通过公共网络使用 AWS 管理客户密钥

向 cloudProviderAccess 终结点发送 POST 请求。

使用API端点创建新的 AWS IAM角色。 Atlas将使用此角色对您的 AWS 帐户进行身份验证。

保存返回的字段值 atlasAWSAccountArn 和 atlasAssumedRoleExternalId，以便在下一步中使用。

修改 AWS IAM 角色信任策略。

1. 登录 AWS 管理控制台。

2. 导航至 Identity and Access Management (IAM) 服务。

3. 从左侧导航栏中选择 Roles 。

4. 单击角色列表中您希望用于 Atlas 访问的现有 IAM 角色。

5. 选择 Trust Relationships 标签页。

6. 单击 Edit trust relationship 按钮。

7. 编辑 Policy Document。添加包含以下内容的新 Statement 对象。

   注意

   此策略声明允许 MongoDB 的 AWS 主体使用客户的KMS密钥进行加密和解密操作。 Atlas主体不是秘密，所有Atlas客户都使用该主体。这是一个高度限制、用途有限的 AWS 账户，除了 IAM 用户之外，没有任何资源。策略声明中的 ExternalId 对于每个Atlas项目都是唯一的，但它不是秘密。 ExternalId 用于降低跨上下文（混淆代理）漏洞的可能性。 Atlas 使用通用主体来访问权限所有客户密钥，这是Amazon推荐的访问权限模式，如此处所述。

   注意

   用第 1 步中的 API 调用返回的值替换突出显示的行。

   {
     "Version": "2020-03-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "<atlasAWSAccountArn>"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<atlasAssumedRoleExternalId>"
           }
         }
       }
     ]
   }

8. 单击 Update Trust Policy 按钮。

授权新创建的 IAM 角色。

使用API端点授权和配置新的 IAM 假定角色 ARN。如果API调用成功，则可以在配置使用 AWS 的Atlas服务时使用 roleId 值。

在项目上启用具有角色授权的 AWS KMS

向 encryptionAtRest API 端点发送 PATCH 请求，用您的授权 AWS IAM 角色 ID 更新 awsKms.roleId 字段。

curl --header "Authorization: Bearer {ACCESS-TOKEN}" \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --include \
  --request PATCH \
  "https://cloud.mongodb.com/api/atlas/v1.0/groups/{groupId}/encryptionAtRest?pretty=true&envelope=true" \
  --data '
   {
       "awsKms": {
           "enabled": true,
           "roleId": "<roleId>",
           "customerMasterKeyID": "<master-key-id>",
           "region": "<aws-region>"
       }
   }'