x を使用します。自己管理型配置でクライアントを認証するための509証明書

x.509 認証を使用したデプロイ

mongod --tlsMode requireTLS \
    --tlsCertificateKeyFile <path to TLS/SSL certificate and key PEM file> \
    --tlsCAFile <path to root CA PEM file> --bind_ip <hostnames>

net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>

x を設定します。レプリカセットまたはシャーディングされたクラスターの509認証については、「 x を使用する 」を参照してください。自己管理型 MongoDB によるメンバーシップ認証の509証明書。

x を追加します。509 subjectユーザーとして を証明書

クライアント証明書を使用して認証するには、まず MongoDB ユーザーとしてクライアント証明書から subject の値を $external データベースに追加する必要があります。各一意の x.509 クライアント証明書は、単一の MongoDB ユーザーに対応します。1 つのクライアント証明書を使用して複数の MongoDB ユーザーを認証することはできません。

1. 次のコマンドを使用して、クライアント証明書から RFC2253 形式の subject を検索できます。

   openssl x509 -in <pathToClientPEM> -inform PEM -subject -nameopt RFC2253

   このコマンドは、subject 文字列と証明書を返します。

   subject= CN=myName,OU=myOrgUnit,O=myOrg,L=myLocality,ST=myState,C=myCountry
   -----BEGIN CERTIFICATE-----
   # ...
   -----END CERTIFICATE-----

2. ユーザーとしての subject の対応値である RFC2253 を追加します。必要に応じてスペースを省略します。

   次の例では、ユーザーを追加し、そのユーザーに test データベース内での readWrite ロールと userAdminAnyDatabase ロールを付与します。

   db.getSiblingDB("$external").runCommand(
     {
       createUser: "CN=myName,OU=myOrgUnit,O=myOrg,L=myLocality,ST=myState,C=myCountry",
       roles: [
            { role: "readWrite", db: "test" },
            { role: "userAdminAnyDatabase", db: "admin" }
       ],
       writeConcern: { w: "majority" , wtimeout: 5000 }
     }
   )

   ロールを有するユーザーを追加する方法の詳細については、「 自己管理型配置でのユーザーとロールの管理」を参照してください。

x.509 証明書での認証

x. 509 クライアント証明書対象者に対応する MongoDB ユーザーとして追加したら、クライアント証明書を使用して認証できます。

mongosh --tls --tlsCertificateKeyFile <path to client PEM file> \
    --tlsCAFile <path to root CA PEM file> \
    --authenticationDatabase '$external' \
    --authenticationMechanism MONGODB-X509