자체 관리형 구성 파일 옵션

외부에서 가져온 값

다음과 같은 확장 지시어를 사용할 수 있습니다:

전체 문서 는 자체 관리형 배포서버를 위한 외부 소스 구성 파일 값을 참조하세요.

확장 지시문 및 --configExpand

구성 파일에서 확장 --configExpand 디렉티브를 사용하는 경우 또는 시작 mongod 시 옵션을 mongos 포함해야 합니다. 예를 들면 다음과 같습니다.

mongod --config /etc/mongod.conf  --configExpand "rest,exec"
mongos --config /etc/mongos.conf  --configExpand "rest,exec"

설정파일에 확장 지시어가 포함되어 있고 mongod /mongos를 시작할 때--configExpand옵션에 해당 지시어를 지정하지 않고 / 를 시작하고 옵션에 해당 지시어를 지정하지 않으면 mongod / mongos가 시작하지 못한다.

전체 문서 는 자체 관리형 배포서버를 위한 외부 소스 구성 파일 값을 참조하세요.

systemLog.component 옵션

systemLog:
   component:
      accessControl:
         verbosity: <int>
      command:
         verbosity: <int>
      # COMMENT some component verbosity settings omitted for brevity
      replication:
         verbosity: <int>
         election:
            verbosity: <int>
         heartbeats:
            verbosity: <int>
         initialSync:
            verbosity: <int>
         rollback:
            verbosity: <int>
      storage:
         verbosity: <int>
         journal:
            verbosity: <int>
         recovery:
            verbosity: <int>
      write:
         verbosity: <int>

systemLog.component.accessControl.verbosity

유형: integer

기본값: 0

액세스 제어와 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. ACCESS 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.command.verbosity

유형: integer

기본값: 0

명령과 관련된 구성 요소에 대한 로그 메시지의 자세한 수준입니다. COMMAND 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.control.verbosity

유형: integer

기본값: 0

제어 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. CONTROL 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.ftdc.verbosity

유형: integer

기본값: 0

진단 데이터 수집 작업과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. FTDC 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.geo.verbosity

유형: integer

기본값: 0

지리 공간 구문 분석 작업과 관련된 구성 요소에 대한 로그 메시지 세부 정보 표시 수준입니다. GEO 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.index.verbosity

유형: integer

기본값: 0

인덱싱 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. INDEX 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.network.verbosity

유형: integer

기본값: 0

네트워킹 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. NETWORK 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.query.verbosity

유형: integer

기본값: 0

쿼리 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. QUERY 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.queryStats.verbosity

유형: integer

기본값: 0

$queryStats 호출과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. QUERYSTATS 구성 요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 기본 로그 상세도 수준이며 정보 메시지만 포함합니다. 이 수준에서는 $queryStats 호출이 기록되지 않습니다.

• 1 2 로 설정하면 algorithm 가 "hmac-sha-256" 인 $queryStats 호출을 포함하도록 상세도 수준이 증가합니다. 모든 HMAC 키가 삭제됩니다.

• 3 5 로 설정하면 algorithm 가 "hmac-sha-256" 인 $queryStats 호출과 해당 결과가 포함되도록 상세도 수준이 증가합니다. 각 결과는 자체 항목이며 "we finished" 문자열이 포함된 최종 항목이 있습니다.

systemLog.component.replication.verbosity

유형: integer

기본값: 0

복제와 관련된 구성 요소에 대한 로그 메시지 세부 정보 표시 수준입니다. REPL 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.election.verbosity

유형: integer

기본값: 0

선택과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. ELECTION 구성요소를 참조하세요.

systemLog.component.replication.election.verbosity가 설정되지 않은 경우 systemLog.component.replication.verbosity 레벨은 선거 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.heartbeats.verbosity

유형: integer

기본값: 0

하트비트와 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. REPL_HB 구성요소를 참조하세요.

systemLog.component.replication.heartbeats.verbosity이 설정되지 않은 경우 systemLog.component.replication.verbosity 수준도 하트비트 구성 요소에 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.initialSync.verbosity

유형: integer

기본값: 0

초기 동기화와 관련된 컴포넌트에 대한 로그 메시지 상세도 수준입니다. INITSYNC 구성요소를 참조하세요.

systemLog.component.replication.initialSync.verbosity가 설정되지 않은 경우 systemLog.component.replication.verbosity 수준도 초기 동기화 구성 요소에 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.replication.rollback.verbosity

유형: integer

기본값: 0

롤백과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. ROLLBACK 구성요소를 참조하세요.

systemLog.component.replication.rollback.verbosity가 설정되지 않은 경우 systemLog.component.replication.verbosity 수준도 롤백 구성 요소에 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.sharding.verbosity

유형: integer

기본값: 0

샤딩과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. SHARDING 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.verbosity

유형: integer

기본값: 0

스토리지와 관련된 구성요소에 대한 로그 메시지 상세 수준입니다. STORAGE 구성요소를 참조하세요.

systemLog.component.storage.journal.verbosity가 설정되지 않으면 systemLog.component.storage.verbosity 레벨이 저널링 구성 요소에도 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.journal.verbosity

유형: integer

기본값: 0

저널링과 관련된 구성 요소의 로그 메시지 상세 수준입니다. JOURNAL 구성 요소를 참조하십시오.

systemLog.component.storage.journal.verbosity가 설정되지 않은 경우, 저널링 구성 요소는 상위 스토리지 구성 요소와 동일한 상세도 수준(설정된 경우 systemLog.component.storage.verbosity 수준 또는 기본 상세도 수준)을 갖습니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.recovery.verbosity

유형: integer

기본값: 0

복구와 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. RECOVERY 구성요소를 참조하세요.

systemLog.component.storage.recovery.verbosity가 설정되지 않은 경우 복구 구성 요소에도 systemLog.component.storage.verbosity 레벨이 적용됩니다.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. WT 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtBackup.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 백업 작업과 관련된 구성 요소에 대한 로그 메시지 상세도 수준입니다. WTBACKUP 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtCheckpoint.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 체크포인트 작업과 관련된 구성 요소에 대한 로그 메시지 세부 정보입니다. WTCHKPT 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtCompact.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 압축 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTCMPCT 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtEviction.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 퇴거 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTEVICT 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtHS.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 히스토리 저장소 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTHS 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtRecovery.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 복구 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTRECOV 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtRTS.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 안정적인 작업으로의 롤백 (RTS) 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTRTS 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtSalvage.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 복구 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTSLVG 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtTimestamp.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 사용하는 타임스탬프와 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTTS 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtTransaction.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

와이어드타이거 스토리지 엔진이 수행하는 트랜잭션 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTTXN 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtVerify.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진이 수행하는 검증 작업과 관련된 구성 요소에 대한 로그 메시지 상세 정보입니다. WTVRFY 구성요소를 참조하세요.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.storage.wt.wtWriteLog.verbosity

유형: integer

기본값: -1

버전 5.3에 추가.

WiredTiger 스토리지 엔진에서 수행하는 로그 쓰기 작업과 관련된 구성 요소에 대한 로그 메시지 상세도입니다. WTWRTLOG 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.transaction.verbosity

유형: integer

기본값: 0

트랜잭션과 관련된 구성 요소에 대한 로그 메시지 상세 수준입니다. TXN 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

systemLog.component.write.verbosity

유형: integer

기본값: 0

쓰기 작업과 관련된 구성 요소에 대한 로그 메시지 세부 정보 표시 수준입니다. WRITE 구성 요소를 참조하십시오.

상세도 수준은 0 에서 5 사이의 범위입니다.

• 0 는 정보 메시지를 포함하기 위한 MongoDB의 기본 로그 상세도 수준입니다.

• 1 5 로 설정하면 디버그 메시지를 포함하도록 상세 수준이 높아집니다.

net.unixDomainSocket 옵션

net:
   unixDomainSocket:
      enabled: <boolean>
      pathPrefix: <string>
      filePermissions: <int>

net.unixDomainSocket.enabled

유형: 부울

기본값: true

UNIX 도메인 소켓에서 수신을 활성화하거나 비활성화합니다. net.unixDomainSocket.enabled은 유닉스 기반 시스템에만 적용됩니다.

net.unixDomainSocket.enabled가 true이면 mongos 또는 mongod가 UNIX 소켓에서 수신 대기합니다.

