使用Azure Key Vault通过公共网络管理客户数密钥

先决条件

要使用AKV为MongoDB项目启用客户管理的密钥，您必须：

• 使用 M10 或更大的集群。

• 拥有Azure帐户和 Key Vault凭证，以及AKV中加密密钥的密钥标识符。

  • 对于该帐户，您必须拥有客户端ID、租户ID和密钥。

  • 对于 Key Vault，您必须拥有订阅ID、资源组名称 和 Key Vault 名称。

  要学习；了解如何配置这些Azure组件，请参阅 Azure文档。

  Atlas 在为 Atlas 项目中的集群启用静态加密时使用这些资源。

• 为了帮助用户轻松创建或更改集群，您可以允许从公共位置访问密钥。如要缩小密钥范围并降低风险，请使用 TLS 和身份验证等控制措施。

• 要定义 IP 范围进行限制访问，请允许通过 Atlas IP 地址和集群节点的公共 IP 地址进行访问。

  • 确保Atlas可以与 AKV 通信。为避免连接中断，请在节点IP地址发生变化时更新配置。示例，您可能需要更新入站访问权限规则。

  • 如果限制对 AKV 的访问权限，则当IP地址发生变化时，会产生更大的复杂性。示例，当您创建或更新集群时，您必须在 AKV 中向所有新IP地址授予访问权限。

• 添加Atlas控制平面的传出IP地址。要学习；了解如何使用Atlas Administration API检索传出IP地址，请参阅获取Atlas控制平面IP地址。

• 如果您的 App registrations 使用条件访问权限策略（这种情况并不常见），则您必须允许来自Atlas控制平面IP地址和集群节点的公共IP地址的请求，以进行应用注册。这仅用于应用注册，不用于密钥保管库访问权限。

为项目启用客户托管密钥

您必须为项目启用集合扫描 ，然后才能在该项目中的集群上启用CMK。 您可以通过Atlas用户界面和Atlas Administration API为项目启用集合扫描 。

https://{keyvault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--request PATCH "https://cloud.mongodb.com/api/atlas/v2/groups/66c9e8f1dd6c9960802420e9/encryptionAtRest" \
--data '
{
   "azureKeyVault": {
      "azureEnvironment": "AZURE",
      "clientID": "b054a9ff-b60a-4cb6-8df6-20726eaefce6",
      "enabled": true,
      "keyIdentifier": "https://test-tf-export.vault.azure.net/keys/test/78b9134f9bc94fda8027a32b4715bf3f",
      "keyVaultName": "test-tf-export",
      "resourceGroupName": "test-tf-export",
      "secret": "",
      "subscriptionID": "009774e0-124f-4a69-83e0-ca8cd8acb4e2",
      "tenantID": "1f6ef922-9303-402a-bae2-cc68810b023c"
   }
}'

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" --digest \
--header "Accept: application/vnd.atlas.2024-05-30+json" \
--header "Content-Type: application/vnd.atlas.2024-05-30+json" \
--include \
--request GET "https://cloud.mongodb.com/api/atlas/v2/groups/{groupId}/encryptionAtRest"

{
  "azureKeyVault": {
    "azureEnvironment": "AZURE",
    "clientID": "632ff709-32a8-48a3-8224-30d2386fadaf",
    "enabled": true,
    "keyIdentifier": "https://EXAMPLEKeyVault.vault.azure.net/keys/EXAMPLEKey/d891821e3d364e9eb88fbd3d11807b86",
    "keyVaultName": "string",
    "requirePrivateNetworking": false,
    "resourceGroupName": "string",
    "subscriptionID": "a39012fb-d604-4cd1-8841-77f705f3e6d5",
    "tenantID": "ee46317d-36a3-4472-a3dd-6549e901da0b",
    "valid": true
  }
}

为 Atlas 集群启用客户密钥管理

为项目启用客户托管密钥后，必须为包含要加密的数据的每个 Atlas 集群启用客户密钥管理。

对于新集群，请在创建集群时将管理自己的加密密钥设置切换为 Yes（是）。

对于现有群组：

禁用项目的客户管理密钥

您必须在项目中的每个集群上禁用客户密钥管理，然后才能禁用该项目的功能。

撤销对加密密钥的访问权限

您可以从 AKV 中撤销 Atlas 对加密密钥的访问权限。撤销对加密密钥的访问权限时，Atlas 会自动暂停您的集群，除非您的 AKV IP 访问列表限制 Atlas 管控平面。

要允许自动暂停集群，您必须：

• 禁用 AKV 的 IP 访问列表

• 支持从 Atlas 控制面访问 AKV。

如果您在撤消对加密密钥的访问权限时，AKV 的 IP 访问列表限制从 Atlas 控制平台进行访问，则必须手动暂停集群才能撤消 Atlas 的访问权限。

轮换 Azure 密钥标识符

开始之前，请学习；了解关于轮换Azure密钥标识符。

您必须在与Atlas项目关联的 AKV 中创建新密钥。以下过程介绍如何通过在Atlas中指定新的密钥标识符来轮换Atlas项目密钥标识符。

相关主题

• 如需在部署 Atlas 集群时使用“密钥管理”启用“静态加密”，请参阅“管理加密密钥”。

• 如需使用“密钥管理”对现有 Atlas 集群启用“静态加密”，请参阅“启用静态加密”。

• 如需进一步了解如何在 Atlas 中使用“密钥管理”进行静态加密，请参阅“使用客户密钥管理进行静态加密”。

• 要了解有关 MongoDB 静态加密的更多信息，请参阅 MongoDB Server 文档中的静态加密。

• 要了解有关使用云备份进行静态加密的更多信息，请参阅存储引擎和云备份加密。

• 要启用搜索节点的客户密钥管理，请参阅启用搜索节点数据加密。