TLS/SSL에 대해 mongod 및 mongos 구성

인증 기관

프로덕션 용도의 경우 MongoDB deployment는 동일한 인증 기관에서 생성하고 서명한 유효한 인증서를 사용해야 합니다. 귀하 또는 귀하의 조직은 독립적인 인증 기관을 생성 및 유지 관리하거나 타사 TLS 공급업체에서 생성한 인증서를 사용할 수 있습니다. 인증서를 얻고 관리하는 것은 이 문서의 범위를 벗어납니다.

mongod 및 mongos 인증서 키 파일

TLS/SSL 연결을 설정할 때 mongod / mongos는 신원을 확인하기 위해 클라이언트에게 인증서 키 파일을 제시합니다. [1] 인증서 키 파일에는 공개 키 인증서와 연결된 개인 키가 포함되어 있지만 클라이언트에게는 공개 구성 요소만 공개됩니다.

MongoDB는 인증 기관에서 발급한 유효한 TLS/SSL 인증서 또는 자체 서명된 인증서를 사용할 수 있습니다. 자체 서명된 인증서를 사용하는 경우, 통신 채널이 암호화되어 연결 도청을 방지할 수 있지만 서버 신원 유효성 검사는 이루어지지 않습니다. 이로 인해 메시지 가로채기 공격에 취약해집니다. 신뢰할 수 있는 인증 기관에서 서명한 인증서를 사용하면 MongoDB 드라이버가 서버의 신원을 확인하도록 허용할 수 있습니다.

일반적으로 네트워크를 신뢰할 수 있는 경우가 아니라면 자체 서명된 인증서를 사용하지 마세요.

복제본 세트 및 샤딩된 클러스터 멤버에 대한 인증서의 경우, 서로 다른 서버에서는 서로 다른 인증서를 사용하는 것이 좋습니다. 이렇게 하면 개인 키의 노출을 최소화하고 호스트 이름 유효성 검사를 수행할 수 있습니다.

TLS/SSL 인증서 및 키를 사용하여 mongod 및 mongos 설정하기

다음 섹션에서는 TLS/SSL 연결을 사용하도록 mongod / mongos 를 구성합니다. 이러한 TLS/SSL 설정을 사용하면 mongod / mongos 가 인증서 키 파일을 클라이언트에 제공합니다. 그러나 mongod / mongos 는 클라이언트의 신원을 확인하기 위해 클라이언트의 인증서 키 파일이 필요하지 않습니다. 클라이언트의 인증서 키 파일을 요구하려면 대신 클라이언트 인증서 유효성 검사를 통한 mongod 및 mongos 설정 을 참조하세요.

TLS/SSL 연결을 사용하려면 / mongos 인스턴스의 mongod 구성 파일에 다음 TLS/SSL 설정을 포함합니다.

위 구성을 사용하는 mongod 인스턴스는 TLS/SSL 연결만 허용할 수 있습니다.

mongod --config <path/to/configuration/file>

TLS/SSL을 사용한 연결에 대한 자세한 내용은 암호화를 사용하여 MongoDB 인스턴스에 연결을 참조하세요.

클라이언트 인증서 유효성 검사를 통한 mongod 및 mongos 설정

다음 섹션에서는 TLS/SSL 연결을 사용하고 클라이언트 인증서 유효성 검사를 수행하도록 mongod / mongos를 구성합니다. 이 TLS/SSL 설정을 구성하면 다음과 같은 결과가 발생합니다.

• mongod / mongos는 확인을 위해 클라이언트에게 인증서 키 파일을 제공합니다.

• mongod / mongos는 클라이언트의 신원을 확인하기 위해 클라이언트의 인증서 키 파일이 필요합니다.

TLS/SSL 연결을 사용하고 클라이언트 인증서 유효성 검사를 수행하려면 / mongos 인스턴스의 mongod 구성 파일에 다음 TLS/SSL 설정을 포함합니다.

예를 들어 mongod 인스턴스에 대한 다음 구성 파일을 보세요.

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

위 구성을 사용하는 mongod 인스턴스는 TLS/SSL 연결만 허용할 수 있으며 클라이언트의 유효한 인증서가 필요합니다.

mongod --config <path/to/configuration/file>

클라이언트는 TLS/SSL 연결을 지정하고 인증서 키 파일을 인스턴스에 제공해야 합니다. TLS/SSL 연결에 대한 자세한 내용은 클라이언트 인증서가 필요한 MongoDB 인스턴스에 연결을 참조하세요.

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

프로토콜 허용 안 함

MongoDB Server가 특정 프로토콜을 사용하는 수신 연결을 수락하지 못하도록 하려면 허용되지 않는 프로토콜에 net.tls.disabledProtocols 세트를 포함시키세요.

예를 들어, 다음 구성은 mongod / mongos가 TLS1_0 또는 TLS1_1을 사용하는 수신 연결을 수락하지 못하도록 방지합니다.

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

TLS/SSL 인증서 암호

mongod / mongos 인증서 키 파일이 암호화된 경우 암호에 net.tls.certificateKeyFilePassword 설정을 포함합니다.

온라인 인증서 회전

MongoDB 5.0부터 필요에 따라 다음 인증서 키 파일을 회전할 수 있습니다.

• TLS Certificates

• CRL (Certificate Revocation List) files (Linux 및 Windows 플랫폼에서)

• CA (Certificate Authority) files

이러한 인증서 중 하나 이상을 회전하려면 다음을 수행하세요.