2}mongos 또는 프로세스는 다음 중 하나에 해당하지 않는 한 항상 UNIX 소켓에서 수신 mongod 대기합니다:

• net.unixDomainSocket.enabled 입니다 false

• --nounixsocket 이설정되어 있습니다. 명령줄 옵션은 구성 파일 설정보다 우선합니다.

• net.bindIp is not set

• net.bindIp는 localhost 또는 관련 IP 주소를 지정하지 않았습니다.

mongos{ 2} mongod 또는 공식 .deb에서 설치한 경우 및 .rpm bind_ip 패키지는 127.0.0.1 기본적으로 구성을 으로 설정합니다.

net.unixDomainSocket.pathPrefix

유형: 문자열

기본값/tmp

UNIX 소켓의 경로입니다. net.unixDomainSocket.pathPrefix는 유닉스 기반 시스템에만 적용됩니다.

이 옵션에 값이 없으면 mongos 또는 mongod 프로세스가 접두사로 /tmp 을 사용하여 소켓을 만듭니다. 다음 중 하나에 해당하지 않는 한 MongoDB는 UNIX 소켓에서 생성하고 수신 대기합니다:

• net.unixDomainSocket.enabled 입니다 false

• --nounixsocket is set

• net.bindIp is not set

• net.bindIp는 localhost 또는 관련 IP 주소를 지정하지 않았습니다.

net.unixDomainSocket.filePermissions

형식: int

기본값: 0700

UNIX 도메인 소켓 파일의 권한을 설정합니다.

net.unixDomainSocket.filePermissions Unix 기반 시스템에만 적용됩니다.

net.tls 옵션

net:
   tls:
      mode: <string>
      certificateKeyFile: <string>
      certificateKeyFilePassword: <string>
      certificateSelector: <string>
      clusterCertificateSelector: <string>
      clusterFile: <string>
      clusterPassword: <string>
      clusterAuthX509:
        attributes: <string>
        extensionValue: <string>
      CAFile: <string>
      clusterCAFile: <string>
      CRLFile: <string>
      allowConnectionsWithoutCertificates: <boolean>
      allowInvalidCertificates: <boolean>
      allowInvalidHostnames: <boolean>
      disabledProtocols: <string>
      FIPSMode: <boolean>
      logVersions: <string>

net.tls.mode

유형: 문자열

모든 네트워크 연결에서 TLS를 사용하도록 설정합니다. net.tls.mode 설정의 인수는 다음 중 하나일 수 있습니다.

값	설명
disabled	서버가 TLS를 사용하지 않습니다.
allowTLS	서버 간 연결이 TLS를 사용하지 않습니다. 수신 연결의 경우, 서버는 TLS와 비TLS를 모두 허용합니다.
preferTLS	서버 간 연결이 TLS를 사용합니다. 수신 연결의 경우, 서버는 TLS와 비TLS를 모두 허용합니다.
requireTLS	서버가 TLS로 암호화된 연결만 사용하고 허용합니다.

--tlsCAFile 또는 tls.CAFile이(가) 지정되지 않았고 x.509 인증을 사용하지 않는 경우 tlsUseSystemCA 매개변수를 true(으)로 설정해야 합니다. 따라서 MongoDB는 TLS 활성화 서버에 연결할 때 시스템 전체 CA 인증서 저장소를 사용합니다.

x.509 인증을 사용하는 경우 --tlsCertificateSelector를사용하지 않는 한 --tlsCAFile 또는 tls.CAFile 을 지정해야 합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.certificateKeyFile

유형: 문자열

TLS 인증서와 키가 모두 포함된 .pem 파일입니다.

macOS 또는 Windows에서는 net.tls.certificateSelector 설정을 사용하여 PEM 키 파일 대신 운영 체제의 보안 인증서 저장소에 있는 인증서를 지정할 수 있습니다. certificateKeyFile 와 net.tls.certificateSelector 은 상호 배타적입니다. 하나만 지정할 수 있습니다.

• Linux/BSD에서 TLS를 활성화할 때 net.tls.certificateKeyFile을 지정해야 합니다.

• Windows 또는 macOS에서 TLS를 사용하는 경우 net.tls.certificateKeyFile 또는 net.tls.certificateSelector를 지정해야 합니다.

  중요

  Windows의 경우에만 MongoDB가 암호화된 PEM 파일을 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 시작되지 않습니다. Windows에서 TLS에 사용할 인증서를 안전하게 저장하고 액세스하려면 net.tls.certificateSelector 를 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.certificateKeyFilePassword

유형: 문자열

인증서 키 파일의 암호를 해제하기 위한 비밀번호(예: certificateKeyFile). 인증서 키 파일이 암호화된 경우에만 net.tls.certificateKeyFilePassword 옵션을 사용합니다. 모든 경우에 mongos 또는 mongod는 모든 로깅 및 보고 출력에서 비밀번호를 삭제합니다.

Linux/BSD에서 PEM 파일의 개인 키가 암호화되어 있고 net.tls.certificateKeyFilePassword 옵션을 지정하지 않은 경우, MongoDB는 암호를 입력하라는 메시지를 표시합니다.

자세한 내용은 TLS/SSL 인증서 암호를 참조하세요.

macOS에서 PEM 파일의 개인 키가 암호화된 경우 net.tls.certificateKeyFilePassword 옵션을 명시적으로 지정해야 합니다. 또는 PEM 키 파일 대신 보안 시스템 저장소(net.tls.certificateSelector 참조)의 인증서를 사용하거나 암호화되지 않은 PEM 파일을 사용할 수 있습니다.

Windows에서는 암호화된 인증서가 지원되지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 오류가 발생합니다. 대신 net.tls.certificateSelector를 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.certificateSelector

유형: 문자열

TLS에 사용하기 위해 운영 체제의 인증서 저장소에서 일치하는 인증서를 선택할 때 사용할 인증서 속성을 지정합니다. net.tls.certificateKeyFile 대신 Windows 및 macOS에서 사용할 수 있습니다.

net.tls.certificateKeyFile 및 net.tls.certificateSelector 옵션은 상호 배타적입니다. 둘 중 하나만 지정해야 합니다.

net.tls.certificateSelector는 <property>=<value> 형식의 인수를 받으며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

시스템 SSL 인증서 저장소를 사용할 때 온라인 인증서 상태 프로토콜(OCSP)을 사용해 인증서의 해지 상태를 확인할 수 있습니다.

는 운영 체제의 보안 인증서 저장소에서 지정된 TLS 인증서의 인증서 체인 전체의 유효성을 검사하는 데 필요한 CA 인증서를 mongod 검색합니다. 구체적으로 설명하면, 보안 인증서 저장소에는 TLS 인증서로의 전체 인증서 체인을 구성하는 데 필요한 루트 CA와 중간 CA 인증서가 포함되어 있어야 합니다.

경고

net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector를 사용하는 경우 루트 및 중간 CA 인증서를 지정하는 데 net.tls.CAFile 또는 net.tls.clusterFile을 사용하지 않기를 권장합니다.

예를 들어, TLS/SSL 인증서가 단일 루트 CA 인증서로 서명된 경우, 보안 인증서 저장소에 해당 루트 CA 인증서가 포함되어 있어야 합니다. TLS/SSL 인증서가 중간 CA 인증서로 서명된 경우, 보안 인증서 저장소에는 중간 CA 인증서 와 루트 CA 인증서가 포함되어 있어야 합니다.

참고

net.tls.certificateSelector 또는 --tlsCertificateSelector를 thumbprint로 설정한 경우 rotateCertificates 명령 또는 db.rotateCertificates() 셸 메서드를 사용할 수 없습니다.

net.tls.clusterCertificateSelector

유형: 문자열

운영 체제의 보안 인증서 저장소에서 내부 x.509 구성원 인증에 사용할 일치하는 인증서를 선택하는 인증서 속성을 지정합니다.

net.tls.clusterFile 대신 Windows 및 macOS에서 사용할 수 있습니다.

net.tls.clusterFile 및 net.tls.clusterCertificateSelector 옵션은 상호 배타적입니다. 둘 중 하나만 지정해야 합니다.

net.tls.clusterCertificateSelector는 <property>=<value> 형식의 인수를 받으며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

는 운영 체제의 보안 인증서 저장소에서 지정된 클러스터 인증서의 인증서 체인 전체의 유효성을 검사하는 데 필요한 CA 인증서를 mongod 검색합니다. 구체적으로 설명하면, 보안 인증서 저장소에는 클러스터 인증서로의 전체 인증서 체인을 구성하는 데 필요한 루트 CA와 중간 CA 인증서가 포함되어 있어야 합니다.

