TLS/SSL を使用するためにクラスターをアップグレードする

MongoDB5.0 は 10 月2024 をもってサポートを終了します。このバージョンのドキュメントはサポート対象外になりました。配置をアップグレードするには、 MongoDB を参照してください。5.0 60アップグレード手順。

MongoDB サーバーは、同じ TCP ポートで TLS/SSL で暗号化された接続と暗号化されていない接続の両方をリッスンすることをサポートしています。これにより、MongoDB クラスターのアップグレードで、TLS/SSL 暗号化接続を使用できるようになります。

注意

MongoDB は、TLS 1.1 + が利用可能なシステムで TLS 1.0暗号化のサポートを無効にします。

手順（`tls` 設定を使用）

重要

TLS/SSL、PKI（公開キー基盤）証明書、認証局についての詳細な説明は、このドキュメントの範囲外です。このページでは、TLS/SSL に関する予備知識があり、有効な証明書にアクセスすることを前提としています。

TLS/SSL 暗号化を使用しない MongoDB クラスターから、TLS/SSL 暗号化のみを使用する MongoDB クラスターにアップグレードするには、次のローリングアップグレードプロセスを使用します。

注意

このセクションの手順では、 tls設定/オプションを使用します。 sslエイリアスの使用手順については、「手順（ ssl設定の使用）」を参照してください。

MongoDB では常に TLS 1.0 以降をサポートしているため、 tlsの設定/オプションはsslオプションと同じ機能を提供します。

クラスターの各ノードで、コマンドラインオプション--tlsModeまたは構成ファイルオプション net.tls.modeをallowTLSに設定して、ノードを起動します。 allowTLS設定により、ノードは TLS/SSL と非 TLS/SSL 受信接続の両方を受け入れることができます。他のサーバーへの接続では、TLS/SSL は使用されません。その他のTLS/SSL オプション [ 2 ]および特定の構成に必要なその他のオプションを含めます。

注意

mongod と mongos は、デフォルトで localhost にバインドされます。配置のノードが異なるホスト上で実行されている場合、またはリモートクライアントを配置に接続する場合は、--bind_ip または net.bindIp を指定する必要があります。

以下に例を挙げます。

mongod --replSet <name> --tlsMode allowTLS --tlsCertificateKeyFile <TLS/SSL certificate and key file> --tlsCAFile <path to root CA PEM file> <additional options>

構成ファイルでこれらのオプションを指定するには、ファイルに次の設定を含めます。

net:
   tls:
      mode: allowTLS
      PEMKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>

クラスターのすべてのノードをこれらの設定にアップグレードします。

すべてのクライアントを TLS/SSL を使用するように切り替えます。「クライアントの TLS/SSL 構成」を参照してください。
クラスターの各ノードで、 setParameterコマンドを使用してtlsModeをpreferTLSに更新します。 [1] preferTLSをnet.tls.modeとして使用すると、ノードは TLS/SSL と非 TLS/SSL 非 SSL 着信接続の両方を受け入れ、他のサーバーへの接続では TLS/SSL が使用されます。例:
```
db.adminCommand( { setParameter: 1, tlsMode: "preferTLS" } )
```
クラスターのすべてのノードをこれらの設定にアップグレードします。
この時点で、すべての接続は TLS/SSL を使用するはずです。
クラスターの各ノードで、 setParameterコマンドを使用してtlsModeをrequireTLSに更新します。 [1] requireTLSをnet.tls.modeとして使用すると、ノードは TLS/SSL 以外の接続を拒否します。例:
```
db.adminCommand( { setParameter: 1, tlsMode: "requireTLS" } )
```
すべてのノードをアップグレードした後、適切な TLS/SSL 設定で構成ファイルを編集し、次回の再起動時にクラスターが TLS/SSL を使用するようにします。

手順（`ssl` 設定を使用）

重要

注意

このセクションの手順では、 ssl設定/オプションを使用します。 tlsエイリアスの使用手順については、「手順（ tls設定の使用）」を参照してください。

MongoDB では常に TLS 1.0 以降をサポートしているため、 tlsの設定/オプションはsslオプションと同じ機能を提供します。

クラスターの各ノードで、コマンドラインオプション--sslModeまたは構成ファイルオプションnet.ssl.modeをallowSSLに設定して、ノードを起動します。 allowSSL設定により、ノードは TLS/SSL と非 TLS/SSL 受信接続の両方を受け入れることができます。他のサーバーへの接続では、TLS/SSL は使用されません。その他のTLS/SSL オプション [ 2 ]および特定の構成に必要なその他のオプションを含めます。
注意
mongod と mongos は、デフォルトで localhost にバインドされます。配置のノードが異なるホスト上で実行されている場合、またはリモートクライアントを配置に接続する場合は、--bind_ip または net.bindIp を指定する必要があります。
以下に例を挙げます。
mongod --replSet <name> --sslMode allowSSL --sslPEMKeyFile <path to TLS/SSL Certificate and key PEM file> --sslCAFile <path to root CA PEM file> <additional options>
構成ファイルでこれらのオプションを指定するには、ファイルに次の設定を含めます。
net: ssl: mode: <allowSSL> PEMKeyFile: <path to TLS/SSL certificate and key PEM file> CAFile: <path to root CA PEM file>
クラスターのすべてのノードをこれらの設定にアップグレードします。
すべてのクライアントを TLS/SSL を使用するように切り替えます。「クライアントの TLS/SSL 構成」を参照してください。
クラスターの各ノードで、 setParameterコマンドを使用してsslModeをpreferSSLに更新します。 [ 1 ] preferSSLをnet.ssl.modeとして使用すると、ノードは TLS/SSL と非 TLS/SSL 以外の着信接続の両方を受け入れ、他のサーバーへの接続は TLS/SSL を使用します。例:
```
db.adminCommand( { setParameter: 1, sslMode: "preferSSL" } )
```
クラスターのすべてのノードをこれらの設定にアップグレードします。
この時点で、すべての接続は TLS/SSL を使用するはずです。
クラスターの各ノードで、 setParameterコマンドを使用してsslModeをrequireSSLに更新します。 [ 1 ] requireSSLをnet.ssl.modeとして使用すると、ノードは TLS 以外と SSL 以外の接続を拒否します。例:
```
db.adminCommand( { setParameter: 1, sslMode: "requireSSL" } )
```
すべてのノードをアップグレードした後、適切な TLS/SSL 設定で構成ファイルを編集し、次回の再起動時にクラスターが TLS/SSL を使用するようにします。

[1]	（ 1 、 2 、 3 、 4 ） `setParameter`コマンドを使用する代わりに、適切な TLS/SSL オプションと値を使用してノードを再起動することもできます。

[2]

（ 1 、 2 ） Windows と macOS のシステム SSL 証明書ストアを使用できます。システム SSL 証明書ストアを使用するには、以下を使用します。

net.tls.certificateSelector{ }（またはコマンドライン--tlsCertificateSelector net.tls.certificateKeyFileオプション``-certifyKeyFile``）ではなく、（またはコマンドラインオプション）。
net.ssl.certificateSelector net.ssl.PEMKeyFile （またはコマンドラインオプション``--sslPEMKeyFile``) ではなく、（またはコマンドラインオプション--sslCertificateSelector ）。

システムの SSL 証明書ストアを使用する場合、 OCSP（オンライン証明書ステータスプロトコル）を使用して証明書の失効状態を検証します。

戻る

クライアントの構成

FIPS 用の構成

注意

重要

注意

注意

手順（ssl 設定を使用）

重要

注意

注意

手順（`ssl` 設定を使用）