Encrypting data in transit

Transport Layer Security (TLS) を使用して、アプリケーションと Amazon DocumentDB クラスター間の接続を暗号化できます。デフォルトでは、転送時の暗号化は、新しく作成された Amazon DocumentDB クラスターに対して有効になっています。クラスターの作成時、または後で無効にすることもできます。転送中の暗号化が有効になっている場合、クラスターへの接続にはを使用した安全な接続TLSが必要です。を使用して Amazon DocumentDB に接続する方法の詳細についてはTLS、「」を参照してくださいプログラムによる Amazon DocumentDB への接続。

Amazon DocumentDB クラスターTLS設定の管理

Amazon DocumentDB クラスターの転送中の暗号化は、クラスターTLSパラメータグループのパラメータを介して管理されます。 https://docs.aws.amazon.com/documentdb/latest/developerguide/cluster_parameter_groups.htmlAmazon DocumentDB クラスターTLSの設定は、 AWS Management Console または AWS Command Line Interface () を使用して管理できますAWS CLI。現在のTLS設定を確認および変更する方法については、以下のセクションを参照してください。

Using the AWS Management Console

パラメータグループの識別、TLS値の検証、必要な変更など、コンソールを使用してTLS暗号化の管理タスクを実行するには、次の手順に従います。

注記

クラスターの作成時に別の指定がない限り、クラスターはデフォルトのクラスターパラメータグループを使用して作成されます。default クラスターパラメータグループのパラメータは変更できません (tls の有効化/無効化など)。そのため、クラスターが default クラスターパラメータグループを使用している場合は、デフォルト以外のクラスターパラメータグループを使用するようにクラスターを変更する必要があります。まず、カスタムクラスターパラメータグループを作成する必要があります。詳細については、「Amazon DocumentDB クラスターパラメータグループを作成する」を参照してください。

クラスターが使用しているクラスターパラメータグループを確認します。
1. Amazon DocumentDB コンソールを次の場所で開きます。https://console.aws.amazon.com/docdb
2. ナビゲーションペインで クラスター を選択します。
  
  ヒント
  画面の左側にナビゲーションペインが表示されない場合は、ページの左上隅にあるメニューアイコン () を選択します。
3. クラスターナビゲーションボックスでは、クラスター識別子列にクラスターとインスタンスの両方が表示されることに注意してください。インスタンスはクラスターの下にリストされます。参考のために下のスクリーンショットを参照してください。
4. 関心があるクラスターを選択します。
5. [設定] タブを選択して、[クラスターの詳細] の一番下までスクロールし、[クラスターパラメータグループ] を見つけます。クラスターパラメータグループの名前を書き留めます。
  
  クラスターのパラメータグループの名前が default (たとえば、default.docdb3.6 など) の場合、続行する前にカスタムのクラスターパラメータグループを作成して、それをクラスターのパラメータグループにする必要があります。詳細については、次を参照してください。
  1. Amazon DocumentDB クラスターパラメータグループを作成する − 使用できるカスタムのクラスターパラメータグループがない場合、これを作成します。
  2. Amazon DocumentDB クラスターの変更 - カスタムクラスターパラメータグループを使用するようにクラスターを変更します。
tls クラスターパラメータの現在の値を確認します。
1. Amazon DocumentDB コンソールを次の場所で開きます。https://console.aws.amazon.com/docdb
2. ナビゲーションペインで、[パラメータグループ] を選択します。
3. クラスターパラメータグループの一覧から、使用するクラスターパラメータグループの名前を選択します。
4. [クラスターパラメータ] セクションを見つけます。クラスターパラメータの一覧で、tls クラスターパラメータ行を見つけます。この時点では、次の 4 つの列が重要です。
  - クラスターパラメータ名 - クラスターパラメータの名前を管理するにはTLS、クラスターtlsパラメータに関心があります。
  - 値 - 各クラスターパラメータの現在の値
  - 使用できる値 - クラスターパラメータに適用できる値の一覧。
  - 適用タイプ - [静的] または [動的] のいずれか。静的クラスターパラメータへの変更は、インスタンスが再起動されるときにのみ適用されます。動的パラメータへの変更は、すぐに適用されるか、またはインスタンスが再起動されるときに適用されます。
tls クラスターパラメータの値を設定します。

tls の値が必要な値ではない場合、このクラスターパラメータグループの値を変更します。tls クラスターパラメータの値を変更するには、前のセクションに続いて次の手順を行います。
1. クラスターパラメータ名 (tls) の左側のボタンを選択します。
2. [編集] を選択します。
3. tls の値を変更するには、[tls の変更] ダイアログボックスで、ドロップダウンリストからクラスターパラメータに必要な値を選択します。
  
