TLS 지원 복제본 세트에 연결

다음을 사용하여 배포서버 에 연결합니다. mongosh

다음 옵션을 사용하여 mongosh 를 복제본 세트 에 연결합니다.

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls --tlsCAFile /etc/ssl/mongodb/ca.pem

• --tls 연결에 대해 TLS 암호화 활성화합니다.

• --tlsCAFile 가 서버 인증서에 서명한 CA 인증서로 mongosh 설정하다 되어 가 서버의 인증서를 확인할 수 있습니다.

클라이언트 인증서 없이 연결하면 TLS로 암호화된 세션이 설정되지만 인증되지는 않습니다. 대부분의 명령을 실행 하려면 SCRAM 과 같은 메커니즘으로 인증해야 합니다.

사용자 인증

db.auth() 메서드를 사용하여 관리자 사용자 이름 과 비밀번호로 인증합니다.

연결 확인

다음을 실행하여 인증 상태 확인합니다.

db.adminCommand({ connectionStatus: 1 })

authInfo.authenticatedUsers 에 예상 사용자가 포함되어 있는지 확인합니다.

클라이언트 인증서 생성

TLS 서버 인증서 받기에 설명된 프로세스 사용하여 클라이언트 인증서를 생성합니다. 다음과 같이 조정합니다.

• 구성 파일 에서 serverAuth 대신 extendedKeyUsage = clientAuth 를 설정하다 .

• 노드 클라이언트 인증 인증서에 서명한 CA는 클라이언트 인증서에도 서명해야 합니다. 일반적으로 ca.pem입니다. 그러나 클라이언트 인증 위해 별도의 인증서를 얻은 경우 클라이언트 인증서에 대해 다른 CA를 가질 수 있습니다.

• 인증서 튜토리얼에 사용된 노드별 이름 대신 출력 파일의 이름을 client.key, client.crt, client.pem 로 지정합니다.

프로세스 완료한 후 mongosh를 실행 머신의 안전한 위치 에 client.pem 를 복사합니다.

cp client.pem /etc/ssl/mongodb/client.pem

클라이언트 주체 식별

클라이언트 인증서의 주체를 식별합니다. 연결 후 예상 클라이언트 인증서로 인증했는지 확인하려면 이 값이 필요합니다.

제목을 보려면 다음 명령을 실행 .

openssl x509 -in /etc/ssl/mongodb/client.pem -noout -subject

다음과 유사한 출력을 기록해 둡니다.

subject=C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser

이 튜토리얼의 뒷부분에서 사용할 수 있도록 주체 이름을 저장합니다. 이 예시 에서 주체 이름은 C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser입니다.

클라이언트 인증서를 사용하여 배포서버 서버에 연결

다음 옵션을 사용하여 mongosh 를 복제본 세트 에 연결합니다.

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls \
    --tlsCAFile /etc/ssl/mongodb/ca.pem \
    --tlsCertificateKeyFile /etc/ssl/mongodb/client.pem

• --tls 연결에 대해 TLS 암호화 활성화합니다.

• --tlsCAFile 가 서버 인증서에 서명한 CA 인증서로 mongosh 설정하다 가 서버 연결을 확인할 수 있습니다.

• --tlsCertificateKeyFile 서버 X와의 연결을 인증하는 데 사용하는 클라이언트 인증서와 비공개 키를 제공합니다.509

이렇게 하면 TLS를 통해 MongoDB deployment 에 연결됩니다.

관리자로 인증하기

db.auth() 메서드를 사용하여 관리자 사용자 이름 과 비밀번호로 인증합니다.

데이터베이스 에 $external 사용자 만들기

메서드를 사용하여 클라이언트 인증서의 주체 이름에 해당하는 데이터베이스 $external db.createUser() 에 사용자를 만듭니다. 사용자 이름 이전에 식별한 클라이언트 인증서의 주체로 바꿉니다.

db.getSiblingDB("$external").runCommand({
   createUser: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser",
   roles: [
      { role: "readWriteAnyDatabase", db: "admin" }
   ]
})

사용자를 생성한 후 db.auth() $external 메서드를 사용하여 X를 사용하여 데이터베이스 에509 인증합니다.:

db.getSiblingDB("$external").auth({
    mechanism: "MONGODB-X509",
    user: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser"
})

연결 확인

다음을 실행하여 인증 상태 확인합니다.

db.adminCommand({ connectionStatus: 1 })

authInfo.authenticatedUsers 에 예상 사용자가 포함되어 있는지 확인합니다.