您可以将 S3 兼容快照存储的 AWS凭证存储在Ops Manager应用程序数据库或 HashiCorp Vault 中。当您将凭证存储在密钥保管库中时， Ops Manager会按需从 HashiCorp Vault 获取凭证。按需检索可帮助您集中、轮换和Atlas 审核敏感凭证。
MongoDB Ops Manager 支持 HashiCorp Vault 和本地凭证存储。您可为每个 S3兼容快照存储选择要使用的方法。
凭证存储选项
MongoDB Ops Manager支持两个凭证存储位置，用于 S3兼容快照存储：
存储位置 | 说明 |
|---|---|
AppDB | Ops Manager将 AWS访问权限密钥和密钥存储在Ops Manager应用程序数据库中。 AppDB 是默认方法，不需要 HashiCorp Vault。 |
密钥保管 | Ops Manager按需从 HashiCorp Vault 读取 AWS访问权限密钥和密钥。 Ops Manager仅存储每个密钥的路径，而不存储密钥值。 |
当安全或 Atlas 审核要求调用集中式秘密管理器时，请使用密钥保管库。如果您未使用 HashiCorp Vault，请使用 AppDB。
Ops Manager 如何使用 HashiCorp Vault
要将 HashiCorp Vault 用于 S3兼容快照存储凭证，必须完成两个配置任务：
创建密钥保管库配置，用于存储 HashiCorp Vault 服务器的连接和身份验证详情。要了解具体操作，请参阅为快照存储配置密钥保管。
配置 S3 兼容快照存储以使用密钥保管库。您可以指定密钥保管库、AWS访问权限密钥的路径和 AWS 密钥的路径。 Ops Manager从密钥保管库读取凭证并将其传递给 AWS S3。要学习；了解如何操作，请参阅添加一个 S3 兼容快照存储。
Ops Manager使用令牌或 JWT 向 HashiCorp Vault 进行身份验证。然后， Ops Manager从您为快照存储指定的密钥路径中读取 AWS访问权限密钥和密钥。您可以采用 <secret-path>/<key> 形式提供每条路径。
凭证检索和缓存
Ops Manager从 HashiCorp Vault 读取 AWS访问权限密钥和密钥并将其缓存在内存中。 Ops Manager不会将这些凭证存储在Ops Manager应用程序数据库中。
默认情况下，MongoDB Ops Manager 每五分钟刷新一次缓存凭证。要更改此间隔，请设置 mms.keyVault.secret.cacheSoftTtlMs 属性。
如果 Ops Manager 刷新缓存凭证时 HashiCorp Vault 不可用，Ops Manager 将继续使用上次已知凭证并日志事件，以便现有备份继续进行。如果不存在缓存凭证且 Ops Manager 无法访问 HashiCorp Vault，则需要凭证的操作将失败。
重要
Ops Manager 没有专门针对 HashiCorp Vault 可用性的警报。如果 Vault 变得无法访问，并且没有缓存的凭证留存，则导致的备份失败会 trigger 应用于任何失败的备份作业的相同备份警报。配置备份警报以接收它们。要了解如何操作，请参阅 在 Ops Manager 中配置警报设置。
当 MongoDB Ops Manager 验证使用密钥保管库的 S3 兼容快照存储并且 S3 返回 401 或 403 错误时，MongoDB Ops Manager 会从 HashiCorp Vault 刷新凭证一次，然后重试。如果重试也失败，MongoDB Ops Manager 会返回错误，并且验证失败。
安全性
MongoDB Ops Manager 会以下方式保护您的 HashiCorp Vault 身份验证详情：
MongoDB Ops Manager 使用
gen.key文件对静态的 Vault 身份验证秘密进行加密，这与 MongoDB Ops Manager 对其他集成使用的方法相同。MongoDB Ops Manager 在 API 响应和 MongoDB Ops Manager 控制台中对 Vault 身份验证秘密和任何自定义证书进行匿名。MongoDB Ops Manager 返回
[REDACTED]而不是存储值。
要求
要将 HashiCorp Vault 用作 S3兼容快照存储凭证，您需要：
可访问的 HashiCorp Vault 部署。
授予Ops Manager对 AWS凭证的只读访问权限的 Vault 策略、角色和密钥路径。
Ops Manager、备份守护程序和 HashiCorp Vault 之间安全可靠的网络连接。
将现有快照存储迁移到 HashiCorp Vault
要将现有的 S3兼容快照存储从本地凭证切换到 HashiCorp Vault：
创建密钥保管库配置，如 为快照存储配置密钥保管库 所述。
编辑 S3兼容快照存储，并将其凭证存储位置设置为密钥保管，如 编辑一个现有的 S3兼容快照存储 所述。