구성 파일 옵션

외부에서 가져온 값

다음과 같은 확장 지시어를 사용할 수 있습니다:

전체 설명서는 외부 소스 구성 파일 값을 참조하세요.

확장 지시문 및 --configExpand

구성 파일에서 확장 --configExpand 디렉티브를 사용하는 경우 또는 시작 mongod 시 옵션을 mongos 포함해야 합니다. 예를 들면 다음과 같습니다.

mongod --config /etc/mongod.conf  --configExpand "rest,exec"
mongos --config /etc/mongos.conf  --configExpand "rest,exec"

설정파일에 확장 지시어가 포함되어 있고 mongod /mongos를 시작할 때--configExpand옵션에 해당 지시어를 지정하지 않고 / 를 시작하고 옵션에 해당 지시어를 지정하지 않으면 mongod / mongos가 시작하지 못한다.

전체 설명서는 외부 소스 구성 파일 값을 참조하세요.

systemLog.component 옵션

systemLog:
   component:
      accessControl:
         verbosity: <int>
      command:
         verbosity: <int>
      # COMMENT some component verbosity settings omitted for brevity
      replication:
         verbosity: <int>
         election:
            verbosity: <int>
         heartbeats:
            verbosity: <int>
         initialSync:
            verbosity: <int>
         rollback:
            verbosity: <int>
      storage:
         verbosity: <int>
         journal:
            verbosity: <int>
         recovery:
            verbosity: <int>
      write:
         verbosity: <int>

systemLog.component.accessControl.verbosity

유형: integer

기본값: 0

액세스 제어와 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. ACCESS 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.command.verbosity

유형: integer

기본값: 0

명령과 관련된 구성 요소에 대한 로그 메시지의 자세한 수준입니다. COMMAND 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.control.verbosity

유형: integer

기본값: 0

제어 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. CONTROL 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.ftdc.verbosity

유형: integer

기본값: 0

진단 데이터 수집 작업과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. FTDC 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.geo.verbosity

유형: integer

기본값: 0

지리 공간 구문 분석 작업과 관련된 구성 요소에 대한 로그 메시지 세부 정보 표시 수준입니다. GEO 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.index.verbosity

유형: integer

기본값: 0

인덱싱 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. INDEX 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.network.verbosity

유형: integer

기본값: 0

네트워킹 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. NETWORK 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.query.verbosity

유형: integer

기본값: 0

쿼리 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. QUERY 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.verbosity

유형: integer

기본값: 0

복제와 관련된 구성 요소에 대한 로그 메시지 세부 정보 표시 수준입니다. REPL 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.election.verbosity

유형: integer

기본값: 0

버전 4.2에 추가되었습니다.

선택과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. ELECTION 구성요소를 참조하세요.

systemLog.component.replication.election.verbosity 을 설정하지 않으면 { systemLog.component.replication.verbosity 수준이 투표 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.heartbeats.verbosity

유형: integer

기본값: 0

하트비트와 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. REPL_HB 구성요소를 참조하세요.

systemLog.component.replication.heartbeats.verbosity 이 설정되지 않은 경우 systemLog.component.replication.verbosity 수준이 하트비트 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.initialSync.verbosity

유형: integer

기본값: 0

버전 4.2에 추가되었습니다.

초기 동기화와 관련된 컴포넌트에 대한 로그 메시지 상세도 수준입니다. INITSYNC 구성요소를 참조하세요.

systemLog.component.replication.initialSync.verbosity 을 설정하지 않으면 { systemLog.component.replication.verbosity 수준이 initialSync 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.rollback.verbosity

유형: integer

기본값: 0

롤백과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. ROLLBACK 구성요소를 참조하세요.

systemLog.component.replication.rollback.verbosity 을 설정하지 않으면 { systemLog.component.replication.verbosity 수준이 롤백 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.sharding.verbosity

유형: integer

기본값: 0

샤딩과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. SHARDING 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.verbosity

유형: integer

기본값: 0

스토리지와 관련된 구성요소에 대한 로그 메시지 상세 수준입니다. STORAGE 구성요소를 참조하세요.

systemLog.component.storage.journal.verbosity 이 설정되지 않은 경우 systemLog.component.storage.verbosity 수준이 저널링 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.journal.verbosity

유형: integer

기본값: 0

저널링과 관련된 구성 요소의 로그 메시지 상세 수준입니다. JOURNAL 구성 요소를 참조하십시오.

systemLog.component.storage.journal.verbosity 이 설정되지 않은 경우 저널링 구성 요소는 상위 스토리지 구성 요소와 동일한 상세 수준(예: 설정된 경우 systemLog.component.storage.verbosity 수준 또는 기본 상세 수준)을 갖습니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.recovery.verbosity

유형: integer

기본값: 0

버전 4.0에 추가.

복구와 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. RECOVERY 구성요소를 참조하세요.

systemLog.component.storage.recovery.verbosity 을 설정하지 않으면 { systemLog.component.storage.verbosity 수준이 복구 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. WT 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtBackup.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 백업 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. WTBACKUP 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtCheckpoint.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 체크포인트 작업과 관련된 구성 요소에 대한 로그 메시지 세부 정보입니다. WTCHKPT 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtCompact.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 압축 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTCMPCT 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtEviction.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 퇴거 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTEVICT 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtHS.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 히스토리 저장소 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTHS 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtRecovery.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 복구 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTRECOV 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtRTS.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 안정적인 작업으로의 롤백 (RTS) 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTRTS 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtSalvage.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 복구 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTSLVG 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtTiered.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 계층형 스토리지 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTTIER 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtTimestamp.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 사용하는 타임스탬프와 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTTS 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtTransaction.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 트랜잭션 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTTXN 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtVerify.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진이 수행하는 검증 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTVRFY 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtWriteLog.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 로그 쓰기 작업과 관련된 구성 요소에 대한 로그 메시지 상세도입니다. WTWRTLOG 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.transaction.verbosity

유형: integer

기본값: 0

버전 4.0.2에 추가되었습니다.

트랜잭션과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. TXN 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.write.verbosity

유형: integer

기본값: 0

쓰기 작업과 관련된 구성 요소에 대한 로그 메시지 세부 정보 표시 수준입니다. WRITE 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

net.unixDomainSocket 옵션

net:
   unixDomainSocket:
      enabled: <boolean>
      pathPrefix: <string>
      filePermissions: <int>

net.unixDomainSocket.enabled

유형: 부울

기본값: true

UNIX 도메인 소켓에서 수신을 활성화하거나 비활성화합니다. net.unixDomainSocket.enabled 는 Unix 기반 시스템에만 적용됩니다.

net.unixDomainSocket.enabled 가 true 인 경우 mongos 또는 mongod 은 UNIX 소켓에서 수신 대기합니다.

2}mongos 또는 프로세스는 다음 중 하나에 해당하지 않는 한 항상 UNIX 소켓에서 수신 mongod 대기합니다:

• net.unixDomainSocket.enabled 입니다 false

• --nounixsocket 이설정되어 있습니다. 명령줄 옵션은 구성 파일 설정보다 우선합니다.

• net.bindIp is not set

• net.bindIp 이(가) localhost 또는 관련 IP 주소를 지정하지 않습니다.

mongos{ 2} mongod 또는 공식 .deb에서 설치한 경우 및 .rpm bind_ip 패키지는 127.0.0.1 기본적으로 구성을 으로 설정합니다.

net.unixDomainSocket.pathPrefix

유형: 문자열

기본값/tmp

UNIX 소켓의 경로입니다. net.unixDomainSocket.pathPrefix 는 Unix 기반 시스템에만 적용됩니다.

이 옵션에 값이 없으면 mongos 또는 mongod 프로세스가 접두사로 /tmp 을 사용하여 소켓을 만듭니다. 다음 중 하나에 해당하지 않는 한 MongoDB는 UNIX 소켓에서 생성하고 수신 대기합니다:

• net.unixDomainSocket.enabled 입니다 false

• --nounixsocket is set

• net.bindIp is not set

• net.bindIp 이(가) localhost 또는 관련 IP 주소를 지정하지 않습니다.

net.unixDomainSocket.filePermissions

형식: int

기본값: 0700

UNIX 도메인 소켓 파일의 권한을 설정합니다.

net.unixDomainSocket.filePermissions Unix 기반 시스템에만 적용됩니다.

net.http 옵션

net.tls 옵션

net:
   tls:
      mode: <string>
      certificateKeyFile: <string>
      certificateKeyFilePassword: <string>
      certificateSelector: <string>
      clusterCertificateSelector: <string>
      clusterFile: <string>
      clusterPassword: <string>
      clusterAuthX509:
        attributes: <string>
        extensionValue: <string>
      CAFile: <string>
      clusterCAFile: <string>
      CRLFile: <string>
      allowConnectionsWithoutCertificates: <boolean>
      allowInvalidCertificates: <boolean>
      allowInvalidHostnames: <boolean>
      disabledProtocols: <string>
      FIPSMode: <boolean>
      logVersions: <string>

net.tls.mode

유형: 문자열

버전 4.2에 추가되었습니다.

모든 네트워크 연결에 TLS를 사용하도록 설정합니다. net.tls.mode 설정에 대한 인수는 다음 중 하나일 수 있습니다.

값	설명
disabled	서버가 TLS를 사용하지 않습니다.
allowTLS	서버 간 연결이 TLS를 사용하지 않습니다. 수신 연결의 경우, 서버는 TLS와 비TLS를 모두 허용합니다.
preferTLS	서버 간 연결이 TLS를 사용합니다. 수신 연결의 경우, 서버는 TLS와 비TLS를 모두 허용합니다.
requireTLS	서버가 TLS로 암호화된 연결만 사용하고 허용합니다.

--tlsCAFile 또는 tls.CAFile이(가) 지정되지 않았고 x.509 인증을 사용하지 않는 경우 tlsUseSystemCA 매개변수를 true(으)로 설정해야 합니다. 따라서 MongoDB는 TLS 활성화 서버에 연결할 때 시스템 전체 CA 인증서 저장소를 사용합니다.

x.509 인증을 사용하는 경우 --tlsCertificateSelector를사용하지 않는 한 --tlsCAFile 또는 tls.CAFile 을 지정해야 합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.certificateKeyFile

유형: 문자열

버전 4.2에 추가: .pem 파일에 TLS 인증서와 키가 모두 포함되어 있습니다.

MongoDB 4 부터 시작합니다. macOS 또는 Windows의 0 에서는 net.tls.certificateSelector 설정을 사용하여 PEM 키 파일 대신 운영 체제의 보안 인증서 저장소에 있는 인증서를 지정할 수 있습니다. certificateKeyFile 와 net.tls.certificateSelector 은 상호 배타적입니다. 하나만 지정할 수 있습니다.

