自己管理型配置での TLS の構成

キーファイルを作成する

各ノードは、キーファイルの内容を使用して、配置の他のノードを認証します。次のコマンドを使用してキーファイルを作成します。

openssl rand -base64 756 > /etc/ssl/mongodb/keyfile
chmod 400 /etc/ssl/mongodb/keyfile

配置内の各ノードにキーファイルをコピーします。 mongod プロセスのみがファイルを読み取れるようにキーファイルに対する権限を制限していることを確認してください。

各ノードの構成ファイルを編集する

各ノードで、 mongod構成ファイル を見つけて開きます。ファイルが存在しない場合は、作成します。次の TLS オプションを追加します。証明書ファイルへの絶対パスを使用します。

例、プライマリノードの構成ファイルは次のようになります。

net:
  tls:
    mode: allowTLS
    certificateKeyFile: /etc/ssl/mongodb/mongo0.pem
    CAFile: /etc/ssl/mongodb/ca.pem
    allowConnectionsWithoutCertificates: true
security:
  clusterAuthMode: keyFile
  keyFile: /etc/ssl/mongodb/keyfile
setParameter:
  tlsWithholdClientCertificate: true

• modeをallowTLS に設定すると、TLS 接続は受け入れられますが、必要ではないため、ノードはレプリケーションを中断することなくローリング再起動を完了できます。

• certificateKeyFileは、ノードの証明書を指定します。構成中の特定のノードの証明書ファイルファイル名を置き換えます。 は、ノードの証明書に署名した CACAFile 証明書を指定します。

• allowConnectionsWithoutCertificates クライアントは TLS 証明書を提供せずに接続できます。

• clusterAuthModeをkeyFile に設定すると、ノードはキーファイルを使用して認証できるようになります。keyFile は、ノードが相互に認証するために使用するキーファイルを指定します。

• tlsWithholdClientCertificateは、クラスター内の他のノードに送信接続を行うときに、ノードがサーバー証明書を提示するのを防ぎます。これは必要であり、証明書にclientAuth EKU が含まれていない場合、ノードがクライアント認証にサーバー認証証明書を使用するのを防ぐためです。

レプリカセットメンバーを再起動する

新しい TLS 構成を適用するには、mongod プロセスを再起動します。ダウンタイムなしで構成を適用するには、 ノードを段階的に再起動 します。

配置した各ホストで、 セカンダリ ノード 、 プライマリノードの順に、次のコマンドを実行します。

sudo systemctl restart mongod

ローリング再起動が正常に完了したことを確認するには、各ホストで次のコマンドを実行します。

sudo systemctl status mongod

TLS を強制するように構成を更新する

TLS を有効にしてすべてのノードが正常に再起動したら、各ノードの構成ファイルを更新します。すべてのクライアントとメンバーに暗号化された接続を強制するには、net.tls.mode を allowTLS から requireTLS に変更します。

net:
  tls:
    mode: requireTLS

レプリカセットメンバーを再起動する

新しい TLS 構成を適用するには、mongod プロセスを再起動します。ダウンタイムなしで構成を適用するには、 ノードを段階的に再起動 します。

配置した各ホストで、 セカンダリ ノード 、 プライマリノードの順に、次のコマンドを実行します。

sudo systemctl restart mongod

ローリング再起動が正常に完了したことを確認するには、各ホストで次のコマンドを実行します。

sudo systemctl status mongod

各ノードの構成ファイルを編集する

各ノードで、 mongod構成ファイル を見つけて開きます。ファイルが存在しない場合は、作成します。次の TLS オプションを追加します。証明書ファイルへの絶対パスを使用します。

例、プライマリノードの構成ファイルは次のようになります。

net:
  tls:
    mode: allowTLS
    certificateKeyFile: /etc/ssl/mongodb/mongo0.pem
    CAFile: /etc/ssl/mongodb/ca.pem
    allowConnectionsWithoutCertificates: true
    clusterAuthX509:
      attributes: O=MongoDB
security:
  clusterAuthMode: x509

• modeをallowTLS に設定すると、TLS 接続は受け入れられますが、必要ではないため、ノードはレプリケーションを中断することなくローリング再起動を完了できます。

• certificateKeyFileは、ノードの証明書を指定します。構成中の特定のノードの証明書ファイルファイル名を置き換えます。 は、ノードの証明書に署名した CACAFile 証明書を指定します。

• allowConnectionsWithoutCertificates クライアントは TLS 証明書を提供せずに接続できます。

• では、ノードを通常のクライアントではなくクラスターnet.tls.clusterAuthX509.attributes ノードとして識別する X. 証明書属性を指定します。必須の証明書属性については、「509 メンバー X.509 証明書 」を参照してください。

• clusterAuthModeをx509 509に設定すると、ノードは X. 証明書を使用して認証できるようになります。

レプリカセットメンバーを再起動する

新しい TLS 構成を適用するには、mongod プロセスを再起動します。ダウンタイムなしで構成を適用するには、 ノードを段階的に再起動 します。

配置した各ホストで、 セカンダリ ノード 、 プライマリノードの順に、次のコマンドを実行します。

sudo systemctl restart mongod

ローリング再起動が正常に完了したことを確認するには、各ホストで次のコマンドを実行します。

sudo systemctl status mongod

TLS を強制するように構成を更新する

TLS を有効にしてすべてのノードが正常に再起動したら、各ノードの構成ファイルを更新します。すべてのクライアントとメンバーに暗号化された接続を強制するには、net.tls.mode を allowTLS から requireTLS に変更します。

net:
  tls:
    mode: requireTLS

レプリカセットメンバーを再起動する

新しい TLS 構成を適用するには、mongod プロセスを再起動します。ダウンタイムなしで構成を適用するには、 ノードを段階的に再起動 します。

配置した各ホストで、 セカンダリ ノード 、 プライマリノードの順に、次のコマンドを実行します。

sudo systemctl restart mongod

ローリング再起動が正常に完了したことを確認するには、各ホストで次のコマンドを実行します。

sudo systemctl status mongod

ログを調べて TLS 構成を確認します

ローリング再起動が完了した後、各ノードのログを検査して、TLS が正しく構成されていることを確認します。 mTLS および X.509認証が正しく構成されていることを確認するには、ログに次の内容が含まれている必要があります。

"msg":"Successfully authenticated",
"attr": {
  "isClusterMember":true,
  "mechanism":"MONGODB-X509",
  "user":"CN=mongo1.example.com,O=MongoDB,L=New York City,ST=New-York,C=US"
}

レプリカセット内の他の 2 つのノードそれぞれにも同様のログメッセージが表示されます。例、mongo0 のログを見ると、mongo1 と mongo2 に対して上記のようなメッセージが表示されます。