X.509 Autenticación con TLS

Overview

En el 509 mecanismo de autenticación X., el servidor y el cliente utilizan el protocolo TLS para509 intercambiar certificados de clave pública X.. Este mecanismo se puede usar para autenticarse en MongoDB Atlas, MongoDB Enterprise Advanced y MongoDB Community Edition.

Tip

X.509 Mecanismo

Para aprender a usar TLS/SSL con el driver .NET/C#, consulta TLS/SSL.

Para obtener más información sobre X.509 certificados, consulta X.509 en el Manual del servidor de MongoDB.

Marcadores de posición de código

Los ejemplos de código en esta página utilizan los siguientes marcadores de posición:

+srv: Incluya esta opción en el prefijo de la cadena de conexión solo si se conecta a un clúster de MongoDB Atlas. Si está utilizando un objeto MongoClientSettings, puede especificar el formato srv configurando la propiedad Scheme en ConnectionStringScheme.MongoDBPlusSrv. Para obtener más información sobre la opción +srv, consulta Formatos de cadenas de conexión en el manual del Servidor MongoDB.
<hostname>: La dirección de red de tu implementación de MongoDB.
<port>Número de puerto de la implementación de MongoDB. Si omites este parámetro, el driver usará el puerto por defecto (27017). No necesitas un número de puerto al conectar a un clúster de MongoDB Atlas.
<X.509 certificate username>: El nombre de usuario del usuario asociado con el certificado X.509. El nombre de usuario debe coincidir con el nombre de sujeto distinguido del certificado. Si omites este parámetro, la implementación de MongoDB infiere el nombre de usuario del certificado X.509.
<path to X.509 certificate>: La ruta al archivo del certificado X.509.
<X.509 certificate password>: La contraseña del certificado X.509.

Para usar los ejemplos de código en esta página, reemplaza estos marcadores de posición con tus propios valores.

Usar la autenticación X.509 en tu aplicación

Para usar un509 certificado X. para la autenticación, debe usar un MongoClientSettings objeto para especificar la ruta a su509 certificado X. y la contraseña del certificado. El certificado debe usar el 12 .p12formato PKCS # ().

Tip

Convertir .pem a .p12

Si su certificado utiliza el formato PEM (),.pem puede convertirlo al .p12 formato utilizando la openssl herramienta de línea de comandos, como se muestra en el siguiente ejemplo de código:

openssl pkcs12 -export -out <.p12 file> -inkey <private key file> -in <.pem file>

Puedes proporcionar un certificado en formato .pem directamente usando el método X509Certificate2.CreateFromPem(), como se muestra en el siguiente ejemplo de código:

var certPem = File.ReadAllText("client.crt");
var keyPem = File.ReadAllText("client.key");
var rsa = RSA.Create();
rsa.ImportFromEncryptedPem(keyPem, "<password>");
var cert = X509Certificate2.CreateFromPem(certPem);
var clientCertificate = cert.CopyWithPrivateKey(rsa);

Para obtener más información sobre openssl-pkcs12, consulte la documentación de OpenSSL.

También debes especificar MONGODB-X509 como el mecanismo de autenticación y $external como la fuente de autenticación. Puedes especificar estas opciones tanto en tu cadena de conexión como usando un objeto MongoCredential. Selecciona la pestaña Connection String o MongoCredential para ver la sintaxis correspondiente:

var connectionString = "mongodb[+srv]://<hostname>[:<port>]/?authSource=$external&authMechanism=MONGODB-X509";
var settings = MongoClientSettings.FromConnectionString(connectionString);
settings.UseTls = true;
settings.SslSettings = new SslSettings
{
   ClientCertificates = new List<X509Certificate>()
   {
       new X509Certificate2("<path to X.509 certificate>", "<X.509 certificate password>")
   }
};

var credential = MongoCredential.CreateMongoX509Credential("<X.509 certificate username>");
var settings = new MongoClientSettings
{
    Credential =  credential,
    SslSettings = new SslSettings
    {
        ClientCertificates = new List<X509Certificate>()
        {
            new X509Certificate2("<path to X.509 certificate>", "<X.509 certificate password>")
        },
    },
    UseTls = true,
    Server = new MongoServerAddress("<hostname>"[, "<port>"]),
    Scheme = ConnectionStringScheme.MongoDBPlusSrv // Needed when connecting to MongoDB Atlas
};

Solución de problemas

Si utilizas Windows como sistema operativo, podrías encontrarte con un problema en el que el controlador .NET/C# no pueda localizar un certificado de autenticación X.509 en la memoria. Este error muestra el siguiente mensaje:

No credentials are available in the security package

Para solucionar este problema, añade el siguiente código a tu aplicación. Este código genera cualquier certificado de X.509 que requiera tu aplicación y los almacena en disco:

using (X509Certificate2 certWithKey = certOnly.CopyWithPrivateKey(key))
{
   return new X509Certificate2(certWithKey.Export(X509ContentType.Pkcs12));
}

Documentación de la API

Para aprender más sobre cualquiera de los métodos y tipos de MongoDB utilizados en esta página, consulta la siguiente documentación de la API:

Para obtener más información sobre los tipos de .NET utilizados en esta página, consulta la siguiente documentación de MSDN:

Volver

SCRAM

AWS IAM