トランスポート層セキュリティ (TLS) の構成

Overview

このガイドでは、TLSプロトコルを使用してMongoDBデプロイへの接続を保護する方法を説明します。

接続に TLS を有効にすると、 C++ドライバーは次のアクションを実行します。

• TLS を使用して MongoDB 配置に接続

• 配置の証明書を検証します

• 証明書が配置を認証することを確認する

MongoDBTLS 用の 配置の構成方法については、 マニュアルの「 TLS 構成ガイド MongoDB Server」を参照してください。

TLS の有効化

MongoDBインスタンスへの接続で TLS を有効にするには、次の例に示すように、 接続stringで tls 接続オプションを true に設定します。

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");

Specify a CA File

TLS ハンドシェイク中に、MongoDB 配置は ID を確立するために、アプリケーションに証明書鍵ファイルを提示します。 通常、配置の証明書は既知の CA によって署名されており、アプリケーションはこの CA に依存して証明書を検証します。

ただし、テスト中は、独自の CA として動作する必要がある場合があります。 この場合、別の CA によって署名された証明書ではなく CA 証明書を使用するようにC++ドライバーに指示する必要があります。

そのためには、ルート証明書チェーンを含む.pemファイルへのパスを指定します。 これは、mongocxx::options::tlsオブジェクトにプロパティを設定する方法と、 接続stringで tlsCAFile パラメータを使用する方法の 2 つがあります。

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/file.pem");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.ca_dir("/path/to/search/");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

証明書の失効を確認する

X. 509証明書が信頼できなくなった場合（例、秘密キーが侵害された場合）、CA は証明書を取り消します。 C++ドライバーには、サーバーの証明書が失効しているかどうかを確認する 2 つの方法が含まれています。

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.crl_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

クライアント証明書の提示

一部のMongoDB配置では、接続するすべてのアプリケーションが ID を証明するクライアント証明書を提示する必要があります。 C++ドライバーが提示するクライアント証明書を指定するには、証明書と秘密キーを含む.pemファイルのファイルパスを指定します。

これは、mongocxx::options::tlsオブジェクトにプロパティを設定する方法と、 接続stringで tlsCertificateKeyFile パラメータを使用する方法の 2 つがあります。

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem");

$ cat key.pem cert.pem > combined.pem

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
tls_options.pem_password("<password>");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem&tlsCertificateKeyFilePassword=<password>");

AllowInsecureTls

TLS が有効になっている場合、 C++ドライバーはサーバーが提示する証明書を自動的に検証します。 コードをテストするときは、この検証を無効にできます。 これは安全でない TLS と呼ばれます。

安全でない TLS が有効になっている場合、ドライバーは X. 509証明書の提示のみを必要としサーバー。 次のいずれかに当てはまる場合でも、ドライバーは証明書を受け入れます。

• サーバーのホスト名と証明書のサブジェクト名（またはサブジェクトの別名）が一致しません。

• 証明書の有効期限が切れているか、まだ有効ではありません。

• 証明書のチェーン内に信頼できるルート証明書がありません。

• 証明書の目的がサーバー識別には無効です。

安全でない TLS を有効にするには、次のコード例に示すように、 接続stringで tlsInsecure 接続オプションを true に設定します。

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true");

証明書の検証のみを無効にするには、 tlsAllowInvalidCertificatesオプションをtrueに設定し、 tlsInsecureオプションをfalseに設定します（または省略）。

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.allow_invalid_certificates(true);
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true");

ホスト名検証のみを無効にするには、 tlsAllowInvalidHostnamesオプションをtrueに設定し、 tlsInsecureオプションをfalseに設定します（または省略）。

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true");

API ドキュメント

C++ドライバーの TLS 構成の詳細については、次のAPIドキュメントを参照してください。

• mongocx::クライアント

• mongocx::uri

• mongocx::インスタンス

• mongocx::options::クライアント

• mongocx::options::tls