자체 관리형 MongoDB 에서 X.509 로 클러스터 멤버십 확인

인증서 요구 사항

TLS가 활성화되면, 멤버 인증서를 사용하여 샤딩된 클러스터 또는 복제본 세트의 내부 연결에 대한 멤버 자격을 확인합니다. 멤버 인증서 파일 경로는 net.tls.clusterFile 및 net.tls.certificateKeyFile 옵션을 사용하여 구성할 수 있습니다. 멤버에게는 다음과 같은 구성 요구 사항이 있습니다.

• 클러스터 멤버 구성은 인증에 사용되는 속성 중 하나 이상에 대해 비어 있지 않은 값을 지정해야 합니다. 기본적으로 MongoDB는 다음을 허용합니다.

  • 조직 (O)

  • 조직 단위 (OU)

  • 도메인 구성 요소 (DC)

  MongoDB 모든 멤버 인증서에서 항목이 정확히 일치하는지 확인합니다. 여러 OU 값을 나열하는 경우 모든 인증서는 동일한 목록을 사용해야 합니다.

  net.tls.clusterAuthX509.extensionValue를 설정하여 인증에 사용할 대체 속성을 지정할 수 있습니다.

• 클러스터 멤버 구성에는 동일한 net.tls.clusterAuthX509.attributes이 포함되어야 하며 일치하는 값을 사용해야 합니다. 속성 순서는 중요하지 않습니다. 다음 예에서는 O과 OU 설정하지만 DC는 설정하지 않습니다.

  net:
    tls:
      clusterAuthX509:
        attributes: O=MongoDB, OU=MongoDB Server

mongod --setParameter enforceUserClusterSeparation=false

인증서에는 다음과 같은 요구 사항이 있습니다.

• 단일 인증 기관(CA)은 샤딩된 클러스터 또는 복제본 세트 의 멤버에 대해 모든 X.509 인증서를 발급해야 합니다.

• Subject Alternative Name (SAN) 항목 중 하나 이상은 다른 클러스터 멤버가 사용하는 서버 호스트 이름과 일치해야 합니다. SAN을 비교할 때 MongoDB는 DNS 이름 또는 IP 주소 중 하나를 비교할 수 있습니다.

  subjectAltName를 지정하지 않으면 MongoDB 대신 CN(일반 이름)을 비교합니다. 그러나 이러한 CN 사용은 RFC2818에 따라 더 이상 사용되지 않습니다.

키 사용 및 확장 키 사용은 인증서와 연결된 키의 사용을 엄격하게 정의하고 제한하는 X.509 확장입니다. 이 확장은 모두 선택 사항입니다. tlsCertificateKeyFile 또는 tlsClusterFile 가 이러한 확장자가 생략된 인증서를 점 경우 인증서 사용에 제한이 적용 않습니다.

tlsCertificateKeyFile 또는 tlsClusterFile 에 사용되는 X.509 인증서에 확장 키 사용(EKU) 확장자가 포함된 경우 다음 규칙을 준수해야 합니다.

• tlsCertificateKeyFile EKU에 serverAuth 를 포함해야 합니다.

  extendedKeyUsage = serverAuth

• tlsClusterFile EKU에 clientAuth 을 포함해야 합니다.

  extendedKeyUsage = clientAuth

• tlsClusterFile 이 생략되고 tlsCertificateKeyFile 만 구성된 경우 tlsCertificateKeyFile 는 EKU에 serverAuth 및 clientAuth 를 모두 포함해야 합니다.

  extendedKeyUsage = clientAuth, serverAuth

tlsCertificateKeyFile 또는 tlsClusterFile 에 사용된 X.509 인증서에 키 사용(KU) 확장자가 포함된 경우 다음과 같이 설정하다 .

• tlsCertificateKeyFile KU 확장자에 digitalSignature, keyEncipherment 및 keyAgreement 를 포함해야 합니다.

  keyUsage = digitalSignature, keyEncipherment, keyAgreement

• tlsClusterFile KU 확장자에 digitalSignature 를 포함해야 합니다.

  keyUsage = digitalSignature

명령줄 옵션 사용(tls)

mongod --replSet <name> --tlsMode requireTLS --clusterAuthMode x509 --tlsClusterFile <path to membership certificate and key PEM file> --tlsCertificateKeyFile <path to TLS/SSL certificate and key file> --tlsCAFile <path to root CA file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to its TLS/SSL certificate and key file>
      CAFile: <path to root CA PEM file to verify received certificate>
      clusterFile: <path to its certificate key file for membership authentication>
   bindIp: localhost,<hostname(s)|ip address(es)>

자세한 내용은 자체 관리형 배포에서 TLS/SSL을 위한 MongoDB 인스턴스 구성을 참조하세요.

명령줄 옵션 사용(ssl)

mongod --replSet <name> --sslMode requireSSL --clusterAuthMode x509 --sslClusterFile <path to membership certificate and key PEM file> --sslPEMKeyFile <path to TLS/SSL certificate and key PEM file> --sslCAFile <path to root CA PEM file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   ssl:
      mode: requireSSL
      PEMKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>
      clusterFile: <path to X.509 membership certificate and key PEM file>
   bindIp: localhost,<hostname(s)|ip address(es)>

자세한 내용은 자체 관리형 배포에서 TLS/SSL을 위한 MongoDB 인스턴스 구성을 참조하세요.