通过私有端点使用Azure Key Vault管理客户数密钥

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

将 Encryption at Rest using your Key Management（基于推送的日志导出）旁边的按钮切换为 On（开）。

选择 Azure Key Vault（Atlas SQL）。

请输入您的 Account Credentials（激活码）。

输入 Key Vault Credentials（密钥保管库凭证）。

输入 Encryption Key（密钥保管库凭证）。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

（可选）配置与 AKV 的私有端点连接。

要学习；了解更多信息，请参阅为项目启用和设置私有端点连接

验证网络设置。

如果使用Atlas Administration API配置Atlas使用Azure Private Link与AKV通信，以确保Atlas和 Key Vault 之间的所有流量都通过Azure的专用网络接口进行，则Atlas会将Require Private Networking状态设置为Active 。 如果状态为Inactive ，并且您希望Atlas使用 AKV 的私有端点连接，则可以选择完成 为项目启用和设置私有端点连接 的步骤。

单击 Save（保存并关闭）。

在加密过程中，Atlas 会在 Atlas 控制台中显示横幅。

向 encryptionAtRest 端点发送 PATCH请求。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

验证项目的使用集合扫描的静态加密配置。

要验证使用您通过AKV管理的密钥启用和配置静态加密的请求，请向encryptionAtRest端点发送GET请求。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

在响应中，如果您的项目已成功启用使用集合扫描的静态加密，则enabled为true 。 您可以设立私有网络，确保Atlas和 Key Vault 之间的所有流量都通过Azure的私有网络接口进行。 要学习；了解更多信息，请参阅为项目启用和设置私有端点连接。

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

GoPrivate Endpoints forAzure Key Vault 页面。

在 Advanced 页面的 Encryption at Rest using your Key Management 部分中，执行以下操作：

1. 如果您的 Azure Key Vault 的 Network Settings 已折叠，请将其展开。

2. 单击 Manage（连接）。

   Private Endpoints for Azure Key Vault 页面显示Atlas集群的区域、端点名称、私有端点状态以及可以对私有端点执行的操作。

单击 Create new endpoints（保存并关闭）。

指定要创建私有端点的区域。

1. 从下拉列表中选择地区。

2. 单击 Continue（连接）。

   Atlas会自动在这些区域中创建私有端点，允许您使用私有网络进行连接。

批准私有端点。

您必须批准 AKV 中的每个端点才能使用私有端点。您可以使用Azure用户界面、CLI或 Terraform 批准私有端点连接。

对于每个地区中的私有端点，Approve Endpoints 页面显示每个私有端点的状态。批准私有端点后， Atlas最多可能需要三分钟才能反映私有端点的当前状态。要学习；了解有关私有端点状态的更多信息，请参阅查看私有端点及其状态。

Done单击 开始使用私有端点。

创建私有端点。

向您希望Atlas创建私有端点的 Azure POST地区 端点 发送 请求。您必须为希望Atlas创建私有端点的每个地区发送单独的请求。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request POST "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints" \
--data '
  {
    "regionName": "US_CENTRAL"
  }'

批准与 AKV 的私有端点连接。

您可以使用 Azure 用户界面, CLI 或 Terraform 以批准私有端点连接。

检查请求的状态。

要检查私有端点的状态，请向encryptionAtRest端点发送GET请求。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2023-01-01+json" \
--header "Content-Type: application/vnd.atlas.2023-01-01+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest/AZURE/privateEndpoints"

{
  "links": [
    {
      "href": "https://cloud.mongodb.com/api/atlas",
      "rel": "self"
    }
  ],
  "results": [
    {
      "cloudProvider": "AZURE",
      "errorMessage": "string",
      "id": "24-hexadecimal-digit-string",
      "regionName": "string",
      "status": "INITIATING",
      "privateEndpointConnectionName": "string"
    }
  ],
  "totalCount": 0
}

批准私有端点后， Atlas最多可能需要三分钟才能反映私有端点的当前状态。 私有端点可能处于以下状态之一：

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

GoPrivate Endpoints forAzure Key Vault 页面。

在 Advanced 页面的 Encryption at Rest using your Key Management 部分中，执行以下操作：

1. 如果您的 Azure Key Vault 的 Network Settings 已折叠，请将其展开。

2. 单击 Manage（连接）。

   Private Endpoints for Azure Key Vault 页面显示Atlas集群的区域、端点名称、私有端点状态以及可以对私有端点执行的操作。

删除私有端点连接。

1. 单击要删除的私有端点的 Actions 列中的 图标。

2. 单击 Delete，确认删除私有端点。

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

GoPrivate Endpoints forAzure Key Vault 页面。

在 Advanced 页面的 Encryption at Rest using your Key Management 部分中，执行以下操作：

1. 如果您的 Azure Key Vault 的 Network Settings 已折叠，请将其展开。

2. 单击 Manage（连接）。

   Private Endpoints for Azure Key Vault 页面显示Atlas集群的区域、端点名称、私有端点状态以及可以对私有端点执行的操作。

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

禁用专用网络。

1. 在 Encryption at Rest using your Key Management 下，选择 Azure Key Vault 。

2. 在 Network Settings 下，将 Require Private Networking 旁边的按钮切换为 Off。

3. 单击 Save（连接）。