• Linux/BSD에서는 TLS가 활성화된 경우 net.tls.certificateKeyFile 를 지정해야 합니다.

• Windows 또는 macOS에서 TLS가 활성화된 경우 net.tls.certificateKeyFile 또는 net.tls.certificateSelector 를 지정해야 합니다.

  중요

  Windows의 경우에만 MongoDB 4.0 이상은 암호화된 PEM 파일을 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 시작되지 않습니다. Windows에서 TLS에 사용할 인증서를 안전하게 저장하고 액세스하려면 net.tls.certificateSelector 를 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.certificateKeyFilePassword

유형: 문자열

버전 4 에 추가되었습니다.2: 인증서 키 파일의 암호를 해독하기 위한 비밀번호(예: certificateKeyFile). 인증서 키 파일이 암호화된 경우에만 net.tls.certificateKeyFilePassword 옵션을 사용합니다. 모든 경우에 mongos 또는 mongod 는 모든 로깅 및 보고 출력에서 비밀번호를 삭제합니다.

MongoDB 4.0부터 도입됨,

• Linux/BSD에서 PEM 파일의 개인 키가 암호화되어 있고 net.tls.certificateKeyFilePassword 옵션을 지정하지 않은 경우, MongoDB는 암호를 입력하라는 메시지를 표시합니다.

  자세한 내용은 TLS/SSL 인증서 암호를 참조하세요.

• macOS에서 PEM 파일의 개인 키가 암호화된 경우 net.tls.certificateKeyFilePassword 옵션을 명시적으로 지정해야 합니다. 또는 PEM 키 파일 대신 보안 시스템 저장소( net.tls.certificateSelector 참조)의 인증서를 사용하거나 암호화되지 않은 PEM 파일을 사용할 수 있습니다.

• Windows에서 MongoDB는 암호화된 인증서를 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 실패합니다. 대신 net.tls.certificateSelector 을(를) 사용하세요.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.certificateSelector

유형: 문자열

버전 4.2에 추가됨: Windows 및 macOS에서 net.tls.certificateKeyFile의 대안으로 사용할 수 있습니다. MongoDB 4.0에서는 net.ssl.certificateSelector 참조하세요.

TLS에 사용하기 위해 운영 체제의 인증서 저장소에서 일치하는 인증서를 선택할 때 사용할 인증서 속성을 지정합니다.

net.tls.certificateKeyFile 및 net.tls.certificateSelector 옵션은 상호 배타적입니다. 하나만 지정할 수 있습니다.

net.tls.certificateSelector 은 <property>=<value> 형식의 인수를 허용하며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

시스템 SSL 인증서 저장소를 사용할 때 온라인 인증서 상태 프로토콜(OCSP)을 사용해 인증서의 해지 상태를 확인할 수 있습니다.

mongod 는 운영 체제의 보안 인증서 저장소에서 지정된 TLS 인증서의 전체 인증서 체인의 유효성을 검사하는 데 필요한 CA 인증서를 검색합니다. 구체적으로 설명하면, 보안 인증서 저장소에는 TLS 인증서에 대한 전체 인증서 체인을 구축하는 데 필요한 루트 CA와 중간 CA 인증서가 포함되어 있어야 합니다.

경고

및/또는 를 사용하는 net.tls.certificateSelector net.tls.clusterCertificateSelector 경우 또는 net.tls.CAFile net.tls.clusterFile 를 사용하여 루트 및 중간 CA 인증서를 지정 하지 않는 것이 좋습니다.

예를 들어, TLS/SSL 인증서가 단일 루트 CA 인증서로 서명된 경우, 보안 인증서 저장소에 해당 루트 CA 인증서가 포함되어 있어야 합니다. TLS/SSL 인증서가 중간 CA 인증서로 서명된 경우, 보안 인증서 저장소에는 중간 CA 인증서 와 루트 CA 인증서가 포함되어 있어야 합니다.

참고

로 설정된 db.rotateCertificates() 또는 rotateCertificates net.tls.certificateSelector 를 사용할 때는 명령 --tlsCertificateSelector 또는 셸 메서드를 사용할 수 없습니다.thumbprint

net.tls.clusterCertificateSelector

유형: 문자열

버전 4.2에 추가됨: Windows 및 macOS에서 net.tls.clusterFile의대안으로 사용할 수 있습니다.

운영 체제의 보안 인증서 저장소에서 내부 x.509 구성원 인증에 사용할 일치하는 인증서를 선택하는 인증서 속성을 지정합니다.

net.tls.clusterFile 및 net.tls.clusterCertificateSelector 옵션은 상호 배타적입니다. 하나만 지정할 수 있습니다.

net.tls.clusterCertificateSelector 은 <property>=<value> 형식의 인수를 허용하며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

mongod 는 운영 체제의 보안 인증서 저장소에서 지정된 cluster 인증서의 인증서 체인 전체의 유효성을 검색하는 데 필요한 CA 인증서를 검색합니다. 특히 보안 인증서 저장소에는 cluster 인증서에 대한 전체 인증서 체인을 구축하는 데 필요한 루트 CA와 중간 CA 인증서가 포함되어 있어야 합니다.

경고

및/또는 net.tls.certificateSelector 를 사용하는 경우 net.tls.clusterCertificateSelector 또는 net.tls.CAFile net.tls.clusterCAFile 를 사용하여 루트 및 중간 CA 인증서를 지정 하지 않는 것이 좋습니다.

예를 들어, 클러스터 인증서가 단일 루트 CA 인증서로 서명된 경우, 보안 인증서 저장소에 해당 루트 CA 인증서가 포함되어 있어야 합니다. 클러스터 인증서가 중간 CA 인증서로 서명된 경우, 보안 인증서 저장소에는 중간 CA 인증서 와 루트 CA 인증서가 포함되어 있어야 합니다.

mongod / mongos 는 x가 표시되면 연결 시 경고를 기록합니다.509 인증서가 mongod/mongos 호스트 시스템 시간으로부터 30 일 이내에 만료됩니다. x를 참조하세요. 자세한 내용은 509 인증서 만료 임박 trigger 경고 를 참조하세요.

net.tls.clusterFile

유형: 문자열

버전 4.2에 추가: 클러스터 또는 복제본 집합에 대한 구성원 인증을 위한 x.509 인증서 키 파일이 포함된 .pem 파일입니다.

MongoDB 4 부터 시작합니다. macOS 또는 Windows의 0 에서는 net.tls.clusterCertificateSelector 옵션을 사용하여 PEM 키 파일 대신 운영 체제의 보안 인증서 저장소에 있는 인증서를 지정할 수 있습니다. net.tls.clusterFile 및 net.tls.clusterCertificateSelector 옵션은 상호 배타적입니다. 하나만 지정할 수 있습니다.

net.tls.clusterFile 가 내부 클러스터 인증을 위한 .pem 파일 또는 대체 net.tls.clusterCertificateSelector 를 지정하지 않으면 클러스터는 certificateKeyFile 설정에 지정된 .pem 파일 또는 net.tls.certificateSelector 에서 반환한 인증서를 사용합니다.

x.509 인증을 사용하는 경우 --tlsCertificateSelector를사용하지 않는 한 --tlsCAFile 또는 tls.CAFile 을 지정해야 합니다.

mongod / mongos 는 x가 표시되면 연결 시 경고를 기록합니다.509 인증서가 mongod/mongos 호스트 시스템 시간으로부터 30 일 이내에 만료됩니다. x를 참조하세요. 자세한 내용은 509 인증서 만료 임박 trigger 경고 를 참조하세요.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

중요

Windows의 경우에만 MongoDB 4.0 이상은 암호화된 PEM 파일을 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 시작되지 않습니다. Windows에서 멤버십 인증에 사용할 인증서를 안전하게 저장하고 액세스하려면 net.tls.clusterCertificateSelector 를 사용합니다.

net.tls.clusterPassword

유형: 문자열

버전 4 에 추가되었습니다.2: x를 해독하기 위한 비밀번호입니다.509 인증서 키 파일이 --sslClusterFile 으로 지정되었습니다. 인증서 키 파일이 암호화된 경우에만 net.tls.clusterPassword 옵션을 사용합니다. 모든 경우에 mongos 또는 mongod 는 모든 로깅 및 보고 출력에서 비밀번호를 삭제합니다.

MongoDB 4.0부터 도입됨,

• Linux/BSD에서 개인 키가 x.509 파일이 암호화되어 있고 net.tls.clusterPassword 옵션을 지정하지 않으면 MongoDB에 암호를 입력하라는 메시지가 표시됩니다.

  자세한 내용은 TLS/SSL 인증서 암호를 참조하세요.

• macOS에서 개인 키가 x.509 파일이 암호화된 경우 net.tls.clusterPassword 옵션을 명시적으로 지정해야 합니다. 또는 클러스터 PEM 파일 대신 보안 시스템 저장소의 인증서( net.tls.clusterCertificateSelector 참조)를 사용하거나 암호화되지 않은 PEM 파일을 사용할 수 있습니다.

• Windows에서 MongoDB는 암호화된 인증서를 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 실패합니다. net.tls.clusterCertificateSelector 을(를) 사용하세요.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.clusterAuthX509

버전 7.0에 추가.

net:
   tls:
     clusterAuthX509:
       attributes: <string>
       extensionValue: <string>

net.tls.clusterAuthX509.attributes

유형: 문자열

버전 7.0에 추가.

서버가 클러스터 구성원 노드가 인증서 주체 이름에 포함해야 할 식별 이름(DN) 속성 및 값 집합을 설정합니다. 이를 통해 DC, O, OU 값이 포함되지 않은 인증서를 사용하여 클러스터 구성원을 인증할 수 있습니다.

attributes 0}을 설정하면 MongoDB는 DN을 사용하여 인증서를 일치시키고 확장자 값을 무시합니다.

net.tls.clusterAuthX509.extensionValue

유형: 문자열

버전 7.0에 추가.

MongoDB 클러스터 멤버 자격 확장 OID, 1.3.6.1.4.1.34601.2.1.2에 해당하는 확장 값을 지정합니다. 서버가 클러스터 멤버 노드가 인증서에 포함할 것으로 예상하는 것입니다. 이를 통해 DC, O, OU 값이 포함되지 않은 인증서를 사용하여 클러스터 구성원을 인증할 수 있습니다.

extensionValue 이 설정되면 MongoDB는 인증서 확장 값을 사용하여 인증서를 일치시키고 DN(고유 이름)을 무시합니다.

net.tls.CAFile

유형: 문자열

버전 4.2의 새로운 기능: 인증 기관의 루트 인증서 체인이 포함된 .pem 파일입니다. 상대 경로 또는 절대 경로를 사용해 .pem 파일의 이름을 지정합니다.

