Configurar instancias de MongoDB para TLS/SSL en implementaciones autogestionadas

Autoridades de Certificación

Para uso en producción, la implementación de MongoDB debe utilizar certificados válidos generados y firmados por una autoridad certificadora. El usuario o la organización pueden generar y mantener una autoridad de certificación independiente, o utilizar certificados generados por proveedores de TLS de terceros. La obtención y gestión de certificados está fuera del alcance de esta documentación.

mongod y mongos archivo de clave de certificado

Al establecer una conexión TLS/SSL, el mongod / mongos presenta un archivo de clave de certificado a sus clientes para establecer su identidad. [1] El archivo de llaves del certificado contiene un certificado de llave pública y su llave privada asociada, pero solo el componente público se revela al cliente.

MongoDB puede utilizar cualquier certificado TLS/SSL válido emitido por una autoridad de certificación o un certificado autofirmado. Si se usa un certificado autofirmado, aunque el canal de comunicación estará cifrado para evitar la interceptación de la conexión, no habrá ninguna validación de la identidad del servidor. Esto deja al usuario vulnerable a un ataque de intermediario. El uso de un certificado firmado por una autoridad de certificación de confianza permitirá a los drivers de MongoDB verificar la identidad del servidor.

En general, evite usar certificados autofirmados a menos que la red sea de confianza.

Con respecto a los certificados para los miembros del set de réplicas y del clúster, se aconseja utilizar certificados diferentes en servidores distintos. Esto minimiza la exposición de la llave privada y permite la validación del nombre de host.

Crea un archivo PEM a partir de datos sin procesar del certificado

Para configurar MongoDB con TLS/SSL, necesitas un solo archivo PEM que contenga tanto la llave privada como la cadena completa de certificados.

Si tienes datos de certificado sin procesar, como una llave privada privkey.pem y un archivo de cadena de certificados fullchain.pem, puedes crear el archivo PEM requerido concatenando estos archivos:

cat privkey.pem fullchain.pem > mongodb.pem

El archivo mongodb.pem resultante debe contener la llave privada y la cadena de certificados con sus límites de encapsulación RFC-7468 completos, BEGIN y END.

En tu configuración de MongoDB, proporciona la ruta al archivo mongodb.pem como el valor del net.tls.certificateKeyFile.

Además, apunta la configuración de net.tls.CAFile al archivo de cadena completo fullchain.pem, que contiene la cadena de certificados para verificar el certificado del cliente.

Configurar mongod y mongos con un certificado y una clave TLS/SSL

La siguiente sección configura mongod / mongos para usar conexiones TLS/SSL. Con estos ajustes TLS/SSL, mongod / mongos presenta su archivo de clave de certificado al cliente. Sin embargo, la mongod / mongos no requiere un archivo de clave de certificado del cliente para verificar la identidad del cliente. Para requerir el archivo de clave de certificado del cliente, consulta Configurar mongod y mongos con Validación del certificado del cliente en su lugar.

Para utilizar conexiones TLS/SSL, se deben incluir las siguientes configuraciones TLS/SSL en el archivo de configuración de la instancia de mongod / mongos :

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

net:
   tls:
      mode: requireTLS
      certificateSelector: subject="<CertificateCommonName>"
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Una mongod instancia que utilice la configuración anterior solo puede aceptar conexiones TLS/SSL:

mongod --config <path/to/configuration/file>

Consulte Conectar a instancias de MongoDB usando cifrado para obtener más información sobre cómo conectarse con TLS/SSL.

Configurar mongod y mongos con validación de certificado de cliente

La siguiente sección configura mongod / mongos para que use conexiones TLS/SSL y realice la validación del certificado del cliente. Con estas configuraciones de TLS/SSL:

• mongod / mongos presenta su archivo de clave de certificado al cliente para su verificación.

• mongod / mongos requiere un archivo de clave de certificado del cliente para verificar la identidad del cliente.

Para utilizar conexiones TLS/SSL y realizar la validación de certificados del cliente, incluya los siguientes ajustes TLS/SSL en el mongod mongos archivo de configuración de la instancia /:

Por ejemplo, considere el siguiente archivo de configuración para una mongod instancia:

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Una instancia de mongod que utiliza la configuración anterior solo puede aceptar conexiones TLS/SSL y requiere un certificado válido de sus clientes:

mongod --config <path/to/configuration/file>

Los clientes deben especificar las conexiones TLS/SSL y presentar su archivo de clave de certificado a la instancia. Consulta Conectar a instancias de MongoDB que requieren certificados de cliente para obtener más información sobre cómo conectarte con TLS/SSL.

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

Prohibir protocolos

Para evitar que los servidores de MongoDB acepten conexiones entrantes que usen protocolos específicos, se debe incluir net.tls.disabledProtocols configurado en los protocolos no permitidos.

Por ejemplo, la siguiente configuración impide que mongod / mongos acepten conexiones entrantes que usen TLS1_0 o TLS1_1

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

Contraseña del certificado TLS/SSL

Si los archivos de claves de certificado de mongod / mongos están cifrados, se debe incluir net.tls.certificateKeyFilePassword configurado con la frase de contraseña.

Rotación de certificados en línea

A partir de MongoDB 5.0, se pueden rotar los siguientes archivos de claves de certificado on-demand:

• TLS Certificates

• CRL (Certificate Revocation List) files (en las plataformas Linux y Windows)

• CA (Certificate Authority) files

Para rotar uno o más de estos certificados:

1. Se debe sustituir el certificado o los certificados que se desean rotar en el sistema de archivos, teniendo en cuenta las siguientes restricciones:

   • Cada nuevo certificado debe tener el mismo nombre de archivo y la misma ruta de archivo que el certificado que está reemplazando.

