连接到启用 TLS 的副本集

使用以下方式连接到您的部署 mongosh

使用以下选项将 mongosh 连接到副本集：

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls --tlsCAFile /etc/ssl/mongodb/ca.pem

• --tls 为连接启用 TLS 加密。

• --tlsCAFile is set to the CA certificate that signed the server certificates so that mongosh can verify the server's certificates.

在没有客户端证书的情况下连接可建立 TLS 加密会话，但不会验证您。要运行大多数命令，必须使用SCRAM等机制进行身份验证。

对用户进行身份验证

使用 db.auth() 方法使用管理员用户名和密码进行身份验证。

验证您的连接

运行以下命令以确认身份验证状态：

db.adminCommand({ connectionStatus: 1 })

确认 authInfo.authenticatedUsers 包含预期用户。

生成客户端证书

使用 获取 TLS 服务器证书中描述的过程生成客户端证书。进行以下调整：

• 在配置文件中，设置 extendedKeyUsage = clientAuth 而非 serverAuth。

• 为节点客户端身份验证证书签名的 CA 还必须为客户端证书签名。通常，这是 ca.pem。但是，如果您获取了用于客户端身份验证的单独证书，则客户端证书的 CA 可能不同。

• 将输出文件命名为 client.key、client.crt 和 client.pem，而不是证书教程中使用的节点特定名称。

完成该过程后，将 client.pem 复制到运行 mongosh 的计算机上的安全位置：

cp client.pem /etc/ssl/mongodb/client.pem

确定客户端主题

确定客户端证书的主题。连接后，您需要此值来确认使用预期客户端证书进行了身份验证。

要查看主题，请运行以下命令：

openssl x509 -in /etc/ssl/mongodb/client.pem -noout -subject

记下输出，其外观类似于以下内容：

subject=C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser

保存主题名称，以便在本教程中后续使用。在本示例中，主题名称为 C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser。

使用您的客户端证书连接到您的部署

使用以下选项将 mongosh 连接到副本集：

mongosh "mongodb://mongo0.example.com:27017,mongo1.example.com:27017,mongo2.example.com:27017" \
    --tls \
    --tlsCAFile /etc/ssl/mongodb/ca.pem \
    --tlsCertificateKeyFile /etc/ssl/mongodb/client.pem

• --tls 为连接启用 TLS 加密。

• --tlsCAFile is set to the CA certificate that signed the server certificates so that mongosh can verify the server connection.

• --tlsCertificateKeyFile 提供客户端证书和私钥，服务器使用这些证书和私钥通过 X.509 验证您的连接。

这使您可以通过 TLS 连接到 MongoDB 部署。

以管理员身份进行身份验证

使用 db.auth() 方法使用管理员用户名和密码进行身份验证。

在 $external数据库中创建用户

使用 db.createUser() 方法在 $external 数据库中创建与客户端证书主题名称对应的用户。将用户名替换为之前确定的客户端证书主题：

db.getSiblingDB("$external").runCommand({
   createUser: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser",
   roles: [
      { role: "readWriteAnyDatabase", db: "admin" }
   ]
})

创建用户后，使用 db.auth() 方法使用 X.509 对 $external 数据库进行身份验证：

db.getSiblingDB("$external").auth({
    mechanism: "MONGODB-X509",
    user: "C=US, ST=New-York, L=New York City, O=MongoDB, CN=myUser"
})

验证您的连接

运行以下命令以确认身份验证状态：

db.adminCommand({ connectionStatus: 1 })

确认 authInfo.authenticatedUsers 包含预期用户。