Windows/macOS 전용

net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector 을 사용하는 경우 net.tls.CAFile 를 사용하여 루트 및 중간 CA 인증서를 지정하지 마세요 . net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector 인증서의 전체 신뢰 체인을 검증하는 데 필요한 모든 CA 인증서를 보안 인증서 저장소에 저장합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.clusterCAFile

유형: 문자열

클라이언트가 연결을 구축할 때 제시한 인증서의 유효성을 검사할때 사용된 인증 기관의 루트 인증서 체인이 포함되어 있는 파일을 지정합니다..pem 상대 경로 또는 절대 경로를 사용해 .pem 파일의 이름을 지정합니다. net.tls.clusterCAFile{net.tls.CAFile 4}를 사용하려면 이 설정되어 있어야 합니다.

연결을 설정하는 클라이언트의 인증서 유효성을 검사하기 위해 net.tls.clusterCAFile 가 .pem 파일을 지정하지 않으면 클러스터는 net.tls.CAFile 옵션에 지정된 .pem 파일을 사용합니다.

net.tls.clusterCAFile 은 TLS 핸드셰이크의 클라이언트와 서버 간, 서버와 클라이언트 간 인증에 별도의 인증 기관을 사용할 수 있도록 허용합니다.

4 부터 시작됩니다.0, macOS 또는 Windows에서는 PEM 키 파일 대신 운영 체제의 보안 저장소에 있는 인증서를 사용할 수 있습니다. net.tls.clusterCertificateSelector 를 참조하세요. 보안 저장소를 사용할 때는 net.tls.clusterCAFile 을(를) 지정할 필요는 없지만 지정할 수도 있습니다.

Windows/macOS 전용

net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector 을 사용하는 경우 net.tls.clusterCAFile 를 사용하여 루트 및 중간 CA 인증서를 지정하지 마세요 . net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector 인증서의 전체 신뢰 체인을 검증하는 데 필요한 모든 CA 인증서를 보안 인증서 저장소에 저장합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.CRLFile

유형: 문자열

버전 4.2에 추가: MongoDB 4.0 이하에서는 net.ssl.CRLFile를참조하세요.

인증서 해지 목록이 포함된 .pem 파일입니다. 상대 경로 또는 절대 경로를 사용해 .pem 파일의 이름을 지정합니다.

참고

• MongoDB 4 부터 시작.0, macOS에서는 net.tls.CRLFile 를 지정할 수 없습니다. 대신 OCSP(온라인 인증서 상태 프로토콜)를 사용하여 인증서의 해지 상태를 확인하는 시스템 SSL 인증서 저장소를 사용할 수 있습니다. MongoDB 4 의 net.ssl.certificateSelector 를 참조하세요.0 및 net.tls.certificateSelector in MongoDB 4.2+ 시스템 SSL 인증서 저장소를 사용합니다.

• 인증서 해지를 확인하기 위해 MongoDB enables 는 CRL 파일을 지정하거나 시스템 SSL 인증서 저장소를 사용하는 대신 기본적으로 OCSP(온라인 인증서 상태 프로토콜)를 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.allowConnectionsWithoutCertificates

유형: 부울

버전 4.2에 추가되었습니다.

서버가 CA 파일을 사용하도록 구성되어 있는 경우를 제외하고 서버는 클라이언트 인증서 검증을 우회하도록 기본 설정되어 있습니다. CA 파일이 제공된 경우 다음 규칙이 적용됩니다.

• 인증서를 제공하지 않는 클라이언트의 경우, mongod 또는 mongos는 연결이 성공적으로 이루어졌다고 가정하여 TLS/SSL 연결을 암호화합니다.

• 인증서를 제시하는 클라이언트의 경우, mongos 또는 mongod 는 CAFile 에서 지정한 루트 인증서 체인을 사용하여 인증서 유효성 검사를 수행하고 유효하지 않은 인증서를 가진 클라이언트를 거부합니다.

net.tls.allowConnectionsWithoutCertificates 또는 mongos 에 인증서를 제공하지 않거나 제공할 수 없는 클라이언트를 포함하는 혼합 배포가 있는 경우 옵션을 mongod 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.allowInvalidCertificates

유형: 부울

버전 4.2에 추가되었습니다.

클러스터의 다른 서버에서 TLS 인증서에 대한 유효성 검사를 사용하거나 사용하지 않도록 설정하고 유효하지 않은 인증서를 사용하여 연결할 수 있도록 허용합니다.

참고

x.509 인증을 사용할 때 --tlsAllowInvalidCertificates 또는 tls.allowInvalidCertificates: true을(를) 지정하는 경우, 유효하지 않은 인증서는 TLS 연결을 설정하는 데는 충분하지만, 인증에는 충분하지 않습니다.

net.tls.allowInvalidCertificates 설정을 사용할 때 MongoDB는 유효하지 않은 인증서 사용과 관련된 경고를 기록합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL에서 mongod 및 mongos 구성과 내부/멤버십 인증을 참조하세요.

net.tls.allowInvalidHostnames

유형: 부울

기본값: false

net.tls.allowInvalidHostnames이 true이면 MongoDB는 TLS 인증서의 호스트 이름 유효성 검사를 비활성화합니다. 이렇게 하면 인증서의 호스트 이름이 지정된 호스트 이름과 일치하지 않더라도 mongod 또는 mongos가 클러스터의 다른 MongoDB 인스턴스에 연결할 수 있습니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL에서 mongod 및 mongos 구성을 참조하세요.

net.tls.disabledProtocols

유형: 문자열

TLS로 실행 중인 MongoDB 서버가 1개 또는 그 이상의 특정 프로토콜을 사용하는 수신 연결을 허용하지 않도록 방지합니다. 여러 프로토콜을 지정하려면 쉼표로 구분된 프로토콜 목록을 사용하되 쉼표 뒤에 공백을 사용하지 마십시오. 프로토콜 이름 앞에 공백을 포함하면 서버는 이를 인식할 수 없는 프로토콜로 해석하여 시작하지 않습니다.

net.tls.disabledProtocols 은(는) TLS1_0, TLS1_1, TLS1_2 및 TLS1_3 프로토콜을 인식합니다.

• macOS에서는 TLS1_1을(를) 비활성화하고 TLS1_0 및 TLS1_2을(를) 전부 활성화된 상태로 둘 수 없습니다. TLS1_0,TLS1_1와(과) 같이 다른 2개의 프로토콜 중 적어도 하나를 비활성화해야 합니다.

• 여러 프로토콜을 나열하려면 쉼표 뒤에 공백 없이 쉼표로 구분된 프로토콜 목록을 지정하십시오. 예: TLS1_0,TLS1_1.

• 인식할 수 없는 프로토콜을 지정하거나 쉼표 뒤에 공백을 포함하면 서버가 시작되지 않습니다.

• 지정된 비활성화 프로토콜은 기본으로 설정된 비활성화 프로토콜을 덮어씁니다.

MongoDB는 TLS 1 사용을 비활성화합니다.0 if TLS 1. 시스템에서 1+를 사용할 수 있습니다. TLS 1 를 활성화합니다.0, none ~ net.tls.disabledProtocols 을 지정합니다.

복제본 세트와 샤드 클러스터의 구성원은 적어 하나의 공통된 프로토콜을 사용해야 합니다.

팁

다음도 참조하세요.

프로토콜 허용 안 함

net.tls.FIPSMode

유형: 부울

버전 4.2에 추가되었습니다.

mongos 또는 mongod 에 대한 TLS 라이브러리의 FIPS 모드 사용을 활성화하거나 비활성화합니다. net.tls.FIPSMode 옵션을 사용하려면 시스템에 FIPS를 준수하는 라이브러리가 있어야 합니다.

참고

FIPS와 호환되는 TLS/SSL은 MongoDB Enterprise 에서만 사용할 수 있습니다. 자세한 내용 은 FIPS용 MongoDB 구성 을 참조하세요.

net.tls.logVersions

유형: 문자열

mongos mongod 2} 또는 에 클라이언트가 지정된 TLS 버전을 사용하여 연결할 때 메시지를 기록하도록 지시합니다.

단일 TLS 버전을 지정하거나 여러 TLS 버전의 쉼표로 구분된 목록을 지정하십시오.

예제

클라이언트가 TLS 1 를 사용하여 연결할 때 메시지를 기록하도록 mongos 또는 mongod 에 지시합니다.2 또는 TLS 1.3, net.tls.logVersions 을 "TLS1_2,TLS1_3" 로 설정합니다.

net.ssl 옵션

net:
   ssl:                            # deprecated since 4.2
      sslOnNormalPorts: <boolean>  # deprecated since 2.6
      mode: <string>
      PEMKeyFile: <string>
      PEMKeyPassword: <string>
      certificateSelector: <string>
      clusterCertificateSelector: <string>
      clusterFile: <string>
      clusterPassword: <string>
      CAFile: <string>
      clusterCAFile: <string>
      CRLFile: <string>
      allowConnectionsWithoutCertificates: <boolean>
      allowInvalidCertificates: <boolean>
      allowInvalidHostnames: <boolean>
      disabledProtocols: <string>
      FIPSMode: <boolean>

net.ssl.sslOnNormalPorts

유형: 부울

버전 2.6 이후 사용 중단됨: 대신 net.tls.mode: requireTLS을(를) 사용하세요.

2} 또는 에 mongos 대해 TLS/SSL을 사용하거나 사용하지 mongod 않도록 설정합니다.

net.ssl.sslOnNormalPorts 사용하면 mongos 또는 mongod 기본 MongoDB 포트 또는 net.port 에서 지정한 포트의 모든 연결에 대해 TLS/SSL 암호화가 필요합니다. 기본적으로 net.ssl.sslOnNormalPorts 는 비활성화되어 있습니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.mode

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.mode을(를) 사용하세요.

모든 네트워크 연결에 TLS/SSL 또는 혼합 TLS/SSL을 활성화합니다. net.ssl.mode 설정에 대한 인수는 다음 중 하나일 수 있습니다.

값	설명
disabled	서버가 TLS/SSL을 사용하지 않습니다.
allowSSL	서버 간 연결이 TLS/SSL을 사용하지 않습니다. 수신 연결의 경우, 서버는 TLS/SSL과 비TLS/비SSL을 모두 허용합니다.
preferSSL	서버 간 연결이 TLS/SSL을 사용합니다. 수신 연결의 경우, 서버는 TLS/SSL과 비TLS/비SSL을 모두 허용합니다.
requireSSL	서버가 TLS로 암호화된 연결만 사용하고 허용합니다.