경고

net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector를 사용하는 경우 net.tls.CAFile 또는 net.tls.clusterCAFile을 사용하여 루트 및 중간 CA 인증서를 지정하지 않는 것이 좋습니다.

예를 들어, 클러스터 인증서가 단일 루트 CA 인증서로 서명된 경우, 보안 인증서 저장소에 해당 루트 CA 인증서가 포함되어 있어야 합니다. 클러스터 인증서가 중간 CA 인증서로 서명된 경우, 보안 인증서 저장소에는 중간 CA 인증서 와 루트 CA 인증서가 포함되어 있어야 합니다.

mongod/mongos는 제시된 x.509 인증서가 mongod/mongos 호스트 시스템 시간으로부터 30일 이내에 만료되는 경우 연결 시 경고를 기록합니다. 자세한 내용은 경고를 트리거하는 만료 임박 x.509 인증서를 참조하세요.

net.tls.clusterFile

유형: 문자열

클러스터 또는 복제본 집합에 대한 구성원 인증을 위한 x.509 인증서 키 파일이 들어 있는 .pem 파일입니다.

macOS 또는 Windows에서는 net.tls.clusterCertificateSelector 옵션을 사용하여 PEM 키 파일 대신 운영 체제의 보안 인증서 저장소에 있는 인증서를 지정할 수 있습니다. net.tls.clusterFile 및 net.tls.clusterCertificateSelector 옵션은 상호 배타적이므로 둘 중 하나만 지정해야 합니다.

net.tls.clusterFile에서 내부 클러스터 인증을 위해 .pem 파일이나 대안인 net.tls.clusterCertificateSelector를 지정하지 않는 경우 클러스터는 certificateKeyFile 설정에서 지정된 .pem 파일 또는 net.tls.certificateSelector에서 반환된 인증서를 사용합니다.

x.509 인증을 사용하는 경우 --tlsCertificateSelector를사용하지 않는 한 --tlsCAFile 또는 tls.CAFile 을 지정해야 합니다.

mongod/mongos는 제시된 x.509 인증서가 mongod/mongos 호스트 시스템 시간으로부터 30일 이내에 만료되는 경우 연결 시 경고를 기록합니다. 자세한 내용은 경고를 트리거하는 만료 임박 x.509 인증서를 참조하세요.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

중요

Windows의 경우에만 MongoDB가 암호화된 PEM 파일을 지원하지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 가 시작되지 않습니다. Windows에서 멤버십 인증에 사용할 인증서를 안전하게 저장하고 액세스하려면 net.tls.clusterCertificateSelector 를 사용합니다.

net.tls.clusterPassword

유형: 문자열

--sslClusterFile(으)로 지정된 x.509 인증서 키 파일의 암호를 해독하기 위한 비밀번호입니다. net.tls.clusterPassword 옵션은 인증서-키 파일이 암호화된 경우에만 사용합니다. 모든 경우에 mongos 또는 mongod(은)는 모든 로깅 및 보고 출력에서 비밀번호를 삭제합니다.

Linux/BSD에서 x.509 파일의 개인 키가 암호화되어 있고 net.tls.clusterPassword 옵션을 지정하지 않은 경우, MongoDB는 암호를 입력하라는 메시지를 표시합니다.

자세한 내용은 TLS/SSL 인증서 암호를 참조하세요.

macOS에서 x.509 파일의 비공개 키가 암호화된 경우 net.tls.clusterPassword 옵션을 명시적으로 지정해야 합니다. 또는 클러스터 PEM 파일 대신 보안 시스템 저장소(net.tls.clusterCertificateSelector 참조)의 인증서를 사용하거나 암호화되지 않은 PEM 파일을 사용할 수 있습니다.

Windows에서는 암호화된 인증서가 지원되지 않습니다. 암호화된 PEM 파일을 발견하면 mongod 오류가 발생합니다. net.tls.clusterCertificateSelector를 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.clusterAuthX509

버전 7.0에 추가.

net:
   tls:
     clusterAuthX509:
       attributes: <string>
       extensionValue: <string>

net.tls.clusterAuthX509.attributes

유형: 문자열

버전 7.0에 추가.

서버가 클러스터 구성원 노드가 인증서 주체 이름에 포함해야 할 식별 이름(DN) 속성 및 값 집합을 설정합니다. 이를 통해 DC, O, OU 값이 포함되지 않은 인증서를 사용하여 클러스터 구성원을 인증할 수 있습니다.

attributes 0}을 설정하면 MongoDB는 DN을 사용하여 인증서를 일치시키고 확장자 값을 무시합니다.

net.tls.clusterAuthX509.extensionValue

유형: 문자열

버전 7.0에 추가.

MongoDB 클러스터 멤버 자격 확장 OID, 1.3.6.1.4.1.34601.2.1.2에 해당하는 확장 값을 지정합니다. 서버가 클러스터 멤버 노드가 인증서에 포함할 것으로 예상하는 것입니다. 이를 통해 DC, O, OU 값이 포함되지 않은 인증서를 사용하여 클러스터 구성원을 인증할 수 있습니다.

extensionValue 이 설정되면 MongoDB는 인증서 확장 값을 사용하여 인증서를 일치시키고 DN(고유 이름)을 무시합니다.

net.tls.CAFile

유형: 문자열

인증 기관의 루트 인증서 체인이 포함된 .pem 파일을 지정합니다. 상대 경로 또는 절대 경로를 사용해 .pem 파일의 이름을 지정합니다.

Windows/macOS 전용

net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector를 사용하는 경우, net.tls.CAFile을 사용하여 루트 및 중간 CA 인증서를 지정하면 안 됩니다. net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector 인증서의 전체 신뢰 체인을 검증하는 데 필요한 모든 CA 인증서를 보안 인증서 저장소에 저장합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.clusterCAFile

유형: 문자열

클라이언트가 연결을 구축할 때 제시한 인증서의 유효성을 검사할 때 사용된 인증 기관의 루트 인증서 체인이 포함되어 있는 .pem 파일을 지정합니다. 상대 경로 또는 절대 경로를 사용하여 .pem 파일의 이름을 지정합니다. net.tls.clusterCAFile을 사용하려면 net.tls.CAFile 설정이 필요합니다.

net.tls.clusterCAFile이 연결을 설정하는 클라이언트의 인증서 유효성을 검사할 때 .pem 파일을 지정하지 않은 경우 클러스터는 net.tls.CAFile 옵션에 지정된 .pem 파일을 사용합니다.

net.tls.clusterCAFile 은 TLS 핸드셰이크의 클라이언트와 서버 간, 서버와 클라이언트 간 인증에 별도의 인증 기관을 사용할 수 있도록 허용합니다.

4.0 버전부터 macOS 또는 Windows에서는 PEM 키 파일 대신 운영 체제의 보안 저장소에 있는 인증서를 사용할 수 있습니다. net.tls.clusterCertificateSelector를 참조하세요. 보안 저장소를 사용할 때는 net.tls.clusterCAFile를 지정할 필요는 없지만 지정할 수도 있습니다.

Windows/macOS 전용

net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector를 사용하는 경우, net.tls.clusterCAFile을 사용하여 루트 및 중간 CA 인증서를 지정하면 안 됩니다. net.tls.certificateSelector 및/또는 net.tls.clusterCertificateSelector 인증서의 전체 신뢰 체인을 검증하는 데 필요한 모든 CA 인증서를 보안 인증서 저장소에 저장합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.CRLFile

유형: 문자열

인증서 해지 목록이 포함된 .pem 파일입니다. 상대 경로 또는 절대 경로를 사용해 .pem 파일의 이름을 지정합니다.

