为一个部署启用 TLS

为了使Cloud Manager监控、部署或备份使用TLS的MongoDB 部署，您必须为Cloud Manager项目启用TLS 。

Considerations

不在范围内的主题

A full description of Transport Layer Security, public key infrastructure, X.509 certificates, and Certificate Authorities exceeds the scope of this tutorial. This tutorial assumes prior knowledge of TLS and access to valid X.509 certificates.

注意

要重置项目的身份验证和 TLS 设置，请先取消管理Cloud Manager在项目中管理的任何MongoDB部署。

先决条件

在每个 MongoDB 主机上获取并安装 TLS 证书

为 MongoDB 进程提供服务的每个主机获取TLS证书。此证书必须包含此 MongoDB 主机的主机名的FQDN 。 FQDN必须是该主机的主题备用名称。您必须在 MongoDB 主机上安装此TLS证书。

步骤

重要

您必须完成：

将现有部署设置为使用 TLS ，然后
为项目启用 TLS

单击Review & Deploy之前。

将现有部署设置为使用 TLS

如果您希望为Cloud Manager项目中的现有MongoDB部署启用TLS ：

在MongoDB Cloud Manager中，转到项目的 Processes 页面。

如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。
在侧边栏中，单击 Database 标题下的 Processes。

显示“进程”页面。

选择部署的Clusters 视图。

在列出进程的行上，单击 Modify。

展开 Advanced Configuration Options 部分。

为项目启用 TLS

在MongoDB Cloud Manager中，转到项目的 Security 页面。

如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。
在侧边栏中，单击 Database 标题下的 Security。

显示“安全”页面。

Go部署的 Security Settings 对话框。

执行以下操作之一：

如果这是您第一次为此项目配置 TLS、身份验证或授权设置，请单击 Get Started。
如果已经为此项目配置 TLS 身份验证或授权设置，请单击 Edit。

选择您的身份验证机制。

在Select Authentication Mechanisms屏幕上，启用一个或多个身份验证机制。
TLS适用于所有身份验证机制。
单击 Next（连接）。

指定 TLS 设置。

字段	操作
MongoDB 部署传输层安全 (TLS)	将此滑块切换至 ON（开启）。
TLS CA 文件路径	TLS 证书颁发机构文件是 `.pem` 格式的证书文件，其中包含来自证书颁发机构的根证书链。MongoDB Agent 使用相同的证书颁发机构文件连接到部署中的每个项目。 `.pem` 证书文件的加密私钥必须采用 PKCS #1 格式。MongoDB 助手不支持PKCS #8格式。在运行 MongoDB 进程的每个主机上键入 TLS 证书颁发机构文件的文件路径：在第一个框中键入所有 Linux 主机上的文件路径。在第二个框中键入所有 Windows 主机上的文件路径。这将为项目中的 MongoDB 进程启用`net.tls.CAFile`设置。单击 Validate（验证）测试部署中每个主机在您指定的路径上是否都有 TLS 证书颁发机构。
客户端证书模式	选择在连接到启用 TLS 的 MongoDB 部署时客户端应用程序或 MongoDB 助手是否必须提供 TLS 证书。每个 MongoDB 部署都会在这些客户端主机尝试连接时检查来自这些客户端主机的证书。如果选择要求客户端提供 TLS 证书，请确保它们有效。接受的值为：可选: 连接到 MongoDB 部署时，每个客户端都可以提供有效的 TLS 证书。如果您未将`mongodtlsMode` 设置为，MongoDB 代理可能会使用 TLS`None` 证书。必须：此项目中的每个 MongoDB 部署都从 TLS 加密的网络连接开始。所有代理必须使用 TLS 连接到任何 MongoDB 部署。

配置 MongoDB 助手。

在Agent Auth Mechanism列表中，单击您为项目所做的相同身份验证机制。
按照以下步骤配置MongoDB Agent以使用该身份验证方法：
- SCRAM-SHA
- X.509 证书
- LDAP
- Kerberos

注意

如果您有旧版代理的TLS证书，请参阅如果我有旧版备份或监控代理的 TLS 证书怎么办？获取指导。

Save单击以设立更改。

单击Review & Deploy 查看更改。

Cloud Manager 会显示您建议的更改。

如果满意，请单击 Confirm & Deploy（确认和部署）。
如果要进一步更改配置，请单击 Cancel（取消）。单击集群的 Modify（修改）进行其他更改。

如果您从使用自动化的部署更新到MongoDB Agent ，则MongoDB Agent将管理TLS设置。
如果您从未使用自动化但具有备份代理、监控代理或两者的部署更新到MongoDB Agent ，则可以在代理更新期间或通过以下过程进行特定于备份代理和监控代理的设置：

在MongoDB Cloud Manager中，转到项目的 Agents 页面。

如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。
在侧边栏中，单击 Database 标题下的 Agents。

显示“代理”页面。

编辑配置。

单击Downloads & Settings 、Custom Configurations ，然后单击Edit Custom Configuration 。
单击。

完成Backup Configurations 部分。

在Setting框中键入所需的设置，并在Value框中键入相应的值。
要添加多个Setting ，请单击+ Add Setting链接。出现另一行。
重复此操作，直到添加所有设置。

完成Monitoring Configurations 部分。

在Setting框中键入所需的设置，并在Value框中键入相应的值。
要添加多个Setting ，请单击+ Add Setting链接。出现另一行。
重复此操作，直到添加所有设置。

您可以单击删除已添加的所有设置。