Conectar a um conjunto de réplicas habilitado para TLS

Conecte-se à sua implantação com mongosh

Conecte mongosh ao seu conjunto de réplicas usando as seguintes opções:

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls --tlsCAFile /etc/ssl/mongodb/ca.pem

• --tls habilita a criptografia TLS para a conexão.

• --tlsCAFile is set to the CA certificate that signed the server certificates so that mongosh can verify the server's certificates.

A conexão sem um certificado de cliente estabelece uma sessão criptografada por TLS, mas não o autentica. Para executar a maioria dos comandos, você deve autenticar com um mecanismo como SCRAM.

Autenticar usuário

Utilize o método db.auth() para autenticar com seu nome de usuário e senha de administrador.

Verifique sua conexão

Execute o seguinte para confirmar seu estado de autenticação:

db.adminCommand({ connectionStatus: 1 })

Confirme se authInfo.authenticatedUsers inclui o usuário esperado.

Gerar um certificado de cliente

Gere um certificado de cliente usando o processo descrito em Obter certificados de servidor TLS. Faça os seguintes ajustes:

• No arquivo de configuração, defina extendedKeyUsage = clientAuth em vez de serverAuth.

• A CA que assinou seus certificados de autenticação de cliente de nó também deve assinar seu certificado de cliente. Geralmente, este é ca.pem. No entanto, se você obteve certificados separados para autenticação de cliente, poderá ter uma CA diferente para certificados de cliente.

• Nomeie seus arquivos de saída client.key, client.crt e client.pem em vez dos nomes específicos do nó usados no tutorial de certificado.

Após concluir o processo, copie client.pem para uma localização segura na máquina onde você executa mongosh:

cp client.pem /etc/ssl/mongodb/client.pem

Identifique o assunto do seu cliente

Identifique o assunto do seu certificado de cliente. Você precisa desse valor para confirmar que autenticou com o certificado de cliente esperado após a conexão.

Para visualizar o assunto, execute o seguinte comando:

openssl x509 -in /etc/ssl/mongodb/client.pem -noout -subject

Observe a saída, que se parece com o seguinte:

subject=C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser

Salve o nome do assunto para usar mais tarde neste tutorial. Neste exemplo, o nome do assunto é C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser.

Conecte-se à sua implantação com seu certificado de cliente

Conecte mongosh ao seu conjunto de réplicas usando as seguintes opções:

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls \
    --tlsCAFile /etc/ssl/mongodb/ca.pem \
    --tlsCertificateKeyFile /etc/ssl/mongodb/client.pem

• --tls habilita a criptografia TLS para a conexão.

• --tlsCAFile is set to the CA certificate that signed the server certificates so that mongosh can verify the server connection.

• --tlsCertificateKeyFile apresenta o certificado do cliente e a chave privada que o servidor usa para autenticar sua conexão com X.509.

Isso o conecta à sua implantação do MongoDB por meio de TLS.

Autenticar como um usuário administrador

Utilize o método db.auth() para autenticar com seu nome de usuário e senha de administrador.

Crie um usuário no banco de dados $external

Crie um usuário no banco de dados $external que corresponda ao nome do assunto do certificado do cliente com o método db.createUser(). Substitua o nome de usuário pelo assunto do seu certificado de cliente que você identificou anteriormente:

db.getSiblingDB("$external").runCommand({
   createUser: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser",
   roles: [
      { role: "readWriteAnyDatabase", db: "admin" }
   ]
})

Depois de criar um usuário, use o método db.auth() para autenticar no banco de dados $external usando X.509:

db.getSiblingDB("$external").auth({
    mechanism: "MONGODB-X509",
    user: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser"
})

Verifique sua conexão

Execute o seguinte para confirmar seu estado de autenticação:

db.adminCommand({ connectionStatus: 1 })

Confirme se authInfo.authenticatedUsers inclui o usuário esperado.