--tlsCAFile/net.tls.CAFile (또는 그 별칭 --sslCAFile/net.ssl.CAFile)이(가) 지정되지 않았고 x.509 인증을 사용하지 않는 경우 tlsUseSystemCA 매개변수를 true(으)로 설정해야 합니다. 따라서 MongoDB는 TLS 활성화 서버에 연결할 때 시스템 전체 CA 인증서 저장소를 사용합니다.

--tlsCertificateSelector 또는 --net.tls.certificateSelector을(를) 사용하지 않는 한, x.509 인증을 사용하려면 반드시 --tlsCAFile 또는 net.tls.CAFile을(를) 지정해야 합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.PEMKeyFile

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.certificateKeyFile을(를) 사용하세요.

TLS/SSL 인증서와 키가 모두 포함된 .pem 파일입니다.

MongoDB 4 부터 시작합니다. macOS 또는 Windows의 0 에서는 net.ssl.certificateSelector 설정을 사용하여 PEM 키 파일 대신 운영 체제의 보안 인증서 저장소에 있는 인증서를 지정할 수 있습니다. PEMKeyFile 와 net.ssl.certificateSelector 은 상호 배타적입니다. 하나만 지정할 수 있습니다.

• Linux/BSD에서는 TLS/SSL이 활성화된 경우 net.ssl.PEMKeyFile 를 지정해야 합니다.

• Windows 또는 macOS에서 TLS/SSL이 활성화된 경우 net.ssl.PEMKeyFile 또는 net.ssl.certificateSelector 를 지정해야 합니다.

  중요

  Windows의 경우에만 MongoDB 4.0 이상은 암호화된 PEM 파일을 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 시작되지 않습니다. Windows에서 TLS/SSL에 사용할 인증서를 안전하게 저장하고 액세스하려면 net.ssl.certificateSelector 를 사용합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.PEMKeyPassword

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.certificateKeyFilePassword을(를) 사용하세요.

인증서 키 파일의 암호를 해독하기 위한 비밀번호(예: PEMKeyFile)입니다. 인증서 키 파일이 암호화된 경우에만 net.ssl.PEMKeyPassword 옵션을 사용합니다. 모든 경우에 mongos 또는 mongod 는 모든 로깅 및 보고 출력에서 비밀번호를 삭제합니다.

MongoDB 4.0부터 도입됨,

• Linux/BSD에서 PEM 파일의 개인 키가 암호화되어 있고 net.ssl.PEMKeyPassword 옵션을 지정하지 않은 경우, MongoDB는 암호를 입력하라는 메시지를 표시합니다.

  자세한 내용은 TLS/SSL 인증서 암호를 참조하세요.

• macOS에서 PEM 파일의 개인 키가 암호화된 경우 net.ssl.PEMKeyPassword 옵션을 명시적으로 지정해야 합니다. 또는 PEM 키 파일 대신 보안 시스템 저장소( net.ssl.certificateSelector 참조)의 인증서를 사용하거나 암호화되지 않은 PEM 파일을 사용할 수 있습니다.

• Windows에서 MongoDB는 암호화된 인증서를 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 실패합니다. 대신 net.ssl.certificateSelector 을(를) 사용하세요.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.certificateSelector

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.certificateSelector을(를) 사용하세요.

버전 4.0에 추가되었습니다:net.ssl.PEMKeyFile 2}의 대안으로 Windows 및 macOS에서 사용할 수 있습니다.

TLS에 사용하기 위해 운영 체제의 인증서 저장소에서 일치하는 인증서를 선택할 때 사용할 인증서 속성을 지정합니다.

net.ssl.PEMKeyFile 및 net.ssl.certificateSelector 옵션은 상호 배타적입니다. 하나만 지정할 수 있습니다.

net.ssl.certificateSelector 은 <property>=<value> 형식의 인수를 허용하며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

시스템 SSL 인증서 저장소를 사용할 때 온라인 인증서 상태 프로토콜(OCSP)을 사용해 인증서의 해지 상태를 확인할 수 있습니다.

는 mongod 운영 체제의 보안 인증서 저장소에서 지정된 TLS/SSL 인증서의 전체 인증서 체인의 유효성을 검사하는 데 필요한 CA 인증서를 검색합니다. 구체적으로 설명하면, 보안 인증서 저장소에는 TLS/SSL 인증서에 대한 전체 인증서 체인을 구축하는 데 필요한 루트 CA와 중간 CA 인증서가 포함되어 있어야 합니다. 또는 net.ssl.CAFile net.ssl.clusterFile 를 사용하여 루트 및 중간 CA 인증서를 지정하지 마세요 .

예를 들어, TLS/SSL 인증서가 단일 루트 CA 인증서로 서명된 경우, 보안 인증서 저장소에 해당 루트 CA 인증서가 포함되어 있어야 합니다. TLS/SSL 인증서가 중간 CA 인증서로 서명된 경우, 보안 인증서 저장소에는 중간 CA 인증서 와 루트 CA 인증서가 포함되어 있어야 합니다.

net.ssl.clusterCertificateSelector

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.clusterCertificateSelector을(를) 사용하세요.

버전 4.0에 추가되었습니다:net.ssl.clusterFile 2}의 대안으로 Windows 및 macOS에서 사용할 수 있습니다.

운영 체제의 보안 인증서 저장소에서 내부 x.509 구성원 인증에 사용할 일치하는 인증서를 선택하는 인증서 속성을 지정합니다.

net.ssl.clusterFile 및 net.ssl.clusterCertificateSelector 옵션은 상호 배타적입니다. 하나만 지정할 수 있습니다.

net.ssl.clusterCertificateSelector 은 <property>=<value> 형식의 인수를 허용하며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

는 운영 체제의 보안 인증서 저장소에서 지정된 클러스터 인증서의 인증서 체인 전체의 유효성을 검사하는 데 필요한 CA 인증서를 검색합니다. 특히 mongod 보안 인증서 저장소에는 클러스터 인증서에 대한 전체 인증서 체인을 구축하는 데 필요한 루트 CA와 중간 CA 인증서가 포함되어 있어야 합니다. 루트 및 중간 CA 인증서를 지정하는 데 net.ssl.CAFile 또는 를 사용하지 마세요 .net.ssl.clusterFile

예를 들어, 클러스터 인증서가 단일 루트 CA 인증서로 서명된 경우, 보안 인증서 저장소에 해당 루트 CA 인증서가 포함되어 있어야 합니다. 클러스터 인증서가 중간 CA 인증서로 서명된 경우, 보안 인증서 저장소에는 중간 CA 인증서 와 루트 CA 인증서가 포함되어 있어야 합니다.

net.ssl.clusterFile

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.clusterFile을(를) 사용하세요.

클러스터 또는 복제본 집합에 대한 구성원 인증을 위한 x.509 인증서 키 파일이 들어 있는 .pem 파일입니다.

MongoDB 4 부터 시작합니다. macOS 또는 Windows의 0 에서는 net.ssl.clusterCertificateSelector 옵션을 사용하여 PEM 키 파일 대신 운영 체제의 보안 인증서 저장소에 있는 인증서를 지정할 수 있습니다. net.ssl.clusterFile 및 net.ssl.clusterCertificateSelector 옵션은 상호 배타적입니다. 하나만 지정할 수 있습니다.

net.ssl.clusterFile 가 내부 클러스터 인증을 위한 .pem 파일 또는 대체 net.ssl.clusterCertificateSelector 를 지정하지 않으면 클러스터는 PEMKeyFile 설정에 지정된 .pem 파일 또는 net.ssl.certificateSelector 에서 반환한 인증서를 사용합니다.

--tlsCertificateSelector 또는 --net.tls.certificateSelector을(를) 사용하지 않는 한, x.509 인증을 사용하려면 반드시 --tlsCAFile 또는 net.tls.CAFile을(를) 지정해야 합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

중요

Windows의 경우에만 MongoDB 4.0 이상은 암호화된 PEM 파일을 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 시작되지 않습니다. Windows에서 멤버십 인증에 사용할 인증서를 안전하게 저장하고 액세스하려면 net.ssl.clusterCertificateSelector 를 사용합니다.

net.ssl.clusterPassword

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.clusterPassword을(를) 사용하세요.

x의509 암호를 해독하기 위한 --sslClusterFile net.ssl.clusterPassword 비밀번호입니다. 으)로 지정된 인증서-키 파일입니다. 인증서 키 파일이 암호화된 경우에만 옵션을 사용합니다. 모든 경우에 mongos 또는 mongod 는 모든 로깅 및 보고 출력에서 비밀번호를 삭제합니다.

MongoDB 4.0부터 도입됨,

• Linux/BSD에서 개인 키가 x.509 파일이 암호화되어 있고 net.ssl.clusterPassword 옵션을 지정하지 않으면 MongoDB에 암호를 입력하라는 메시지가 표시됩니다.

  자세한 내용은 TLS/SSL 인증서 암호를 참조하세요.

• macOS에서 개인 키가 x.509 파일이 암호화된 경우 net.ssl.clusterPassword 옵션을 명시적으로 지정해야 합니다. 또는 클러스터 PEM 파일 대신 보안 시스템 저장소의 인증서( net.ssl.clusterCertificateSelector 참조)를 사용하거나 암호화되지 않은 PEM 파일을 사용할 수 있습니다.

• Windows에서 MongoDB는 암호화된 인증서를 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 실패합니다. net.ssl.clusterCertificateSelector 을(를) 사용하세요.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.CAFile

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.CAFile을(를) 사용하세요.

인증 기관의 루트 인증서 체인이 포함된 .pem 파일을 지정합니다. 상대 경로 또는 절대 경로를 사용해 .pem 파일의 이름을 지정합니다.

Windows/macOS 전용

net.ssl.certificateSelector 및/또는 net.ssl.clusterCertificateSelector 을 사용하는 경우 net.ssl.CAFile 를 사용하여 루트 및 중간 CA 인증서를 지정하지 마세요 . net.ssl.certificateSelector 및/또는 net.ssl.clusterCertificateSelector 인증서의 전체 신뢰 체인을 검증하는 데 필요한 모든 CA 인증서를 보안 인증서 저장소에 저장합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.clusterCAFile

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.clusterCAFile을(를) 사용하세요.