참고

• macOS에서는 net.tls.CRLFile 를 지정할 수 없습니다. 대신 OCSP(온라인 인증서 상태 프로토콜)를 사용하여 인증서의 해지 상태를 확인하는 시스템 SSL 인증서 저장소를 사용할 수 있습니다. 시스템 SSL 인증서 저장소를 사용하려면 net.tls.certificateSelector 를 참조하세요.

• 인증서 취소를 확인하기 위해 MongoDB는 CRL 파일을 지정하거나 시스템 SSL 인증서 저장소를 사용 enables 대신 기본적으로 OCSP(온라인 인증서 상태 프로토콜)를 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.allowConnectionsWithoutCertificates

유형: 부울

기본값: false

false 인 경우 모든 클라이언트는 클라이언트 TLS 인증서를 제공해야 합니다. true 인 경우 클라이언트는 클라이언트 인증서를 제공할 필요가 없지만 mongod 또는 mongos 는 TLS/SSL 연결을 암호화합니다.

클라이언트가 클라이언트 인증서를 제공하는 경우 net.tls.allowConnectionsWithoutCertificates, mongos 또는 mongod 에 설정한 값에 관계없이 CAFile 또는 tlsUseSystemCA 인 경우 시스템 CA 저장소로 지정된 루트 인증서 체인을 사용하여 인증서 유효성 검사를 수행합니다. true, 유효하지 않은 인증서가 있는 클라이언트를 거부합니다.

mongos 또는 mongod에 인증서를 제공하지 않거나 제공할 수 없는 클라이언트를 포함하는 혼합 배포가 있는 경우 net.tls.allowConnectionsWithoutCertificates 옵션을 사용합니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성 및 클라이언트를 위한 TLS/SSL 구성을 참조하세요.

net.tls.allowInvalidCertificates

유형: 부울

기본값: false

클러스터의 다른 서버에서 TLS 인증서에 대한 유효성 검사를 사용하거나 사용하지 않도록 설정하고 유효하지 않은 인증서를 사용하여 연결할 수 있도록 허용합니다.

참고

x.509 인증을 사용할 때 --tlsAllowInvalidCertificates 또는 tls.allowInvalidCertificates: true을(를) 지정하는 경우, 유효하지 않은 인증서는 TLS 연결을 설정하는 데는 충분하지만, 인증에는 충분하지 않습니다.

net.tls.allowInvalidCertificates 설정을 사용할 때 MongoDB는 유효하지 않은 인증서 사용과 관련된 경고를 기록합니다.

TLS 및 MongoDB에 대한 자세한 내용은 mongod mongos TLS/SSL 및 자체 관리형 내부/멤버십 인증 을 위한 및 구성 을 참조하세요.

net.tls.allowInvalidHostnames

유형: 부울

기본값: false

net.tls.allowInvalidHostnames이 true이면 MongoDB는 TLS 인증서의 호스트 이름 유효성 검사를 비활성화합니다. 이렇게 하면 인증서의 호스트 이름이 지정된 호스트 이름과 일치하지 않더라도 mongod 또는 mongos가 클러스터의 다른 MongoDB 인스턴스에 연결할 수 있습니다.

TLS 및 MongoDB에 대한 자세한 내용은 TLS/SSL에서 mongod 및 mongos 구성을 참조하세요.

net.tls.disabledProtocols

유형: 문자열

TLS로 실행 중인 MongoDB 서버가 1개 또는 그 이상의 특정 프로토콜을 사용하는 수신 연결을 허용하지 않도록 방지합니다. 여러 프로토콜을 지정하려면 쉼표로 구분된 프로토콜 목록을 사용하되 쉼표 뒤에 공백을 사용하지 마십시오. 프로토콜 이름 앞에 공백을 포함하면 서버는 이를 인식할 수 없는 프로토콜로 해석하여 시작하지 않습니다.

net.tls.disabledProtocols는 TLS1_0, TLS1_1, TLS1_2 및 TLS1_3 프로토콜을 인식합니다.

• macOS에서는 TLS1_1을(를) 비활성화하고 TLS1_0 및 TLS1_2을(를) 전부 활성화된 상태로 둘 수 없습니다. TLS1_0,TLS1_1와(과) 같이 다른 2개의 프로토콜 중 적어도 하나를 비활성화해야 합니다.

• 여러 프로토콜을 나열하려면 쉼표 뒤에 공백 없이 쉼표로 구분된 프로토콜 목록을 지정하십시오. 예: TLS1_0,TLS1_1.

• 인식할 수 없는 프로토콜을 지정하거나 쉼표 뒤에 공백을 포함하면 서버가 시작되지 않습니다.

• 지정된 비활성화 프로토콜은 기본으로 설정된 비활성화 프로토콜을 덮어씁니다.

TLS 1.1 이상을 시스템에서 사용할 수 있는 경우 MongoDB는 TLS 1.0의 사용을 비활성화합니다. TLS 1.0을 활성화하려면 none(을)를net.tls.disabledProtocols(으)로 지정합니다.

복제본 세트와 샤드 클러스터의 구성원은 적어 하나의 공통된 프로토콜을 사용해야 합니다.

팁

다음도 참조하세요.

프로토콜 허용 안 함

net.tls.FIPSMode

유형: 부울

기본값: false

mongos 또는 mongod에 대한 TLS 라이브러리의 FIPS 모드 사용을 활성화하거나 비활성화합니다. net.tls.FIPSMode 옵션을 사용하려면 시스템에 FIPS 호환 라이브러리가 있어야 합니다.

참고

FIPS와 호환되는 TLS/SSL은 MongoDB Enterprise 에서만 사용할 수 있습니다. 자세한 내용 은 FIPS용 MongoDB 구성 을 참조하세요.

net.tls.logVersions

유형: 문자열

mongos mongod 2} 또는 에 클라이언트가 지정된 TLS 버전을 사용하여 연결할 때 메시지를 기록하도록 지시합니다.

단일 TLS 버전을 지정하거나 여러 TLS 버전의 쉼표로 구분된 목록을 지정하십시오.

예제

클라이언트가 TLS 1.2 또는 TLS 1.3을 사용하여 mongos 또는 mongod에 연결할 때 메시지를 기록하도록 지시하려면 net.tls.logVersions를 "TLS1_2,TLS1_3"로 설정합니다.

net.compression 옵션

net:
   compression:
      compressors: <string>

net.compression.compressors

기본값: snappy,zstd,zlib

이 mongod 또는 mongos 인스턴스와 통신하는 데 사용할 기본 압축기를 지정합니다:

• 인스턴스가 복제본 세트나 샤드 클러스터의 일부인 경우 배포서버의 다른 구성원

• mongosh

• OP_COMPRESSED 메시지 형식을 지원하는 드라이버입니다.

MongoDB는 다음과 같은 압축 옵션을 지원합니다.

• 스내피

• zlib

• zstd

네트워크 압축을 사용하지 않으려면 값을 disabled로 설정합니다.

중요

양쪽 당사자가 네트워크 압축을 활성화하면 메시지가 압축됩니다. 그렇지 않으면 양 당사자 간의 메시지는 압축되지 않습니다.

여러 압축기를 지정하는 경우 통신 개시자뿐만 아니라 압축기를 나열하는 순서도 중요합니다. 예를 들어, mongosh가 다음 네트워크 압축기 zlib,snappy를 지정하고 mongod는 snappy,zlib를 지정하는 경우 mongosh와 mongod 사이의 메시지는 zlib를 사용합니다.

양 당사자가 공통 압축기를 적어도 하나 이상 공유하지 않는 경우, 당사자 간의 메시지는 압축되지 않습니다. 예를 들어, mongosh가 네트워크 압축기 zlib를 지정하고 mongod가 snappy를 지정하는 경우 mongosh와 mongod 사이의 메시지는 압축되지 않습니다.

