Configurar recursos de segurança para clusters

Criptografia em trânsito

O Atlas exige TLS para criptografar as conexões com seus bancos de dados.

Os certificadosTLS são:

• Válido por 90 dias a partir do dia em que o Atlas emite o certificado.

• Rotacionado 42 dias antes da data de expiração do certificado.

Para saber mais sobre criptografia TLS, consulte o whitepaper de segurança do Atlas .

Para configurar a verificação de revogação de certificados OCSP SSL ou TLS, consulte Verificação de revogação de certificados OCSP.

Nuvem privada virtual

Todos os projetos Atlas com um ou mais clusters dedicados M10+ recebem sua própria VPC dedicada (ou VNet se você usar o Azure). O Atlas implementa todos os clusters dedicados dentro deste VPC ou VNet.

Criptografia em descanso

Por padrão, o Atlas criptografa todo o armazenamento em cluster e volumes de snapshots em repouso usando o Advanced Encryption Standard (AES)-256. Nos clusters do Atlas Core, seu provedor de nuvem automatiza essa criptografia de disco e gerencia as chaves de criptografia. O Atlas também permite Encryption at rest com chaves gerenciadas pelo cliente.

FIPS 140-2

O Atlas desativa o FIPS 140-2 nível 2 para todos os bancos de dados por padrão. Se o seu ambiente exigir que você o habilite no Atlas, use o MongoDB Atlas for Government.

O MongoDB Atlas for Government habilita automaticamente o FIPS 140-2 nível 2 para todos os bancos de dados.

Requisitos de rede e firewall

Certifique-se de que seu aplicativo possa alcançar seu ambiente MongoDB Atlas. Para adicionar o acesso de rede de entrada do seu ambiente do aplicativo para o Atlas, faça um dos seguintes:

1. Adicionar os endereços IP públicos à sua lista de acesso IP

2. Use emparelhamento VPC/VNet para adicionar endereços IP privados.

3. Adicionar endpoints privados.

Se o firewall bloquear conexões de rede de saída, você também deverá abrir o acesso de saída do ambiente do aplicativo para o Atlas. Você deve configurar o firewall para permitir que seus aplicativos façam conexões de saída com as portas 27015 a 27017 para o tráfego TCP nos nomes de host ou endereços IP do cluster. Isso faz com que seus aplicativos tenham acesso aos bancos de dados armazenados no Atlas.

Para obter a lista atual de endereços IP do cluster, use o ponto de extremidade Return All IP Addresses for One Project da Atlas Administration API.

curl --header "Authorization: Bearer <access-token>" \
     --header "Accept: application/vnd.atlas.2025-03-12+json" \
     --request GET \
     "https://cloud.mongodb.com/api/atlas/v2/groups/{GROUP-ID}/ipAddresses"

Se você não estiver usando o emparelhamento VPC/VNet e planeja se conectar ao Atlas usando endereços IP públicos, consulte as páginas a seguir para obter mais informações:

• Posso especificar meu próprio VPC para meu projeto MongoDB Atlas?

• Os IPs públicos dos clusters do Atlas mudam alguma vez?

Lista de acesso IP

O Atlas só permite conexões de cliente com o cluster a partir de entradas na lista de acesso IP do projeto. Para se conectar, você deve adicionar uma entrada à lista de acesso IP. Para configurar a lista de acesso IP para o projeto, consulte Configurar entradas da lista de acesso IP.

Para clusters Atlas implementados no Google Cloud ou Microsoft Azure, adicione os endereços IP dos seus serviços do Google Cloud ou Azure à lista de acesso IP do projeto Atlas para conceder a esses serviços acesso ao cluster.

Autenticação ou autorização de usuário

O Atlas exige que os clientes autentiquem para se conectar ao banco de dados. Você deve criar usuários do banco de dados para acessar o banco de dados. Para configurar usuários do banco de dados para seus clusters, consulte Configurar usuários do banco de dados. O Atlas oferece muitos recursos de segurança para autenticação e autorização de clusters.

Para acessar clusters em um projeto, os usuários devem pertencer a esse projeto. Os usuários podem pertencer a vários projetos.

Conexão de peering de rede

O Atlas oferece suporte a conexões de peering com outras conexões de peering de rede do AWS, doAzure ou do Google Cloud. Para saber mais, consulte Emparelhamento de rede.

Endpoints privados

Atlas oferece suporte a endpoints privados em:

• AWS usando o recurso AWS PrivateLink.

• Azure usando o recurso Azure Private Link

• Google Cloud usando a funcionalidade GCP Private Service Connect

Para utilizar endpoints privados, consulte Aprenda sobre Endpoints Privados no Atlas.

Acesso AWS unificado

Algumas funcionalidades do Atlas, incluindo a Data Federation e a Criptografia em repouso usando o Gerenciamento de chaves do cliente, usam as funções do AWS IAM para autenticação.

Para configurar um papel IAM AWS para Atlas para utilizar, consulte Configurar Acesso AWS Unificado.

