TLS の有効化と構成

Overview

このガイドでは、TLS プロトコルを使用して MongoDB 配置への接続を保護する方法を学習できます。 TLS を使用するように接続を構成するには、 TLS オプションを有効にし、クライアントを作成するときに検証用の証明書を提供します。

このガイドには、次のセクションが含まれています。

• TLSを有効にする では、接続で TLS を有効にする方法について説明します。

• 「証明書の構成」では、TLS を構成するために必要な証明書について説明します。

• クライアントでの参照証明書では、TLS オプションを構成するための Config構造体を作成する方法の例が紹介されています。

• 追加情報では、このガイドで言及されている型とメソッドのリソースとAPIドキュメントへのリンクを提供します

TLS の有効化

次のいずれかの方法で、MongoDB インスタンスへの接続で TLS を有効にできます。

• 接続stringで tls オプションを true に設定する

• ClientOptionsインスタンスの作成時に空のConfig構造体をSetTLSConfig()メソッドに渡す

Connection StringClientOptions次の タブと タブから選択すると、対応するコード サンプルが表示されます。

uri := "mongodb://<hostname>:<port>?tls=true"
opts := options.Client().ApplyURI(uri)
client, _ := mongo.Connect(context.TODO(), opts)

uri := "<connection string>"
opts := options.Client().ApplyURI(uri).SetTLSConfig(&tls.Config{})
client, _ := mongo.Connect(context.TODO(), opts)

クライアント オプションの完全なリストについては、「 接続オプション 」を参照してください。

証明書の構成

TLS 要求を正常に開始するには、アプリケーションが ID を証明するために暗号化証明書を提示する必要があります。 接続時に TLS を有効にするには、アプリケーションの証明書が PEM ファイルとして保存されている必要があります。

次のリストでは、TLS 対応接続を確立するためにクライアントが提示する必要があるコンポーネントを説明します。

クライアントでの証明書の参照

クライアントが接続する前にサーバーが証明書を検証できるように、 ClientOptionsオブジェクトで証明書を参照する必要があります。 TLS 接続を構成するには、 ClientOptionsインスタンスのTLSConfigフィールドをConfig構造体に設定することをお勧めします。 Config構造体は Go のネイティブであり、すべての TLS オプションを単一の再利用可能なオブジェクトに保持できます。

Configインスタンスを作成するには、crypto/tls crypto/x509パッケージと パッケージをインポートします。次に、 Config構造体インスタンスを作成し、構成に関連する構造体フィールドを設定します。

Configインスタンス内で、接続上で TLS を構成するための任意のフィールドを設定できます。 テスト目的では、 InsecureSkipVerifyフィールドをtrueに設定できます。

Config構造体の詳細については、 tls.Config API ドキュメントを参照してください。

package main
import (
	"context"
	"crypto/tls"
	"crypto/x509"
	"os"
	"go.mongodb.org/mongo-driver/mongo"
	"go.mongodb.org/mongo-driver/mongo/options"
)
func main() {
	caFile := "<path to CA certificate>"
	certFile := "<path to public client certificate>"
	keyFile := "<path to private client key>"
	// Load CA certificate file
	caCert, err := os.ReadFile(caFile)
	if err != nil {
		panic(err)
	}
	caCertPool := x509.NewCertPool()
	if ok := caCertPool.AppendCertsFromPEM(caCert); !ok {
		panic("Error: CA file must be in PEM format")
	}
	// Load client certificate files
	cert, err := tls.LoadX509KeyPair(certFile, keyFile)
	if err != nil {
		panic(err)
	}
	// Instantiate a Config
	tlsConfig := &tls.Config{
		RootCAs:      caCertPool,
		Certificates: []tls.Certificate{cert},
	}
	uri := "<connection string>"
	opts := options.Client().ApplyURI(uri).SetTLSConfig(tlsConfig)
	client, err := mongo.Connect(context.TODO(), opts)
	if err != nil {
		panic(err)
	}
	defer func() {
		if err = client.Disconnect(context.TODO()); err != nil {
			panic(err)
		}
	}()
}

詳細情報

接続で TLS を有効にする方法の詳細については、次のサーバー マニュアル ドキュメントを参照してください。

• TLS/SSL (トランスポート暗号化)

• クライアントの TLS/SSL 設定