TLS が有効なレプリカセットへの接続

配置に接続する mongosh

次のオプションを使用して、mongoshをレプリカセットに接続します。

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls --tlsCAFile /etc/ssl/mongodb/ca.pem

• --tls 接続の TLS 暗号化を有効にします。

• --tlsCAFileはサーバー証明書に署名した CA 証明書に設定されており、mongosh はサーバーの証明書を検証できます。

クライアント証明書なしで接続すると、TLS 暗号化されたセッションは確立されますが、証明は行われません。ほとんどのコマンドを実行するには、SCRAM などのメカニズムで証明する必要があります。

ユーザーの認証

db.auth()メソッドを使用して、管理者のユーザー名とパスワードで認証します。

接続を確認します

次のコマンドを実行して認証状態を確認します。

db.adminCommand({ connectionStatus: 1 })

authInfo.authenticatedUsers に予想されるユーザーが含まれていることを確認します。

クライアント証明書を生成します

TLS サーバー証明書の取得で説明されているプロセスを使用してクライアント証明書を生成します。次の調整を行います。

• 構成ファイルで、serverAuthの代わりにextendedKeyUsage = clientAuthを設定します。

• ノードのクライアント認証証明書に署名した CA は、クライアント証明書にも署名する必要があります。通常、これは ca.pem です。ただし、クライアント認証用に分離した証明書を取得した場合は、クライアント証明書に別の CA が使用されている可能性があります。

• 証明書のチュートリアルで使用されているノード固有の名前の代わりに、出力ファイルに client.key、client.crt、client.pem と名前を付けます。

プロセスが完了したら、client.pem を mongosh を実行するマシン上の安全なロケーションにコピーします。

cp client.pem /etc/ssl/mongodb/client.pem

クライアントの主題を識別します

クライアント証明書の主題を特定します。接続後に予想されるクライアント証明書で認証されたことを確認するには、この値が必要です。

トピックを表示するには、次のコマンドを実行します。

openssl x509 -in /etc/ssl/mongodb/client.pem -noout -subject

出力は、次のようになります。

subject=C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser

このチュートリアルで後で使用するために、サブジェクト名を保存します。この例では、サブジェクト名は C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser です。

クライアント証明書を使用して配置に接続します

次のオプションを使用して、mongoshをレプリカセットに接続します。

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls \
    --tlsCAFile /etc/ssl/mongodb/ca.pem \
    --tlsCertificateKeyFile /etc/ssl/mongodb/client.pem

• --tls 接続の TLS 暗号化を有効にします。

• --tlsCAFileは、mongosh がサーバー接続を検証できるように、サーバー証明書に署名した CA 証明書に設定されています。

• --tlsCertificateKeyFile クライアント証明書と秘密キーを提示します。サーバーはこれらを使用して X.509 との接続を証明します。

これにより、TLS を介して MongoDB 配置に接続します。

管理者ユーザーとして認証します

db.auth()メソッドを使用して、管理者のユーザー名とパスワードで認証します。

Create a user in the $external database

db.createUser() メソッドを使用して、クライアント 証明書のサブジェクト名に対応するユーザーを $external データベースに作成します。ユーザー名を、以前に識別したクライアント証明書のサブジェクトに置き換えます。

db.getSiblingDB("$external").runCommand({
   createUser: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser",
   roles: [
      { role: "readWriteAnyDatabase", db: "admin" }
   ]
})

ユーザーを作成したら、db.auth() メソッドを使用して X.509 を使用して $external データベースに認証します。

db.getSiblingDB("$external").auth({
    mechanism: "MONGODB-X509",
    user: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser"
})

接続を確認します

次のコマンドを実行して認証状態を確認します。

db.adminCommand({ connectionStatus: 1 })

authInfo.authenticatedUsers に予想されるユーザーが含まれていることを確認します。