   • Si rota un certificado cifradoTLS Certificate, su contraseña debe ser la misma que la contraseña del certificado antiguo (como se especifica en los ajustes del archivo de configuración certificateKeyFilePassword). La rotación de certificados admite a la solicitud de contraseña interactiva.

2. Se debe conectar mongosh a mongod o a la instancia mongos en la que se desee realizar la rotación de certificados.

3. Se debe ejecutar el comando rotateCertificates o el método de shell db.rotateCertificates() para rotar los certificados utilizados por la mongod o la instancia mongos.

Cuando tiene lugar la rotación de certificados:

• Las conexiones existentes a la instancia de mongod o mongos no se terminan y continuarán usando los certificados antiguos.

• Cualquier nueva conexión utilizará los nuevos certificados.

Los archivos de certificado incorrectos, caducados, revocados o ausentes harán que falle la rotación del certificado, pero no invalidarán la configuración TLS existente ni terminarán el proceso mongod o mongos en ejecución.

Antes de MongoDB 5.0, la rotación de certificados requería tiempo de inactividad y se realizaba habitualmente durante las ventanas de mantenimiento.

Consulte rotateCertificates o db.rotateCertificates() para obtener consideraciones adicionales e instrucciones completas de uso.

Ejecutar en moda FIPS

Consultar Configurar MongoDB para FIPS para obtener más detalles.

Próximos pasos

Para configurar el soporte de TLS/SSL para clientes, consulta Configuración de TLS/SSL para Clientes.

Crea un archivo PEM a partir de datos sin procesar del certificado

Para configurar MongoDB con TLS/SSL, necesitas un solo archivo PEM que contenga tanto la llave privada como la cadena completa de certificados.

Si tienes datos de certificado sin procesar, como una llave privada privkey.pem y un archivo de cadena de certificados fullchain.pem, puedes crear el archivo PEM requerido concatenando estos archivos:

cat privkey.pem fullchain.pem > mongodb.pem

El archivo mongodb.pem resultante debe contener la llave privada y la cadena de certificados con sus límites de encapsulación RFC-7468 completos, BEGIN y END.

En tu configuración de MongoDB, proporciona la ruta al archivo mongodb.pem como el valor de la configuración net.ssl.PEMKeyFile.

Además, apunta la configuración de net.ssl.CAFile al archivo de cadena completo fullchain.pem, que contiene la cadena de certificados para verificar el certificado del cliente.

Configurar mongod y mongos con un certificado y una clave TLS/SSL

La siguiente sección configura mongod / mongos para usar conexiones TLS/SSL. Con estos ajustes TLS/SSL, mongod / mongos presenta su archivo de clave de certificado al cliente. Sin embargo, la mongod / mongos no requiere un archivo de clave de certificado del cliente para verificar la identidad del cliente. Para requerir el archivo de clave de certificado del cliente, consulta Configurar mongod y mongos con Validación del certificado del cliente en su lugar.

Para usar conexiones TLS/SSL, se deben incluir las siguientes configuraciones TLS/SSL en el archivo de configuración de la instancia de mongod / mongos :

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

net:
   ssl:
      mode: requireSSL
      certificateSelector: subject="<CertificateCommonName>"
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Una mongod instancia que utilice la configuración anterior solo puede aceptar conexiones TLS/SSL:

mongod --config <path/to/configuration/file>

Consulte Conectar a instancias de MongoDB usando cifrado para obtener más información sobre cómo conectarse con TLS/SSL.

Configurar mongod y mongos con validación de certificado de cliente

La siguiente sección configura mongod / mongos para que use conexiones TLS/SSL y realice la validación del certificado del cliente. Con estas configuraciones de TLS/SSL:

• mongod / mongos presenta su archivo de clave de certificado al cliente para su verificación.

• mongod / mongos requiere un archivo de clave de certificado del cliente para verificar la identidad del cliente.

Para usar conexiones TLS/SSL, se deben incluir las siguientes configuraciones TLS/SSL en el archivo de configuración de la instancia de mongod / mongos :

Por ejemplo, considere el siguiente archivo de configuración para una mongod instancia:

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Una instancia de mongod que utiliza la configuración anterior solo puede aceptar conexiones TLS/SSL y requiere un certificado válido de sus clientes:

mongod --config <path/to/configuration/file>

Los clientes deben especificar las conexiones TLS/SSL y presentar su archivo de clave de certificado a la instancia. Consulta Conectar a instancias de MongoDB que requieren certificados de cliente para obtener más información sobre cómo conectarte con TLS/SSL.

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

Prohibir protocolos

Para evitar que los servidores de MongoDB acepten conexiones entrantes que usen protocolos específicos, incluye net.ssl.disabledProtocols configurado en los protocolos no permitidos.

Por ejemplo, la siguiente configuración impide que mongod / mongos acepten conexiones entrantes que usen TLS1_0 o TLS1_1

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

Contraseña del certificado TLS/SSL

Si los archivos de clave de certificado para mongod / mongos están cifrados, incluye net.ssl.PEMKeyPassword configurado con la frase de contraseña.

Ejecutar en moda FIPS

Consultar Configurar MongoDB para FIPS para obtener más detalles.

Próximos pasos

Para configurar el soporte de TLS/SSL para clientes, consulta Configuración de TLS/SSL para Clientes.