X.509 クライアント証明書の生成

X.509 クライアント証明書を生成します。

実稼働環境で使用する場合、 MongoDBデプロイには、 CA によって生成および署名された有効な証明書を使用する必要があります。ユーザーまたは組織は、cert-manager などの Kubernetes ネイティブ ツールを使用して、独立した CA を生成および維持できます。

証明書の取得と管理については、このドキュメントの範囲外です。

クライアント証明書が持つ必要があるプロパティの詳細については、MongoDB マニュアルの 「クライアント証明書の要件」 を参照してください。

kubectlをデフォルトで名前空間に設定します。

まだ作成していない場合は、次のコマンドを実行して、作成した名前空間ですべてのkubectlコマンドを実行します。

kubectl config set-context $(kubectl config current-context) --namespace=<metadata.namespace>

次の例をConfigMap でコピーして保存します。

次の ConfigMap をx509-mongodb-user.yamlとして保存します。

1
---
2
apiVersion: mongodb.com/v1
3
kind: MongoDBUser
4
metadata:
5
  name: new-x509-user
6
spec:
7
  username: "CN=my-x509-authenticated-user,OU=organizationalunit,O=organization"
8
  db: "$external"
9
  mongodbResourceRef:
10
    name: '<name of the MongoDB resource>'
11
  roles:
12
    - db: "admin"
13
      name: "readWriteAnyDatabase"

この ConfigMap .yamlファイルはMongoDBUserカスタム オブジェクトを記述します。 これらのカスタム オブジェクトを使用して、MongoDB ユーザーを作成できます。 詳しくは、「 MongoDB ユーザー リソースの仕様 」を参照してください。

この例では、ConfigMap はユーザーを X.509 ユーザーとして説明し、クライアントは対応する X.509 証明書を使用して MongoDB に接続するために使用できます。

X.509 MongoDB ユーザーを作成します。

次のコマンドを実行して ConfigMap を適用し、X.509 MongoDB ユーザーを作成します。

kubectl apply -f x509-mongodb-user.yaml

次のような出力が表示されます。

mongodbuser.mongodb.com/new-x509-user created

新しく作成したユーザーを確認する

次のコマンドを実行して、 new-x509-userの状態を確認します。

kubectl get mdbu/new-x509-user -o yaml

次のような出力が表示されます。

NAME            CREATED AT
new-x509-user   8m

CA のマウントロケーションを見つけます。

次のコマンドを実行して、各ポッドのどこに Kubernetes Operator がCAシークレットをマウントしているかを見つけます。

kubectl get statefulset <metadata.name> -o yaml

出力で、 secret-caマウントを見つけます。

volumeMounts:
  - mountPath: /opt/scripts
    name: database-scripts
    readOnly: true
  - mountPath: /var/lib/mongodb-automation/secrets/ca
    name: secret-ca
    readOnly: true
  - mountPath: /var/lib/mongodb-automation/secrets/certs
    name: secret-certs
    readOnly: true

データベース配置に接続するときに、次の手順で、 mountPathにsecret-caを追加します。これは完全パスを形成します。

/var/lib/mongodb-automation/secrets/ca/secret-ca

X.509 ユーザーを使用して MongoDB 配置に接続

X.509 ユーザーを作成したら、MongoDB Shell（ mongosh ）を使用して配置に接続してみてください。

mongosh --host {host} --port {port} --tls \
  --tlsCAFile </path/to/secret-ca> \
  --tlsCertificateKeyFile <your-cert>.pem \
  --authenticationMechanism MONGODB-X509  \
  --authenticationDatabase '$external'

mongosh --host {host} --port {port} --ssl \
  --sslCAFile </path/to/secret-ca> \
  --sslPEMKeyFile <your-cert>.pem \
  --authenticationMechanism MONGODB-X509 \
  --authenticationDatabase '$external'