Configurar TLS em implantações autogerenciadas

Criar um arquivo-chave

Cada nó utiliza o conteúdo de um arquivo de chave para autenticar outros membros da implantação. Crie um arquivo de chave usando o seguinte comando:

openssl rand -base64 756 > /etc/ssl/mongodb/keyfile
chmod 400 /etc/ssl/mongodb/keyfile

Copie o arquivo-chave para cada nó em seu sistema. Certifique-se de restringir permissões no arquivo de chave para que somente o processo mongod possa ler o arquivo.

Editar o arquivo de configuração em cada nó

Em cada nó, localize e abra seu mongod arquivo de configuração do. Se o arquivo não existir, crie-o. Adicione as seguintes opções de TLS. Use caminhos absolutos para os arquivos de certificado.

Por exemplo, o arquivo de configuração do nó primário tem a seguinte aparência:

net:
  tls:
    mode: allowTLS
    certificateKeyFile: /etc/ssl/mongodb/mongo0.pem
    CAFile: /etc/ssl/mongodb/ca.pem
    allowConnectionsWithoutCertificates: true
security:
  clusterAuthMode: keyFile
  keyFile: /etc/ssl/mongodb/keyfile
setParameter:
  tlsWithholdClientCertificate: true

• mode definido como allowTLS aceita conexões TLS, mas não as exige, para que os nós possam concluir uma reinicialização contínua sem interromper a replicação.

• certificateKeyFile especifica o certificado do nó. Substitua o nome do arquivo pelo arquivo de chave de certificado do nó específico que você está configurando. CAFile especifica o certificado da CA que assinou o certificado do nó.

• allowConnectionsWithoutCertificates permite que os clientes se conectem sem fornecer um certificado TLS.

• clusterAuthMode definido como keyFile permite que os nós se autentiquem usando um arquivo de chave. keyFile especifica o arquivo de chave que os nós utilizam para autenticar uns aos outros.

• tlsWithholdClientCertificate impede que o nó apresente seu certificado de servidor ao fazer conexões de saída para outros nós no cluster. Isso é necessário porque impede que os nós usem certificados de autenticação de servidor para autenticação de cliente , especialmente se seus certificados não incluírem a clientAuth EKU.

Reinicie os membros do conjunto de réplicas

Reinicie o processo do mongod para aplicar a nova configuração TLS. Para aplicar a configuração sem tempo de inatividade, reinicie os nós de forma contínua.

Em cada host do seu sistema, começando com os nós secundários e terminando com o nó primary, execute o seguinte:

sudo systemctl restart mongod

Para verificar se a reinicialização contínua foi concluída com sucesso, execute o seguinte comando em cada host:

sudo systemctl status mongod

Atualize a configuração para impor o TLS

Depois que todos os nós forem reiniciados com êxito com o TLS ativado, atualize o arquivo de configuração em cada nó. Altere net.tls.mode de allowTLS para requireTLS para impor conexões criptografadas para todos os clientes e membros:

net:
  tls:
    mode: requireTLS

Reinicie os membros do conjunto de réplicas

Reinicie o processo do mongod para aplicar a nova configuração TLS. Para aplicar a configuração sem tempo de inatividade, reinicie os nós de forma contínua.

Em cada host do seu sistema, começando com os nós secundários e terminando com o nó primary, execute o seguinte:

sudo systemctl restart mongod

Para verificar se a reinicialização contínua foi concluída com sucesso, execute o seguinte comando em cada host:

sudo systemctl status mongod

Editar o arquivo de configuração em cada nó

Em cada nó, localize e abra seu mongod arquivo de configuração do. Se o arquivo não existir, crie-o. Adicione as seguintes opções de TLS. Use caminhos absolutos para os arquivos de certificado.

Por exemplo, o arquivo de configuração do nó primário tem a seguinte aparência:

net:
  tls:
    mode: allowTLS
    certificateKeyFile: /etc/ssl/mongodb/mongo0.pem
    CAFile: /etc/ssl/mongodb/ca.pem
    allowConnectionsWithoutCertificates: true
    clusterAuthX509:
      attributes: O=MongoDB
security:
  clusterAuthMode: x509

• mode definido como allowTLS aceita conexões TLS, mas não as exige, para que os nós possam concluir uma reinicialização contínua sem interromper a replicação.

• certificateKeyFile especifica o certificado do nó. Substitua o nome do arquivo pelo arquivo de chave de certificado do nó específico que você está configurando. CAFile especifica o certificado da CA que assinou o certificado do nó.

• allowConnectionsWithoutCertificates permite que os clientes se conectem sem fornecer um certificado TLS.

• net.tls.clusterAuthX509.attributes especifica os atributos de certificado X.509 que identificam um nó como membro do cluster, em vez de um cliente normal. Para atributos de certificado exigidos, consulte Membro X.509 Certificado.

• clusterAuthMode definido como x509 permite que os nós autentiquem-se usando509 certificados X..

Reinicie os membros do conjunto de réplicas

Reinicie o processo do mongod para aplicar a nova configuração TLS. Para aplicar a configuração sem tempo de inatividade, reinicie os nós de forma contínua.

Em cada host do seu sistema, começando com os nós secundários e terminando com o nó primary, execute o seguinte:

sudo systemctl restart mongod

Para verificar se a reinicialização contínua foi concluída com sucesso, execute o seguinte comando em cada host:

sudo systemctl status mongod

Atualize a configuração para impor o TLS

Depois que todos os nós forem reiniciados com êxito com o TLS ativado, atualize o arquivo de configuração em cada nó. Altere net.tls.mode de allowTLS para requireTLS para impor conexões criptografadas para todos os clientes e membros:

net:
  tls:
    mode: requireTLS

Reinicie os membros do conjunto de réplicas

Reinicie o processo do mongod para aplicar a nova configuração TLS. Para aplicar a configuração sem tempo de inatividade, reinicie os nós de forma contínua.

Em cada host do seu sistema, começando com os nós secundários e terminando com o nó primary, execute o seguinte:

sudo systemctl restart mongod

Para verificar se a reinicialização contínua foi concluída com sucesso, execute o seguinte comando em cada host:

sudo systemctl status mongod

Inspecione os registros para verificar a configuração do TLS

Após a conclusão da reinicialização contínua , inspecione os registros em cada nó para verificar se o TLS está configurado corretamente. Seus registros devem incluir o seguinte conteúdo para verificar se a autenticação mTLS e X.509 está configurada corretamente:

"msg":"Successfully authenticated",
"attr": {
  "isClusterMember":true,
  "mechanism":"MONGODB-X509",
  "user":"CN=mongo1.example.com,O=MongoDB,L=New York City,ST=New-York,C=US"
}

Você deve ver uma mensagem de registro semelhante para cada um dos outros dois nós em seu conjunto de réplicas. Por exemplo, se você examinar os registros em mongo0, deverá ver mensagens semelhantes às acima para mongo1 e mongo2.