Configurar recursos de segurança para sistemas de banco de dados

Criptografia em trânsito

O Atlas exige TLS/SSL para criptografar as conexões com seus bancos de dados.

Para configurar a verificação de revogação de certificado OCSP SSL ou TLS, consulte Verificação de revogação de certificado OCSP.

Nuvem privada virtual

Todos os projetos Atlas com um ou mais clusters dedicados M10+ recebem seu próprio VPC dedicado (ou VNet se você utilizar o Azure). O Atlas distribui todos os clusters dedicados dentro deste VPC ou VNet.

Criptografia em repouso

Por padrão, o Atlas criptografa todos os dados armazenados em seus sistemas de banco de dados do Atlas. O Atlas também permite Encryption at rest usando seu Gerenciamento de Chaves.

Requisitos de rede e firewall

Certifique-se de que seu aplicativo possa alcançar seu ambiente MongoDB Atlas. Para adicionar o acesso de rede de entrada do seu ambiente do aplicativo para o Atlas, faça um dos seguintes:

1. Adicionar os endereços IP públicos à sua lista de acesso IP

2. Use emparelhamento VPC/VNet para adicionar endereços IP privados.

3. Adicionar endpoints privados.

Se o firewall bloquear conexões de rede de saída, você também deverá abrir o acesso de saída do ambiente do aplicativo para o Atlas. Você deve configurar o firewall para permitir que seus aplicativos façam conexões de saída com as portas 27015 a 27017 com o tráfego TCP nos hosts Atlas. Isto concede aos seus aplicativos acesso aos bancos de dados armazenados no Atlas.

Se você não estiver usando o emparelhamento VPC/VNet e planeja se conectar ao Atlas usando endereços IP públicos, consulte as páginas a seguir para obter mais informações:

• Posso especificar meu próprio VPC para meu projeto MongoDB Atlas?

• Os IPs públicos do Atlas cluster mudam alguma vez?

Lista de acesso IP

O Atlas só permite conexões de clientes com o sistema de banco de dados a partir de entradas na lista de acesso IP do projeto. Para se conectar, você deve adicionar uma entrada à lista de acesso IP. Para configurar a lista de acesso IP para o projeto, consulte Configurar entradas da lista de acesso IP.

Para clusters do Atlas implantados no Google Cloud Platform (GCP) ou no Microsoft Azure, adicione os endereços IP de seus serviços do Google Cloud ou do Azure à lista de acesso de IPs do projeto Atlas para conceder a esses serviços acesso ao cluster.

Autenticação ou autorização de usuário

O Atlas exige que os clientes autentiquem para se conectar ao banco de dados. Você deve criar usuários do banco de dados para acessar o banco de dados. Para configurar usuários de banco de dados para seus sistemas de banco de dados, consulte Configurar usuários de banco de dados. O Atlas oferece muitos recursos de segurança para autenticação e autorização de sistema de banco de dados.

Para acessar implantações de banco de dados em um projeto, os usuários devem pertencer a este projeto. Os usuários podem pertencer a vários projetos.

Conexão de peering de rede

O Atlas oferece suporte a conexões de emparelhamento com outras conexões de peering de rede AWS, Azure ou Google Cloud. Para saber mais, consulte Configurar uma conexão de peering de rede.

Endpoints privados

Atlas oferece suporte a endpoints privados em:

• AWS usando o AWS PrivateLink funcionalidade

• Azure usando o Azure Private Link funcionalidade

• Google Cloud usando o Private Service Connect funcionalidade

Para utilizar endpoints privados, consulte Aprenda sobre Endpoints Privados no Atlas.

Acesso AWS unificado

Alguns recursos do Atlas, incluindo Data Federation e Criptografia em repouso usando o Gerenciamento de chaves do cliente, usam funções do AWSIAM para autenticação.

Para configurar uma função do AWS IAM para ser usada pelo Atlas, consulte Configurar o acesso unificado ao AWS.

Autenticação e autorização do sistema de banco de dados

O Atlas oferece os seguintes recursos de segurança para autenticação e autorização de sistema de banco de dados.

Criptografia em repouso usando o gerenciamento de chaves

O Atlas oferece suporte ao uso do AWS KMS, do Azure Key Vault e do Google Cloud para criptografar mecanismos de armazenamento e backups de fornecedores de nuvem. Para usar a criptografia em repouso, consulte Criptografia em repouso usando o Gerenciamento de Chaves do Cliente.

