使用客户密钥管理进行静态加密

在 AtlasAdvanced 中，转到项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击Security标题下的Advanced 。

   显示“高级”页面。

将 旁边的按钮切换为Encryption at Rest using your Key Management On。

输入您的密钥管理提供程序帐户档案，并提供加密密钥。

单击Save 。

允许访问 Atlas 控制面或从 Atlas 控制面进行访问。

根据密钥管理服务配置， 您可能需要添加 Atlas 控制面 IP 地址， 为项目启用静态加密，以便 Atlas 与 KMS 通信。 要启用 Atlas 和 KMS 之间的通信：

1. 向 returnAllControlPlaneIPAddresses 端点发送 GET 请求。API 端点在 CIDR 中返回按云提供商和区域分类的出入 Atlas 控制面 IP 地址的列表，类似于以下内容：

   {
     "controlPlane": {
       "inbound": {
         "aws": { // cloud provider
           "us-east-1": [ // region
             "3.92.113.229/32",
             "3.208.110.31/32",
             "107.22.44.69/32"
             ...,
           ],
           ...
         }
       },
       "outbound": {
         "aws": { // cloud provider
           "us-east-1": [ // region
             "3.92.113.229/32",
             "3.208.110.31/32",
             "107.22.44.69/32"
             ...,
           ],
           ...
         }
       }
     },
     "data_federation": {
       "inbound": {},
       "outbound" {}
     },
     "app_services": {
       "inbound": {},
       "outbound" {}
     },
     ...
   }

2. 将返回的 IP 地址添加到云提供商的 IP 访问列表。有关详细信息，请参阅使用 AWS、Azure 和 GCP 管理客户密钥的先决条件。

启用集群加密。

在集群配置表中，将 Manage your own encryption keys 设置切换为 Yes。

查看并应用更改。

1. 单击 Review Changes（连接）。

2. 查看更改，然后单击 Apply Changes 以部署集群。

可选：从新集群节点添加 IP 地址。

根据密钥管理配置，您可能需要将 Atlas 集群节点 IP 地址添加到云提供商 KMS 访问列表， 以便集群与 KMS 通信。 要启用集群与 KMS 之间的通信，请执行以下操作：

1. 向 ipAddresses 端点发送 GET 请求。API 端点返回新集群节点的 IP 地址列表，类似于以下内容：

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ],
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 将返回的 IP 地址添加到云提供商的 IP 访问列表。 您必须修改 IP 访问列表，再执行预配计划回滚。 在预配计划从 IP 访问限制回滚之前，集群最多尝试预配三天。

   有关详细信息，请参阅使用 AWS、Azure 和 GCP 管理客户密钥的先决条件。

   注意

   如需更多时间更新 IP 访问列表，可以：

   • 在无静态加密的情况下预配集群，然后在更新 IP 访问列表后 启用集群。

   • 在云提供商的密钥管理服务上配置更具包容性的 IP 访问列表， 通过静态加密启动集群，然后修改 IP 访问列表。

在 AtlasClusters 中，转到项目的 页面。

1. 如果尚未显示，请选择包含所需项目的组织导航栏中的Organizations菜单。

2. 如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。

3. 如果 Clusters（数据库部署）页面尚未出现，请单击侧边栏中的 Database（数据库）。

   此时会显示“集群”页面。

修改集群配置。

对于包含要加密的数据的集群，请单击，然后选择Edit Configuration 。

启用集群加密。

1. 展开 Additional Settings 面板。

2. 将 Manage your own encryption keys 设置切换为 Yes。

3. 验证集群的Require Private Networking设置的状态。

   如果您在项目级别为 Atlas 配置了使用CMK （通过专用网络）进行静态加密，则状态为Active 。如果您尚未为项目配置任何私有端点连接，则状态为Inactive 。

查看并应用更改。

1. 单击 Review Changes（连接）。

2. 查看更改，然后单击 Apply Changes 以更新集群。

向副本集集群或分片集群添加节点或分片。

您可以向 M10+ 集群添加可选举节点或增加分片集群中的分片数量。

可选：从新的集群节点或分片添加 IP 地址。

根据密钥管理配置，您可能需要将 Atlas 集群节点 IP 地址添加到云提供商 KMS 访问列表， 以便集群与 KMS 通信。 要启用集群与 KMS 之间的通信，请执行以下操作：

1. 向 ipAddresses 端点发送 GET 请求。API 端点会返回新集群节点或分片的 IP 地址列表，类似于以下内容：

   {
     "groupId": "xxx", // ObjectId
     "services": {
       "clusters": [
         {
           "clusterName": "Cluster0",
           "inbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
             ], // List<String>
           "outbound": [
             "3.92.113.229",
             "3.208.110.31",
             "107.22.44.69"
           ]
         }
       ]
     }
   }

2. 将返回的 IP 地址添加到云提供商的 IP 访问列表。 您必须修改 IP 访问列表，再执行预配计划回滚。 在预配计划从 IP 访问限制回滚之前，集群最多尝试预配三天。

   有关详细信息，请参阅使用 AWS、Azure 和 GCP 管理客户密钥的先决条件。