TLS 사용 및 구성

개요

이 가이드에서는 TLS 프로토콜을 사용하여 MongoDB deployment에 대한 연결을 보호하는 방법을 배울 수 있습니다. TLS를 사용하도록 연결을 구성하려면 클라이언트를 생성할 때 TLS 옵션을 활성화하고 유효성 검사를 위해 인증서를 제공합니다.

이 가이드에는 다음 섹션이 포함되어 있습니다.

• TLS 활성화에서 연결에서 TLS를 활성화하는 방법을 설명합니다.

• 인증서 구성에서는 TLS를 구성하는 데 필요한 인증서를 설명합니다.

• 클라이언트의 참조 인증서는 TLS 옵션을 구성하기 위해 Config 구조체를 만드는 방법의 예를 제공합니다.

• 추가 정보에서 이 가이드에 언급된 유형 및 메소드에 대한 리소스 및 API 문서 링크를 찾을 수 있습니다.

TLS 활성화

다음 방법 중 하나를 사용하여 MongoDB 인스턴스에 대한 연결에서 TLS를 활성화할 수 있습니다.

• 연결 문자열에서 tls 옵션을 true(으)로 설정

• 인스턴스를 만들 때 빈 Config 구조체를 메서드에 전달하기 SetTLSConfig() ClientOptions

다음 Connection String 및 ClientOptions 탭에서 선택하여 해당 코드 샘플을 확인합니다.

uri := "mongodb://<hostname>:<port>?tls=true"
opts := options.Client().ApplyURI(uri)
client, _ := mongo.Connect(context.TODO(), opts)

uri := "<connection string>"
opts := options.Client().ApplyURI(uri).SetTLSConfig(&tls.Config{})
client, _ := mongo.Connect(context.TODO(), opts)

클라이언트 옵션의 전체 목록은 연결 옵션을 참조하세요.

인증서 구성

TLS 요청을 성공적으로 시작하려면 애플리케이션에서 ID를 증명하는 암호화 인증서를 제시해야 합니다. 연결 시 TLS를 활성화하려면 애플리케이션의 인증서를 PEM 파일로 저장해야 합니다.

다음 목록에서는 TLS 사용 연결을 설정하기 위해 클라이언트가 제시해야 하는 구성 요소에 대해 설명합니다.

클라이언트의 참조 인증서

클라이언트가 연결되기 전에 서버에서 인증서를 검증할 수 있도록 ClientOptions 객체의 인증서를 참고해야 합니다. TLS 연결을 구성하려면 ClientOptions 인스턴스의 TLSConfig 필드를 Config 구조체로 설정하는 것이 좋습니다. Config 구조체는 Go에 기본으로 제공되므로 모든 TLS 옵션을 재사용 가능한 단일 객체에 보관할 수 있습니다.

Config 인스턴스를 만들려면 crypto/tls 및 crypto/x509 패키지를 가져옵니다. 다음으로, Config 인스턴스를 만들고 구성에 맞게 관련 필드를 설정합니다.

Config 인스턴스 내에서 선택적 필드를 설정하여 연결에서 TLS를 구성할 수 있습니다. 테스트를 위해 InsecureSkipVerify 필드를 true 로 설정할 수 있습니다.

구조체에 대해 자세히 Config 알아보려면 tls.Config API 설명서를 참조하세요.

// Enable TLS on a connection by using the Go driver
package main
import (
	"context"
	"crypto/tls"
	"crypto/x509"
	"os"
	"go.mongodb.org/mongo-driver/mongo"
	"go.mongodb.org/mongo-driver/mongo/options"
)
func main() {
	caFile := "<path to CA certificate>"
	certFile := "<path to public client certificate>"
	keyFile := "<path to private client key>"
	// Loads CA certificate file
	caCert, err := os.ReadFile(caFile)
	if err != nil {
		panic(err)
	}
	caCertPool := x509.NewCertPool()
	if ok := caCertPool.AppendCertsFromPEM(caCert); !ok {
		panic("Error: CA file must be in PEM format")
	}
	// Loads client certificate files
	cert, err := tls.LoadX509KeyPair(certFile, keyFile)
	if err != nil {
		panic(err)
	}
	// Instantiates a Config instance
	tlsConfig := &tls.Config{
		RootCAs:      caCertPool,
		Certificates: []tls.Certificate{cert},
	}
	uri := "<connection string>"
	// Sets TLS options in options instance
	opts := options.Client().ApplyURI(uri).SetTLSConfig(tlsConfig)
	// Connects to MongoDB with TLS enabled
	client, err := mongo.Connect(context.TODO(), opts)
	if err != nil {
		panic(err)
	}
	defer func() {
		if err = client.Disconnect(context.TODO()); err != nil {
			panic(err)
		}
	}()
}

추가 정보

연결에서 TLS를 활성화하는 방법에 대해 자세히 알아보려면 다음 서버 매뉴얼 문서를 참조하세요.

• TLS/SSL(전송 암호화)

• 클라이언트를 위한 TLS/SSL 구성