トランスポート層セキュリティ (TLS) の構成

Overview

このガイドでは、TLS（Transport Layer Security）プロトコルを使用してMongoDBデプロイへの接続を保護する方法を説明します。

接続に TLS を有効にすると、 Scalaドライバーは次のアクションを実行します。

• TLS を使用して MongoDB 配置に接続

• 配置の証明書を検証します

TLS 用のMongoDBデプロイの構成方法については、 MongoDB Serverマニュアルの TLS 構成ガイドを参照してください。

TLS の有効化

MongoDBデプロイへの接続に TLS を有効にするには、次の方法があります。

• MongoClientSettingsインスタンスの作成時に、SslSettings.Builderクラスの enabled() メソッドを使用します

• 接続 URI で tls パラメータを設定する

TLS を有効にする対応するコードを確認するには、MongoClientSettings または Connection URIタブを選択します。

val tlsUri = "mongodb://localhost:27017/"
val tlsSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(tlsUri))
    .applyToSslSettings(builder => builder.enabled(true))
    .build()
val tlsClient1 = MongoClient(tlsSettings)

val tlsClient2 = MongoClient("mongodb://localhost:27017/?tls=true")

証明書の構成

TLS リクエストを開始するScalaアプリケーションは、アプリケーションの ID を証明し、 Scalaアプリケーションが対話する他のアプリケーションを検証する暗号化証明書にアクセスする必要があります。アプリケーション内でこれらの証明書へのアクセスを次の方法で構成できます。

• JVMトラスト ストアとJVMキー ストアの使用

• クライアント固有のトラスト ストアとキー ストアを使用する

keytool -importcert -trustcacerts -file <path to certificate authority file>
      -keystore <path to trust store> -storepass <trust store password>

ホスト名検証を無効化する

デフォルトでは 、ドライバーはサーバーの TLS 証明書に含まれるホスト名が MongoClient の構築時に指定されたホスト名と一致することを確認します。ホスト名検証は、次の方法で無効にできます。

• MongoClientSettingsインスタンスの作成時に SslSettings.Builderクラスの invalidHostNameAllowed() メソッドを使用する

• 接続 URI で tlsAllowInvalidHostnames パラメータを設定する

ホスト名検証を無効にする対応するコードを確認するには、MongoClientSettings タブまたは Connection URIタブを選択します。

val invalidHostUri = "mongodb://localhost:27017/"
val invalidHostSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(invalidHostUri))
    .applyToSslSettings(builder => builder
        .enabled(true)
        .invalidHostNameAllowed(true)
    )
    .build()
val invalidHostClient1 = MongoClient(invalidHostSettings)

val invalidHostClient2 = MongoClient("mongodb://localhost:27017/?tls=true&tlsAllowInvalidHostnames=true")

TLS 1.2 への接続のみを

アプリケーションが TLS 1.2プロトコルのみを使用するように制限するには、 jdk.tls.client.protocolsシステム プロパティを"TLSv1.2"に設定します。

SSLContext で構成をカスタマイズする

TLS 構成をカスタマイズする必要がある場合は、MongoClientオブジェクトの sslContextプロパティを設定できます。次のコードに示すように、applyToSslSettings()ブロック内の context() メソッド ビルダに SSLContextオブジェクトを渡します。

val sslContext = SSLContext.getDefault()
val contextSettings = MongoClientSettings.builder()
    .applyToSslSettings(builder => builder
        .enabled(true)
        .context(sslContext)
    )
    .build()
val mongoClient = MongoClient(contextSettings);

クラスの詳細については、 SSL コンテキスト の API ドキュメントを参照してください。SSLContext

オンライン証明書ステータスプロトコル (OCSP)

OCSP は、X.509 証明書が失効しているかどうかを確認するために使用される標準です。証明機関（CA）は、有効期限が切れる前に X.509 証明書を証明書失効リスト（CRL）に追加して、証明書を無効にすることができます。クライアントがTLS ハンドシェイク中に X.509 証明書を送信すると、CA の失効サーバーはCRL をチェックし、good、revoked、または unknown のステータスを返します。

ドライバーは、OCSP の次のバリエーションをサポートします。

• クライアント駆動型 OCSP

• OCSP ステープル

次のセクションでは、これらのバリエーションについて説明し、アプリケーションでそれを有効にする方法を示します。

API ドキュメント

このガイドで説明した型の詳細については、次のAPIドキュメントを参照してください。

• ConnectionString

• MongoClientSettings