클라이언트가 연결을 구축할 때 제시한 인증서의 유효성을 검사하는 데 사용된 인증 기관의 루트 인증서 체인이 포함된 .pem 파일입니다. 상대 경로 또는 절대 경로를 사용하여 .pem 파일의 이름을 지정합니다. net.ssl.clusterCAFile 를 사용하려면 net.ssl.CAFile 이(가) 설정되어 있어야 합니다.

연결을 설정하는 클라이언트의 인증서 유효성을 검사하기 위해 net.ssl.clusterCAFile 가 .pem 파일을 지정하지 않으면 클러스터는 net.ssl.CAFile 옵션에 지정된 .pem 파일을 사용합니다.

net.ssl.clusterCAFile 은 TLS 핸드셰이크의 클라이언트와 서버 간, 서버와 클라이언트 간 인증에 별도의 인증 기관을 사용할 수 있도록 허용합니다.

4 부터 시작됩니다.0, macOS 또는 Windows에서는 PEM 키 파일 대신 운영 체제의 보안 저장소에 있는 인증서를 사용할 수 있습니다. net.ssl.clusterCertificateSelector 를 참조하세요. 보안 저장소를 사용할 때는 net.ssl.clusterCAFile 을(를) 지정할 필요는 없지만 지정할 수도 있습니다.

Windows/macOS 전용

net.ssl.certificateSelector 및/또는 net.ssl.clusterCertificateSelector 을 사용하는 경우 net.ssl.clusterCAFile 를 사용하여 루트 및 중간 CA 인증서를 지정하지 마세요 . net.ssl.certificateSelector 및/또는 net.ssl.clusterCertificateSelector 인증서의 전체 신뢰 체인을 검증하는 데 필요한 모든 CA 인증서를 보안 인증서 저장소에 저장합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.CRLFile

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.CRLFile을(를) 사용하세요.

인증서 해지 목록이 포함된 .pem 파일입니다. 상대 경로 또는 절대 경로를 사용해 .pem 파일의 이름을 지정합니다.

참고

• MongoDB 4 부터 시작.0, macOS에서는 net.ssl.CRLFile 를 지정할 수 없습니다. 대신 OCSP(온라인 인증서 상태 프로토콜)를 사용하여 인증서의 해지 상태를 확인하는 시스템 SSL 인증서 저장소를 사용할 수 있습니다. MongoDB 4 의 net.ssl.certificateSelector 를 참조하세요.0 및 net.tls.certificateSelector in MongoDB 4.2 시스템 SSL 인증서 저장소를 사용합니다.

• MongoDB 는 기본적으로 CRL 파일을 지정하거나 시스템 SSL 인증서 저장소를 사용하는 대신 OCSP(온라인 인증서 상태 프로토콜)를 사용하여 인증서 해지를 확인할 수 있도록 합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.allowConnectionsWithoutCertificates

유형: 부울

버전 4.2 이후 사용 중단됨: 대신 net.tls.allowConnectionsWithoutCertificates을(를) 사용하세요.

인증서를 제공하지 않는 클라이언트의 경우, mongod 또는 mongos는 연결이 성공적으로 이루어졌다고 가정하여 TLS/SSL 연결을 암호화합니다.

그러나 인증서를 제시하는 클라이언트의 경우 mongos 또는 mongod 는 CAFile 에서 지정한 루트 인증서 체인을 사용하여 인증서 유효성 검사를 수행하고 유효하지 않은 인증서를 가진 클라이언트를 거부합니다.

net.ssl.allowConnectionsWithoutCertificates 또는 mongos 에 인증서를 제공하지 않거나 제공할 수 없는 클라이언트를 포함하는 혼합 배포가 있는 경우 옵션을 mongod 사용합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.allowInvalidCertificates

유형: 부울

버전 4.2 이후 사용 중단됨: 대신 net.tls.allowInvalidCertificates을(를) 사용하세요.

클러스터의 다른 서버에서 TLS/SSL 인증서에 대한 유효성 검사를 사용하거나 사용하지 않도록 설정하고 유효하지 않은 인증서를 사용하여 연결할 수 있도록 허용합니다.

참고

MongoDB 4.0부터는 다음과 같은 x.509 인증 옵션을 지정할 경우 유효하지 않은 인증서로도 TLS 연결을 설정할 수는 있지만, 인증에는 충분하지 않습니다.

• --sslAllowInvalidCertificates 또는 net.ssl.allowInvalidCertificates: true(MongoDB 4.0 이상의 경우)

• --tlsAllowInvalidCertificates 또는 net.tls.allowInvalidCertificates: true(MongoDB 4.2 이상의 경우)

net.ssl.allowInvalidCertificates 설정을 사용할 때 MongoDB는 유효하지 않은 인증서 사용과 관련된 경고를 기록합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.allowInvalidHostnames

유형: 부울

기본값: false

버전 4.2부터 폐지되었습니다.

대신 net.tls.allowInvalidHostnames 을(를) 사용하세요.

net.ssl.allowInvalidHostnames true 인 경우, MongoDB는 TLS/SSL 인증서의 호스트 이름 유효성 검사를 비활성화하여 인증서의 호스트 이름이 지정된 호스트 이름과 일치하지 않는 경우 mongod 이 MongoDB 인스턴스에 연결할 수 있도록 합니다.

TLS/SSL 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.ssl.disabledProtocols

유형: 문자열

버전 4.2 이후 사용 중단됨: 대신 net.tls.disabledProtocols을(를) 사용하세요.

TLS/SSL로 실행 중인 MongoDB 서버가 1개 또는 그 이상의 특정 프로토콜을 사용하는 수신 연결을 허용하지 않도록 방지합니다. 여러 프로토콜을 지정하려면 쉼표로 구분된 프로토콜 목록을 사용합니다.

net.ssl.disabledProtocols 은(는) TLS1_0, TLS1_1, TLS1_2 및 버전 4 부터 시작하는 프로토콜을 인식합니다.0.4 (및 3.6.9), TLS1_3.

• macOS에서는 TLS1_1을(를) 비활성화하고 TLS1_0 및 TLS1_2을(를) 전부 활성화된 상태로 둘 수 없습니다. TLS1_0,TLS1_1와(과) 같이 다른 2개의 프로토콜 중 적어도 하나를 비활성화해야 합니다.

• 여러 프로토콜을 나열하려면 쉼표로 구분된 프로토콜 목록으로 지정합니다( 예: TLS1_0,TLS1_1).

• 인식할 수 없는 프로토콜을 지정하면 서버가 시작되지 않습니다.

• 지정된 비활성화 프로토콜은 기본으로 설정된 비활성화 프로토콜을 덮어씁니다.

버전 4 부터 시작됩니다.0, MongoDB는 TLS 1 사용을 비활성화합니다.0 if TLS 1. 시스템에서 1+를 사용할 수 있습니다. 비활성화된 TLS를 활성화하려면 1 을(를) 사용합니다.0, none 를 net.ssl.disabledProtocols 로 지정합니다.

복제본 세트와 샤드 클러스터의 구성원은 적어 하나의 공통된 프로토콜을 사용해야 합니다.

팁

다음도 참조하세요.

프로토콜 허용 안 함

net.ssl.FIPSMode

유형: 부울

버전 4.2 이후 사용 중단됨: 대신 net.tls.FIPSMode을(를) 사용하세요.

mongos 또는 mongod 에 대한 TLS/SSL 라이브러리의 FIPS 모드 사용을 활성화하거나 비활성화합니다. net.ssl.FIPSMode 옵션을 사용하려면 시스템에 FIPS를 준수하는 라이브러리가 있어야 합니다.

참고

FIPS와 호환되는 TLS/SSL은 MongoDB Enterprise 에서만 사용할 수 있습니다. 자세한 내용 은 FIPS용 MongoDB 구성 을 참조하세요.

net.compression 옵션

net:
   compression:
      compressors: <string>

net.compression.compressors

기본값: snappy, zstd, zlib

이 mongod 또는 mongos 인스턴스와 통신하는 데 사용할 기본 압축기를 지정합니다:

• 인스턴스가 복제본 세트나 샤드 클러스터의 일부인 경우 배포서버의 다른 구성원

• mongosh

• OP_COMPRESSED 메시지 형식을 지원하는 드라이버입니다.

MongoDB는 다음과 같은 압축 옵션을 지원합니다.

• 스내피

• zlib (MongoDB 3.6부터 사용 가능)

• zstd (MongoDB 4.2부터 사용 가능)

버전 3.6 및 4.0에서 mongod 및 mongos는 기본적으로 snappy 을 압축기로 사용하여 네트워크 압축을 활성화합니다.

버전 4.2부터 mongod 및 mongos 인스턴스는 기본적으로 snappy,zstd,zlib 개의 압축기(순서대로)를 모두 사용합니다.

네트워크 압축을 사용하지 않으려면 값을 disabled로 설정합니다.

중요

양쪽 당사자가 네트워크 압축을 활성화하면 메시지가 압축됩니다. 그렇지 않으면 양 당사자 간의 메시지는 압축되지 않습니다.

여러 압축기를 지정하는 경우 통신 개시자뿐만 아니라 압축기를 나열하는 순서도 중요합니다. 예를 들어 이 다음 네트워크 압축기 mongosh 를 zlib,snappy 지정하고 이 mongod 지정하는 snappy,zlib mongosh 경우 와 mongod 사이의 메시지는 zlib 을 사용합니다.

당사자가 공통 압축기를 하나 이상 공유하지 않는 경우 당사자 간의 메시지는 압축되지 않습니다. 예를 들어 mongosh 이 네트워크 압축기 zlib 를 지정하고 mongod 이 snappy 지정하는 경우 mongosh 와 mongod 사이의 메시지는 압축되지 않습니다.

키 관리 구성 옵션

security:
   enableEncryption: <boolean>
   encryptionCipherMode: <string>
   encryptionKeyFile: <string>
   kmip:
      keyIdentifier: <string>
      rotateMasterKey: <boolean>
      serverName: <string>
      port: <string>
      clientCertificateFile: <string>
      clientCertificatePassword: <string>
      clientCertificateSelector: <string>
      serverCAFile: <string>
      connectRetries: <int>
      connectTimeoutMS: <int>
      activateKeys: <boolean>
      keyStatePollingSeconds: <int>

security.enableEncryption

유형: 부울

기본값: false

WiredTiger 스토리지 엔진의 암호화를 활성화합니다. 암호화 키 및 구성을 전달하려면 true 로 설정해야 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.encryptionCipherMode

유형: 문자열

기본값: AES256-CBC

미사용 데이터 암호화에 사용할 수 있는 암호화 모드는 다음과 같습니다.