키 관리 구성 옵션

security:
   enableEncryption: <boolean>
   encryptionCipherMode: <string>
   encryptionKeyFile: <string>
   kmip:
      keyIdentifier: <string>
      rotateMasterKey: <boolean>
      serverName: <string>
      port: <string>
      clientCertificateFile: <string>
      clientCertificatePassword: <string>
      clientCertificateSelector: <string>
      serverCAFile: <string>
      connectRetries: <int>
      connectTimeoutMS: <int>
      activateKeys: <boolean>
      keyStatePollingSeconds: <int>

security.enableEncryption

유형: 부울

기본값: false

WiredTiger 스토리지 엔진의 암호화를 활성화합니다. 암호화 키 및 구성을 전달하려면 true 로 설정해야 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.encryptionCipherMode

유형: 문자열

기본값: AES256-CBC

미사용 데이터 암호화에 사용할 수 있는 암호화 모드는 다음과 같습니다.

모드	설명
AES256-CBC	Cipher Block Chaining 모드에서 256비트 고급 암호화 표준
AES256-GCM	Galois/Counter 모드에서 256비트 고급 암호화 표준 Linux에서만 사용할 수 있습니다. Windows의 MongoDB Enterprise는 더 이상 저장된 암호화를 위한 블록 암호로 AES256-GCM 을(를) 지원하지 않습니다. 이 사용 방식은 Linux에서만 지원됩니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.encryptionKeyFile

유형: 문자열

KMIP 이외의 프로세스를 통해 키를 관리할 때 로컬 키 파일의 경로입니다. KMIP 이외의 프로세스를 통해 키를 관리하는 경우에만 설정합니다. 이미 KMIP를 사용해 데이터가 암호화된 경우, MongoDB에서 오류가 발생합니다.

security.enableEncryption은 true이어야 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.keyIdentifier

유형: 문자열

KMIP 서버에 있는 기존 키의 고유 KMIP 식별자입니다. 식별자와 연결된 키를 시스템 키로 사용하려면 포함합니다. mongod 인스턴스에 대해 암호화를 처음 활성화하는 경우에만 이 설정을 사용할 수 있습니다. security.enableEncryption이 true여야 합니다.

지정되지 않았을 경우 MongoDB는 KMIP 서버에 시스템 키로 사용할 새로운 키를 생성하도록 요청합니다.

KMIP 서버가 지정된 식별자의 키를 찾을 수 없거나, 데이터가 이미 키로 암호화되어 있을 경우 MongoDB는 오류를 반환합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.rotateMasterKey

유형: 부울

기본값: false

참인 경우, 마스터키를 순환시키고 내부 키 저장소를 다시 암호화합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

팁

다음도 참조하세요.

KMIP 마스터키 순환

security.kmip.serverName

유형: 문자열

연결할 KMIP 서버의 호스트 이름 또는 IP 주소입니다. true가 되려면 security.enableEncryption이 필요합니다.

server1.example.com,server2.example.com처럼 여러 KMIP 서버를 쉼표로 구분된 목록으로 지정할 수 있습니다. 스타트업 시 mongod 는 나열된 순서대로 각 서버에 대한 연결을 시도하고 성공적으로 연결을 설정할 수 있는 첫 번째 서버를 선택합니다. KMIP 서버는 스타트업 시에만 선택할 수 있습니다.

mongod 는 시작 시 KMIP 서버에 대한 연결을 확인합니다.

--kmipServerName 에 지정된 서버 이름은 KMIP 서버에서 제공하는 인증서의 주체 대체 이름 SAN 또는 일반 이름 CN 과 일치해야 합니다. SAN 는 시스템 이름 또는 IP 주소일 수 있습니다.

0}이 있으면 은 와 SAN 일치를 시도하지 않습니다. mongod CN

KMIP 서버의 호스트 이름 또는 IP 주소가 SAN 또는 CN 중 하나와 일치하지 않는 경우 mongod 가 시작되지 않습니다.

MongoDB 4.2부터는 SAN 비교를 수행할 때 MongoDB에서 DNS 이름 또는 IP 주소 비교가 지원됩니다. 이전 버전에서는 MongoDB에서 DNS 이름 비교만 지원됐습니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.port

유형: 문자열

기본값: 5696

KMIP 서버와 통신하는 데 사용하는 포트 번호입니다. security.kmip.serverName이 필요합니다. security.enableEncryption이 true여야 합니다.

security.kmip.serverName로 여러 KMIP 서버를 지정하는 경우 mongod는 제공된 모든 KMIP 서버에 대해 security.kmip.port로 지정된 포트를 사용합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.clientCertificateFile

유형: 문자열

KMIP 서버에 MongoDB를 인증하는 데 사용되는 .pem 파일의 경로입니다. 표시된 .pem 파일에는 TLS/SSL 인증서와 키가 모두 포함되어 있어야 합니다.

이 설정을 사용하려면 security.kmip.serverName 설정도 지정해야 합니다.

중요

Windows에서 security.kmip.clientCertificateFile 를 사용하고 KMIP 서버가 TLS 1 를 시행하는 경우 KMIP 서버를 사용한 암호화 활성화가 실패합니다.2.

Windows에서 KMIP를 사용한 미사용 데이터 암호화를 활성화하려면 다음을 수행해야 합니다.

• 클라이언트 인증서를 Windows 인증서 저장소로 가져옵니다.

• security.kmip.clientCertificateSelector 옵션을 사용합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.clientCertificatePassword

유형: 문자열

클라이언트 인증서의 암호를 해독하기 위한 비밀번호(즉, security.kmip.clientCertificateFile)를 사용하여 KMIP 서버에 MongoDB를 인증하는 데 사용됩니다. 인증서가 암호화된 경우에만 이 옵션을 사용합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.clientCertificateSelector

유형: 문자열

5.0버전의 새로운 기능: security.kmip.clientCertificateFile 대신 Windows 및 macOS에서 사용할 수 있습니다.

security.kmip.clientCertificateFile 및 security.kmip.clientCertificateSelector 옵션은 상호 배타적입니다. 둘 중 하나만 지정해야 합니다.

운영 체제의 인증서 저장소에서 일치하는 인증서를 선택해 MongoDB를 KMIP 서버에 인증할 때 사용할 인증서 속성을 지정합니다.

security.kmip.clientCertificateSelector는 <property>=<value> 형식의 인수를 받으며, 여기서 속성은 다음 중 하나일 수 있습니다.

속성	값 유형	설명
subject	ASCII 문자열	인증서의 주체 이름 또는 일반 이름
thumbprint	16진수 문자열	16진수로 표현되는 일련의 바이트로, SHA-1 다이제스트로 공개 키를 식별하는 데 사용됩니다. thumbprint을(를) fingerprint(이)라고 부르기도 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.serverCAFile

유형: 문자열

CA 파일의 경로입니다. KMIP 서버에 대한 보안 클라이언트의 연결 유효성을 검사하는 데 사용됩니다.

참고

4.0 버전부터 macOS 또는 Windows에서는 PEM 키 파일 대신 운영 체제의 보안 저장소에 있는 인증서를 사용할 수 있습니다. security.kmip.clientCertificateSelector를 참조하세요. 보안 저장소를 사용할 때는 security.kmip.serverCAFile를 지정할 필요는 없지만 지정할 수도 있습니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.connectRetries

형식: int

기본값: 0

KMIP 서버 초기 연결을 재시도할 수 있는 횟수입니다. connectTimeoutMS와 함께 사용해 mongod가 다음 재시도를 할 때까지 응답을 기다리는 시간을 제어할 수 있습니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.connectTimeoutMS

형식: int

기본값: 5000

KMIP 서버의 응답을 기다릴 때 타임아웃까지 걸리는 시간(밀리초)입니다. connectRetries 설정이 지정된 경우 mongod는 각 재시도마다 connectTimeoutMS로 지정된 값까지 대기합니다.

값은 1000 이상이어야 합니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.

security.kmip.activateKeys

유형: 부울

기본값: true

버전 5.3에 추가.

키가 생성될 때마다 새로 생성된 모든 KMIP 키를 활성화하고, 이러한 키가 활성 상태에 있는지 주기적으로 확인합니다.

security.kmip.activateKeys가 true이고 KMIP 서버에 기존 키가 있는 경우 키를 먼저 활성화해야 하며, 그렇지 않으면 mongod 노드를 시작하지 못합니다.

