配置传输层安全 (TLS)

Overview

在本指南中，您可以了解如何使用TLS 协议保护与 MongoDB 部署的连接。 TLS 是一种加密协议，可保护应用程序与 MongoDB 之间的通信。 要将连接配置为使用 TLS，请启用 TLS 选项并在创建客户端时提供证书以进行验证。

为连接启用TLS 时， Scala驱动程序会执行以下操作：

• 使用 TLS 连接到 MongoDB 部署

• 验证部署的证书

要学习；了解如何为 TLS 配置MongoDB 部署，请参阅MongoDB Server手册中的TLS 配置指南。

默认情况下，驱动程序使用 JDK 提供的 TLS/SSL 根本支持来支持与 MongoDB 服务器的 TLS/SSL 连接。这可以通过使用Netty API或Java SE API的可扩展性来更改。

启用 TLS

您可以通过以下方式为MongoDB 部署的连接启用TLS：

• 创建 MongoClientSettings实例时使用 SslSettings.Builder 类中的 enabled() 方法

• 在连接 URI 中设置 tls 参数

选择 MongoClientSettings 或 Connection URI标签页，查看启用 TLS 的相应代码：

val tlsUri = "mongodb://localhost:27017/"
val tlsSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(tlsUri))
    .applyToSslSettings(builder => builder.enabled(true))
    .build()
val tlsClient1 = MongoClient(tlsSettings)

val tlsClient2 = MongoClient("mongodb://localhost:27017/?tls=true")

配置证书

发起 TLS 请求的Scala应用程序需要访问权限加密证书，以证明应用程序的身份并验证与Scala应用程序交互的其他应用程序。 您可以通过以下方式在应用程序中配置对这些证书的访问权限：

• 使用Java虚拟机（JVM）信任存储和Java虚拟机（JVM）密钥存储

• 使用特定于客户端的信任存储和密钥存储

keytool -importcert -trustcacerts -file <path to certificate authority file>
      -keystore <path to trust store> -storepass <trust store password>

禁用主机名验证

默认情况下，驱动程序确保服务器的 TLS 证书中包含的主机名与构造 MongoClient 时提供的主机名匹配。您可以通过以下方式禁用主机名验证：

• 创建 MongoClientSettings实例时使用 SslSettings.Builder 类中的 invalidHostNameAllowed() 方法

• 在连接 URI 中设置 tlsAllowInvalidHostnames 参数

选择 MongoClientSettings 或 Connection URI标签页，查看禁用主机名验证的相应代码：

val invalidHostUri = "mongodb://localhost:27017/"
val invalidHostSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(invalidHostUri))
    .applyToSslSettings(builder => builder
        .enabled(true)
        .invalidHostNameAllowed(true)
    )
    .build()
val invalidHostClient1 = MongoClient(invalidHostSettings)

val invalidHostClient2 = MongoClient("mongodb://localhost:27017/?tls=true&tlsAllowInvalidHostnames=true")

限制与 TLS 1.2 的连接

要将应用程序限制为仅使用 TLS 1.2协议，请将jdk.tls.client.protocols系统属性设置为"TLSv1.2" 。

使用 Netty SslContext 配置 TLS/SSL

包括以下 import 语句：

import io.netty.handler.ssl.SslContextBuilder
import io.netty.handler.ssl.SslProvider
import org.mongodb.scala.connection.TransportSettings

要指示驱动程序使用 io.netty.handler.ssl.SslContext，请在定义 MongoClientSettings 时配置 NettyTransportSettings。

使用MongoClientSettings.Builder.transportSettings()和NettyTransportSettings.Builder.sslContext()构建设置：

val sslContext = SslContextBuilder.forClient()
  .sslProvider(SslProvider.OPENSSL)
  .build()
val nettySettings = MongoClientSettings.builder()
  .applyToSslSettings {
    builder => builder.enabled(true)
  }
  .transportSettings(
    TransportSettings.nettyBuilder()
      .sslContext(sslContext)
      .build()
  )
  .build()
val mongoClient = MongoClient(nettySettings);

使用 SSLContext 自定义配置

如果您的 TLS 配置需要自定义，您可以设立MongoClient对象的 sslContext属性。 将 SSLContext对象传递给 applyToSslSettings()区块中的 context() 方法构建器，如以下代码所示：

val sslContext = SSLContext.getDefault()
val contextSettings = MongoClientSettings.builder()
    .applyToSslSettings(builder => builder
        .enabled(true)
        .context(sslContext)
    )
    .build()
val mongoClient = MongoClient(contextSettings);

有关 SSLContext 类的更多信息，请参阅 SSL 上下文 的API文档。

在线证书状态协议 (OCSP)

OCSP 是用于检查 X.509 证书是否已被撤销的标准。 证书颁发机构 (CA) 可以在到期时间之前将 X.509 证书添加到证书吊销列表 (CRL)，以使该证书失效。 当客户端在 TLS 握手期间发送 X.509 证书时，CA 的吊销服务器会检查 CRL 并返回 good、revoked 或 unknown 状态。

该驱动程序支持以下 OCSP 变体：

• 客户端驱动的 OCSP

• OCSP 装订 (Stapling)

以下部分描述了这些变体，并展示了如何为您的应用程序启用它们。

API 文档

有关本指南中讨论的任何类型的更多信息，请参阅以下API文档：

• ConnectionString

• MongoClientSettings