모드	설명
AES256-CBC	Cipher Block Chaining 모드에서 256비트 고급 암호화 표준
AES256-GCM	Galois/Counter 모드에서 256비트 고급 암호화 표준 Linux에서만 사용할 수 있습니다. 버전 4.0에서 변경됨: Windows용 MongoDB Enterprise에서는 더 이상 미사용 데이터 암호화를 위한 블록 암호로 AES256-GCM을(를) 지원하지 않습니다. 이 사용 방식은 Linux에서만 지원됩니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.encryptionKeyFile

유형: 문자열

KMIP 이외 의 프로세스를 통해 키를 관리할 때 로컬 키 파일의 경로입니다. KMIP 이외의 프로세스를 통해 키를 관리하는 경우에만 설정합니다. 데이터가 이미 KMIP를 사용하여 암호화된 경우 MongoDB에서 오류가 발생합니다.

security.enableEncryption 가 true 이어야 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.keyIdentifier

유형: 문자열

KMIP 서버에 있는 기존 키의 고유 KMIP 식별자입니다. 식별자와 연결된 키를 시스템 키로 사용하려면 포함합니다. mongod 인스턴스에 대해 암호화를 처음 활성화할 때만 설정을 사용할 수 있습니다. 참이 되려면 security.enableEncryption 가 필요합니다.

지정되지 않았을 경우 MongoDB는 KMIP 서버에 시스템 키로 사용할 새로운 키를 생성하도록 요청합니다.

KMIP 서버가 지정된 식별자의 키를 찾을 수 없거나 데이터가 이미 키로 암호화된 경우 MongoDB에서 오류가 발생합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.rotateMasterKey

유형: 부울

기본값: false

참인 경우, 마스터키를 순환시키고 내부 키 저장소를 다시 암호화합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

팁

다음도 참조하세요.

KMIP 마스터키 순환

security.kmip.serverName

유형: 문자열

연결할 KMIP 서버의 호스트 이름 또는 IP 주소입니다. 참이 되려면 security.enableEncryption 가 필요합니다.

MongoDB 4 부터 시작.2.1 ( 4.0.14), 여러 KMIP 서버를 쉼표로 구분된 목록으로 지정할 수 있습니다(예: server1.example.com,server2.example.com. 시작 시 mongod 는 나열된 순서대로 각 서버에 연결을 시도하고 연결을 설정할 수 있는 첫 번째 서버를 선택합니다. KMIP 서버 선택은 시작 시에만 발생합니다.

mongod 는 시작 시 KMIP 서버에 대한 연결을 확인합니다.

--kmipServerName 에 지정된 서버 이름은 KMIP 서버에서 제공하는 인증서의 주체 대체 이름 SAN 또는 일반 이름 CN 과 일치해야 합니다. SAN 는 시스템 이름 또는 IP 주소일 수 있습니다.

0}이 있으면 은 와 SAN 일치를 시도하지 않습니다. mongod CN

KMIP 서버의 호스트 이름 또는 IP 주소가 SAN 또는 CN 중 하나와 일치하지 않는 경우 mongod 가 시작되지 않습니다.

MongoDB 4.2부터는 SAN 비교를 수행할 때 MongoDB에서 DNS 이름 또는 IP 주소 비교가 지원됩니다. 이전 버전에서는 MongoDB에서 DNS 이름 비교만 지원됐습니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.port

유형: 문자열

기본값: 5696

KMIP 서버와 통신하는 데 사용하는 포트 번호입니다. security.kmip.serverName 필요합니다. 참이 되려면 security.enableEncryption 가 필요합니다.

security.kmip.serverName 으로 여러 KMIP 서버를 지정하는 경우 mongod 는 제공된 모든 KMIP 서버에 대해 security.kmip.port 로 지정된 포트를 사용합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.clientCertificateFile

유형: 문자열

KMIP 서버에 MongoDB를 인증하는 데 사용되는 .pem 파일의 경로입니다. 표시된 .pem 파일에는 TLS/SSL 인증서와 키가 모두 포함되어 있어야 합니다.

이 설정을 사용하려면 security.kmip.serverName 설정도 지정해야 합니다.

참고

4 부터 시작됩니다.0, macOS 또는 Windows에서는 PEM 키 파일 대신 운영 체제의 보안 저장소에 있는 인증서를 사용할 수 있습니다. security.kmip.clientCertificateSelector 를 참조하세요.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.clientCertificatePassword

유형: 문자열

클라이언트 인증서를 해독하기 위한 비밀번호(예: security.kmip.clientCertificateFile)로, KMIP 서버에 MongoDB를 인증하는 데 사용됩니다. 인증서가 암호화된 경우에만 이 옵션을 사용합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.clientCertificateSelector

유형: 문자열

버전 4 에 추가되었습니다.0: (및 5.0)

Windows 및 macOS에서 security.kmip.clientCertificateFile 의 대안으로 사용할 수 있습니다.

security.kmip.clientCertificateFile 및 security.kmip.clientCertificateSelector 옵션은 상호 배타적입니다. 하나만 지정할 수 있습니다.

운영 체제의 인증서 저장소에서 일치하는 인증서를 선택해 MongoDB를 KMIP 서버에 인증할 때 사용할 인증서 속성을 지정합니다.

security.kmip.clientCertificateSelector 은 <property>=<value> 형식의 인수를 허용하며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.serverCAFile

유형: 문자열

CA 파일의 경로입니다. KMIP 서버에 대한 보안 클라이언트의 연결 유효성을 검사하는 데 사용됩니다.

참고

4 부터 시작됩니다.0, macOS 또는 Windows에서는 PEM 키 파일 대신 운영 체제의 보안 저장소에 있는 인증서를 사용할 수 있습니다. security.kmip.clientCertificateSelector 를 참조하세요. 보안 저장소를 사용할 때는 security.kmip.serverCAFile 을(를) 지정할 필요는 없지만 지정할 수도 있습니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.connectRetries

형식: int

기본값: 0

KMIP 서버에 대한 초기 연결을 재시도할 수 있는 횟수입니다. connectTimeoutMS 와 함께 사용하여 각 재시도 사이에 mongod 가 응답을 기다리는 시간을 제어합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.connectTimeoutMS

형식: int

기본값: 5000

KMIP 서버의 응답을 기다리는 시간 제한(밀리초)입니다. connectRetries 설정이 지정된 경우 mongod 는 재시도할 때마다 connectTimeoutMS 로 지정된 값까지 기다립니다.

값은 1000 이상이어야 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.activateKeys

유형: 부울

기본값: true

버전 5.3에 추가.

키가 생성될 때마다 새로 생성된 모든 KMIP 키를 활성화하고, 이러한 키가 활성 상태에 있는지 주기적으로 확인합니다.

security.kmip.activateKeys 이(가) true 이고 KMIP 서버에 기존 키가 있는 경우, 먼저 키를 활성화해야 하며 그렇지 않으면 mongod 노드가 시작되지 않습니다.

mongod에서 사용 중인 키가 비활성 상태로 전환되면 kmipActivateKeys 이 거짓이 아닌 한 mongod 노드가 종료됩니다. 활성 키가 있는지 확인하려면 security.kmip.rotateMasterKey 를 사용하여 KMIP 마스터 키를 순환합니다.

security.kmip.keyStatePollingSeconds

형식: int

기본값: 900초

버전 5.3에 추가.

가 활성 키를 위해 KMIP 서버를 폴링하는 빈도(초)입니다.

폴링 비활성화를 비활성화하려면 값을 -1 ~로 설정합니다.

security.kmip.useLegacyProtocol

유형: 부울

기본값: false

버전 7.0에 추가됨: (및 6.0.6)

true일 때 mongod은(는) 기본 버전 대신 KMIP 프로토콜 버전인 1.0 또는 1.1을 사용합니다. 기본 KMIP 프로토콜은 버전 1.2입니다.

KMIP 버전 1.0 또는 1.1에서 감사 로그 암호화를 사용하려면 스타트업 시 auditEncryptKeyWithKMIPGet을(를) 지정해야 합니다.

KMIP 프로토콜 버전 1.0 또는 1.1을 사용하려면 로컬 값을 대체하고 mongod 구성 파일에 다음과 같은 항목을 추가하십시오.

security:
  enableEncryption: true
  kmip:
    serverName: "mdbhost.somecompany.com"
    serverCAFile: "security/libs/trusted-ca.pem"
    clientCertificateFile: "security/libs/trusted-client.pem"
    useLegacyProtocol: true

security.sasl 옵션

security:
   sasl:
      hostName: <string>
      serviceName: <string>
      saslauthdSocketPath: <string>

security.sasl.hostName

유형: 문자열

SASL 및 Kerberos 인증을 구성하기 위한 정규화된 서버 도메인 이름입니다. SASL 호스트 이름은 SASL 및 Kerberos 구성에 대해서만 호스트 이름을 재정의합니다.

security.sasl.serviceName

유형: 문자열

SASL을 사용하는 서비스의 등록 이름입니다. 이 옵션을 사용하면 인스턴스별로 Kerberos 주 이름의 기본 Kerberos 서비스 이름 구성 요소를 재정의할 수 있습니다. 지정하지 않으면 기본값이 mongodb 사용됩니다.

MongoDB는 시작 시에만 이 옵션을 설정할 수 있습니다. setParameter 는 이 설정을 변경할 수 없습니다.

이 옵션은 MongoDB Enterprise에서만 사용할 수 있습니다.

중요

드라이버가 대체 서비스 이름을 지원하는지 확인합니다.mongosh 새로운 에 연결하는 및 기타 MongoDB 도구에 serviceName 대해서는 gssapiServiceName 옵션을 참조하세요.

security.sasl.saslauthdSocketPath

유형: 문자열

0}에 대한 UNIX 도메인 소켓 파일의 경로입니다.saslauthd

security.ldap 옵션

security:
   ldap:
      servers: <string>
      bind:
         method: <string>
         saslMechanisms: <string>
         queryUser: <string>
         queryPassword: <string | array>
         useOSDefaults: <boolean>
      transportSecurity: <string>
      timeoutMS: <int>
      retryCount: <int>
      userToDNMapping: <string>
      authz:
         queryTemplate: <string>
      validateLDAPServerConfig: <boolean>

security.ldap.servers

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

2} 또는 가 사용자를 mongod mongos 인증하거나 사용자가 지정된 데이터베이스에서 수행할 수 있는 작업을 결정하는 LDAP 서버입니다. 지정된 LDAP 서버에 복제된 인스턴스가 있는 경우 각 복제된 서버의 호스트와 포트를 쉼표로 구분된 목록으로 지정할 수 있습니다.