Mongod에서 사용 중인 키가 비활성 상태로 전환되면 kmipActivateKeys가 거짓이 아닌 한 mongod 노드가 종료됩니다. 활성 키가 있는지 확인하려면 security.kmip.rotateMasterKey를 사용해 KMIP 마스터키를 순환합니다.

security.kmip.keyStatePollingSeconds

형식: int

기본값: 900초

버전 5.3에 추가.

가 활성 키를 위해 KMIP 서버를 폴링하는 빈도(초)입니다.

폴링 비활성화를 비활성화하려면 값을 -1 ~로 설정합니다.

security.kmip.useLegacyProtocol

유형: 부울

기본값: false

버전 7.0에 추가됨: (및 6.0.6)

true일 때 mongod은(는) 기본 버전 대신 KMIP 프로토콜 버전인 1.0 또는 1.1을 사용합니다. 기본 KMIP 프로토콜은 버전 1.2입니다.

KMIP 버전 1.0 또는 1.1에서 감사 로그 암호화를 사용하려면 스타트업 시 auditEncryptKeyWithKMIPGet을(를) 지정해야 합니다.

KMIP 프로토콜 버전 1.0 또는 1.1을 사용하려면 로컬 값을 대체하고 mongod 구성 파일에 다음과 같은 항목을 추가하십시오.

security:
  enableEncryption: true
  kmip:
    serverName: "mdbhost.somecompany.com"
    serverCAFile: "security/libs/trusted-ca.pem"
    clientCertificateFile: "security/libs/trusted-client.pem"
    useLegacyProtocol: true

security.sasl 옵션

security:
   sasl:
      hostName: <string>
      serviceName: <string>
      saslauthdSocketPath: <string>

security.sasl.hostName

유형: 문자열

SASL 및 Kerberos 인증을 구성하기 위한 정규화된 서버 도메인 이름입니다. SASL 호스트 이름은 SASL 및 Kerberos 구성에 대해서만 호스트 이름을 재정의합니다.

security.sasl.serviceName

유형: 문자열

SASL을 사용하는 서비스의 등록 이름입니다. 이 옵션을 사용하면 인스턴스별로 Kerberos 주 이름의 기본 Kerberos 서비스 이름 구성 요소를 재정의할 수 있습니다. 지정하지 않으면 기본값이 mongodb 사용됩니다.

MongoDB는 시작 시에만 이 옵션을 설정할 수 있습니다. setParameter 는 이 설정을 변경할 수 없습니다.

이 옵션은 MongoDB Enterprise에서만 사용할 수 있습니다.

중요

드라이버가 대체 서비스 이름을 지원하는지 확인합니다. 새로운 serviceName에 연결할 mongosh 및 기타 MongoDB 도구에 대해서는 gssapiServiceName 옵션을 참조하세요.

security.sasl.saslauthdSocketPath

유형: 문자열

0}에 대한 UNIX 도메인 소켓 파일의 경로입니다.saslauthd

security.ldap 옵션

security:
   ldap:
      servers: <string>
      bind:
         method: <string>
         saslMechanisms: <string>
         queryUser: <string>
         queryPassword: <string | array>
         useOSDefaults: <boolean>
      transportSecurity: <string>
      timeoutMS: <int>
      retryCount: <int>
      userToDNMapping: <string>
      authz:
         queryTemplate: <string>
      validateLDAPServerConfig: <boolean>

security.ldap.servers

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

2} 또는 가 사용자를 mongod mongos 인증하거나 사용자가 지정된 데이터베이스에서 수행할 수 있는 작업을 결정하는 LDAP 서버입니다. 지정된 LDAP 서버에 복제된 인스턴스가 있는 경우 각 복제된 서버의 호스트와 포트를 쉼표로 구분된 목록으로 지정할 수 있습니다.

LDAP 인프라가 여러 LDAP 서버에 걸쳐 LDAP 디렉토리를 분할하는 경우, 하나 의 LDAP 서버 또는 해당 서버의 복제된 인스턴스를 security.ldap.servers 으로 지정합니다. MongoDB는 RFC 에 정의된 대로 다음과 같은 LDAP 참조를 4511 4지원합니다.1.10. 인프라의 모든 LDAP 서버를 나열하는 데 security.ldap.servers 를 사용하지 마세요.

LDAP 서버의 접두사 앞에 srv: 및 srv_raw:를 붙일 수 있습니다.

연결 문자열에 "srv:<DNS_NAME>"이 지정되어 있는 경우 mongod는 Active Directory를 지원하는 SRV에 "_ldap._tcp.gc._msdcs.<DNS_NAME>"이 있는지 확인합니다. 이를 찾을 수 없는 경우 mongod는 SRV에 대해 "_ldap._tcp.<DNS_NAME>"이 존재하는지 확인합니다. SRV 레코드를 찾을 수 없는 경우 mongod는 "srv_raw:<DNS_NAME>"을 대신 사용하라는 경고를 표시합니다.

연결 문자열이 "srv_raw:<DNS_NAME>"을 지정하는 경우 mongod는 "<DNS NAME>"에 대한 SRV 레코드 조회를 수행합니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

설정하지 않으면 mongod 또는 mongos는 LDAP 인증 또는 권한부여를 사용할 수 없습니다.

security.ldap.bind.queryUser

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

LDAP 서버에 연결하거나 LDAP 서버에서 쿼리를 수행할 때 mongod 또는 mongos 바인드되는 ID입니다.

다음 중 하나라도 해당하는 경우에만 필요합니다.

• LDAP 권한 부여.

• security.ldap.userToDNMapping에 대한 LDAP 쿼리 사용.

• LDAP 서버가 익명 바인딩을 허용하지 않음

queryUser와 queryPassword를 함께 사용해야 합니다.

설정하지 않으면 mongod 또는 mongos가 LDAP 서버에 바인딩을 시도하지 않습니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

참고

Windows MongoDB 배포는 useOSDefaults를 queryUser 및 queryPassword 대신 사용할 수 있습니다. queryUser와 useOSDefaults를 동시에 지정할 수는 없습니다.

security.ldap.bind.queryPassword

유형: 문자열 또는 배열

MongoDB Enterprise에서만 사용할 수 있습니다.

queryUser 사용 시 LDAP 서버에 바인딩하는 데 사용되는 비밀번호입니다. queryPassword와 queryUser를 함께 사용해야 합니다.

설정하지 않으면 mongod 또는 mongos가 LDAP 서버에 바인딩을 시도하지 않습니다.

8}을 사용하여 실행 중인 또는 mongos 에서 이 mongod setParameter 설정을 구성할 수 있습니다.

ldapQueryPassword setParameter 명령은 string 또는 string 배열을 허용합니다. ldapQueryPassword 배열에 설정하면, MongoDB는 성공할 때까지 각 암호를 순서대로 시도합니다. 비밀번호 배열을 사용하여 다운타임 없이 LDAP 계정 비밀번호를 롤오버할 수 있습니다.

참고

Windows MongoDB 배포는 useOSDefaults를 queryUser 및 queryPassword 대신 사용할 수 있습니다. queryPassword와 useOSDefaults를 동시에 지정할 수는 없습니다.

security.ldap.bind.useOSDefaults

유형: 부울

기본값: false

Windows 플랫폼용 MongoDB Enterprise에서만 사용할 수 있습니다.

mongod mongos 2} 또는 가 LDAP 서버에 연결할 때 Windows 로그인 자격 증명을 사용하여 인증 또는 바인딩할 수 있도록 허용합니다.

다음과 같은 경우에만 필요합니다.

• LDAP 권한 부여.

• username transformation에 대한 LDAP 쿼리 사용.

• LDAP 서버가 익명 바인딩을 허용하지 않음

useOSDefaults를 사용하여 queryUser 및 queryPassword를 변경합니다.

security.ldap.bind.method

유형: 문자열

기본값: 단순

MongoDB Enterprise에서만 사용할 수 있습니다.

mongod 또는 mongos가 LDAP 서버에 인증하는 데 사용하는 메서드입니다. queryUser 및 queryPassword와 함께 사용하여 LDAP 서버에 연결합니다.

method 다음 값을 지원합니다.

• simple - mongod 2} 또는 는 간편 인증을 mongos 사용합니다.

