TLS(전송 계층 보안) 구성

개요

이 가이드 에서는 TLS 사용 방법을 학습 수 있습니다. 프로토콜 을 사용하여 MongoDB deployment 에 대한 연결을 보호합니다.

연결에 TLS를 활성화 하도록 설정하면 C++ 운전자 는 다음 작업을 수행합니다.

• TLS를 사용하여 MongoDB deployment에 연결

• 배포서버의 인증서를 확인합니다.

• 인증서가 배포를 인증하는지 확인합니다.

TLS를 위해 MongoDB deployment 를 구성하는 방법을 학습 보려면 MongoDB Server 매뉴얼의 TLS 구성 가이드 를 참조하세요.

TLS 활성화

MongoDB 인스턴스 연결에 TLS를 활성화 하려면 다음 예시 와 같이 연결 string 에서 tls 연결 옵션을 true 로 설정하다 합니다.

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");

CA 파일 지정

TLS 핸드셰이크 중에 MongoDB deployment는 애플리케이션에 인증서 키 파일을 제공하여 ID를 설정합니다. 일반적으로 배포 인증서는 잘 알려진 CA에서 서명했으며 애플리케이션은 이 CA를 사용하여 인증서의 유효성을 검사합니다.

그러나 테스트 중에는 자체 CA 역할을 할 수 있습니다. 이 경우 다른 CA에서 서명한 인증서 대신 자신의 CA 인증서를 사용하도록 C++ 운전자 에 지시해야 합니다.

이렇게 하려면 루트 인증서 체인이 포함된 .pem 파일 의 경로를 지정합니다. mongocxx::options::tls 객체 에 속성 을 설정하거나 연결 string 의 tlsCAFile 매개변수를 사용하는 두 가지 방법으로 이 작업을 수행할 수 있습니다.

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/file.pem");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.ca_dir("/path/to/search/");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

인증서 철회 확인

X.509 인증서를 더 이상 신뢰할 수 없는 경우( 예시: 비공개 키가 손상된 경우) CA는 인증서를 해지합니다. C++ 운전자 에는 서버의 인증서가 해지되었는지 여부를 확인하는 두 가지 방법이 포함되어 있습니다.

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.crl_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

클라이언트 인증서 제시

일부 MongoDB 배포에서는 모든 연결 애플리케이션 이 ID를 증명하는 클라이언트 인증서를 제시해야 합니다. C++ 운전자 가 제시할 클라이언트 인증서를 지정하려면 인증서와 비공개 키가 포함된 .pem 파일 의 파일 경로를 지정합니다.

mongocxx::options::tls 객체 에 속성 을 설정하거나 연결 string 의 tlsCertificateKeyFile 매개변수를 사용하는 두 가지 방법으로 이 작업을 수행할 수 있습니다.

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem");

$ cat key.pem cert.pem > combined.pem

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
tls_options.pem_password("<password>");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem&tlsCertificateKeyFilePassword=<password>");

안전하지 않은 TLS 허용

TLS가 활성화되면 C++ 운전자 는 서버 가 제공하는 인증서를 자동으로 확인합니다. 코드를 테스트할 때 이 확인을 비활성화할 수 있습니다. 이를 안전하지 않은 TLS라고 합니다.

안전하지 않은 TLS를 사용하도록 설정하면 운전자 는 서버 가 X.509 인증서를 제시하기만 하면 됩니다. 운전자 는 다음 중 하나에 해당하는 경우에도 인증서를 수락합니다.

• 서버의 호스트 이름과 인증서의 주체 이름(또는 주체 대체 이름)이 일치하지 않는 경우

• 인증서가 만료되었거나 아직 유효하지 않습니다.

• 인증서의 체인에 신뢰할 수 있는 루트 인증서가 없는 경우

• 인증서 용도가 서버 식별에 유효하지 않은 경우

안전하지 않은 TLS를 활성화 하려면 다음 코드 예시 와 같이 연결 string 에서 tlsInsecure 연결 옵션을 true 로 설정하다 합니다.

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true");

인증서 유효성 검사 만 비활성화하려면 tlsAllowInvalidCertificates 옵션을 true 로 설정하다 하고 tlsInsecure 옵션을 false (또는 생략)으로 설정하다 합니다.

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.allow_invalid_certificates(true);
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true");

호스트 이름 확인만 비활성화하려면 tlsAllowInvalidHostnames 옵션을 true 로 설정하다 하고 tlsInsecure 옵션을 false (또는 생략)으로 설정하다 합니다.

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true");

API 문서

C++ 운전자 의 TLS 구성에 학습 보려면 다음 API 설명서를 참조하세요.

• mongocxx:: 클라이언트

• mongocxx::uri

• mongocxx:: 인스턴스

• mongocxx::options:: 클라이언트

• mongocxx::options::tls