TLS(전송 계층 보안) 구성

개요

이 가이드에서는 TLS 프로토콜 을 사용하여 MongoDB deployment에 대한 연결을 보호하는 방법을 배울 수 있습니다. TLS는 애플리케이션과 MongoDB 간의 통신을 보호하는 암호화 프로토콜입니다. TLS를 사용하도록 연결을 구성하려면 클라이언트를 생성할 때 TLS 옵션을 활성화하고 유효성 검사를 위해 인증서를 제공합니다.

연결에 TLS를 활성화 하면 스칼라 운전자 다음 작업을 수행합니다.

• TLS를 사용하여 MongoDB deployment에 연결

• 배포서버의 인증서를 확인합니다.

TLS를 위해 MongoDB deployment 를 구성하는 방법을 학습 보려면 MongoDB Server 매뉴얼의 TLS 구성 가이드 를 참조하세요.

기본값 으로 운전자 JDK에서 제공하는 TLS/SSL에 대한 기본 지원 사용하여 MongoDB 서버에 대한 TLS/SSL 연결을 지원합니다. 이는 Netty API 또는 Java SE API의 확장성을 사용하여 변경할 수 있습니다.

TLS 활성화

다음과 같은 방법으로 MongoDB deployment 에 대한 연결에 TLS를 활성화 할 수 있습니다.

• MongoClientSettings 인스턴스 만들 때 SslSettings.Builder 클래스의 enabled() 메서드 사용

• 연결 URI에 tls 매개변수를 설정합니다.

MongoClientSettings 또는 Connection URI 탭 선택하여 TLS를 활성화하는 해당 코드를 확인합니다.

val tlsUri = "mongodb://localhost:27017/"
val tlsSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(tlsUri))
    .applyToSslSettings(builder => builder.enabled(true))
    .build()
val tlsClient1 = MongoClient(tlsSettings)

val tlsClient2 = MongoClient("mongodb://localhost:27017/?tls=true")

인증서 구성

TLS 요청을 시작하는 스칼라 애플리케이션은 애플리케이션의 ID를 증명하고 스칼라 애플리케이션 상호 작용하는 다른 애플리케이션을 확인하는 암호화 인증서에 액세스 해야 합니다. 다음과 같은 방법으로 애플리케이션 에서 이러한 인증서에 대한 액세스 구성할 수 있습니다.

• JVM 신뢰 저장 및 JVM 키 저장 사용

• 클라이언트별 신뢰 저장 및 키 저장 사용

keytool -importcert -trustcacerts -file <path to certificate authority file>
      -keystore <path to trust store> -storepass <trust store password>

호스트 이름 확인 사용 안 함

기본값 으로 운전자 서버의 TLS 인증서에 포함된 호스트 이름이 MongoClient 구성 시 제공된 호스트 이름과 일치하는지 확인합니다. 다음과 같은 방법으로 호스트 이름 확인을 비활성화할 수 있습니다.

• MongoClientSettings 인스턴스 만들 때 SslSettings.Builder 클래스의 invalidHostNameAllowed() 메서드 사용

• 연결 URI에 tlsAllowInvalidHostnames 매개변수를 설정합니다.

MongoClientSettings 또는 Connection URI 탭 선택하여 호스트 이름 확인을 비활성화하는 해당 코드를 확인합니다.

val invalidHostUri = "mongodb://localhost:27017/"
val invalidHostSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(invalidHostUri))
    .applyToSslSettings(builder => builder
        .enabled(true)
        .invalidHostNameAllowed(true)
    )
    .build()
val invalidHostClient1 = MongoClient(invalidHostSettings)

val invalidHostClient2 = MongoClient("mongodb://localhost:27017/?tls=true&tlsAllowInvalidHostnames=true")

TLS 1.2에 대한 연결 제한

애플리케이션이 TLS 1.2 프로토콜만 사용하도록 제한하려면 jdk.tls.client.protocols 시스템 속성을 "TLSv1.2" 로 설정합니다.

Netty SslContext를 사용하여 TLS/SSL 구성

다음 가져오기 문을 포함합니다.

import io.netty.handler.ssl.SslContextBuilder
import io.netty.handler.ssl.SslProvider
import org.mongodb.scala.connection.TransportSettings

운전자 에 io.netty.handler.ssl.SslContext 를 사용하도록 지시하려면 를 정의할 때 NettyTransportSettings를 MongoClientSettings 구성합니다.

MongoClientSettings.Builder.transportSettings() 및 NettyTransportSettings.Builder.sslContext() 을 사용하여 설정을 빌드 합니다.

val sslContext = SslContextBuilder.forClient()
  .sslProvider(SslProvider.OPENSSL)
  .build()
val nettySettings = MongoClientSettings.builder()
  .applyToSslSettings {
    builder => builder.enabled(true)
  }
  .transportSettings(
    TransportSettings.nettyBuilder()
      .sslContext(sslContext)
      .build()
  )
  .build()
val mongoClient = MongoClient(nettySettings);

SSLContext로 구성 사용자 지정

TLS 구성에 사용자 지정이 필요한 경우 MongoClient 객체 의 sslContext 속성 설정하다 수 있습니다. 다음 코드에 표시된 대로 SSLContext 객체 applyToSslSettings() 차단 의 context() 메서드 빌더에 전달합니다.

val sslContext = SSLContext.getDefault()
val contextSettings = MongoClientSettings.builder()
    .applyToSslSettings(builder => builder
        .enabled(true)
        .context(sslContext)
    )
    .build()
val mongoClient = MongoClient(contextSettings);

SSLContext 클래스에 대한 자세한 내용은 SSL 컨텍스트에 대한 API 설명서를 참조하세요.

온라인 인증서 상태 프로토콜(OCSP)

OCSP는 X.509 인증서가 해지되었는지 확인하는 데 사용되는 표준입니다. 인증 기관(CA)은 만료 시간 전에 X.509 인증서를 CRL(인증서 해지 목록)에 추가하여 인증서를 무효화할 수 있습니다. 클라이언트 TLS 핸드셰이크 중에 X.509 인증서를 보내면 CA의 해지 서버 CRL을 확인하여 good, revoked 또는 unknown 상태를 반환합니다.

이 드라이버는 다음과 같은 OCSP 변형을 지원합니다:

• 클라이언트 중심 OCSP

• OCSP 스테이플링

다음 섹션에서는 이러한 변형에 대해 설명하고 애플리케이션 에서 이를 활성화 방법을 보여줍니다.

API 문서

이 가이드 에 설명된 유형에 대한 자세한 내용은 다음 API 문서를 참조하세요.

• ConnectionString

• MongoClientSettings