mongod と mongos の TLS/SSL 向け構成

認証局

実稼働環境で使用する場合、MongoDB の配置には、認証局によって生成および署名された有効な証明書を使用する必要があります。ユーザーまたは組織は、独立した認証局を作成して維持することも、サードパーティの TLS ベンダーによって生成された証明書を使用することもできます。証明書の取得と管理については、このドキュメントの範囲外です。

mongod および mongos 証明書キーファイル

TLS/SSL 接続を確立する際、mongod/mongos は ID を確立するために、クライアントに証明書鍵ファイルを提示します。[1] 証明書鍵ファイルには公開キー証明書とそれに関連付けられた秘密キーが含まれていますが、クライアントに公開されるのは公開コンポーネントのみです。

MongoDB は認証局によって発行された有効な TLS/SSL 証明書、または自己署名の証明書を使用できます。自己署名証明書を使用する場合、通信チャネルは接続の盗聴を防ぐために暗号化されますが、サーバーの身元は検証されません。これでは中間者攻撃（man-in-the-middle attack）に対して脆弱なままになってしまいます。信頼できる認証局によって署名された証明書を使用することで、MongoDB ドライバーはサーバーの身元を確認できるようになります。

一般に、ネットワークが信頼されていない限り、自己署名証明書の使用は避けてください。

レプリカセットとシャーディングされたクラスターのノードの証明書に関しては、サーバーごとに異なる証明書を使用することをお勧めします。これにより秘密キーの露出が最小限に抑えられ、ホスト名の検証が可能になります。

TLS/SSL 証明書と鍵を使用して mongod およびmongos を設定する

次のセクションでは、TLS/SSL 接続を使用するようにmongod / mongosを構成します。この TLS/SSL 設定により、mongod / mongos は証明書鍵ファイルをクライアントに提示します。ただし、mongod / mongos では、クライアントの ID の確認にクライアントの証明書鍵ファイルを要求しません。クライアントの証明書鍵ファイルを要求するには、「クライアントの証明書の検証を使用して mongod とmongos を設定する」を参照してください。

TLS/SSL 接続を使用するには、mongod/mongos インスタンスの構成ファイルに次の TLS/SSL 設定を含めます。

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

net:
   tls:
      mode: requireTLS
      certificateSelector: subject="<CertificateCommonName>"
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

上記の構成を使用する mongod インスタンスは、TLS/SSL 接続のみを受け入れることができます。

mongod --config <path/to/configuration/file>

TLS/SSL を使用した接続の詳細については、「暗号化を使用した MongoDB インスタンスへの接続」を参照してください。

mongod および mongos をクライアント証明書検証で設定する

次のセクションでは TLS/SSL 接続を使用し、クライアント証明書の検証を実行するように mongod/mongos を設定します。これらの TLS/SSL 設定では次のようになります。

• mongod/mongos は検証のために証明書鍵ファイルをクライアントに提示します。

• mongod/mongos はクライアントの ID を確認するために、クライアントからの証明書鍵ファイルが必要です。

TLS/SSL 接続を使用してクライアント証明書の検証を実行するには、mongod/mongos インスタンスの構成ファイルに次の TLS/SSL 設定を含めます。

例えとして mongod インスタンスの次の構成ファイルを考えてみましょう。

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

上記の構成を使用する mongod インスタンスは、TLS/SSL 接続のみを受け入れることができ、クライアントからの有効な証明書を必要とします。

mongod --config <path/to/configuration/file>

クライアントは TLS/SSL 接続を指定し、証明書鍵ファイルをインスタンスに提示する必要があります。TLS/SSL を使用した接続の詳細については、「クライアント証明書を必要とする MongoDB インスタンスへの接続」を参照してください。

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

プロトコルを許可しない

MongoDB サーバーが特定のプロトコルを使用する着信接続を受け入れないようにするには、許可されていないプロトコルに設定された net.tls.disabledProtocols を含めます。

例えとして次の構成では、mongod/mongos が TLS1_0 または TLS1_1 を使用する着信接続を受け入れないようにします。

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

TLS/SSL 証明書のパスフレーズ

mongod/mongos の証明書鍵ファイルが暗号化されている場合は、パスフレーズに設定された net.tls.certificateKeyFilePassword を含めます。

