在自管理MongoDB上使用 X.509 验证集群成员资格

证书要求

启用 TLS 后，使用节点证书验证分片集群或副本集的内部连接的节点资格。您可以使用 net.tls.clusterFile 和 net.tls.certificateKeyFile 选项配置节点证书文件路径。节点具有以下配置要求：

• 集群成员配置必须为至少一个用于身份验证的属性指定非空值。默认情况下，MongoDB 接受：

  • 组织 (O)

  • 组织单位 (OU)

  • 域组件 (DC)

  MongoDB会验证所有节点证书中的条目是否完全匹配。如果列出多个 OU 值，则所有证书必须使用相同的列表。

  您可以通过设置 net.tls.clusterAuthX509.extensionValue 来指定用于身份验证的替代属性。

• 集群成员配置必须包含相同的 net.tls.clusterAuthX509.attributes 并使用匹配值。属性顺序不重要。以下示例设置 O 和 OU，但不设置 DC：

  net:
    tls:
      clusterAuthX509:
        attributes: O=MongoDB, OU=MongoDB Server

mongod --setParameter enforceUserClusterSeparation=false

证书具有以下要求：

• 必须由一个证书颁发机构 (CA) 为分片集群或副本集的成员颁发所有 X.509 证书。

• 至少一个主题备用名称 (SAN) 条目必须与其他集群成员使用的服务器主机名匹配。比较 SAN时，MongoDB 可以比较 DNS 名称或 IP 地址。

  If you don't specify subjectAltName, MongoDB compares the Common Name (CN) instead. However, this usage of CN is deprecated per RFC2818

密钥用法和扩展密钥用法是 X.509 扩展，严格定义和限制与证书关联的密钥的使用。这两个扩展都是可选的。如果 tlsCertificateKeyFile 或 tlsClusterFile点省略这些扩展的证书，应用使用该证书不受限制。

如果用于 tlsCertificateKeyFile 或 tlsClusterFile 的 X.509 证书包含扩展密钥用法 (EKU) 扩展，则它们必须符合以下规则：

• tlsCertificateKeyFile 必须在 EKU 中包含 serverAuth。

  extendedKeyUsage = serverAuth

• tlsClusterFile 必须在 EKU 中包含 clientAuth：

  extendedKeyUsage = clientAuth

• 如果省略 tlsClusterFile 且仅配置了 tlsCertificateKeyFile，则 tlsCertificateKeyFile 必须在 EKU 中同时包含 serverAuth 和 clientAuth：

  extendedKeyUsage = clientAuth, serverAuth

如果用于 tlsCertificateKeyFile 或 tlsClusterFile 的 X.509 证书包含密钥用法 (KU) 扩展，请按以下方式设立：

• tlsCertificateKeyFile 应在其 KU 扩展中包含 digitalSignature、keyEncipherment 和 keyAgreement：

  keyUsage = digitalSignature, keyEncipherment, keyAgreement

• tlsClusterFile 应在其 KU 扩展中包含 digitalSignature：

  keyUsage = digitalSignature

使用命令行选项 (tls)

mongod --replSet <name> --tlsMode requireTLS --clusterAuthMode x509 --tlsClusterFile <path to membership certificate and key PEM file> --tlsCertificateKeyFile <path to TLS/SSL certificate and key file> --tlsCAFile <path to root CA file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to its TLS/SSL certificate and key file>
      CAFile: <path to root CA PEM file to verify received certificate>
      clusterFile: <path to its certificate key file for membership authentication>
   bindIp: localhost,<hostname(s)|ip address(es)>

有关更多信息，请参阅配置 MongoDB 实例以进行 TLS/SSL 加密。

使用命令行选项 (ssl)

mongod --replSet <name> --sslMode requireSSL --clusterAuthMode x509 --sslClusterFile <path to membership certificate and key PEM file> --sslPEMKeyFile <path to TLS/SSL certificate and key PEM file> --sslCAFile <path to root CA PEM file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   ssl:
      mode: requireSSL
      PEMKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>
      clusterFile: <path to X.509 membership certificate and key PEM file>
   bindIp: localhost,<hostname(s)|ip address(es)>

有关更多信息，请参阅配置 MongoDB 实例以进行 TLS/SSL 加密。