在自管理部署上配置 TLS

创建密钥文件

每个节点都使用密钥文件的内容来验证部署的其他节点。使用以下命令创建密钥文件：

openssl rand -base64 756 > /etc/ssl/mongodb/keyfile
chmod 400 /etc/ssl/mongodb/keyfile

将密钥文件复制到部署中的每个节点。确保对密钥文件限制权限，以便只有 mongod 进程才能读取该文件。

编辑每个节点上的配置文件

在每个节点上，找到并打开 mongod 配置文件。如果该文件不存在，则创建它。添加以下 TLS 选项。使用证书文件的绝对路径。

示例，主节点 (primary node in the replica set)的配置文件如下所示：

net:
  tls:
    mode: allowTLS
    certificateKeyFile: /etc/ssl/mongodb/mongo0.pem
    CAFile: /etc/ssl/mongodb/ca.pem
    allowConnectionsWithoutCertificates: true
security:
  clusterAuthMode: keyFile
  keyFile: /etc/ssl/mongodb/keyfile
setParameter:
  tlsWithholdClientCertificate: true

• mode 设置为 allowTLS 接受 TLS 连接，但不要求连接，因此节点可以完成滚动重启而不中断复制。

• certificateKeyFile 指定节点的证书。将文件名替换为所配置的特定节点的证书密钥文件。CAFile 指定签署节点证书的 CA 证书。

• allowConnectionsWithoutCertificates 允许客户端在不提供 TLS 证书的情况下连接。

• 将 clusterAuthMode 设置为 keyFile，使节点能够使用密钥文件进行身份验证。keyFile 指定节点用于相互身份验证的密钥文件。

• tlsWithholdClientCertificate 可防止节点在向集群中的其他节点建立出站连接时呈现其服务器证书。这是必要的，因为它可防止节点使用服务器身份验证证书进行客户端身份验证，尤其是当证书不包含 clientAuth EKU 时。

重启副本集节点

重启 mongod 进程以应用新的 TLS 配置。要在不停机的情况下应用配置，请以滚动方式重启节点。

在部署的每个托管上，从从节点(secondary node from replica set)开始，以主节点 (primary node in the replica set)结束，运行以下操作：

sudo systemctl restart mongod

要验证滚动重启是否成功完成，请在每个托管上运行以下命令：

sudo systemctl status mongod

更新配置以实施 TLS

在所有节点成功重启并启用 TLS 后，请更新每个节点上的配置文件。将 net.tls.mode 从 allowTLS 更改为 requireTLS，以对所有客户端和节点实施加密连接：

net:
  tls:
    mode: requireTLS

重启副本集节点

重启 mongod 进程以应用新的 TLS 配置。要在不停机的情况下应用配置，请以滚动方式重启节点。

在部署的每个托管上，从从节点(secondary node from replica set)开始，以主节点 (primary node in the replica set)结束，运行以下操作：

sudo systemctl restart mongod

要验证滚动重启是否成功完成，请在每个托管上运行以下命令：

sudo systemctl status mongod

编辑每个节点上的配置文件

在每个节点上，找到并打开 mongod 配置文件。如果该文件不存在，则创建它。添加以下 TLS 选项。使用证书文件的绝对路径。

示例，主节点 (primary node in the replica set)的配置文件如下所示：

net:
  tls:
    mode: allowTLS
    certificateKeyFile: /etc/ssl/mongodb/mongo0.pem
    CAFile: /etc/ssl/mongodb/ca.pem
    allowConnectionsWithoutCertificates: true
    clusterAuthX509:
      attributes: O=MongoDB
security:
  clusterAuthMode: x509

• mode 设置为 allowTLS 接受 TLS 连接，但不要求连接，因此节点可以完成滚动重启而不中断复制。

• certificateKeyFile 指定节点的证书。将文件名替换为所配置的特定节点的证书密钥文件。CAFile 指定签署节点证书的 CA 证书。

• allowConnectionsWithoutCertificates 允许客户端在不提供 TLS 证书的情况下连接。

• net.tls.clusterAuthX509.attributes 指定将节点识别为集群节点而非普通客户端的 X.509 证书属性。有关所需证书属性，请参阅节点 X.509 证书。

• 将 clusterAuthMode 设置为 x509 可使节点使用 X.509 证书进行身份验证。

重启副本集节点

重启 mongod 进程以应用新的 TLS 配置。要在不停机的情况下应用配置，请以滚动方式重启节点。

在部署的每个托管上，从从节点(secondary node from replica set)开始，以主节点 (primary node in the replica set)结束，运行以下操作：

sudo systemctl restart mongod

要验证滚动重启是否成功完成，请在每个托管上运行以下命令：

sudo systemctl status mongod

更新配置以实施 TLS

在所有节点成功重启并启用 TLS 后，请更新每个节点上的配置文件。将 net.tls.mode 从 allowTLS 更改为 requireTLS，以对所有客户端和节点实施加密连接：

net:
  tls:
    mode: requireTLS

重启副本集节点

重启 mongod 进程以应用新的 TLS 配置。要在不停机的情况下应用配置，请以滚动方式重启节点。

在部署的每个托管上，从从节点(secondary node from replica set)开始，以主节点 (primary node in the replica set)结束，运行以下操作：

sudo systemctl restart mongod

要验证滚动重启是否成功完成，请在每个托管上运行以下命令：

sudo systemctl status mongod

检查日志以验证 TLS 配置

滚动重启完成后，检查每个节点上的日志，以验证 TLS 配置正确。您的日志必须包括以下内容，以验证 mTLS 和 X.509 身份验证配置正确：

"msg":"Successfully authenticated",
"attr": {
  "isClusterMember":true,
  "mechanism":"MONGODB-X509",
  "user":"CN=mongo1.example.com,O=MongoDB,L=New York City,ST=New-York,C=US"
}

您应该会看到副本集中其他两个节点的类似日志消息。示例，如果您查看 mongo0 上的日志，应该会看到与 mongo1 和 mongo2 相关的类似消息。