オンライン証明書ローテーション

MongoDB 5.0 以降では、次の証明書鍵ファイルをオンデマンドでローテーションできます。

• TLS Certificates

• CRL (Certificate Revocation List) files （Linux および Windows プラットフォーム上）

• CA (Certificate Authority) files

1 つまたは複数の証明書をローテーションする。

1. 次の制約に注意しながら、ファイルシステム上でローテーションしたい証明書を置き換えます。

   • 新しい証明書はそれぞれ、置き換える証明書と同じファイル名と同じファイルパスを持っている必要があります。

   • 暗号化された TLS Certificate をローテーションする場合、そのパスワードは古い証明書のパスワードと同じである必要があります（certificateKeyFilePassword 構成ファイル設定で指定）。証明書のローテーションでは、対話型のパスワード プロンプトはサポートされません。

2. 証明書ローテーションを実行する またはmongosh mongodmongosインスタンスに接続します。

3. rotateCertificates コマンドまたは db.rotateCertificates() shell メソッドを実行して、mongod または mongos インスタンスで使用される証明書をローテーションします。

証明書のローテーションが行われると、次のようになります。

• mongod または mongos インスタンスへの既存の接続は終了されず、古い証明書が引き続き使用されます。

• 新しい接続では新しい証明書が使用されます。

証明書ファイルが正しくない、期限切れ、取り消されている、または見つからない場合、証明書のローテーションは失敗しますが、既存の TLS 構成が無効になったり、実行中の mongod または mongos プロセスが終了したりすることはありません。

MongoDB 5.0 以前のバージョンでは、証明書のローテーションにはダウンタイムが必要であり、通常はメンテナンスウィンドウ中に実行されていました。

追加の考慮事項と完全な使用手順については、rotateCertificates または db.rotateCertificates() を参照してください。

FIPS モードで実行する

詳細については「MongoDB を FIPS 用に構成する」を参照してください。

次のステップ

クライアントの TLS/SSL サポートを構成するには、「クライアントの TLS/SSL 構成」を参照してください。

TLS/SSL 証明書と鍵を使用して mongod およびmongos を設定する

次のセクションでは、TLS/SSL 接続を使用するようにmongod / mongosを構成します。この TLS/SSL 設定により、mongod / mongos は証明書鍵ファイルをクライアントに提示します。ただし、mongod / mongos では、クライアントの ID の確認にクライアントの証明書鍵ファイルを要求しません。クライアントの証明書鍵ファイルを要求するには、「クライアントの証明書の検証を使用して mongod とmongos を設定する」を参照してください。

TLS/SSL 接続を使用するには、mongod/mongos インスタンスの構成ファイルに次の TLS/SSL 設定を含めます。

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

net:
   ssl:
      mode: requireSSL
      certificateSelector: subject="<CertificateCommonName>"
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

上記の構成を使用する mongod インスタンスは、TLS/SSL 接続のみを受け入れることができます。

mongod --config <path/to/configuration/file>

TLS/SSL を使用した接続の詳細については、「暗号化を使用した MongoDB インスタンスへの接続」を参照してください。

mongod および mongos をクライアント証明書検証で設定する

次のセクションでは TLS/SSL 接続を使用し、クライアント証明書の検証を実行するように mongod/mongos を設定します。これらの TLS/SSL 設定では次のようになります。

• mongod/mongos は検証のために証明書鍵ファイルをクライアントに提示します。

• mongod/mongos はクライアントの ID を確認するために、クライアントからの証明書鍵ファイルが必要です。

TLS/SSL 接続を使用するには、mongod/mongos インスタンスの構成ファイルに次の TLS/SSL 設定を含めます。

例えとして mongod インスタンスの次の構成ファイルを考えてみましょう。

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

上記の構成を使用する mongod インスタンスは、TLS/SSL 接続のみを受け入れることができ、クライアントからの有効な証明書を必要とします。

mongod --config <path/to/configuration/file>

クライアントは TLS/SSL 接続を指定し、証明書鍵ファイルをインスタンスに提示する必要があります。TLS/SSL を使用した接続の詳細については、「クライアント証明書を必要とする MongoDB インスタンスへの接続」を参照してください。

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

プロトコルを許可しない

MongoDB サーバーが特定のプロトコルを使用する接続を受け入れないようにするには、net.ssl.disabledProtocols に許可されていないプロトコルを設定します。

例えとして次の構成では、mongod/mongos が TLS1_0 または TLS1_1 を使用する着信接続を受け入れないようにします。

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

TLS/SSL 証明書のパスフレーズ

mongod / mongosの証明書鍵ファイルが暗号化されている場合は、パスフレーズに設定されたnet.ssl.PEMKeyPasswordを含めます。

FIPS モードで実行する

詳細については「MongoDB を FIPS 用に構成する」を参照してください。

次のステップ

クライアントの TLS/SSL サポートを構成するには、「クライアントの TLS/SSL 構成」を参照してください。