMS para criptografia em descanso.

Para criar um novo role IAM do AWS para acessar suas chaves KMS do AWS para encryption at rest, siga o procedimento Criar novo role com o AWS CLI. Se você tiver um role AWS IAM existente que deseja autorizar, siga o procedimento Adicionar relacionamentos de confiança sa um role existente.

4

Adicione uma política de acesso ao seu perfil IAM da AWS por meio do console da AWS ou CLI.Consulte Gerenciamento de políticas do IAM para obter mais informações.

Observação

Esta declaração de política permite que o Principal do MongoDB na AWS use a chave KMS do cliente para operações de criptografia e descriptografia. O Atlas Principal não é segredo e é usado com todos os clientes do Atlas. Essa é uma conta da AWS altamente restrita e de propósito limitado, sem recursos além do usuário do IAM. O ExternalId na declaração de política é exclusivo para cada projeto Atlas, mas não é secreto. O ExternalId é usado para mitigar a possibilidade de vulnerabilidades intercontextuais (representante confuso). O uso do Atlas de um principal comum para acessar as chaves de todos os clientes é um padrão de acesso recomendado pela Amazon, conforme descrito aqui.

A política de acesso para encryption at rest é similar ao exemplo a seguir:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:123456789012:key/12x345y6-7z89-0a12-3456-xyz123456789"
      ]
    }
  ]
}
5

Repita as etapas 1 e 2 para atribuir o role que você autorizou na etapa 3 ao seu projeto para acessar a chave de encriptação.

6

Especifique o seguinte para acessar sua chave de criptografia e clique em Save.

  1. Selecione a role a ser atribuída na lista suspensa AWS IAM role.

  2. Especifique sua chave de encriptação no campo Customer Master Key ID.

  3. Selecione a região da AWS para sua chave de criptografia.

Depois de habilitar o acesso baseado em role para sua chave de criptografia para seu projeto, habilite conexões de private endpoint para seu projeto seguindo Habilitar e configurar conexões de private endpoint para um projeto.

Mude para o acesso baseado em roles para sua chave de encriptação para um projeto

O Amazon Web Services requer o uso de funções do IAM em vez de usuários do IAM para gerenciar o acesso às chaves de criptografia do Amazon Web Services KMS no Atlas. Se você configurou inicialmente seu projeto para utilizar credenciais de usuário IAM para acessar chaves Amazon Web Services KMS, alterne para acesso baseado em função utilizando o seguinte procedimento.

Importante

Se você alternar suas chaves de encriptação para acesso baseado em role, não poderá desfazer a configuração de acesso baseado em role e reverter para acesso baseado em credenciais para chaves de encriptação nesse projeto.

1

No Atlas, vá para a página Advanced do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Database & Network Access sob o título Security.

  4. Na barra lateral, clique em Advanced.

    A página Avançado é exibida.

2

Para a seção Encryption at Rest using your Key Management, clique em Edit .

3

Leia as informações na seção Grant Access to Keys with an AWS IAM Role e clique em Configure.

4

Autorize o Atlas fornecendo um role do AWS IAM que lhe permita acessar suas chaves do AWS KMS para encryption at rest.

Para criar um novo role IAM do AWS para acessar suas chaves KMS do AWS para encryption at rest, siga o procedimento Criar novo role com o AWS CLI. Se você tiver um role AWS IAM existente que deseja autorizar, siga o procedimento Adicionar relacionamentos de confiança sa um role existente.

Habilitar e configurar conexões de endpoint privado para um projeto

Para habilitar redes privadas e configurar um private endpoint em seu Amazon Web Services KMS, você deve fazer o seguinte:

1

No Atlas, vá para a página Advanced do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Database & Network Access sob o título Security.

  4. Na barra lateral, clique em Advanced.

    A página Avançado é exibida.

2

Vá para a página Private Endpoints for AWS KMS.

Na página Advanced, na seção Encryption at Rest using your Key Management, faça as seguintes etapas:

  1. Expanda Network Settings para o seu AWS KMS se estiver recolhido.

  2. Alterne o botão ao lado de Require Private Networking.

  3. Clique em Set up.

    A página Set Up Private Networking for AWS é exibida.

3

Replicar sua chave de criptografia em cada região.

