x.509

クライアント証明書の要件

クライアント証明書の要件:

• 単一の認証局（CA）がクライアントとサーバーの両方の証明書を発行する必要があります。

• それぞれの固有の MongoDB ユーザーに固有の証明書が必要です。

• X.509証明書は期限切れであっては なりません 。

  注意

  mongod または mongos は、提示された x.509 証明書が mongod/mongos のホストシステム時間から 30 日以内に期限切れになる場合、接続時に警告を記録します。

• クライアント証明書には次のフィールドが含まれている必要があります。

  keyUsage = digitalSignature
  extendedKeyUsage = clientAuth

• 次のクライアント証明書属性の少なくとも 1 つは、net.tls.clusterFile および net.tls.certificateKeyFile のどちらのサーバー証明書の属性とも異なる必要があります。

  • 組織（O）

  • 組織単位（OU）

  • ドメイン コンポーネント（DC）

  注意

  また、起動時にenforceUserClusterSeparationパラメータを無効にして、 O/OU/DCチェックを自動的に無効にすることもできます。 これにより、メンバー証明書は$externalデータベースに保存されているユーザーとして認証できるようになります。

• 識別名（DN） を含む x.509 クライアント証明書の subject は、x.509 ノード証明書の subject と異なる必要があります。MongoDB 配置に tlsX509ClusterAuthDNOverride が設定されている場合、クライアント x.509 証明書のサブジェクトはその値と一致してはいけません。

  重要

  クライアントX.509 証明書のサブジェクトがO OUDC509ノード X. 証明書の 、 、 属性（または設定されている場合はtlsX509ClusterAuthDNOverride ）と完全に一致する場合、クライアント接続は受け入れられます、完全な権限が付与され、ログに警告メッセージが表示されます。

  クラスター ノードの x509 証明書のみが、O、OU、および DC の属性が同じ組み合わせを使用する必要があります。

MongoDB ユーザーおよび $external データベース

クライアント証明書を使用して認証するには、まずクライアント証明書の subject を MongoDB ユーザーとして $external データベースに追加する必要があります。$external データベースはユーザーの 認証データベース です。

一意の X.509クライアント証明書はそれぞれ 1 人のMongoDBユーザーに対する証明書です。1 つのクライアント証明書を使用して複数のMongoDBユーザーを認証することはできません。

$external認証ユーザー（Kerberos、LDAP、または X.509 ユーザー）でクライアント セッションと因果整合性の保証を使用するには、ユーザー名を 10 k バイトより大きくすることはできません。

TLS 接続 X509 証明書のスタートアップ警告

MongoDB 5.0 以降では、証明書にサブジェクト代替名属性が含まれていない場合、mongod と mongos で起動時の警告が発せられるようになっています。

以下のプラットフォームは、コモンネームの検証をサポートしていません。

• iOS 13 以降

• MacOS 10.15 以降

• Go 1.15 以降

これらのプラットフォームを使用するクライアントは、CommonName 属性によって指定されているホスト名の x.509 証明書を使用する MongoDB サーバーに対して認証を行いません。

ノード証明書の要件

TLS が有効になっている場合は、ノード証明書を使用して、シャーディングされたクラスターまたはレプリカセット内の内部接続へのメンバーシップを検証します。net.tls.clusterFile とnet.tls.certificateKeyFile オプションを使用してメンバー証明書ファイルのパスを設定できます。ノードには次の構成要件があります。

• クラスター ノードの設定では、認証に使用される属性の少なくとも 1 つに空でない値を指定する必要があります。デフォルトで MongoDB は次のものを受け入れます。

  • 組織 (O)

  • 組織単位 (OU)

  • ドメインコンポーネント (DC)

  net.tls.clusterAuthX509.extensionValue を設定することで、認証に使用する代替属性を指定できます。

• クラスター ノード設定には同じ net.tls.clusterAuthX509.attributes を含み、一致する値を使用する必要があります。属性の順序は関係ありません。次の例えでは O と OU を設定しますが、 DC は設定しません。

  net:
    tls:
      clusterAuthX509:
        attributes: O=MongoDB, OU=MongoDB Server

mongod --setParameter enforceUserClusterSeparation=false

証明書には次の要件があります。

• 単一の認証局（CA）が、シャーディングされたクラスターまたはレプリカセットのノードに対してすべての X.509 証明書を発行する必要があります。

• サブジェクト代替名 (SAN) エントリの少なくとも 1 つは、他のクラスター ノードが使用するサーバー ホスト名と一致する必要があります。SAN を比較する際に、MongoDB は DNS 名または IP アドレスのいずれかを比較できます。

  subjectAltNameを指定しない場合、MongoDB は代わりに共通名（CN）を比較します。 ただし、CN のこの使用は RFC に従って非推奨となります。2818

• certificateKeyFile として使用される証明書に extendedKeyUsage が含まれている場合、値には clientAuth（「TLS Web クライアント認証」）と serverAuth（「TLS Web サーバー認証」）の両方を含める必要があります。

  extendedKeyUsage = clientAuth, serverAuth

• clusterFile として使用される証明書に extendedKeyUsage が含まれている場合、値には clientAuth が含まれている必要があります。

  extendedKeyUsage = clientAuth

メンバーシップ認証のための MongoDB 設定

TLS は、レプリカセットの各ノード（各 mongod インスタンス）間、またはシャーディングされたクラスター（各 mongod インスタンスと mongos インスタンス）間の認証に使用できます。

内部認証に TLS を使用するには、次の設定を使用します。

• security.clusterAuthMode または --clusterAuthMode を x509 に設定

• net.tls.clusterFile or --tlsClusterFile

mongodインスタンスとmongosインスタンスは証明書鍵ファイルを使用してクライアントに ID を証明しますが、証明書鍵ファイルはメンバーシップ認証に使用することもできます。 クラスター ファイルを指定しない場合、メンバーはメンバーシップ認証に証明書鍵ファイルを使用します。 net.tls.certificateKeyFileまたは--tlsCertificateKeyFileを使用して証明書鍵ファイルを指定します。

証明書キーファイルをクライアント認証とメンバーシップ認証の両方に使用するには、証明書は次のいずれかを行う必要があります。

• extendedKeyUsage を省略する、または

• 特定 extendedKeyUsage = serverAuth, clientAuth