• sasl - mongod 2} 또는 mongos 는 인증에 SASL 프로토콜을 사용합니다.

sasl을 지정하는 경우 security.ldap.bind.saslMechanisms를 사용하여 사용 가능한 SASL 메커니즘을 구성할 수 있습니다. mongod 또는 mongos는 기본적으로 DIGEST-MD5 메커니즘을 사용합니다.

security.ldap.bind.saslMechanisms

유형: 문자열

기본값입니다: DIGEST-MD5

MongoDB Enterprise에서만 사용할 수 있습니다.

쉼표로 구분된 SASL 메커니즘 mongod 또는 mongos의 목록으로, LDAP 서버에 인증할 때 사용할 수 있습니다. mongod 8} 또는 과 LDAP 서버는 하나 이상의 메커니즘에 동의해야 mongos 합니다. mongod mongos 14} 또는 은 런타임에 호스트 머신에 설치된 모든 SASL 메커니즘 라이브러리를 동적으로 로드합니다.

2} 또는 호스트와 원격 LDAP 서버 호스트 mongod mongos 모두에 선택한 SASL 메커니즘에 적합한 라이브러리를 설치 및 구성합니다. 운영 체제에는 기본적으로 특정 SASL 라이브러리가 포함되어 있을 수 있습니다. 설치 및 구성에 대한 지침은 각 SASL 메커니즘과 관련된 설명서를 참조하세요.

자체 관리 배포서버에서 Kerberos 인증 과 함께 GSSAPI SASL 메커니즘을 사용하는 경우 mongod 또는 mongos 호스트 시스템에 대해 다음을 확인합니다.

Linux

• KRB5_CLIENT_KTNAME 환경 변수는 호스트 컴퓨터의 클라이언트 Linux 키탭 파일 이름으로 확인됩니다. Kerberos 환경 변수에 대한 자세한 내용은 Kerberos 설명서를 참조하세요.

• 클라이언트 키 탭에는 LDAP 서버에 연결하고 LDAP 쿼리를 실행할 때 사용할 mongod 또는 에 대한 사용자 인증서가 포함되어 있습니다.mongos

Windows

활성 디렉토리 서버에 연결하는 경우 사용자가 시스템에 로그인할 때 Windows Kerberos 구성이 자동으로 티켓 부여 티켓을 생성합니다. mongod 또는 mongos가 Active Directory 서버에 연결하고 쿼리를 실행할 때 생성된 자격 증명을 사용할 수 있도록 하려면 useOSDefaults를 true로 설정합니다.

이 옵션을 사용하려면 method를 sasl로 설정합니다.

참고

SASL 메커니즘의 전체 목록은 IANA 목록 을 참조하세요. . 해당 서비스와 호환되는 SASL 메커니즘을 확인하려면 해당 LDAP 또는 Active Directory 서비스의 설명서를 참조하세요.

MongoDB는 SASL 메커니즘 라이브러리의 출처가 아닙니다. 또한, MongoDB 설명서는 특정 SASL 메커니즘 설치나 구성을 위한 절대적인 출처가 아닙니다. 설명서와 지원은 SASL 메커니즘 라이브러리 공급업체나 소유자에게 요청하시기 바랍니다.

SASL에 관한 자세한 내용은 다음 리소스를 참조하세요.

• Linux의 경우 Cyrus SASL 설명서를 참조하세요.

• Windows의 경우 Windows SASL 설명서를 참조하세요.

security.ldap.transportSecurity

유형: 문자열

기본값: tls

MongoDB Enterprise에서만 사용할 수 있습니다.

기본적으로 mongod 또는 mongos는 LDAP 서버에 대한 TLS/SSL 보안 연결을 생성합니다.

Linux 배포의 경우 /etc/openldap/ldap.conf 파일에서 적절한 TLS Options를 구성해야 합니다. 이 파일은 운영 체제의 패키지 관리자가 libldap 종속성을 통해 MongoDB Enterprise 설치의 일환으로 생성합니다. 더 완전한 지침을 보려면 ldap.conf OpenLDAP 설명서의 TLS Options 설명서를 참조하세요.

Windows 배포서버의 경우, 반드시 LDAP 서버 CA 인증서를 Windows 인증서 관리 도구에 추가해야 합니다.도구의 정확한 이름과 기능은 운영 체제의 버전에 따라 다를 수 있습니다.인증서 관리에 관한 자세한 정보는 Windows 버전별 설명서를 참조하세요.

transportSecurity를 none으로 설정하여 mongod 또는 mongos 와 LDAP 서버 간의 TLS/SSL을 비활성화합니다.

경고

transportSecurity를 none으로 설정하면 mongod 또는 mongos 및 LDAP 서버 간에 일반 텍스트 정보 및 자격 증명이 전송될 수 있습니다.

security.ldap.timeoutMS

형식: int

기본값: 10000

MongoDB Enterprise에서만 사용할 수 있습니다.

LDAP 서버가 요청에 응답할 때까지 대기해야 하는 시간(밀리초) mongod 또는 mongos입니다.

timeoutMS 값을 늘리면 실패의 원인이 연결 시간 초과인 경우 MongoDB Server와 LDAP 서버 간의 연결 실패를 방지할 수 있습니다. timeoutMS 값을 줄이면 MongoDB가 LDAP 서버의 응답을 기다리는 시간이 줄어듭니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

security.ldap.retryCount

버전 6.1에 추가.

형식: int

기본값: 0

MongoDB Enterprise에서만 사용할 수 있습니다.

네트워크 오류 후 서버 LDAP 관리자가 작업을 다시 시도한 횟수입니다.

이 설정은 setParameter 을 사용하여 실행 중인 mongod 또는 mongos에서 구성할 수 있습니다.

security.ldap.userToDNMapping

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

인증을 위해 mongod 또는 mongos에 제공된 사용자 이름을 LDAP DN(고유 이름)에 매핑합니다. 다음 시나리오에서 userToDNMapping 을 사용하여 사용자 이름을 LDAP DN으로 변환해야 할 수 있습니다.

• 사용자가 완전한 LDAP DN이 아닌 사용자 이름으로 MongoDB에서 인증하는 간단한 LDAP 바인딩을 사용해 LDAP 인증을 실행하는 경우

• DN이 필요한 LDAP authorization query template 를 사용합니다.

• 다양한 인증 메커니즘을 사용하여 Mongo DB로 인증하는 클라이언트의 사용자 이름 변환(예: x.509, kerberos)을 전체 LDAP DN에 추가하여 권한 부여를 받을 수 있습니다.

userToDNMapping은 문서의 정렬된 배열을 나타내는 따옴표로 묶인 JSON 문자열을 기대합니다. 각 문서에는 정규 표현식 match 및 들어오는 사용자 이름을 변환하는 데 사용되는 substitution 또는 ldapQuery 템플릿이 포함되어 있습니다.

배열의 각 문서는 다음과 같은 형식을 갖습니다.

{
  match: "<regex>"
  substitution: "<LDAP DN>" | ldapQuery: "<LDAP Query>"
}

필드	설명	예제
match	제공된 사용자 이름과 일치하는 ECMAScript 형식의 정규 표현식(regex)입니다. 괄호로 묶인 각 섹션은 substitution 또는 ldapQuery에서 사용하는 regex 캡처 그룹을 나타냅니다.	"(.+)ENGINEERING" "(.+)DBA"
substitution	match regex와 일치하는 인증 이름을 LDAP DN으로 변환하는 LDAP 고유 이름(DN) 형식 템플릿입니다. 중괄호로 묶인 각 숫자 값은 match 정규식을 통해 인증 사용자 이름에서 추출한 해당 정규식 캡처 그룹 으로 대체됩니다. 대체의 결과는 이스케이프된 RFC4514 문자열이어야 합니다.	"cn={0},ou=engineering, dc=example,dc=com"
ldapQuery	match 정규식과 일치하는 인증 이름을 RFC4515 및 RFC4516 관련하여 인코딩된 LDAP 쿼리 URI에 삽입하는 LDAP 쿼리 형식 지정 템플릿입니다. 중괄호로 묶인 각 숫자 값은 match 표현식을 통해 인증 사용자 이름에서 추출된 해당 정규식 캡처 그룹으로 대체됩니다. {mongod 또는 mongos는 LDAP 서버에 대해 쿼리를 실행하여 인증된 사용자에 대한 LDAP DN을 검색합니다. mongod 또는 mongos에서는 변환이 성공하려면 정확히 하나의 반환된 결과가 필요하며, 그렇지 않으면 mongod 또는 mongos는 변환을 건너뜁니다.	"ou=engineering,dc=example, dc=com??one?(user={0})"

참고

RFC4514, RFC4515, RFC4516 또는 LDAP 쿼리에 대한 설명은 MongoDB 문서의 범위를 벗어납니다. RFC를 직접 검토하거나 선호하는 LDAP 리소스를 사용하세요.

