接続での TLS/SSL の有効化

Overview

このガイドでは、 TLS プロトコルを使用して MongoDB 配置への接続を保護する方法を学習できます。 TLS は、アプリケーションと MongoDB 間の通信を保護する暗号化プロトコルです。 TLS を使用するように接続を構成するには、 TLS オプションを有効にし、クライアントを作成するときに検証用の証明書を提供します。

デフォルトでは 、ドライバーは JDK によって提供される TLS/SSL の基礎サポートを使用して、 MongoDBサーバーへの TLS/SSL 接続をサポートします。これは、Netty APIを使用するか、Java SE APIの拡張性を使用して変更できます。

TLS/SSL を有効にする

MongoDB インスタンスへの接続に TLS/SSL を有効にするには、接続文字列のパラメーターを使用する方法と、MongoClientSettings.Builder クラスのメソッドを使用する方法の 2 通りがあります。

val mongoClient = MongoClient.create("mongodb+srv://<db_username>:<db_password>@<cluster-url>?tls=true")

val settings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString("<connection string>"))
    .applyToSslSettings { builder ->
        builder.enabled(true)
    }
    .build()
val mongoClient = MongoClient.create(settings)

証明書の構成

TLS/SSL 要求を開始する Kotlin アプリケーションは、アプリケーション自体と、アプリケーションが対話する他のアプリケーションの ID を証明する暗号化証明書にアクセスする必要があります。 次のメカニズムを使用して、アプリケーションでこれらの証明書へのアクセスを構成できます。

• JVM トラスト ストアと JVM キー ストア

• クライアント固有のトラスト ストアとキー ストア

keytool -importcert -trustcacerts -file <path to certificate authority file>
         -keystore <path to trust store> -storepass <password>

ホスト名検証を無効化する

デフォルトでは、ドライバーはサーバーの TLS/SSL 証明書に含まれるホスト名が MongoClient の構築時に指定されたホスト名と一致することを確認します。アプリケーションのホスト名検証を無効にするには、applytoSslSettings() ビルダー ラムダでビルダーの invalidHostNameAllowed プロパティを true に設定して明示的に無効にします。

val settings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString("<connection string>"))
    .applyToSslSettings { builder ->
        builder.enabled(true)
        builder.invalidHostNameAllowed(true)
    }
    .build()
val mongoClient = MongoClient.create(settings);

TLS 1.2 への接続のみを制限する

アプリケーションが TLS 1.2 プロトコルのみを使用するように制限するには、jdk.tls.client.protocols システム プロパティを「TLSv1.2」に設定します。

Netty SslContext を使用した TLS/SSL の構成

次のインポート ステートメントを含めます。

import com.mongodb.MongoClientSettings
import com.mongodb.connection.SslSettings
import com.mongodb.connection.TransportSettings
import com.mongodb.kotlin.client.coroutine.MongoClient
import io.netty.handler.ssl.SslContextBuilder
import io.netty.handler.ssl.SslProvider

ドライバーに io.netty.handler.ssl.SslContext を使用するように指示するには、 を定義するときに NettyTransportSettings MongoClientSettingsを構成します。

MongoClientSettings.Builder.transportSettings()とNettyTransportSettings.Builder.sslContext()を使用して設定をビルドします。

val sslContext = SslContextBuilder.forClient()
    .sslProvider(SslProvider.OPENSSL)
    .build()
val settings = MongoClientSettings.builder()
    .applyToSslSettings { builder: SslSettings.Builder -> builder.enabled(true) }
    .transportSettings(
        TransportSettings.nettyBuilder()
            .sslContext(sslContext)
            .build()
    )
    .build()
val mongoClient = MongoClient.create(settings);

Java SE SSLContext を介して TLS/SSL 構成をカスタマイズする

TLS/SSL 構成をカスタマイズする必要がある場合は、applyToSslSettings() ラムダのビルダに SSLContext オブジェクトを渡すことで、MongoClient の sslContext プロパティを設定できます。

// You can customize SSL settings using the SSLContext
val sslContext = SSLContext.getDefault()
val settings = MongoClientSettings.builder()
    .applyToSslSettings { builder ->
        builder.enabled(true)
        builder.context(sslContext)
    }
    .build()
val mongoClient = MongoClient.create(settings);

オンライン証明書ステータスプロトコル (OCSP)

OCSP は、X.509 証明書が失効しているかどうかを確認するために使用される標準です。証明機関は、有効期限が切れる前に X.509 証明書を証明書失効リスト（CRL）に追加して、証明書を無効にすることができます。クライアントが TLS ハンドシェイク中に X.509 証明書を送信すると、CA の失効サーバーは CRL をチェックし、「良好」、「失効」、または「不明」のステータスを返します。

ドライバーは、OCSP の次のバリエーションをサポートします。

• クライアント駆動型 OCSP

• OCSP ステープル

次のセクションでは、それらの違いと、アプリケーションでそれらを有効にする方法について説明します。