LDAP 인프라가 여러 LDAP 서버에 걸쳐 LDAP 디렉토리를 분할하는 경우,하나 의 LDAP 서버 또는 해당 서버의 복제된 security.ldap.servers 인스턴스를 으로 지정합니다. MongoDB는 RFC 에 정의된 대로 다음과 같은 LDAP 참조를 4511 4지원합니다.1.10. 인프라의 모든 LDAP 서버를 나열하는 데 security.ldap.servers 를 사용하지 마세요.

LDAP 서버의 접두사 앞에 srv: 및 srv_raw:를 붙일 수 있습니다.

연결 문자열에 "srv:<DNS_NAME>"이 지정되어 있는 경우 mongod는 Active Directory를 지원하는 SRV에 "_ldap._tcp.gc._msdcs.<DNS_NAME>"이 있는지 확인합니다. 이를 찾을 수 없는 경우 mongod는 SRV에 대해 "_ldap._tcp.<DNS_NAME>"이 존재하는지 확인합니다. SRV 레코드를 찾을 수 없는 경우 mongod는 "srv_raw:<DNS_NAME>"을 대신 사용하라는 경고를 표시합니다.

연결 문자열이 "srv_raw:<DNS_NAME>"을 지정하는 경우 mongod는 "<DNS NAME>"에 대한 SRV 레코드 조회를 수행합니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

설정하지 않으면 mongod 또는 mongos는 LDAP 인증 또는 권한부여를 사용할 수 없습니다.

security.ldap.bind.queryUser

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

LDAP 서버에 연결하거나 LDAP 서버에서 쿼리를 수행할 때 mongod 또는 mongos 바인드되는 ID입니다.

다음 중 하나라도 해당하는 경우에만 필요합니다.

• LDAP 권한 부여.

• security.ldap.userToDNMapping 에 대한 LDAP 쿼리 사용.

• LDAP 서버가 익명 바인딩을 허용하지 않음

queryUser 을 queryPassword 와 함께 사용해야 합니다.

설정하지 않으면 mongod 또는 mongos 가 LDAP 서버에 바인딩을 시도하지 않습니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

참고

Windows MongoDB 배포는 useOSDefaults 및 queryUser 대신 를 queryPassword 사용할 수 있습니다.queryUser 와 를 useOSDefaults 동시에 지정할 수는 없습니다.

security.ldap.bind.queryPassword

유형: 문자열 또는 배열

MongoDB Enterprise에서만 사용할 수 있습니다.

queryUser 을(를) 사용할 때 LDAP 서버에 바인딩하는 데 사용되는 비밀번호입니다. queryPassword 를 queryUser 와 함께 사용해야 합니다.

설정하지 않으면 mongod 또는 mongos가 LDAP 서버에 바인딩을 시도하지 않습니다.

8}을 사용하여 실행 중인 또는 mongos 에서 이 mongod setParameter 설정을 구성할 수 있습니다.

ldapQueryPassword setParameter 명령은 문자열 또는 문자열 배열을 허용합니다. ldapQueryPassword 배열에 설정하면, MongoDB는 성공할 때까지 각 암호를 순서대로 시도합니다. 비밀번호 배열을 사용하여 다운타임 없이 LDAP 계정 비밀번호를 롤오버할 수 있습니다.

참고

Windows MongoDB 배포는 useOSDefaults 및 queryUser 대신 를 queryPassword 사용할 수 있습니다.queryPassword 와 를 useOSDefaults 동시에 지정할 수는 없습니다.

security.ldap.bind.useOSDefaults

유형: 부울

기본값: false

Windows 플랫폼용 MongoDB Enterprise에서만 사용할 수 있습니다.

mongod mongos 2} 또는 가 LDAP 서버에 연결할 때 Windows 로그인 자격 증명을 사용하여 인증 또는 바인딩할 수 있도록 허용합니다.

다음과 같은 경우에만 필요합니다.

• LDAP 권한 부여.

• username transformation 에 대한 LDAP 쿼리 사용.

• LDAP 서버가 익명 바인딩을 허용하지 않음

useOSDefaults 을 사용하여 queryUser 및 queryPassword 을(를) 대체합니다.

security.ldap.bind.method

유형: 문자열

기본값: 단순

MongoDB Enterprise에서만 사용할 수 있습니다.

mongod 또는 mongos 가 LDAP 서버에 인증하는 데 사용하는 메서드입니다. queryUser 및 queryPassword 와 함께 사용하여 LDAP 서버에 연결합니다.

method 다음 값을 지원합니다.

• simple - mongod 2} 또는 는 간편 인증을 mongos 사용합니다.

• sasl - mongod 2} 또는 mongos 는 인증에 SASL 프로토콜을 사용합니다.

sasl 을 지정하면 security.ldap.bind.saslMechanisms 를 사용하여 사용 가능한 SASL 메커니즘을 구성할 수 있습니다. mongod 또는 mongos 는 기본적으로 DIGEST-MD5 메커니즘을 사용합니다.

security.ldap.bind.saslMechanisms

유형: 문자열

기본값입니다: DIGEST-MD5

MongoDB Enterprise에서만 사용할 수 있습니다.

쉼표로 구분된 SASL 메커니즘 mongod 또는 mongos의 목록으로, LDAP 서버에 인증할 때 사용할 수 있습니다. mongod 8} 또는 과 LDAP 서버는 하나 이상의 메커니즘에 동의해야 mongos 합니다. mongod mongos 14} 또는 은 런타임에 호스트 머신에 설치된 모든 SASL 메커니즘 라이브러리를 동적으로 로드합니다.

2} 또는 호스트와 원격 LDAP 서버 호스트 mongod mongos 모두에 선택한 SASL 메커니즘에 적합한 라이브러리를 설치 및 구성합니다. 운영 체제에는 기본적으로 특정 SASL 라이브러리가 포함되어 있을 수 있습니다. 설치 및 구성에 대한 지침은 각 SASL 메커니즘과 관련된 설명서를 참조하세요.

Kerberos 인증에 GSSAPI SASL 메커니즘을 사용하는 경우 mongod 또는 mongos 호스트 컴퓨터에 대해 다음을 확인합니다:

Linux

• KRB5_CLIENT_KTNAME 환경 변수는 호스트 시스템의 클라이언트 Linux 키탭 파일 이름으로 확인됩니다. Kerberos 환경 변수에 대한 자세한 내용은 Kerberos 설명서를 참조하세요.

• 클라이언트 키 탭에는 LDAP 서버에 연결하고 LDAP 쿼리를 실행할 때 사용할 mongod 또는 에 대한 사용자 인증서가 포함되어 있습니다.mongos

Windows

Active Directory 서버에 연결하는 경우 Windows Kerberos 구성은 자동으로 티켓 부여 티켓을 생성합니다. 사용자가 시스템에 로그인할 때.useOSDefaults 를 true 로 mongod 설정하여 또는 가 Active Directory 서버에 연결할 때 생성된 자격 증명을 사용하고 쿼리를 실행할 수 있도록 허용합니다.mongos

이 옵션을 사용하려면 method 를 sasl 로 설정합니다.

참고

SASL 메커니즘의 전체 목록은 IANA 목록 을 참조하세요. . 해당 서비스와 호환되는 SASL 메커니즘을 확인하려면 해당 LDAP 또는 Active Directory 서비스의 설명서를 참조하세요.

MongoDB는 SASL 메커니즘 라이브러리의 출처가 아닙니다. 또한, MongoDB 설명서는 특정 SASL 메커니즘 설치나 구성을 위한 절대적인 출처가 아닙니다. 설명서와 지원은 SASL 메커니즘 라이브러리 공급업체나 소유자에게 요청하시기 바랍니다.

SASL에 관한 자세한 내용은 다음 리소스를 참조하세요.

• Linux의 경우 Cyrus SASL 설명서를 참조하세요.

• Windows의 경우 Windows SASL 설명서를 참조하세요.

security.ldap.transportSecurity

유형: 문자열

기본값: tls

MongoDB Enterprise에서만 사용할 수 있습니다.

기본적으로 mongod 또는 mongos는 LDAP 서버에 대한 TLS/SSL 보안 연결을 생성합니다.

Linux 배포의 경우 파일에서 적절한 TLS 옵션을 구성해야 /etc/openldap/ldap.conf 합니다. 운영 체제의 패키지 관리자는 종속성을 통해 MongoDB Enterprise 설치의 일부로 이 파일을 생성합니다.libldap TLS Options ldap.conf OpenLDAP 설명서 에서 에 대한 설명서를 참조하세요. 자세한 내용은

Windows 배포서버의 경우, 반드시 LDAP 서버 CA 인증서를 Windows 인증서 관리 도구에 추가해야 합니다.도구의 정확한 이름과 기능은 운영 체제의 버전에 따라 다를 수 있습니다.인증서 관리에 관한 자세한 정보는 Windows 버전별 설명서를 참조하세요.

transportSecurity 를 none 로 설정하여 mongod 또는 mongos 와 LDAP 서버 간의 TLS/SSL을 비활성화합니다.

경고

transportSecurity 를 none 로 설정하면 mongod 또는 mongos 와 LDAP 서버 간에 일반 텍스트 정보와 자격 증명이 전송될 수 있습니다.

security.ldap.timeoutMS

형식: int

기본값: 10000

MongoDB Enterprise에서만 사용할 수 있습니다.

LDAP 서버가 요청에 응답할 때까지 대기해야 하는 시간(밀리초) mongod 또는 mongos입니다.

timeoutMS 값을 늘리면 실패의 원인이 연결 시간 초과인 경우 MongoDB 서버와 LDAP 서버 간의 연결 실패를 방지할 수 있습니다. timeoutMS 값을 줄이면 MongoDB가 LDAP 서버의 응답을 기다리는 시간이 줄어듭니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

security.ldap.retryCount

버전 6.1에 추가.

형식: int

기본값: 0

MongoDB Enterprise에서만 사용할 수 있습니다.

네트워크 오류 후 서버 LDAP 관리자가 작업을 다시 시도한 횟수입니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

security.ldap.userToDNMapping

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

인증을 위해 mongod 또는 mongos 에 제공된 사용자 이름을 LDAP DN(고유 이름)에 매핑합니다. 다음 시나리오에서는 userToDNMapping 를 사용하여 사용자 이름을 LDAP DN으로 변환해야 할 수 있습니다.

• 사용자가 완전한 LDAP DN이 아닌 사용자 이름으로 MongoDB에서 인증하는 간단한 LDAP 바인딩을 사용해 LDAP 인증을 실행하는 경우

• DN이 필요한 LDAP authorization query template 를 사용합니다.

