トランスポート層セキュリティ (TLS) の構成

Overview

このガイドでは、TLSプロトコルを使用してMongoDBデプロイへの接続を保護する方法を説明します。

接続に TLS を有効にすると、 PHPライブラリは次のアクションを実行します。

• TLS を使用して MongoDB 配置に接続

• 配置の証明書を検証します

• 証明書が配置を認証することを確認する

MongoDBTLS 用の 配置の構成方法については、 マニュアルの「 TLS 構成ガイド MongoDB Server」を参照してください。

TLS の有効化

MongoDBデプロイへの接続で TLS を有効にするには、 tls接続オプションをtrueに設定します。 これは、MongoDB\Client コンストラクターの uriOptions パラメーターを使用する方法と、 接続stringのパラメーターを使用する方法の 2 つがあります。

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true';
$client = MongoDB\Client($uri);

Specify a CA File

TLS ハンドシェイク中に、 MongoDBデプロイは ID を確立するために、アプリケーションに証明書鍵ファイルを提示します。 通常、配置の証明書は既知の CA（認証局）によって署名されており、アプリケーションはこの CA に依存して証明書を検証します。

ただし、テスト中は、独自の CA として動作する必要がある場合があります。 この場合は、別の CA によって署名された証明書ではなく CA 証明書を使用するようにPHPライブラリに指示する必要があります。

そのためには、 tlsCAFile接続オプションを使用して、ルート証明書チェーンを含む.pemファイルへのパスを指定します。 これは、MongoDB\Client コンストラクターの uriOptions パラメーターを使用する方法と、 接続stringのパラメーターを使用する方法の 2 つがあります。

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCAFile' => '/path/to/ca.pem',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/ca.pem';
$client = MongoDB\Client($uri);

<?php
$uri = 'mongodb://<hostname>:<port>';
$uriOptions = ['tls' => true];
$driverOptions = ['ca_dir' => '/path/to/search/'];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

証明書の失効を確認する

X. 509証明書が信頼できなくなった場合（例、秘密キーが侵害された場合）、CA は証明書を取り消します。 PHPライブラリには、サーバーの証明書が失効しているかどうかを確認する 2 つの方法が含まれています。

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsDisableOCSPEndpointCheck' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true';
$client = MongoDB\Client($uri);

<?php
$uri = 'mongodb://<hostname>:<port>';
$uriOptions = ['tls' => true];
$driverOptions = ['crl_file' => '/path/to/file.pem'];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

クライアント証明書の提示

一部のMongoDB配置では、接続するすべてのアプリケーションが ID を証明するクライアント証明書を提示する必要があります。 PHPライブラリが提示するクライアント証明書を指定するには、証明書と秘密キーを含む.pemファイルのファイルパスにtleCertificateKeyFileオプションを設定します。

これは、MongoDB\Client コンストラクターの uriOptions パラメーターを使用する方法と、 接続stringのパラメーターを使用する方法の 2 つがあります。

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem';
$client = MongoDB\Client($uri);

$ cat key.pem cert.pem > combined.pem

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem',
   'tlsCertificateKeyFilePassword' => '<passphrase>',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem&tlsCertificateKeyFilePassword=<passphrase>';
$client = MongoDB\Client($uri);

AllowInsecureTls

TLS が有効になっている場合、 PHPライブラリはサーバーが提示した証明書を自動的に検証します。 コードをテストするときは、この検証を無効にできます。 これは安全でない TLS と呼ばれます。

安全でない TLS が有効になっている場合、ドライバーは X. 509証明書の提示のみを必要としサーバー。 次のいずれかに当てはまる場合でも、ドライバーは証明書を受け入れます。

• サーバーのホスト名と証明書のサブジェクト名（またはサブジェクトの別名）が一致しません。

• 証明書の有効期限が切れているか、まだ有効ではありません。

• 証明書のチェーン内に信頼できるルート証明書がありません。

• 証明書の目的がサーバー識別には無効です。

安全でない TLS を有効にするには、 tlsInsecure接続オプションをtrueに設定します。 これは、MongoDB\Client コンストラクターに引数を渡す方法と、 接続stringのパラメーターを使用する方法の 2 つがあります。

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsInsecure' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true';
$client = MongoDB\Client($uri);

証明書の検証のみを無効にするには、 tlsAllowInvalidCertificatesオプションをtrueに設定し、 tlsInsecureオプションをfalseに設定するか、省略します。

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidCertificates' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true';
$client = MongoDB\Client($uri);

ホスト名検証のみを無効にするには、 tlsAllowInvalidHostnamesオプションをtrueに設定し、 tlsInsecureオプションをfalseに設定するか、省略します。

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidHostnames' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true';
$client = MongoDB\Client($uri);

API ドキュメント

PHPライブラリの TLS 構成の詳細については、次のAPIドキュメントを参照してください。

• MongoDB\Client