  有効な値は次のとおりです。
  - 無効 — 無効 TLS
  - 有効 — 有効 TLS (バージョン 1.0、1.1、1.2、1.3)
  - fips-140-3 — TLSで有効にしますFIPS。クラスターは、連邦情報処理規格 (FIPS) の出版物 140-3 の要件に従ってのみ、安全な接続を受け入れます。これは、ca-central-1、us-west-2、us-east-1、us-east-2、-1、-1 の各リージョンの Amazon DocumentDB 5.0 (エンジンバージョン us-gov-east3.0.3727) us-gov-westクラスター以降でのみサポートされています。
4. [Modify cluster parameter (クラスターパラメータの変更)] を選択します。各クラスターインスタンスが再起動されると、変更が適用されます。
Amazon DocumentDB インスタンスを再起動します。

変更がクラスター内のすべてのインスタンスに適用されるように、クラスターの各インスタンスを再起動します。
1. Amazon DocumentDB コンソールを次の場所で開きます。https://console.aws.amazon.com/docdb
2. ナビゲーションペインで、[インスタンス] を選択します。
3. 再起動するインスタンスを指定するには、インスタンスのリストでインスタンスを見つけ、その名前の左側にあるボタンを選択します。
4. [アクション]、[再起動] の順に選択します。[再起動] を選択して、リブートすることを確認します。

Using the AWS CLI

パラメータグループの識別、TLS値の検証、必要な変更 AWS CLIなど、を使用してTLS暗号化の管理タスクを実行するには、次の手順に従います。

注記

クラスターが使用しているクラスターパラメータグループを確認します。

describe-db-clusters コマンドを次のパラメータをと共に使用します。
- --db-cluster-identifier — 必須。対象のクラスターの名前。
- --query — オプション。対象となるフィールドのみに出力を制限するクエリ。この場合は、クラスター名とクラスターパラメータグループ名。
```
aws docdb describe-db-clusters \
       --db-cluster-identifier docdb-2019-05-07-13-57-08 \
       --query 'DBClusters[*].[DBClusterIdentifier,DBClusterParameterGroup]'               
```
このオペレーションからの出力は次のようになります (JSON 形式）。
```
[
       [
           "docdb-2019-05-07-13-57-08",
           "custom3-6-param-grp"
       ]
]
                  
```
クラスターのパラメータグループの名前が default (たとえば、default.docdb3.6 など) の場合、続行する前にカスタムのクラスターパラメータグループを用意して、それをクラスターのパラメータグループにする必要があります。詳細については、次のトピックを参照してください。
1. Amazon DocumentDB クラスターパラメータグループを作成する − 使用できるカスタムのクラスターパラメータグループがない場合、これを作成します。
2. Amazon DocumentDB クラスターの変更 - カスタムクラスターパラメータグループを使用するようにクラスターを変更します。
tls クラスターパラメータの現在の値を確認します。

このクラスターパラメータグループに関する詳細情報を取得するには、以下のパラメータを指定して、describe-db-cluster-parameters オペレーションを使用します。
- --db-cluster-parameter-group-name — 必須。前のコマンドの出力からのクラスターパラメータグループ名を使用します。
- --query — オプション。対象となるフィールドのみに出力を制限するクエリ。この場合は、ParameterName、ParameterValue、AllowedValues、および ApplyType。
```
aws docdb describe-db-cluster-parameters \
    --db-cluster-parameter-group-name custom3-6-param-grp \
    --query 'Parameters[*].[ParameterName,ParameterValue,AllowedValues,ApplyType]'
```
このオペレーションからの出力は次のようになります (JSON 形式）。
```
[
    [
        "audit_logs",
        "disabled",
        "enabled,disabled",
        "dynamic"
    ],
    [
        "tls",
        "disabled",
        "disabled,enabled,fips-140-3",
        "static"
    ],
    [
        "ttl_monitor",
        "enabled",
        "disabled,enabled",
        "dynamic"
    ]
]
                  
```
tls クラスターパラメータの値を設定します。

tls の値が必要な値ではない場合、このクラスターパラメータグループの値を変更します。tls クラスターパラメータの値を変更するには、次のパラメータで modify-db-cluster-parameter-group オペレーションを使用します。
- --db-cluster-parameter-group-name — 必須。変更するクラスターパラメータグループの名前。これを default.* クラスターパラメータグループにすることはできません。
- --parameters — 必須。変更するクラスターパラメータグループのパラメータ一覧。
  - ParameterName — 必須。変更するクラスターパラメータの名前。
  - ParameterValue — 必須。このクラスターパラメータの新しい値。クラスターパラメータの AllowedValues のいずれかにする必要があります。
    
    enabled — クラスターは、TLSバージョン 1.0、1.1、1.2、または 1.3 を使用した安全な接続のみを受け入れます。
    
    disabled — クラスターは、を使用した安全な接続を受け付けませんTLS。
    
    fips-140-3 — クラスターは、連邦情報処理規格 (FIPS) の出版物 140-3 の要件に従ってのみ安全な接続を受け入れます。これは、ca-central-1、us-west-2、us-east-1、us-east-2、-1、-1 の各リージョンの Amazon DocumentDB 5.0 (エンジンバージョン us-gov-east3.0.3727) us-gov-westクラスター以降でのみサポートされています。
  - ApplyMethod - この変更が適用される場合。tle のような静的クラスターパラメータでは、この値を pending-reboot にする必要があります。
    
