配置での TLS の有効化

For Ops Manager to monitor, deploy, or back up a MongoDB deployment that uses TLS, you must enable TLS for the Ops Manager project.

Considerations

スコープ外のトピック

Transport Layer セキュリティ、公開キー基盤 X .509 証明書、証明機関の詳細な説明はこのチュートリアルの範囲を超えています。このチュートリアルでは、 TLS に関する事前の知識と、有効な X.509 証明書にアクセスできることを前提としています。

重要: プロジェクトの認証と TLS 設定をリセットするには、まず、MongoDB Ops Manager がプロジェクト内でマネージドしている MongoDB 配置をマネージャーから解除します。

前提条件

各 MongoDB ホストへの TLS 証明書の取得とインストール

MongoDB プロセスを提供しているホストごとにTLS証明書を取得します。この証明書には、この MongoDB ホストのホスト名に対するFQDNを含める必要があります。 FQDNは、このホストのサブジェクト代替名である必要があります。このTLS証明書は MongoDB ホストにインストールする必要があります。

警告

MongoDB Agent バージョン 11.12.0.7384 以降TLS証明書には、サブジェクト代替名フィールドに値を含める必要があります。11.12.0.7384 にアップグレードする前に、あなたの MongoDB 配置で使用されるすべての TLS 証明書に SAN が含まれていることを確認してください。詳細については、TLS 証明書にサブジェクト代替名が含まれていることを確認します。を参照してください。

手順

重要

以下を完了する必要があります。

TLS を使用するように既存の配置を設定し、
プロジェクトでの TLS の有効化

Review & Deployをクリックする前に

TLS を使用するように既存の配置を設定する

重要

Client Certificate Mode設定では、プロジェクト内の配置に接続するためにクライアントがTLS証明書を提示する必要がある場合は、を設定できます。プロジェクトでTLSを有効にする場合、すべての配置でTLSを使用する必要があります。

Ops Manager プロジェクトで既存の配置に TLS を有効にする場合は、次の手順に従います。

Clusters配置のビューに移動します。

まだ表示されていない場合は、目的のプロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューから目的のプロジェクトを選択します。
まだ表示されていない場合は、サイドバーの [Deployment] をクリックします。

[Clusters] ビューをクリックします。

プロセスをリストした行で、Modify をクリックします。

Advanced Configuration Options セクションを展開します。

TLS スタートアップオプションを設定します。

次の各オプションを追加するには、 Add Optionをクリックします。

オプション	必須	値
`tlsMode`	必須	`requireTLS` を選択します。
`tlsCertificateKeyFile`	必須	サーバー証明書への絶対パスを指定します。
`tlsCertificateKeyFilePassword`	必須	PEM キーファイルのパスワードを暗号化した場合は、それを入力します。重要: `.pem`証明書ファイルの暗号化された秘密キーがPKCS #8形式の場合は、PBES2暗号化操作を使用する必要があります。MongoDB Agent は、他の暗号化操作を使用した PKCS #8 をサポートしていません。
`tlsFIPSMode`	任意	FIPS モードを有効にする場合は`true`を選択します。

各オプションを追加したら、[ Add ] をクリックします。
必要なオプションを追加したら、[ Save ] をクリックします。

プロジェクトでの TLS の有効化

Security Settings ダイアログに移動します。

まだ表示されていない場合は、目的のプロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューから目的のプロジェクトを選択します。
まだ表示されていない場合は、サイドバーの [Deployment] をクリックします。

[Security] タブをクリックします。
[Settings] タブをクリックします。
次のいずれかのアクションを実行します。
- このプロジェクトで初めて TLS 、認証、または承認設定を構成する場合は、[ Get Started] をクリックします。
- このプロジェクトの TLS 認証または承認設定をすでに構成している場合は、[Edit] をクリックします。

認証メカニズムを選択します。

Select Authentication Mechanisms画面で、1 つ以上の認証メカニズムを有効にします。
TLSはすべての認証メカニズムで機能します。
[Next] をクリックします。

