Habilitar y configurar TLS

Overview

En esta guía, puedes aprender a usar el protocolo TLS para asegurar tu conexión a una implementación de MongoDB. Para configurar tu conexión para usar TLS, activa la opción TLS y proporciona tus certificados para la validación al crear un cliente.

Esta guía incluye las siguientes secciones:

• Habilitar TLS describe formas de habilitar TLS en tu conexión

• Configurar Certificados describe los certificados necesarios para configurar TLS

• Certificados de referencia en un cliente proporciona un ejemplo de cómo crear un Config estructura para configurar tus opciones TLS

• Información adicional proporciona enlaces a recursos y documentación de la API para los tipos y métodos mencionados en esta guía

Habilitar TLS

Puedes habilitar TLS en una conexión a tu instancia de MongoDB de una de las siguientes maneras:

• Establecer la opción tls en true en tu cadena de conexión

• Pasando una estructura Config vacía al método SetTLSConfig() al crear una instancia ClientOptions

Seleccione de lo siguiente Connection String y ClientOptions pestañas para ver una muestra de código correspondiente:

uri := "mongodb://<hostname>:<port>?tls=true"
opts := options.Client().ApplyURI(uri)
client, _ := mongo.Connect(context.TODO(), opts)

uri := "<connection string>"
opts := options.Client().ApplyURI(uri).SetTLSConfig(&tls.Config{})
client, _ := mongo.Connect(context.TODO(), opts)

Para obtener una lista completa de las opciones del cliente, consulta Opciones de conexión.

Configurar certificados

Para iniciar con éxito una solicitud TLS, tu aplicación debe presentar certificados criptográficos para demostrar su identidad. Los certificados de su aplicación deben almacenarse como archivos PEM para habilitar TLS al conectarse.

La siguiente lista describe los componentes que tu cliente debe presentar para establecer una conexión habilitada para TLS:

Certificados de referencia en un cliente

Debe hacer referencia a sus certificados en su objeto ClientOptions para que el servidor pueda validarlos antes de que el cliente se conecte. Recomendamos que configure el campo TLSConfig de su instancia ClientOptions en un Config struct para configurar su conexión TLS. Los structs Config son nativos de Go y le permiten mantener todas sus opciones TLS en un único objeto reutilizable.

Para crear una instancia de Config, importa los paquetes crypto/tls y crypto/x509. A continuación, crea una instancia struct de Config y configura los campos relevantes del struct para tu configuración.

Dentro de tu instancia Config, puedes configurar campos opcionales para configurar TLS en tu conexión. Para fines de prueba, puedes establecer el campo InsecureSkipVerify en true.

Para obtener más información sobre la estructura Config, consulte la documentación de la API de tls.Config.

// Enable TLS on a connection by using the Go driver
package main
import (
	"context"
	"crypto/tls"
	"crypto/x509"
	"os"
	"go.mongodb.org/mongo-driver/mongo"
	"go.mongodb.org/mongo-driver/mongo/options"
)
func main() {
	caFile := "<path to CA certificate>"
	certFile := "<path to public client certificate>"
	keyFile := "<path to private client key>"
	// Loads CA certificate file
	caCert, err := os.ReadFile(caFile)
	if err != nil {
		panic(err)
	}
	caCertPool := x509.NewCertPool()
	if ok := caCertPool.AppendCertsFromPEM(caCert); !ok {
		panic("Error: CA file must be in PEM format")
	}
	// Loads client certificate files
	cert, err := tls.LoadX509KeyPair(certFile, keyFile)
	if err != nil {
		panic(err)
	}
	// Instantiates a Config instance
	tlsConfig := &tls.Config{
		RootCAs:      caCertPool,
		Certificates: []tls.Certificate{cert},
	}
	uri := "<connection string>"
	// Sets TLS options in options instance
	opts := options.Client().ApplyURI(uri).SetTLSConfig(tlsConfig)
	// Connects to MongoDB with TLS enabled
	client, err := mongo.Connect(context.TODO(), opts)
	if err != nil {
		panic(err)
	}
	defer func() {
		if err = client.Disconnect(context.TODO()); err != nil {
			panic(err)
		}
	}()
}

Información Adicional

Para obtener más información sobre cómo habilitar TLS en una conexión, consulta la siguiente documentación del manual del servidor:

• TLS/SSL (Cifrado de Transporte)

• Configuración de TLS/SSL para Clientes