配置 KMIP 静态加密

您可以使用 KMIP服务器为Kubernetes Operator托管的MongoDB 部署配置静态加密。

Considerations

在配置静态加密之前，请考虑以下因素：

您必须有运行的KMIP服务器。
您无法将使用基于密钥文件的静态加密的部署转换为基于KMIP的静态加密。
如果要对已部署的MongoDB资源启用KMIP静态加密，联系MongoDB支持部门。

步骤

以下过程介绍如何为MongoDB副本集配置示例KMIP 配置。根据部署需要调整文件名和路径、 Kubernetes命名空间、资源名称和MongoDB版本。

创建 CA 的 ConfigMap。

运行以下命令创建 ConfigMap，以保存签署 KMIP 服务器证书的 CA：

kubectl -n mongodb create configmap mongodb-kmip-certificate-authority-pem --from-file=ca.pem

为客户端证书和私钥 PEM 创建密钥。

运行以下命令创建密钥以保存连接的客户端证书和私钥，以便从 KMIP服务器检出主密钥：

kubectl -n mongodb create secret generic mongodb-kmip-client-pem --from-file=cert.pem

配置部署以使用 KMIP服务器。

在自定义资源规范中配置additionalMongodConfig 设置以使用 KMIP服务器。示例：

apiVersion: mongodb.com/v1
kind: MongoDB
metadata:
  name: kmip
  namespace: mongodb
spec:
  type: ReplicaSet
  members: 3
  backup:
    encryption:
      kmip:
        client:
          clientCertificatePrefix: "mdb"
  additionalMongodConfig:
    security:
      enableEncryption: true
      kmip:
        clientCertificateFile: /kmip/cert/cert.pem
        serverCAFile: /kmip/ca/ca.pem
        serverName: pykmip-server.pymongo
        port: 5696
  featureCompatibilityVersion: '8.0'
  version: 8.0.0
  opsManager:
    configMapRef:
      name: my-project
  credentials: my-credentials
  podSpec:
    podTemplate:
      spec:
        containers:
          - name: mongodb-enterprise-database
            volumeMounts:
              - name: mongodb-kmip-client-pem
                mountPath: /kmip/cert
              - name: mongodb-kmip-certificate-authority-pem
                mountPath: /kmip/ca
        volumes:
          - name: mongodb-kmip-client-pem
            secret:
              secretName: mongodb-kmip-client-pem
          - name: mongodb-kmip-certificate-authority-pem
            configMap:
              name: mongodb-kmip-certificate-authority-pem
              items:
                - key: ca.pem
                  path: ca.pem

重要

如果您在资源中设立了spec.backup.encryption.kmip 设置，则与 spec.credentials 值链接的API密钥必须具有 Global Owner角色。