TLS 設定を指定します。

フィールド	アクション
MongoDB 配置トランスポート層セキュリティ (TLS)	このスライダーをONに切り替えます。
TLS CA ファイルパス	TLS 証明機関ファイルは、証明機関からのルート証明書チェーンを含む `.pem`形式の証明書ファイルです。MongoDB Agent は、配置内のすべての項目に接続するために、この同じ証明書発行者ファイルを使用します。 `.pem` 証明ファイルの暗号化された秘密キーは、PKCS #1形式である必要があります。MongoDB Agent は PKCS #8 形式をサポートしていません。 MongoDB プロセスを実行しているすべてのホスト上のTLS認証局ファイルへのファイルパスを入力します。最初のボックスにすべての Linux ホスト上のファイルパスを入力します。 2 番目のボックスにすべての Windows ホスト上のファイルパスを入力します。これにより、プロジェクト内の MongoDB プロセスの`net.tls.CAFile`設定が有効になります。 Validateをクリックして、指定したパスで配置内の各ホストにTLS認証局があることをテストします。
クラスター TLS CA ファイルパス	接続を確立するクライアントによって提示された証明書を検証するために使用される証明機関からのルート証明書チェーンを含む`.pem`ファイル。相対パスまたは絶対パスを使用して、 `.pem`ファイルのファイル名を指定します。 `net.tls.clusterCAFile`には`net.tls.CAFile`が設定されている必要があります。 `net.tls.clusterCAFile`を指定しない場合、クラスターは`net.tls.CAFile`オプションで指定された`.pem`ファイルを使用します。 `net.tls.clusterCAFile` クライアントからサーバー、サーバーからクライアントへのTLS ハンドシェイクの各部分を検証するために、異なる認証局を使用することができます。
クライアント証明書モード	TLS 対応の MongoDB 配置に接続するときにクライアントアプリケーションまたは MongoDB エージェントが TLS 証明書を提示する必要がある場合は、を選択します。MongoDB の各配置では、接続時にこれらのクライアントホストからの証明書がチェックされます。クライアントTLS証明書を要求する場合は、有効であることを確認します。指定できる値は次のとおりです。 `Optional` — すべてのクライアントは、MongoDB 配置に接続する際に有効な TLS 証明書を提示できます。を `mongodtlsMode`に設定しない場合、MongoDB エージェントは TLS`None` 証明書を使用する可能性があります。 `Required` — このプロジェクトのすべてのMongoDB配置は、TLS で暗号化されたネットワーク接続で開始されます。すべてのエージェントは、MongoDB配置への接続にTLSを使用する必要があります。

MongoDB エージェントを構成します。

Agent Auth Mechanismリストで、プロジェクトに対して実行したのと同じ認証メカニズムをクリックします。
その認証方法を使用するように MongoDB Agent を構成するには、次の手順に従います。

注意

レガシーエージェントのTLS証明書をお持ちの場合は、「レガシーバックアップエージェントまたはモニタリングエージェントの TLS 証明書があった場合はどうなりますか」を参照してください。ガイダンスは、この手順の最後にあります。

Save変更を設定するには、をクリックします。

Review & Deploy変更内容を確認するには、をクリックします。

MongoDB Ops Manager に提案された変更が表示されます。

問題がなければ、[ Confirm & Deploy ] をクリックします。
さらに設定変更を行う場合は、[ Cancel ] をクリックします。追加の変更を行うクラスターのModifyをクリックします。

オートメーションを使用する配置から MongoDB Agent に更新した場合、MongoDB Agent はTLS設定を管理します。
オートメーションを使用せずにバックアップエージェント、モニタリングエージェント、またはその両方を使用した配置から MongoDB Agent に更新した場合は、エージェントの更新中にまたは次の手順でバックアップエージェントとモニタリングエージェントに固有の設定を設定できます。
1. Deploymentに移動Agents Downloads & Settings Custom Configurations Edit Custom Configuration 。
2. [] をクリックします。
3. Backup Configurationsセクションの下:
  1. Settingボックスに任意の設定を入力し、 Valueボックスに対応する値を入力します。
  2. 複数のSettingを追加するには、 + Add Settingリンクをクリックします。別の行が表示されます。
  3. すべての設定が追加されるまで、繰り返します。
4. Monitoring Configurationsセクションの下:
  1. Settingボックスに任意の設定を入力し、 Valueボックスに対応する値を入力します。
  2. 複数のSettingを追加するには、 + Add Settingリンクをクリックします。別の行が表示されます。
  3. すべての設定が追加されるまで、繰り返します。
をクリックできます。追加した設定を削除します。

戻る

アプリケーションデータベースを保護する

TLS 証明書をローテートします