TLS(전송 계층 보안) 구성

개요

이 가이드 에서는 TLS 사용 방법을 학습 수 있습니다. 프로토콜 을 사용하여 MongoDB deployment 에 대한 연결을 보호합니다.

연결에 TLS를 활성화 하면 PHP 라이브러리는 다음 조치를 수행합니다.

• TLS를 사용하여 MongoDB deployment에 연결

• 배포서버의 인증서를 확인합니다.

• 인증서가 배포를 인증하는지 확인합니다.

TLS를 위해 MongoDB deployment 를 구성하는 방법을 학습 보려면 MongoDB Server 매뉴얼의 TLS 구성 가이드 를 참조하세요.

TLS 활성화

MongoDB deployment 연결에 TLS를 활성화 하려면 tls 연결 옵션을 true 로 설정하다 합니다. MongoDB\Client 생성자의 uriOptions 매개변수를 사용하거나 연결 string 의 매개변수를 사용하는 두 가지 방법으로 이 작업을 수행할 수 있습니다.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true';
$client = MongoDB\Client($uri);

CA 파일 지정

TLS 핸드셰이크 중에 MongoDB deployment 는 애플리케이션 에 인증서 키 파일 을 제공하여 ID를 설정합니다. 일반적으로 배포 인증서는 잘 알려진 CA(인증 기관)에서 서명했으며 애플리케이션 은 이 CA를 사용하여 인증서의 유효성을 검사합니다.

그러나 테스트 중에는 자체 CA 역할을 할 수 있습니다. 이 경우 다른 CA에서 서명한 인증서 대신 자신의 CA 인증서를 사용하도록 PHP 라이브러리에 지시해야 합니다.

이렇게 하려면 tlsCAFile 연결 옵션을 사용하여 루트 인증서 체인이 포함된 .pem 파일 의 경로를 지정합니다. 이 작업은 MongoDB\Client 생성자의 uriOptions 매개변수를 사용하거나 연결 string 의 매개변수를 사용하는 두 가지 방법으로 수행할 수 있습니다.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCAFile' => '/path/to/ca.pem'
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/ca.pem';
$client = MongoDB\Client($uri);

$uri = 'mongodb://<hostname>:<port>';
$uriOptions = [
   'tls' => true,
];
$driverOptions = [
    'ca_dir' => '/path/to/search/'
];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

인증서 철회 확인

X.509 인증서를 더 이상 신뢰할 수 없는 경우( 예시: 비공개 키가 손상된 경우) CA는 인증서를 해지합니다. PHP 라이브러리에는 서버의 인증서가 해지되었는지 확인하는 두 가지 방법이 있습니다.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsDisableOCSPEndpointCheck' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true';
$client = MongoDB\Client($uri);

$uri = 'mongodb://<hostname>:<port>';
$uriOptions = [
   'tls' => true,
];
$driverOptions = [
    'crl_file' => '/path/to/file.pem'
];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

클라이언트 인증서 제시

일부 MongoDB 배포에서는 모든 연결 애플리케이션 이 ID를 증명하는 클라이언트 인증서를 제시해야 합니다. PHP 라이브러리에 대한 클라이언트 인증서를 설정하다 하려면 tleCertificateKeyFile 옵션을 인증서 및 비공개 키가 포함된 .pem 파일 의 파일 경로로 설정합니다.

이 작업은 MongoDB\Client 생성자의 uriOptions 매개변수를 사용하거나 연결 string 의 매개변수를 사용하는 두 가지 방법으로 수행할 수 있습니다.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem'
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem';
$client = MongoDB\Client($uri);

$ cat key.pem cert.pem > combined.pem

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem',
   'tlsCertificateKeyFilePassword' => '<passphrase>'
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem&tlsCertificateKeyFilePassword=<passphrase>';
$client = MongoDB\Client($uri);

안전하지 않은 TLS 허용

TLS가 활성화되면 PHP 라이브러리는 서버 가 제공하는 인증서를 자동으로 확인합니다. 코드를 테스트할 때 이 확인을 비활성화할 수 있습니다. 이를 안전하지 않은 TLS라고 합니다.

안전하지 않은 TLS를 사용하도록 설정하면 운전자 는 서버 가 X.509 인증서를 제시하기만 하면 됩니다. 운전자 는 다음 중 하나에 해당하는 경우에도 인증서를 수락합니다.

• 서버의 호스트 이름과 인증서의 주체 이름(또는 주체 대체 이름)이 일치하지 않는 경우

• 인증서가 만료되었거나 아직 유효하지 않습니다.

• 인증서의 체인에 신뢰할 수 있는 루트 인증서가 없는 경우

• 인증서 용도가 서버 식별에 유효하지 않은 경우

안전하지 않은 TLS를 활성화하려면 tlsInsecure 연결 옵션을 true 로 설정합니다. MongoDB\Client 생성자에 인수를 전달하거나 연결 string 의 매개변수를 사용하는 두 가지 방법으로 이 작업을 수행할 수 있습니다.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsInsecure' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true';
$client = MongoDB\Client($uri);

인증서 유효성 검사만 비활성화하려면 tlsAllowInvalidCertificates 옵션을 true 로 설정하고 tlsInsecure 옵션을 false 로 설정하거나 생략합니다.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidCertificates' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true';
$client = MongoDB\Client($uri);

호스트 이름 확인만 비활성화하려면 tlsAllowInvalidHostnames 옵션을 true 로 설정하고 tlsInsecure 옵션을 false 로 설정하거나 생략합니다.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidHostnames' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true';
$client = MongoDB\Client($uri);

API 문서

PHP 라이브러리의 TLS 구성에 학습 보려면 다음 API 설명서를 참조하세요.

• MongoDB\Client