为一个部署启用 TLS

为了使 Ops Manager 监控、部署或备份使用TLS的 MongoDB 部署，您必须为 Ops Manager 项目启用TLS 。

Considerations

不在范围内的主题

A full description of Transport Layer Security, public key infrastructure, X.509 certificates, and Certificate Authorities exceeds the scope of this tutorial. This tutorial assumes prior knowledge of TLS and access to valid X.509 certificates.

重要：要为项目重置身份验证和 TLS 设置，请先取消管理 Ops Manager 在您的项目中托管的任何 MongoDB 部署。

先决条件

在每个 MongoDB 主机上获取并安装 TLS 证书

为 MongoDB 进程提供服务的每个主机获取TLS证书。此证书必须包含此 MongoDB 主机的主机名的FQDN 。 FQDN必须是该主机的主题备用名称。您必须在 MongoDB 主机上安装此TLS证书。

警告

MongoDB Agent 从版本 11.12.0.7384 开始要求 TLS 证书在“主题备用名称”字段中包含一个值。在升级到 11.12.0.7384 之前，请确保 MongoDB 部署中使用的所有 TLS 证书都包含 SAN。要了解更多信息，请参阅确保 TLS 证书包含主题备用名称。

步骤

重要

您必须完成：

将现有部署设置为使用 TLS ，然后
为项目启用 TLS

单击Review & Deploy之前。

将现有部署设置为使用 TLS

重要

通过Client Certificate Mode设置，您可以设置客户端是否必须提供TLS证书才能连接到项目中的部署。如果为项目启用TLS ，则所有部署都必须使用TLS 。

如果您希望为您的 Ops Manager 项目中的现有 MongoDB 部署启用TLS ：

Clusters导航到部署的视图。

如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。
如果尚未出现，请单击侧边栏中的 Deployment（部署）。

单击 Clusters（集群）视图。

在列出进程的行上，单击 Modify。

展开 Advanced Configuration Options 部分。

设置 TLS 初创企业选项。

单击Add Option添加以下每个选项：

选项	必需	值
`tlsMode`	必需	选择 `requireTLS` 。
`tlsCertificateKeyFile`	必需	提供服务器证书的绝对路径。
`tlsCertificateKeyFilePassword`	必需	如果已加密，请提供 PEM 密钥文件密码。重要提示：如果 `.pem` 证书文件的加密私钥采用 PKCS #8 格式，则必须使用 PBES2 加密操作。MongoDB 助手不支持PKCS #8 与其他加密操作结合使用。
`tlsFIPSMode`	Optional	如果要启用 FIPS 模式，请选择`true` 。

添加每个选项后，单击Add 。
添加所需选项后，单击Save 。

为项目启用 TLS

Security Settings导航至部署的对话框。

如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。
如果尚未出现，请单击侧边栏中的 Deployment（部署）。

单击 Security 标签页。
单击 Settings 标签页。
执行以下操作之一：
- 如果这是您第一次为此项目配置 TLS、身份验证或授权设置，请单击 Get Started。
- 如果已经为此项目配置 TLS 身份验证或授权设置，请单击 Edit。

选择您的身份验证机制。

在Select Authentication Mechanisms屏幕上，启用一个或多个身份验证机制。
TLS适用于所有身份验证机制。
单击 Next（连接）。

指定 TLS 设置。

字段	操作
MongoDB 部署传输层安全 (TLS)	将此滑块切换至 ON（开启）。
TLS CA 文件路径	TLS 证书颁发机构文件是 `.pem` 格式的证书文件，其中包含来自证书颁发机构的根证书链。MongoDB Agent 使用相同的证书颁发机构文件连接到部署中的每个项目。 `.pem` 证书文件的加密私钥必须采用 PKCS #1 格式。MongoDB 助手不支持PKCS #8格式。在运行 MongoDB 进程的每个主机上键入 TLS 证书颁发机构文件的文件路径：在第一个框中键入所有 Linux 主机上的文件路径。在第二个框中键入所有 Windows 主机上的文件路径。这将为项目中的 MongoDB 进程启用`net.tls.CAFile`设置。单击 Validate（验证）测试部署中每个主机在您指定的路径上是否都有 TLS 证书颁发机构。
集群 TLS CA 文件路径	包含来自证书授权机构的根证书链的 `.pem` 文件，用于验证建立连接的客户端提供的证书。使用相对或绝对路径指定 `.pem` 文件的文件名。`net.tls.clusterCAFile` 要求设置 `net.tls.CAFile`。如果不指定`net.tls.clusterCAFile` ，集群将使用`net.tls.CAFile`选项中指定的`.pem`文件。 `net.tls.clusterCAFile` 允许您使用单独的证书颁发机构来验证 TLS 握手的客户端到服务器和服务器到客户端部分。
客户端证书模式	选择在连接到启用 TLS 的 MongoDB 部署时客户端应用程序或 MongoDB 助手是否必须提供 TLS 证书。每个 MongoDB 部署都会在这些客户端主机尝试连接时检查来自这些客户端主机的证书。如果选择要求客户端提供 TLS 证书，请确保它们有效。接受的值为： `Optional` — 连接到 MongoDB 部署时，每个客户端都可以提供有效的 TLS 证书。如果您未将`mongodtlsMode` 设置为，MongoDB 代理可能会使用 TLS`None` 证书。 `Required` 此项目中的每个 MongoDB 部署都从 TLS 加密的网络连接开始。所有代理都必须使用 TLS 连接到任何 MongoDB 部署。

配置 MongoDB 助手。

在Agent Auth Mechanism列表中，单击您为项目所做的相同身份验证机制。
按照以下步骤配置MongoDB Agent以使用该身份验证方法：
- SCRAM-SHA
- X.509 证书
- LDAP
- Kerberos

注意

如果您有旧版代理的TLS证书，请参阅如果我有旧版备份或监控代理的 TLS 证书怎么办？获取指导。

Save单击以设立更改。

单击Review & Deploy 查看更改。

Ops Manager 会显示建议进行的更改。

如果满意，请单击 Confirm & Deploy（确认和部署）。
如果要进一步更改配置，请单击 Cancel（取消）。单击集群的 Modify（修改）进行其他更改。

如果您从使用自动化的部署更新到MongoDB Agent ，则MongoDB Agent将管理TLS设置。
如果您从未使用自动化但具有备份代理、监控代理或两者的部署更新到MongoDB Agent ，则可以在代理更新期间或通过以下过程进行特定于备份代理和监控代理的设置：
1. 导航到Deployment Agents Downloads & Settings Custom Configurations Edit Custom Configuration 。
2. 单击。
3. 在Backup Configurations部分下：
  1. 在Setting框中键入所需的设置，并在Value框中键入相应的值。
  2. 要添加多个Setting ，请单击+ Add Setting链接。出现另一行。
  3. 重复此操作，直到添加所有设置。
4. 在Monitoring Configurations部分下：
  1. 在Setting框中键入所需的设置，并在Value框中键入相应的值。
  2. 要添加多个Setting ，请单击+ Add Setting链接。出现另一行。
  3. 重复此操作，直到添加所有设置。
您可以单击删除已添加的所有设置。