X.509 証明書を使用した自己管理型配置でのクライアントの認証

X.509 認証を使用したデプロイ

mongod --tlsMode requireTLS \
    --tlsCertificateKeyFile <path to TLS/SSL certificate and key PEM file> \
    --tlsCAFile <path to root CA PEM file> --bind_ip <hostnames>

net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>

レプリカセットまたはシャーディングされたクラスターの X.509 認証を設定するには、「 自己管理型MongoDBでのメンバーシップ認証に X. 証明書を使用 」を参照してください。509

X.509 証明書subject をユーザーとして追加する

クライアント証明書を使用して認証するには、まずMongoDBユーザーとしてクライアント証明書から subject の値を $externalデータベースに追加する必要があります。各一意の X.509クライアント証明書は、単一のMongoDBユーザーに対応します。 1 つのクライアント証明書を使用して複数のMongoDBユーザーを認証することはできません。

1. 次のコマンドを使用して、クライアント証明書から RFC2253 形式の subject を検索できます。

   openssl x509 -in <pathToClientPEM> -inform PEM -subject -nameopt RFC2253

   このコマンドは、subject 文字列と証明書を返します。

   subject= CN=myName,OU=myOrgUnit,O=myOrg,L=myLocality,ST=myState,C=myCountry
   -----BEGIN CERTIFICATE-----
   # ...
   -----END CERTIFICATE-----

2. ユーザーとしての subject の対応値である RFC2253 を追加します。必要に応じてスペースを省略します。

   次の例では、ユーザーを追加し、そのユーザーに test データベース内での readWrite ロールと userAdminAnyDatabase ロールを付与します。

   db.getSiblingDB("$external").runCommand(
     {
       createUser: "CN=myName,OU=myOrgUnit,O=myOrg,L=myLocality,ST=myState,C=myCountry",
       roles: [
            { role: "readWrite", db: "test" },
            { role: "userAdminAnyDatabase", db: "admin" }
       ],
       writeConcern: { w: "majority" , wtimeout: 5000 }
     }
   )

   ロールを有するユーザーを追加する方法の詳細については、「 自己管理型配置でのユーザーとロールの管理」を参照してください。

X.509 証明書での認証

X.509 クライアント証明書対象者に対応するMongoDBユーザーとして追加 したら、クライアント証明書を使用して認証できます。

mongosh --tls --tlsCertificateKeyFile <path to client PEM file> \
    --tlsCAFile <path to root CA PEM file> \
    --authenticationDatabase '$external' \
    --authenticationMechanism MONGODB-X509