TLS 対応のレプリカセットへの接続

次を使用して配置に接続します: mongosh

次のオプションを使用して、mongosh をレプリカセットに接続します。

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls --tlsCAFile /etc/ssl/mongodb/ca.pem

• --tls は、接続の TLS暗号化を有効にします。

• --tlsCAFileはサーバー証明書に署名した CA 証明書に設定されているため、mongosh はサーバーの証明書を検証できます。

クライアント証明書なしで接続すると、TLS で暗号化されたセッションが確立されますが、認証は行われません。ほとんどのコマンドを実行するには、 SCRAM などのメカニズムで認証する必要があります。

ユーザーを認証する

db.auth()メソッドを使用して、管理者ユーザー名とパスワードで認証します。

接続を確認します

以下を実行して、認証状態を確認します。

db.adminCommand({ connectionStatus: 1 })

authInfo.authenticatedUsers に予定されるユーザーが含まれていることを確認します。

クライアント証明書の生成

「 TLS サーバー証明書の取得 」で説明されているプロセスを使用して、クライアント証明書を生成します。以下を調整します。

• 構成ファイルで、serverAuth ではなく extendedKeyUsage = clientAuth を設定します。

• ノードのクライアント認証証明書に署名した CA は、クライアント証明書にも署名する必要があります。一般的に、これは ca.pem です。ただし、クライアント認証用に個別の証明書を取得した 場合は、クライアント証明書の CA が異なる場合があります。

• 証明書チュートリアルで使用されるノード固有の名前ではなく、出力ファイルに client.key、client.crt、client.pem という名前を付けます。

プロセスが完了したら、client.pem を mongosh を実行するマシン上の安全な場所にコピーします。

cp client.pem /etc/ssl/mongodb/client.pem

クライアントサブジェクトを特定する

クライアント証明書のサブジェクトを特定します。この値は、接続後に期待されるクライアント証明書で認証されたことを確認するために必要です。

サブジェクトを表示するには、次のコマンドを実行します。

openssl x509 -in /etc/ssl/mongodb/client.pem -noout -subject

次のような 出力に注目してください。

subject=C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser

このチュートリアルの後半で使用するためにサブジェクト名を保存します。この例では 、サブジェクト名は C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser です。

クライアント証明書を使用して配置に接続する

次のオプションを使用して、mongosh をレプリカセットに接続します。

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls \
    --tlsCAFile /etc/ssl/mongodb/ca.pem \
    --tlsCertificateKeyFile /etc/ssl/mongodb/client.pem

• --tls は、接続の TLS暗号化を有効にします。

• --tlsCAFileはサーバー証明書に署名した CA 証明書に設定されており、mongosh はサーバー接続を検証できます。

• --tlsCertificateKeyFile は、サーバーがX.509 との接続を認証するために使用するクライアント証明書と秘密キーを提示します。

これにより、TLS 経由でMongoDBデプロイに接続されます。

管理者ユーザーとして認証する

db.auth()メソッドを使用して、管理者ユーザー名とパスワードで認証します。

データベースでユーザーを作成する$external

$externalメソッドを使用して、クライアント証明書のサブジェクト名に対応するdb.createUser() データベースにユーザーを作成します。ユーザー名を、以前に識別したクライアント証明書のサブジェクトに置き換えます。

db.getSiblingDB("$external").runCommand({
   createUser: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser",
   roles: [
      { role: "readWriteAnyDatabase", db: "admin" }
   ]
})

ユーザーを作成したら、db.auth() $externalメソッドを使用して X. を使用して データベースに認証します。509

db.getSiblingDB("$external").auth({
    mechanism: "MONGODB-X509",
    user: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser"
})

接続を確認します

以下を実行して、認証状態を確認します。

db.adminCommand({ connectionStatus: 1 })

authInfo.authenticatedUsers に予定されるユーザーが含まれていることを確認します。