  1. Faça login no painel do Amazon Web Services KMS.

  2. Na interface do usuário do Atlas , clique em Copy para salvar o ID da chave mestra do cliente .

  3. No painel do Amazon Web Services KMS, replique sua chave em todas as regiões desejadas. Para saber mais, consulte a documentação do Amazon Web Services.

  4. Na IU do Atlas, clique em Continue

4

Especifique as regiões da AWS onde você deseja criar endpoints privados.

  1. Selecione as regiões do Amazon Web Services no menu suspenso.

  2. Clique em Continue.

O Atlas cria automaticamente endpoints privados nessas regiões para permitir que você se conecte usando redes privadas.

O Atlas pode levar até três minutos para refletir o status atual do seu endpoint privado. O endpoint privado pode ter um dos seguintes status:

Ativo

Indica que o endpoint privado está aprovado e o Atlas pode ou está usando-o.

Falhou

Indica que a criação do endpoint privado falhou.

5

Clique em Done para começar a usar os private endpoints.

Depois de habilitar o gerenciamento de chaves do cliente para seu projeto e configurar private endpoints, habilite o gerenciamento de chaves do cliente para cada cluster do Atlas em seu projeto seguindo Habilitar gerenciamento de chaves do cliente para um cluster do Atlas.

Importante

Se você tiver um cluster da AWS multirregional existente com o gerenciamento de chaves do cliente ativado usando uma chave de região única do AWS KMS, não poderá ativar a opção Require Private Networking. Esta configuração não é suportada.

Habilitar o gerenciamento de chaves do cliente para um Atlas cluster

Depois de ativar o acesso baseado em role para sua chave de encriptação para um projeto, você deve ativar o gerenciamento de chaves do cliente para cada Atlas cluster que contém dados que você deseja criptografar.

Observação

Você deve ter a role Project Owner para habilitar o gerenciamento de chaves do cliente para clusters nesse projeto.

CMK de várias regiões

Para Amazon Web Services CMK de multirregional, adicione cada ARN de chave regional à política de chaves KMS para que os clusters do Atlas nessas regiões possam acessá-las.

Para clusters do Atlas de multirregional no AWS que usam redes privadas do AWS KMS, a configuração do KMS deve cobrir todas as regiões do Atlas que o cluster usa. Replicar a chave de várias regiões para cada região e criar um endpoint privado AWS KMS em cada região.

Para novos clusters, alterne a configuração Gerenciar suas próprias chaves de encriptação para Yes quando você criar o cluster.

Para clusters existentes:

1

No Atlas, vá para a página Clusters do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione o projeto desejado no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Clusters sob o título Database.

A página Clusters é exibida.

2

Modificar a configuração do cluster.

Para o cluster que contém os dados que você deseja criptografar, clique no botão e selecione Edit Configuration.

3

Habilitar criptografia de cluster.

  1. Expanda o painel Additional Settings.

  2. Alterne a configuração Manage your own encryption keys para Yes.

  3. Verifique o status da configuração Require Private Networking para seu cluster.

    Se você configurou a criptografia em repouso usando CMK (Over Private Networking) para Atlas no nível do projeto, o status é Active. Se você não configurou nenhuma conexão de private endpoint para seu projeto, o status será Inactive.

4

Revisar e aplicar suas alterações.

  1. Clique em Review Changes.

  2. Revise suas alterações e clique em Apply Changes para atualizar seu cluster.

Desativar chaves gerenciadas pelo consumidor para um projeto

Para desabilitar a CMK para um projeto, você deve primeiro remover todos os private endpoints associados ao projeto, independentemente de seu estado. O Atlas exibe um erro se você tentar desabilitar a CMK para um projeto associado a private endpoints ativos.

Depois de remover todos os pontos de extremidade privados de um projeto, você deve desabilitar o gerenciamento de chaves do cliente em cada cluster do projeto antes de desabilitar o recurso para o projeto.

Aviso

Não desative nem exclua nenhuma chave KMS do Amazon Web Services usada por qualquer cluster em seu projeto Atlas antes de desativar o gerenciamento de chaves do cliente no projeto Atlas. Se o Atlas não conseguir acessar uma chave do Amazon Web Services KMS, todos os dados criptografados pela chave ficarão inacessíveis.

Criar novos endpoints para um projeto

Depois de ativar e configurar as conexões de endpoints privados para o seu projeto, você poderá adicionar endpoints a qualquer momento por meio da Atlas e da API de administração do Atlas .