    pending-reboot - インスタンスの再起動後のみ、変更がインスタンスに適用されます。クラスターのすべてのインスタンスでこの変更を適用するには、各クラスターインスタンスを個別に再起動する必要があります。
次のコードは、各 DB インスタンスの再起動時に変更が適用されることを 無効化 tls します。
```
aws docdb modify-db-cluster-parameter-group \
    --db-cluster-parameter-group-name custom3-6-param-grp \
    --parameters "ParameterName=tls,ParameterValue=disabled,ApplyMethod=pending-reboot"
```
次のコードでは、 tls (バージョン 1.0、1.1。 1.2 および 1.3)、各 DB インスタンスの再起動時に変更を適用します。
```
aws docdb modify-db-cluster-parameter-group \
    --db-cluster-parameter-group-name custom3-6-param-grp \
    --parameters "ParameterName=tls,ParameterValue=enabled,ApplyMethod=pending-reboot"
```
次のコードでは、 TLSで を有効にしfips-140-3、再起動時に各 DB インスタンスに変更を適用します。
```
aws docdb modify-db-cluster-parameter-group \
    ‐‐db-cluster-parameter-group-name custom5-0-param-grp \
    ‐‐parameters "ParameterName=tls,ParameterValue=fips-140-3,ApplyMethod=pending-reboot"
```
このオペレーションからの出力は次のようになります (JSON 形式）。
```
{
    "DBClusterParameterGroupName": "custom3-6-param-grp"
}
```

お客様の Amazon DocumentDB インスタンスを再起動

変更がクラスター内のすべてのインスタンスに適用されるように、クラスターの各インスタンスを再起動します。Amazon DocumentDB インスタンスを再起動するには、以下のパラメータを指定して reboot-db-instance オペレーションを使用します。

--db-instance-identifier — 必須。再起動するインスタンスの識別子。

次のコードは、インスタンス sample-db-instance を再起動します。

Linux、macOS、Unix の場合:


aws docdb reboot-db-instance \
       --db-instance-identifier sample-db-instance

Windows の場合:


aws docdb reboot-db-instance ^
       --db-instance-identifier sample-db-instance

このオペレーションからの出力は次のようになります (JSON 形式）。


{
    "DBInstance": {
        "AutoMinorVersionUpgrade": true,
        "PubliclyAccessible": false,
        "PreferredMaintenanceWindow": "fri:09:32-fri:10:02",
        "PendingModifiedValues": {},
        "DBInstanceStatus": "rebooting",
        "DBSubnetGroup": {
            "Subnets": [
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1a"
                    },
                    "SubnetIdentifier": "subnet-4e26d263"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1c"
                    },
                    "SubnetIdentifier": "subnet-afc329f4"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1e"
                    },
                    "SubnetIdentifier": "subnet-b3806e8f"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1d"
                    },
                    "SubnetIdentifier": "subnet-53ab3636"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1b"
                    },
                    "SubnetIdentifier": "subnet-991cb8d0"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1f"
                    },
                    "SubnetIdentifier": "subnet-29ab1025"
                }
            ],
            "SubnetGroupStatus": "Complete",
            "DBSubnetGroupDescription": "default",
            "VpcId": "vpc-91280df6",
            "DBSubnetGroupName": "default"
        },
        "PromotionTier": 2,
        "DBInstanceClass": "db.r5.4xlarge",
        "InstanceCreateTime": "2018-11-05T23:10:49.905Z",
        "PreferredBackupWindow": "00:00-00:30",
        "KmsKeyId": "arn:aws:kms:us-east-1:012345678901:key/0961325d-a50b-44d4-b6a0-a177d5ff730b",
        "StorageEncrypted": true,
        "VpcSecurityGroups": [
            {
                "Status": "active",
                "VpcSecurityGroupId": "sg-77186e0d"
            }
        ],
        "EngineVersion": "3.6.0",
        "DbiResourceId": "db-SAMPLERESOURCEID",
        "DBInstanceIdentifier": "sample-cluster-instance-00",
        "Engine": "docdb",
        "AvailabilityZone": "us-east-1a",
        "DBInstanceArn": "arn:aws:rds:us-east-1:012345678901:db:sample-cluster-instance-00",
        "BackupRetentionPeriod": 1,
        "Endpoint": {
            "Address": "sample-cluster-instance-00.corcjozrlsfc.us-east-1.docdb.amazonaws.com",
            "Port": 27017,
            "HostedZoneId": "Z2R2ITUGPM61AM"
        },
        "DBClusterIdentifier": "sample-cluster"
    }
}

インスタンスが再起動するまでには数分かかります。インスタンスを使用できるのは、そのステータスが [available] である場合のみです。コンソールまたは AWS CLIを使用して、インスタンスのステータスをモニタリングできます。詳細については、「Amazon DocumentDB インスタンスのステータスのモニタリング」を参照してください。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

保管中のデータの暗号化

キー管理

Encrypting data in transit

Amazon DocumentDB クラスターTLS設定の管理

注記

ヒント

注記