1. 다음 제약 조건에 유의하여 파일 시스템에서 회전하려는 인증서를 교체하세요.

   • 새로운 각 인증서는 교체하는 인증서와 동일한 파일 이름 및 파일 경로를 가지고 있어야 합니다.

   • 암호화된 TLS Certificate를 회전하는 경우, 새 인증서의 암호는 이전 인증서의 암호( certificateKeyFilePassword 구성 파일 설정에 지정된 대로)와 같아야 합니다. 인증서 회전은 대화형 비밀번호 프롬프트를 지원하지 않습니다.

2. mongosh 를 인증서 로테이션을 수행하려는 mongod 또는 mongos 인스턴스에 연결합니다.

3. rotateCertificates 명령 또는 db.rotateCertificates() 셸 메서드를 실행하여 mongod 또는 mongos 인스턴스에서 사용하는 인증서를 회전합니다.

인증서 회전이 발생하는 경우:

• mongod 또는 mongos 인스턴스에 대한 기존 연결은 종료되지 않으며 이전 인증서를 계속 사용합니다.

• 모든 새 연결은 새 인증서를 사용합니다.

인증서 파일이 잘못되었거나, 만료되었거나, 해지되었거나, 누락된 경우 인증서 회전이 실패하지만 기존 TLS 구성이 무효화되거나 실행 중인 mongod 또는 mongos 프로세스가 종료되지는 않습니다.

MongoDB 5.0 이전에는 인증서 회전 시에 다운타임이 발생했으며 일반적으로 유지 관리 기간 동안 수행되었습니다.

추가 고려 사항 및 전체 사용 지침은 rotateCertificates 또는 db.rotateCertificates()를 참조하세요.

FIPS 모드에서 실행

자세한 내용은 FIPS를 위한 MongoDB 구성을 참조하세요.

다음 단계

클라이언트를 위한 TLS/SSL 지원을 구성하려면 클라이언트용 TLS/SSL 구성을 참조하세요.

TLS/SSL 인증서 및 키를 사용하여 mongod 및 mongos 설정하기

다음 섹션에서는 TLS/SSL 연결을 사용하도록 mongod / mongos 를 구성합니다. 이러한 TLS/SSL 설정을 사용하면 mongod / mongos 가 인증서 키 파일을 클라이언트에 제공합니다. 그러나 mongod / mongos 는 클라이언트의 신원을 확인하기 위해 클라이언트의 인증서 키 파일이 필요하지 않습니다. 클라이언트의 인증서 키 파일을 요구하려면 대신 클라이언트 인증서 유효성 검사를 통한 mongod 및 mongos 설정 을 참조하세요.

TLS/SSL 연결을 사용하려면 mongod / mongos 인스턴스의 구성 파일에 다음 TLS/SSL 설정을 포함합니다.

위 구성을 사용하는 mongod 인스턴스는 TLS/SSL 연결만 허용할 수 있습니다.

mongod --config <path/to/configuration/file>

TLS/SSL을 사용한 연결에 대한 자세한 내용은 암호화를 사용하여 MongoDB 인스턴스에 연결을 참조하세요.

클라이언트 인증서 유효성 검사를 통한 mongod 및 mongos 설정

다음 섹션에서는 TLS/SSL 연결을 사용하고 클라이언트 인증서 유효성 검사를 수행하도록 mongod / mongos를 구성합니다. 이 TLS/SSL 설정을 구성하면 다음과 같은 결과가 발생합니다.

• mongod / mongos는 확인을 위해 클라이언트에게 인증서 키 파일을 제공합니다.

• mongod / mongos는 클라이언트의 신원을 확인하기 위해 클라이언트의 인증서 키 파일이 필요합니다.

TLS/SSL 연결을 사용하려면 mongod / mongos 인스턴스의 구성 파일에 다음 TLS/SSL 설정을 포함합니다.

예를 들어 mongod 인스턴스에 대한 다음 구성 파일을 보세요.

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

위 구성을 사용하는 mongod 인스턴스는 TLS/SSL 연결만 허용할 수 있으며 클라이언트의 유효한 인증서가 필요합니다.

mongod --config <path/to/configuration/file>

클라이언트는 TLS/SSL 연결을 지정하고 인증서 키 파일을 인스턴스에 제공해야 합니다. TLS/SSL 연결에 대한 자세한 내용은 클라이언트 인증서가 필요한 MongoDB 인스턴스에 연결을 참조하세요.

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

프로토콜 허용 안 함

MongoDB 서버가 특정 프로토콜을 사용하는 수신 연결을 수락하지 못하도록 하려면 허용되지 않는 프로토콜에 net.ssl.disabledProtocols 를 포함합니다.

예를 들어, 다음 구성은 mongod / mongos가 TLS1_0 또는 TLS1_1을 사용하는 수신 연결을 수락하지 못하도록 방지합니다.

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

TLS/SSL 인증서 암호

mongod / mongos 에 대한 인증서 키 파일이 암호화된 경우 암호에 net.ssl.PEMKeyPassword 를 포함합니다.

FIPS 모드에서 실행

자세한 내용은 FIPS를 위한 MongoDB 구성을 참조하세요.

다음 단계

클라이언트를 위한 TLS/SSL 지원을 구성하려면 클라이언트용 TLS/SSL 구성을 참조하세요.