配置传输层安全 (TLS)

Overview

在本指南中，您可以学习；了解如何使用传输层安全 (TLS)协议来保护与MongoDB 部署的连接。

要使用 TLS 连接到MongoDB 部署，必须执行以下步骤：

• 在 Mongo::Client 中启用 TLS 连接。

• 指定客户端 TLS 证书。

• 指定证书颁发机构 (CA) 证书以验证服务器的 TLS 证书。

要学习；了解如何为 TLS 配置MongoDB 部署，请参阅MongoDB Server手册中的 TLS 配置指南。

启用 TLS

您可以通过以下方式为MongoDB 部署的连接启用TLS：

• 在新的 Mongo:Client对象中将 ssl 选项设置为 true。

• 在连接字符串中将 tls 选项设置为 true。

client = Mongo::Client.new(["<hostname>:<port>"], 
  ssl: true,
  ssl_cert: 'path/to/client.crt',
  ssl_key: 'path/to/client.key',
  ssl_ca_cert: 'path/to/ca.crt'
)

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_cert: 'path/to/client.pem',
  ssl_key: 'path/to/client.pem',
  ssl_ca_cert: 'path/to/ca.crt',
)

client = Mongo::Client.new(
  "mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=path%2fto%2fclient.pem&tlsCAFile=path%2fto%2fca.crt")

指定客户端 TLS 证书

Ruby驾驶员提供多个选项，供您使用不同数据或对象类型指定 TLS 证书、密钥和 CA 证书。

修改 TLS 上下文

如果您的 TLS 配置需要自定义，则可以通过原生Ruby Proc对象添加到 Mongo.tls_context_hooks大量来设立TLS 上下文钩子。在创建任何 Mongo::Client 实例之前，将 Proc对象添加到大量中。

以下代码示例启用 AES256-SHA 密码作为用于 TLS 的唯一密码：

Mongo.tls_context_hooks.push(
  Proc.new { |context|
    context.ciphers = ["AES256-SHA"]
  }
)

Ruby驾驶员TLS 上下文选项基于 SSL 的原生Ruby处理。要学习；了解有关可用 TLS 上下文选项的更多信息，请参阅 SSLContext 的Ruby文档。

OCSP 验证

如果服务器提供的证书包含 OCSP 端点 URI，驾驶员默认会向指定端点发出在线证书状态协议 (OCSP)请求，以验证证书的有效性。

要禁用 OCSP 端点检查，请在创建客户端时将 :ssl_verify_ocsp_endpoint Ruby选项设立为 false 或将 tlsDisableOCSPEndpointCheck URI 选项设立为 true。

允许不安全的 TLS

启用 TLS 后， Ruby驾驶员会自动验证服务器提供的证书。测试代码时，可以禁用此验证。这称为不安全 TLS。

启用不安全 TLS 后，驾驶员仅要求服务器提供 X. 509证书。 即使满足以下任一条件，驾驶员也会接受证书：

• 服务器的主机名与证书上的主题名称（或主题备用名称）不匹配。

• 证书过期或无效。

• 证书链中没有受信任的根证书。

• 证书用途对服务器标识无效。

要启用不安全的 TLS，请将 sslVerify客户端选项或 tlsInsecure URI 选项设立为 true：

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_verify: false
)

client = Mongo::Client.new('mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true')

您可以类似地设立以下选项来禁用证书或主机名验证：

API 文档

有关本指南中讨论的任何类型和方法的更多信息，请参阅以下API文档：

• Mongo::Client

• tls_context_hooks