トランスポート層セキュリティ (TLS) の構成

Overview

このガイドでは、TLS（Transport Layer Security）プロトコルを使用してMongoDBデプロイへの接続を保護する方法を説明します。

TLS を使用してMongoDBデプロイに接続するには、次の手順を実行する必要があります。

• Mongo::Client で TLS 接続を有効にします。

• クライアント TLS 証明書を指定します。

• サーバーの TLS 証明書を検証するための証明機関（CA）証明書を指定します。

TLS 用のMongoDBデプロイの構成方法については、 MongoDB Serverマニュアルの TLS 構成ガイドを参照してください。

TLS の有効化

MongoDBデプロイへの接続に TLS を有効にするには、次の方法があります。

• 新しい Mongo:Clientオブジェクトで、ssl オプションを true に設定します。

• 接続文字列で tls オプションを true に設定します。

client = Mongo::Client.new(["<hostname>:<port>"], 
  ssl: true,
  ssl_cert: 'path/to/client.crt',
  ssl_key: 'path/to/client.key',
  ssl_ca_cert: 'path/to/ca.crt'
)

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_cert: 'path/to/client.pem',
  ssl_key: 'path/to/client.pem',
  ssl_ca_cert: 'path/to/ca.crt',
)

client = Mongo::Client.new(
  "mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=path%2fto%2fclient.pem&tlsCAFile=path%2fto%2fca.crt")

クライアント TLS 証明書の指定

Rubyドライバーには、異なるデータ型またはオブジェクト型で TLS 証明書、キー、CA 証明書を指定するための複数のオプションが用意されています。

TLS コンテキストの変更

TLS 構成をカスタマイズする必要がある場合は、ネイティブRuby Procオブジェクトを Mongo.tls_context_hooks 配列に追加することで TLS コンテキスト フックを設定できます。Mongo::Client インスタンスを作成する前に、Procオブジェクトを配列に追加してください。

次のコード例では、TLS で使用される唯一の暗号として AES256-SHA 暗号を有効にします。

Mongo.tls_context_hooks.push(
  Proc.new { |context|
    context.ciphers = ["AES256-SHA"]
  }
)

Rubyドライバー TLS コンテキスト オプションは、SSL のネイティブRuby処理に基づいています。利用可能な TLS コンテキスト オプションの詳細については、SSLContext のRubyドキュメントを参照してください。

OCSP 検証

サーバーによって提供された証明書に OCSP エンドポイント URI が含まれている場合、ドライバーはデフォルトで指定されたエンドポイントに OCSP（Online Certificate Status Protocol、オンライン証明書ステータス プロトコル）リクエストを発行して、証明書の有効性を確認します。

OCSP エンドポイント チェックを無効にするには、クライアントの作成時に :ssl_verify_ocsp_endpoint Rubyオプションを false に設定するか、tlsDisableOCSPEndpointCheck URI オプションを true に設定します。

AllowInsecureTls

TLS が有効になっている場合、 Rubyドライバーはサーバーが提示した証明書を自動的に検証します。コードをテストするときは、この検証を無効にできます。これは安全でない TLSと呼ばれます。

安全でない TLS が有効になっている場合、ドライバーは X. 509証明書の提示のみを必要としサーバー。 次のいずれかに当てはまる場合でも、ドライバーは証明書を受け入れます。

• サーバーのホスト名と証明書のサブジェクト名（またはサブジェクトの別名）が一致しません。

• 証明書の有効期限が切れているか、まだ有効ではありません。

• 証明書のチェーン内に信頼できるルート証明書がありません。

• 証明書の目的がサーバー識別には無効です。

安全でない TLS を有効にするには、sslVerifyクライアントオプションまたは tlsInsecure URI オプションを true に設定します。

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_verify: false
)

client = Mongo::Client.new('mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true')

同様に、次のオプションを設定して、証明書またはホスト名の検証を無効にすることもできます。

API ドキュメント

このガイドで説明する型とメソッドの詳細については、次のAPIドキュメントを参照してください。

• Mongo::Client

• tls_context_hooks