• 다양한 인증 메커니즘(예: x.509, kerberos)을 사용하여 Mongo DB에 인증하는 클라이언트의 사용자 이름을 권한 부여를 위해 전체 LDAP DN으로 변환합니다.

userToDNMapping 은(는) 문서의 정렬된 배열을 나타내는 따옴표로 묶인 JSON 문자열을 기대합니다. 각 문서에는 정규 표현식 match 와 들어오는 사용자 이름을 변환하는 데 사용되는 substitution 또는 ldapQuery 템플릿이 포함되어 있습니다.

배열의 각 문서는 다음과 같은 형식을 갖습니다.

{
  match: "<regex>"
  substitution: "<LDAP DN>" | ldapQuery: "<LDAP Query>"
}

필드	설명	예제
match	제공된 사용자 이름과 일치하는 ECMAScript 형식의 정규 표현식(regex)입니다. 괄호로 묶인 각 섹션은 substitution 또는 ldapQuery에서 사용하는 regex 캡처 그룹을 나타냅니다.	"(.+)ENGINEERING" "(.+)DBA"
substitution	정규식과 일치하는 인증 이름을 LDAP DN으로 변환하는 LDAP DN(고유 이름)match 서식 지정 템플릿입니다.중괄호로 묶인 각 숫자 값은 해당 정규식 캡처 그룹 으로 대체됩니다.match regex를 통해 인증 사용자 이름에서 추출합니다. 대체 결과는 RFC4514 이어야 합니다. 이스케이프된 문자열.	"cn={0},ou=engineering, dc=example,dc=com"
ldapQuery	정규식과 일치하는 인증 match 이름을 RFC4515 및 RFC 에 따라 인코딩된 LDAP 쿼리 URI에 삽입하는 LDAP 쿼리 서식4516 지정 템플릿입니다. 중괄호로 묶인 각 숫자 값은 해당 정규식 캡처 그룹 으로 match 대체됩니다. 표현식을 통해 인증mongod 사용자 이름에서 추출됩니다. 또는 mongos 는 LDAP 서버에 대해 쿼리를 실행하여 인증된 사용자의 LDAP DN을mongod 검색합니다. 또는 변환이 성공하려면 mongos mongod mongos 정확히 하나의 반환된 결과가 필요하며, 또는 는 이 변환을 건너뜁니다.	"ou=engineering,dc=example, dc=com??one?(user={0})"

참고

RFC 에 대한 설명 ,RFC4514 4515, RFC 또는 LDAP 쿼리는 MongoDB 문서의 범위를 벗어납니다. RFC를 직접 검토하거나 선호하는 LDAP 리소스를 사용하세요.4516

배열의 각 문서에 대해 substitution 또는 ldapQuery 사용해야 합니다. 동일한 문서에서 둘 다 지정할 수는 없습니다 .

인증 또는 권한 부여를 수행할 때 mongod 또는 mongos는 지정된 순서대로 배열의 각 문서를 살펴보고 match 필터와 비교하여 인증 사용자 이름을 확인합니다. 일치하는 항목이 발견되면 mongod 또는 mongos가 변환을 적용하고 출력을 사용하여 사용자를 인증합니다. mongod 또는 mongos 는 배열의 나머지 문서를 확인하지 않습니다.

제공된 문서가 제공된 인증 이름과 일치하지 않으면 mongod 또는 mongos가 문서 목록을 계속 진행하여 일치하는 문서를 추가로 찾습니다. 문서에서 일치하는 항목이 없거나 문서에서 설명하는 변환이 실패하면 mongod 또는 mongos이 오류를 반환합니다.

mongod 또는 mongos 는 LDAP 서버의 네트워킹 또는 인증 실패로 인해 변환 중 하나를 평가할 수 없는 경우에도 오류를 반환합니다. mongod 또는 mongos 연결 요청을 거부하고 배열의 나머지 문서를 확인하지 않습니다.

MongoDB 5 부터 시작.0, userToDNMapping 는 매핑 문서 대신 빈 문자열 "" 또는 빈 배열 [ ] 을 허용합니다. userToDNMapping 에 빈 문자열 또는 빈 배열을 제공하는 경우 MongoDB는 인증된 사용자 이름을 LDAP DN으로 매핑합니다. 이전에는 빈 매핑 문서를 제공하면 매핑이 실패했습니다.

예제

다음은 두 개의 변환 문서를 보여줍니다. 첫 번째 문서는 @ENGINEERING 로 끝나는 모든 문자열과 일치하여 접미사 앞에 오는 모든 항목을 정규식 캡처 그룹에 배치합니다. 두 번째 문서는 @DBA 로 끝나는 모든 문자열과 일치하여 접미사 앞에 오는 모든 항목을 정규식 캡처 그룹에 배치합니다.

중요

--ldapUserToDNMapping에 배열을 문자열로 전달해야 합니다.

"[
   {
      match: "(.+)@ENGINEERING.EXAMPLE.COM",
      substitution: "cn={0},ou=engineering,dc=example,dc=com"
   },
   {
      match: "(.+)@DBA.EXAMPLE.COM",
      ldapQuery: "ou=dba,dc=example,dc=com??one?(user={0})"
   }
]"

사용자 이름이 alice@ENGINEERING.EXAMPLE.COM인 사용자가 첫 번째 문서와 일치합니다. Regex 캡처 그룹 {0}은 문자열 alice에 해당합니다. 결과 출력은 DN "cn=alice,ou=engineering,dc=example,dc=com"입니다.

사용자 이름이 bob@DBA.EXAMPLE.COM 인 사용자가 두 번째 문서와 일치합니다. 정규식 캡처 그룹 {0} 은 문자열 bob에 해당합니다. 결과 출력은 LDAP 쿼리 "ou=dba,dc=example,dc=com??one?(user=bob)"입니다. {mongod 6} 또는 은 mongos LDAP 서버에 대해 이 쿼리를 실행하여 결과 을 반환합니다."cn=bob,ou=dba,dc=example,dc=com"

userToDNMapping 이 설정되지 않은 경우 mongod 또는 mongos 는 LDAP 서버에 대해 사용자를 인증하거나 권한을 부여하려고 할 때 사용자 이름에 변환을 적용하지 않습니다.

이 설정은 실행 중인 mongod 또는 mongos에서 setParameter 데이터베이스 명령을 사용하여 구성할 수 있습니다.

security.ldap.authz.queryTemplate

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

RFC4515 을 준수하는 형식의 mongod 상대 LDAP 쿼리 URL입니다. 및 RFC 가 인증된 사용자가 속한 LDAP 그룹을 가져오기 위해4516 security.ldap.servers 실행합니다. 쿼리는 에 지정된 하나 이상의 호스트를 기준으로 합니다.

URL에서 다음과 같은 대체 토큰을 사용할 수 있습니다.

대체 토큰	설명
{USER}	인증된 사용자 이름을 대체하거나 이 지정된 transformed userToDNMapping 경우 사용자 이름을 대체합니다.
{PROVIDED_USER}	제공된 사용자 이름(예: 인증 또는 LDAP transformation 이전)을 대체합니다. 버전 4.2에 추가되었습니다.

쿼리 URL을 구성할 때 LDAP 매개 변수의 순서가 RFC4516을 준수하는지 확인하세요.

[ dn  [ ? [attributes] [ ? [scope] [ ? [filter] [ ? [Extensions] ] ] ] ] ]

쿼리에 속성이 포함된 경우 mongod는 쿼리에서 이 엔터티가 멤버인 DN의 목록을 검색한다고 가정합니다.

쿼리에 속성이 포함되지 않은 경우 mongod는 쿼리에서 사용자가 멤버인 모든 엔티티를 검색한다고 가정합니다.

쿼리에서 반환된 각 LDAP DN에 대해 mongod는 admin 데이터베이스에서 권한이 부여된 사용자에게 해당 역할을 할당합니다. 4} 데이터베이스의 역할이 DN과 정확히 일치하는mongod 경우 admin 은 사용자에게 해당 역할에 할당된 역할 및 권한을 부여합니다. 역할 생성에 대한 자세한 내용은 db.createRole() 방법을 참조하세요.

예제

이 LDAP 쿼리는 LDAP 사용자 개체의 memberOf 속성에 나열된 모든 그룹을 반환합니다.

"{USER}?memberOf?base"

LDAP 구성에 memberOf 속성이 사용자 스키마의 일부로 포함되어 있지 않거나, 그룹 멤버십을 보고하는 데 다른 속성이 있거나, 속성을 통해 그룹 멤버십을 추적하지 못할 수 있습니다. 고유한 LDAP 구성과 관련하여 쿼리를 구성합니다.

설정하지 않으면 mongod 은 LDAP를 사용하는 사용자를 인증할 수 없습니다.

이 설정은 실행 중인 mongod에서 setParameter 데이터베이스 명령을 사용하여 구성할 수 있습니다.

참고

RFC 에 대한 설명 ,RFC 또는 LDAP4515 쿼리는 MongoDB 문서의 범위를 벗어납니다. RFC를직접 검토하거나 선호하는 LDAP 리소스를 사용하세요.4516

security.ldap.validateLDAPServerConfig

유형: 부울

기본값: true

MongoDB Enterprise에서만 사용할 수 있습니다.

mongod 또는 mongos 인스턴스가 시작의 일부로 LDAP server(s) 의 가용성을 확인하는지 여부를 결정하는 플래그입니다.

• true mongod mongos 0}이면 또는 인스턴스가 가용성 검사를 수행하여 LDAP 서버를 사용할 수 있는 경우에만 계속 시작합니다.

• 0}이면 false mongod 또는 인스턴스는 가용성 확인을 건너뜁니다.mongos 즉, LDAP 서버를 사용할 수 없는 경우에도 인스턴스가 시작됩니다.

LDAP 매개변수

setParameter.ldapUserCacheInvalidationInterval

형식: int

기본값: 30

LDAP 인증을 사용하는 mongod서버와 함께 사용합니다.

외부 사용자 캐시 플러시 사이의 대기 간격 (초) mongod 5}가 외부 사용자 캐시를 플러시한 후 MongoDB는 다음에 LDAP 권한이 있는 사용자가 작업을 실행할 때 LDAP 서버에서 권한 부여 데이터를 다시 mongod 가져옵니다.

지정된 값을 늘리면 mongod 시간이 늘어나고 LDAP 서버가 동기화되지 않을 수 있지만 LDAP 서버의 로드는 줄어듭니다. 반대로 지정된 값을 줄이면 시간 mongod 이 줄어들고 LDAP 서버의 부하가 증가하면서 LDAP 서버가 동기화되지 않을 수 있습니다.

setParameter:
   ldapUserCacheInvalidationInterval: <int>