1

No Atlas, vá para a página Advanced do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Database & Network Access sob o título Security.

  4. Na barra lateral, clique em Advanced.

    A página Avançado é exibida.

2
Vá para a página Private Endpoints for AWS KMS.

Na página Advanced, na seção Encryption at Rest using your Key Management, execute as seguintes ações:

  1. Expanda Network Settings para o seu AWS KMS se estiver recolhido.

  2. Clique em Manage.

    A página Private Endpoints for AWS KMS exibe as regiões, o nome do endpoint, o status dos endpoints privados para seus endpoints Atlas e as ações que você pode executar nos endpoints privados.

3

Clique em Create new endpoints.

4

Especifique as regiões onde você deseja criar endpoints privados.

  1. Selecione as regiões do Amazon Web Services no menu suspenso.

  2. Clique em Continue.

O Atlas cria automaticamente endpoints privados nessas regiões para permitir que você se conecte usando redes privadas.

O Atlas pode levar até três minutos para refletir o status atual do seu endpoint privado. O endpoint privado pode ter um dos seguintes status:

Ativo

Indica que o endpoint privado está aprovado e o Atlas pode ou está usando-o.

Falhou

Indica que a criação do endpoint privado falhou.

5

Clique em Done para começar a usar os private endpoints.

Rejeitar ou remover conexão de endpoint privado

Você pode remover conexões de endpoints privados da UI do Atlas e da API de administração do Atlas .

1

No Atlas, vá para a página Advanced do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Database & Network Access sob o título Security.

  4. Na barra lateral, clique em Advanced.

    A página Avançado é exibida.

2
Vá para a página Private Endpoints for AWS KMS.

Na página Advanced, na seção Encryption at Rest using your Key Management, execute as seguintes ações:

  1. Expanda Network Settings para o seu AWS KMS se estiver recolhido.

  2. Clique em Manage.

    A página Private Endpoints for AWS KMS exibe as regiões, o nome do endpoint, o status dos endpoints privados para seus endpoints Atlas e as ações que você pode executar nos endpoints privados.

3

Remova a conexão do endpoint privado.

  1. Clique no ícone na coluna Actions do endpoint privado que você deseja remover.

  2. Clique em Delete para confirmar a exclusão do endpoint privado.

Exibir endpoints privados e seus status

Você pode visualizar os endpoints privados em várias regiões e seus status na UI do Atlas e na API de administração do Atlas .

1

No Atlas, vá para a página Advanced do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Database & Network Access sob o título Security.

  4. Na barra lateral, clique em Advanced.

    A página Avançado é exibida.

2
Vá para a página Private Endpoints for AWS KMS.

Na página Advanced, na seção Encryption at Rest using your Key Management, execute as seguintes ações:

  1. Expanda Network Settings para o seu AWS KMS se estiver recolhido.

  2. Clique em Manage.

    A página Private Endpoints for AWS KMS exibe as regiões, o nome do endpoint, o status dos endpoints privados para seus endpoints Atlas e as ações que você pode executar nos endpoints privados.

Cada endpoint privado pode estar em um dos seguintes status:

Ativo

Indica que o endpoint privado está aprovado e o Atlas pode ou está usando-o.

Falhou

Indica que a criação do endpoint privado falhou.

Desativar conexões de endpoint privado para um projeto

To disable private endpoint connections for a project, you must first remove all private endpoints, associated with the project, regardless of their state. Atlas doesn't disable private endpoint connections for a project if the project is associated with active private endpoints.

Após remover todos os endpoints privados de um projeto, você pode desabilitar as conexões de endpoints privados para o projeto usando a UI do Atlas e a API de administração do Atlas .

1

No Atlas, vá para a página Advanced do seu projeto.

  1. Se ainda não tiver sido exibido, selecione a organização que contém seu projeto no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione seu projeto no menu Projects na barra de navegação.

  3. Na barra lateral, clique em Database & Network Access sob o título Security.

  4. Na barra lateral, clique em Advanced.

    A página Avançado é exibida.

2

Desative a rede privada.

  1. Em Encryption at Rest using your Key Management, selecione AWS KMS.

  2. Em Network Settings, alterne o botão ao lado de Require Private Networking para Off.

  3. Clique em Save.

Tópicos relacionados

Voltar
Configurar acesso pela rede pública
Próximo
Azure Key Vault
Avalie esta página

Nesta página