Autenticação e autorização de cluster

O Atlas oferece os seguintes recursos de segurança para autenticação e autorização de clusters.

Criptografia em repouso usando o gerenciamento de chaves

O Atlas oferece suporte ao uso do AWS KMS, do Azure Key Vault e do Google Cloud para criptografar mecanismos de armazenamento e backups de provedor de nuvem . Para usar a criptografia em descanso, consulte Criptografia em repouso usando o Customer Key Management.

Criptografia no nível de campo do cliente

O Atlas é compatível com criptografia no nível do campo do lado do cliente , incluindo criptografia automática de campos. Todos os Atlas users têm o direito de utilizar as funcionalidades automáticas de criptografia no nível do campo do MongoDB do lado do cliente .

Para saber mais, consulte Requisitos de criptografia no nível do campo do cliente.

Auditoria de banco de dados

O Atlas oferece suporte à auditoria de todas as ações de eventos do sistema. Para usar auditoria de banco de dados, consulte Configurar auditoria de banco de dados.

Rastreamento de acesso

O Atlas exibe logs de autenticação diretamente na IU do Atlas para que você possa revisar as tentativas de autenticação bem-sucedidas e malsucedidas feitas em seus clusters. Para visualizar seu histórico de acesso ao banco de dados, consulte Visualizar histórico de acesso ao banco de dados.

Autenticação multifator para acesso Atlas UI

O Atlas suporta MFA para ajudá-lo a controlar o acesso às suas contas Atlas . Para configurar o MFA, consulte Gerenciar suas opções de autenticação multifatorial.

Permitir acesso de ou para o plano de controle Atlas

Se você usar algum dos seguintes recursos do Atlas, talvez seja necessário adicionar endereços IP do Atlas à lista de acesso IP da sua rede:

• Alerta de Webhooks

• Criptografia em repouso usando o gerenciamento de chaves de cliente

• Autenticação ou autorização LDAP

  Observação

  Se você habilitar o recurso Criptografia em descanso, deverá permitir o acesso de IPs públicos para todos os seus hosts na sua implantação, incluindo CSRS (Config Server Replica Sets) se estiver usando clusters fragmentados.

Buscar endereços IP do plano de controle do Atlas

Envie uma solicitação GET para o ponto final controlPlaneIPAddresses para buscar os endereços IP do plano de controle Atlas atual. O endpoint da API retorna uma lista de endereços IP do plano de controle do Atlas de entrada e saída na notação CIDR categorizada por provedor de nuvem e região, semelhante à seguinte:

{
  "inbound":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "gcp":{
      "<region-name>":["<IP-address>", ...]
      ...
    }
  },
  "outbound":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "gcp":{
      "<region-name>":["<IP-address>", ...],
      ...
    }
  },
  "gateways":{
    "aws":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "azure":{
      "<region-name>":["<IP-address>", ...],
      ...
    },
    "gcp":{
      "<region-name>":["<IP-address>", ...],
      ...
    }
  }
}

Importante

A API de Administração do Atlas usa os termos inbound e outbound em relação ao plano de controle, não à sua rede. Como resultado:

• As regras de entrada da sua rede devem corresponder aos outbound CIDRs listados na API de administração do Atlas.

• As regras de saída da sua rede devem corresponder aos inbound CIDRs listados na API de administração do Atlas.

O diagrama a seguir mostra a relacionamento entre inbound e outbound para o plano de controle e sua rede:

clique para ampliar

Para adicionar os endereços IP retornados à lista de acesso KMS IP do seu fornecedor de nuvem, consulte os pré-requisitos para gerenciar chaves de cliente com AWS , Azure e GCP.

Importante

O Atlas pode atualizar seus endereços IP do plano de controle ao longo do tempo. Para garantir a conectividade contínua entre o Atlas e seu KMS, busque periodicamente os endereços IP atuais do plano de controle e atualize sua lista de acesso ao KMS.

Permitir acesso ao Data Federation

Se a sua rede permitir solicitações HTTPS de saída somente para endereços IP específicos, você deverá permitir o acesso a partir dos endereços IP de entrada na porta TCP 27017 para que suas solicitações possam chegar à instância do banco de dados federado. Recomendamos que você use a API do Atlas Admin para obter os endereços IP atuais do plano de controle do Atlas de entrada.

Verificação de revogação de certificado OCSP

Se a sua rede permitir solicitações de saída somente para endereços IP específicos, para permitir a verificação de revogação de certificados OCSP SSL ou TLS, você deverá permitir o acesso aos servidores RespondentesOCSP da CA (Autoridade de Certificação) do Atlas que podem ser encontrados no URL OCSP do certificado SSL ou TLS .

Para desabilitar a verificação de revogação de certificado OCSP, consulte a documentação para a versão do driver MongoDB que seu aplicação usa.

O comportamento do OCSP depende do fornecedor de certificados. A verificação de revogação ocorre somente quando um certificado contém um URL de resposta do OCSP.