Criptografia no nível de campo do cliente

O Atlas é compatível com a criptografia no nível do campo do lado do cliente, incluindo a criptografia automática dos campos. Todos os Atlas users têm o direito de utilizar as funcionalidades automáticas de criptografia no nível do campo do MongoDB do lado do cliente.

Para saber mais, consulte Requisitos de criptografia no nível do campo do cliente.

Auditoria de banco de dados

O Atlas oferece suporte à auditoria de todas as ações de eventos do sistema. Para usar auditoria de banco de dados, consulte Configurar auditoria de banco de dados.

Rastreamento de acesso

O Atlas apresenta os registros de autenticação diretamente na UI do Atlas, para que você possa revisar facilmente as tentativas de autenticação bem-sucedidas e malsucedidas feitas nos seus sistemas de banco de dados. Para visualizar seu histórico de acesso ao banco de dados, consulte Exibir histórico de acesso ao banco de dados.

Autenticação multifator para acesso Atlas UI

O Atlas suporta MFA para ajudá-lo a controlar o acesso às suas contas Atlas. Para configurar MFA, consulte Gerenciar suas opções de autenticação multifator.

Permitir acesso de ou para o plano de controle Atlas

Se você usar algum dos seguintes recursos do Atlas, talvez seja necessário adicionar endereços IP do Atlas à lista de acesso IP da sua rede:

• Alerta de Webhooks

• Criptografia em repouso usando o gerenciamento de chaves de cliente

  Observação

  Se você habilitar o recurso Encryption at Rest , deverá permitir o acesso de IPs públicos para todos os hosts em se sistema, incluindo CSRS (Config Server Replica Sets) se estiver usando sharded clusters.

{
  "controlPlane": {
    "inbound": {
      "aws": { // cloud provider
        "us-east-1": [ // region
          "3.92.113.229/32",
          "3.208.110.31/32",
          "107.22.44.69/32"
          ...,
        ],
        ...
       }
     },
     "outbound": {
       "aws": { // cloud provider
         "us-east-1": [ // region
           "3.92.113.229/32",
           "3.208.110.31/32",
           "107.22.44.69/32"
           ...,
         ],
         ...
        }
      }
  },
  "data_federation": {
    "inbound": {},
    "outbound" {}
  },
  "app_services": {
    "inbound": {},
    "outbound" {}
  },
  ...
}

3.92.113.229
3.208.110.31
3.211.96.35
3.212.79.116
3.214.203.147
3.215.10.168
3.215.143.88
3.232.182.22
18.214.178.145
18.235.30.157
18.235.48.235
18.235.145.62
34.193.91.42
34.193.242.51
34.194.7.70
34.196.80.204
34.196.151.229
34.200.66.236
34.235.52.68
34.236.228.98
34.237.40.31
34.238.35.12
35.153.40.82
35.169.184.216
35.171.106.60
35.173.54.44
35.174.179.65
35.174.230.146
35.175.93.3
35.175.94.38
35.175.95.59
44.206.200.18
44.207.9.197
44.207.12.57
50.19.91.100
52.7.232.43
52.71.233.234
52.73.214.87
52.87.98.128
52.203.106.167
54.145.247.111
54.163.55.77
54.167.217.16
100.26.2.217
107.20.0.247
107.20.107.166
107.22.44.69

Permitir acesso ao Data Federation

Se a sua rede permitir solicitações de saída somente para endereços IP específicos, você deverá permitir o acesso aos seguintes endereços IP na porta 27017 do TCP para que suas solicitações possam chegar à instância do banco de dados federado:

18.204.47.197
34.237.78.67
54.91.120.155
34.217.220.13
54.203.115.97
54.69.142.129
108.129.35.102
18.200.7.156
99.81.123.21
3.8.218.156
3.9.125.156
3.9.90.17
18.196.201.253
3.122.67.212
35.158.226.227
13.54.14.65
52.64.205.136
3.6.3.105
65.1.222.250
18.231.94.191
54.94.3.214

Verificação de revogação de certificado OCSP

Se a sua rede permitir solicitações de saída somente para endereços IP específicos, para permitir a verificação de revogação de certificados SSL ou TLS OCSP, você deverá permitir o acesso aos servidores Respondentes OCSP da CA (Autoridade de Certificação) do Atlas que podem ser encontrados no URL OCSP do certificado SSL ou TLS.

Para desabilitar a verificação de revogação de certificado OCSP , consulte a documentação para a versão do driver MongoDB que seu aplicativo usa.