FAQ: セキュリティ

アプリケーションが TLS 1.3 をサポートしているかどうすればわかりますか？

基礎となるプログラミング言語またはセキュリティ 1.31.3ライブラリが TLS より前のアプリケーションは、TLS をサポートするためにより最新のバージョンに更新する必要がある場合があります。 TLS をサポートするには、アプリケーションホストのオペレーティング1.3 システムも更新する必要がある場合があります。

MongoDBと Atlas は、TLS のバージョンがサポートする外部アプリケーションを監査するためのサービスを提供していません。showmyssl.com などのサードパーティ サービスは適切なツールを提供する可能性があります。MongoDB はこのサービスをサポートしておらず、その参照は情報提供のみです。アプリケーションを監査するためのベンダーまたはサービスを選択するには、組織の手順を使用します。

TLS 1.3 のクラスターを更新するにはどうすればよいですか?

• TLS1.3 をサポートするためにアプリケーションの監査するを実行します。

• TLS1.3 をサポートしていないテクノロジースタックのすべてのコンポーネントを更新します。

• TLS1.3 を使用するようにクラスター構成を変更します。

• カスタム TLS1.2 暗号構成がある場合は、TLS1.3 暗号を含めるように構成を更新する必要があります。

Atlas クラスターによる TLS 証明書のローテーション頻度

TLS 証明書は、発行された日から90 日間有効です。証明書は、証明書の有効期限が切れる42 日前にローテーションされます。

次のコマンドを使用して、ノードの TLS 証明書の有効期限を確認します。

echo | openssl s_client -showcerts -connect $HOSTNAME:$PORT 2> /dev/null | openssl x509 -noout -enddate

ハードコードされた認証局

中間証明書をハードコーディングしたり固定したりすることは、運用上の負荷と可用性のリスクが生じるため、推奨されません。let s Encrypt または Google トラスト サービスが固定された中間証明書をローテーションまたは置換すると、アプリケーションは接続に失敗し、停止時が発生する可能性があります。

証明書を固定する必要がある場合は、中間証明書ではなく証明機関の証明書に固定します。

Java ユーザー

Let's Encrypt の ISRG ルート証明書と Google トラスト サービスのルート証明書はどちらも、7u391 アップデート以降のJavaバージョン 7 および 8u381 以降のJavaバージョン 8 のデフォルトの信頼ストアで利用できます。187月 2023 以降のJavaリリースを使用します。

Javaクライアントソフトウェアが最新であることを確認します。最新のJavaバージョンを使用して、TLS 証明書のこれらの新しい認証局要件を超える改善を活用します。

独自のトラスト ストアがある場合は、 let の暗号化と Google トラスト サービスの証明書をそれに追加します。 詳しくは、「 MongoDB Atlas TLS 証明書に署名する認証局 」を参照してください。

Windows Server ユーザー

ISRG ルート X1 、GTS ルートR1 、GTS ルートR2 ルート認証局はWindows Server にデフォルトでは含まれていませんが、 Microsoft信頼ルート プログラムで利用できます。

信頼できるルート証明書をダウンロードするようにWindows Server を構成する方法について詳しくは、Windowsドキュメント を参照してください。

Amazon Linux AMI ユーザー

Amazon Linux AMI の一部のバージョンには、ISRG ルート X1 と GTS ルートR1 およびR2 証明書の両方がない場合があります。必要なルート証明書については、 Amazon Linuxの新しいバージョンに移行してください。2025 以降は、証明書の互換性の問題を回避するために、Atlas の ISRS ルート X1、GTS ルートR1、 R2 証明書のサポートが必要になります。

古いAmazon Linux AMI を使用する必要がある場合は、 ISRG ルート X1、GTS ルートR1、 R2 ルート認証局を手動でインストールします。

他のすべてのユーザー

最新のプログラミング言語とオペレーティング システムのバージョンを使用している場合は、この変更は に影響しません。

UNSAFE_TLS_TRANSITION エラーの原因

このエラーは、現在の TLS 構成と提案された TLS 構成の間に重なりがない場合に、通常次のシナリオで発生します。

• TLS バージョンの不一。

  • 例: TLS 1.2のみから TLS 1.3のみに直接切り替える。

  • 結果: TLS 1.2 を使用するノードは、TLS 1.3 を必要とするノードに接続できません。

• 暗号スイートの不一。

  • 例: 既存のすべての暗号スイートを完全に異なるセットに置き換える。

  • 結果: ノードには接続を交渉する共有サイファーがありません

UNSAFE_TLS_TRANSITION エラーの解決策

TLS の変更は段階的に行ってください。また、旧と新しい設定の間に重複があることを確認してください。

TLS バージョンの場合:

1. TLS 1.2 と TLS 1.3 の両方を有効にします。

2. 変更を適用し、更新が完了するまで待ちます。

3. 以後の更新で TLS 1.2 を削除します (必要な場合)。

暗号スイートの場合:

• 移行中は、現行の構成と新しい構成の間で少なくとも 1 つのサイファ スイートが共有されるようにします。

UNSAFE_TLS_TRANSITION エラーの重要なポイント

"一気に" TLS を変更しないでください。安全なローリング更新を確保するため、古い構成と新しい構成の間で一時的な互換性を常に維持してください。

ドライバーの種類

正式にサポートされているドライバー

MongoDB は、mongodb.com/ja-jp/docs/drivers に記載されているこれらのドライバーを開発および保守しています。MongoDB のテスト マトリックス、リリース プロセス、およびサポート SLA は、これらのドライバーをカバーしています。

正式にサポートされているドライバーには、C、C++、C#、Go、Java、Kotlin、Node.js、PHP、Python、Ruby、Rust、Scala、Swift などがあります。

Community ドライバー

サードパーティー開発者は、MongoDB の公開された仕様またはワイヤプロトコルを実装するこれらのドライバーを作成および保守します。例として、Zookzook (Elixir)、Mango (Dart)、mongolite (R)、mgo (Go)などがあります。

サポートされていない構成

ライフサイクルの終わりのバージで使用されている、正式にサポートされているドライバーまたは Community ドライバー。

サポート レベル

正式にサポートされているドライバー（現行バージョン）

Atlas SLAはこれらのドライバーをカバーしています。MongoDBは接続の問題の調査と修正を含む標準的なトラブルシューティングと解決を提供します。

正式にサポートされているドライバー (EOL バージョン)

MongoDB はベストエフォートサポートを提供します。MongoDB は問題を調査しますが、現行バージョンへのアップグレードを推奨する場合があります。

Community ドライバー

MongoDB は最大限の努力による診断のみのサポートを提供します。サポートは、問題がプラットフォームとドライバーのどちらに起因するかを判定するのに役立ちます。ドライバー側の問題については、MongoDB は利用可能なガイダンスを提供し、ドライバーのメンテナーに照会します。MongoDB は Community ドライバー コードをデバッグしたり㏑ッチを行ったりしません。

責任

この |service| の機能

Atlas は、TLS バージョンの変更、証明書のローテーション、認証メカニズムの更新など、接続レイヤーに影響するプラットフォームの変更に対するリスク評価を実行します。Atlas は、脆弱性がクライアント側のコードに起因する場合でも、既知の脆弱性パスワードなしを評価します。

リスクの高いプラットフォーム変更の場合、Atlasは可能な場合にリリースノートと事前メンテナンス通知でガイダンスを公開します。

サービスが行わないこと

Atlas は、次のことを行いません。

• Community ドライバーの正確性をテスト、認証、または保証します

• すべての構成ですべての Community ドライバーをテストします

• Community ドライバーのパッチ、検討する、またはメンテナンスの実行に取り組む

Community ドライバーは、TLS ネゴシエーション、認証、ワイヤプロトコル、およびフェイルオーバーの動作を正しく実装する必要があります。MongoDB が Community ドライバーに行うあらゆる貢献は任意であり、契約上の義務ではありません。

SLA カバレッジ

Atlas SLA は、現行バージョンの公式にサポートされている MongoDB ドライバーのみを対象とします。Community ドライバーのバグやサポートされていないドライバーの構成による停止時は、SLA の対象外となります。

最新バージョンの 正式にサポートされているドライバー を使用すると、完全な SLA カバレッジと最高のサポート体験を受けられます。