db.rotateCertificates() (método mongosh)

Definição

db.rotateCertificates(message)

Gira os certificados TLS usados atualmente para um mongod ou para usar os valores atualizados para esses certificados definidos no mongos arquivode configuração.

db.rotateCertificates(message)

The db.rotateCertificates() method takes the following optional argument:

Parâmetro	Tipo	Descrição
message	string	opcional Uma mensagem registrada pelo servidor no arquivo de log e no arquivo de auditoria.

O método db.rotateCertificates() rotateCertificates envolve o comando.

Compatibilidade

Esse método está disponível em implantações hospedadas nos seguintes ambientes:

• MongoDB Enterprise: a versão autogerenciada e baseada em assinatura do MongoDB

• MongoDB Community: uma versão com código disponível, de uso gratuito e autogerenciada do MongoDB

Saída

The db.rotateCertificates() method returns a document with the following field:

Comportamento

A rotação inclui os seguintes certificados:

• TLS Certificates

• CRL (Certificate Revocation List) files (em plataformas Linux e Windows)

• CA (Certificate Authority) files

Para rotacionar um ou mais desses certificados:

1. Substitua o certificado ou certificados que você deseja girar no sistema de arquivos, observando as seguintes restrições:

   • Cada novo certificado deve ter o mesmo nome de arquivo e o mesmo caminho de arquivo que o certificado que está substituindo.

   • Se estiver girando um TLS Certificate criptografado, sua senha deverá ser igual à senha do certificado antigo (conforme especificado na configuração do arquivo de configuração certificateKeyFilePassword). A rotação de certificados não oferece suporte ao prompt de senha interativo.

2. Conecte mongosh à mongod instância ou mongos na qual você deseja executar a rotação do certificado.

3. Run db.rotateCertificates() to rotate the certificates used by the mongod or mongos instance.

Quando ocorre a rotação de certificados:

• As conexões existentes à instância mongod ou mongos não são encerradas e continuarão usando os certificados antigos.

• Todas as novas conexões usarão os novos certificados.

If you have configured OCSP for your deployment, the db.rotateCertificates() method will also fetch stapled OCSP responses during rotation.

The db.rotateCertificates() method may be run on a running mongod or mongos regardless of replication status.

Only one instance of db.rotateCertificates() or rotateCertificates may run on each mongod or mongos process at a time. Attempting to initiate a second instance while one is already running will result in an error.

Arquivos de certificados incorretos, expirados, revogados ou ausentes causarão falha na rotação de certificados, mas não invalidarão a configuração TLS existente nem encerrarão o processo mongod ou mongos em execução.

Se omongodoumongosestiver em execução com--tlsCertificateSelectordefinido como thumbprint, db.rotateCertificates()falhará e gravará uma mensagem de aviso no arquivo de log.

Exploração madeireira

Na rotação bem-sucedida, os nomes do assunto, as thumbprints e o período de validade dos thumbprints do certificado de servidor e cluster são registrados no destino de registro configurado. Se a auditoria estiver habilitada, essas informações também serão gravadas no registro de auditoria.

Em plataformas Linux e Windows, se um CRL file estiver presente, sua impressão digital e período de validade também serão registrados nesses locais.

Acesso necessário

You must have the rotateCertificates action in order to use the db.rotateCertificates() method. The rotateCertificates action is part of the hostManager role.

Exemplo

A operação a seguir gira os certificados em uma instância mongod em execução, depois de fazer as atualizações apropriadas no arquivo de configuração para especificar as informações atualizadas do certificado:

db.rotateCertificates()

O seguinte executa o mesmo que acima, mas também grava uma mensagem de registro personalizada no tempo de rotação para o arquivo de log e arquivo de auditoria:

db.rotateCertificates("message": "Rotating certificates")