배열의 각 문서에 대해 substitution 또는 ldapQuery 사용해야 합니다. 동일한 문서에서 둘 다 지정할 수는 없습니다 .

인증 또는 권한 부여를 수행할 때 mongod 또는 mongos는 지정된 순서대로 배열의 각 문서를 살펴보고 match 필터와 비교하여 인증 사용자 이름을 확인합니다. 일치하는 항목이 발견되면 mongod 또는 mongos가 변환을 적용하고 출력을 사용하여 사용자를 인증합니다. mongod 또는 mongos 는 배열의 나머지 문서를 확인하지 않습니다.

제공된 문서가 제공된 인증 이름과 일치하지 않으면 mongod 또는 mongos가 문서 목록을 계속 진행하여 일치하는 문서를 추가로 찾습니다. 문서에서 일치하는 항목이 없거나 문서에서 설명하는 변환이 실패하면 mongod 또는 mongos이 오류를 반환합니다.

mongod 또는 mongos도 LDAP 서버에 대한 네트워킹 또는 인증 실패로 인해 변환 중 하나를 평가할 수 없는 경우 오류를 반환합니다. mongod 또는 mongos는 연결 요청을 거부하고 배열의 나머지 문서를 확인하지 않습니다.

MongoDB 5.0부터 userToDNMapping은 매핑 문서 대신 빈 문자열인 "" 또는 빈 배열인 [ ]를 허용합니다. userToDNMapping에 빈 문자열 또는 빈 배열을 제공하는 경우 MongoDB는 인증된 사용자 이름을 LDAP DN으로 매핑합니다. 이전에는 빈 매핑 문서를 제공하면 매핑이 실패했습니다.

예제

다음은 두 개의 변환 문서를 보여줍니다. 첫 번째 문서는 @ENGINEERING 로 끝나는 모든 문자열과 일치하여 접미사 앞에 오는 모든 항목을 정규식 캡처 그룹에 배치합니다. 두 번째 문서는 @DBA 로 끝나는 모든 문자열과 일치하여 접미사 앞에 오는 모든 항목을 정규식 캡처 그룹에 배치합니다.

중요

--ldapUserToDNMapping에 배열을 문자열로 전달해야 합니다.

"[
   {
      match: "(.+)@ENGINEERING.EXAMPLE.COM",
      substitution: "cn={0},ou=engineering,dc=example,dc=com"
   },
   {
      match: "(.+)@DBA.EXAMPLE.COM",
      ldapQuery: "ou=dba,dc=example,dc=com??one?(user={0})"
   }
]"

사용자 이름이 alice@ENGINEERING.EXAMPLE.COM인 사용자가 첫 번째 문서와 일치합니다. Regex 캡처 그룹 {0}은 문자열 alice에 해당합니다. 결과 출력은 DN "cn=alice,ou=engineering,dc=example,dc=com"입니다.

사용자 이름이 bob@DBA.EXAMPLE.COM 인 사용자가 두 번째 문서와 일치합니다. 정규식 캡처 그룹 {0} 은 문자열 bob에 해당합니다. 결과 출력은 LDAP 쿼리 "ou=dba,dc=example,dc=com??one?(user=bob)"입니다. {mongod 6} 또는 은 mongos LDAP 서버에 대해 이 쿼리를 실행하여 결과 을 반환합니다."cn=bob,ou=dba,dc=example,dc=com"

userToDNMapping가 설정되지 않은 경우, mongod 또는 mongos는 LDAP 서버에 대해 사용자를 인증하거나 권한을 부여하려고 시도할 때 사용자 이름에 변환을 적용하지 않습니다.

이 설정은 실행 중인 mongod 또는 mongos에서 setParameter 데이터베이스 명령을 사용하여 구성할 수 있습니다.

security.ldap.authz.queryTemplate

유형: 문자열

MongoDB Enterprise에서만 사용할 수 있습니다.

mongod가 인증된 사용자가 속한 LDAP 그룹을 가져오기 위해 실행하는 RFC4515 및 RFC4516을 준수하는 형식의 상대적 LDAP 쿼리 URL입니다. 쿼리는 security.ldap.servers에 지정된 하나 이상의 호스트를 기준으로 합니다.

참고

성능 향상을 위해 MongoDB 권한 부여에 사용되는 LDAP 그룹을 자체 조직 단위(OU)에 배치하는 것이 좋습니다.

URL에서 다음과 같은 대체 토큰을 사용할 수 있습니다.

대체 토큰	설명
{USER}	인증된 사용자 아이디를 대체하거나 userToDNMapping이 지정된 경우 transformed 사용자 아이디를 대체합니다.
{PROVIDED_USER}	제공된 사용자 이름(인증 또는 LDAP transformation의 앞)을 대체합니다.

쿼리 URL을 구성할 때 LDAP 매개 변수의 순서가 RFC4516을 준수하는지 확인하세요.

[ dn  [ ? [attributes] [ ? [scope] [ ? [filter] [ ? [Extensions] ] ] ] ] ]

쿼리에 속성이 포함된 경우 mongod는 쿼리에서 이 엔터티가 멤버인 DN의 목록을 검색한다고 가정합니다.

쿼리에 속성이 포함되지 않은 경우 mongod는 쿼리에서 사용자가 멤버인 모든 엔티티를 검색한다고 가정합니다.

쿼리에서 반환된 각 LDAP DN에 대해 mongod는 admin 데이터베이스에서 권한이 부여된 사용자에게 해당 역할을 할당합니다. 4} 데이터베이스의 역할이 DN과 정확히 일치하는mongod 경우 admin 은 사용자에게 해당 역할에 할당된 역할 및 권한을 부여합니다. 역할 생성에 대한 자세한 내용은 db.createRole() 방법을 참조하세요.

예제

이 LDAP 쿼리는 LDAP 사용자 개체의 memberOf 속성에 나열된 모든 그룹을 반환합니다.

"{USER}?memberOf?base"

LDAP 구성에 memberOf 속성이 사용자 스키마의 일부로 포함되어 있지 않거나, 그룹 멤버십을 보고하는 데 다른 속성이 있거나, 속성을 통해 그룹 멤버십을 추적하지 못할 수 있습니다. 고유한 LDAP 구성과 관련하여 쿼리를 구성합니다.

설정하지 않으면 mongod 은 LDAP를 사용하는 사용자를 인증할 수 없습니다.

이 설정은 실행 중인 mongod에서 setParameter 데이터베이스 명령을 사용하여 구성할 수 있습니다.

참고

RFC4515, RFC4516 또는 LDAP 쿼리에 대한 설명은 MongoDB 문서의 범위를 벗어납니다. RFC를 직접 검토하거나 선호하는 LDAP 리소스를 사용하세요.

security.ldap.validateLDAPServerConfig

유형: 부울

기본값: true

MongoDB Enterprise에서만 사용할 수 있습니다.

mongod 또는 mongos 인스턴스가 시작의 일부로 LDAP server(s)의 가용성을 확인하는지 여부를 결정하는 플래그입니다.

• true mongod mongos 0}이면 또는 인스턴스가 가용성 검사를 수행하여 LDAP 서버를 사용할 수 있는 경우에만 계속 시작합니다.

• 0}이면 false mongod 또는 인스턴스는 가용성 확인을 건너뜁니다.mongos 즉, LDAP 서버를 사용할 수 없는 경우에도 인스턴스가 시작됩니다.

LDAP 매개변수

setParameter.ldapUserCacheInvalidationInterval

형식: int

기본값: 30

자체 관리 배포서버에서 LDAP 권한 부여 를 사용하는 서버와 mongod함께 사용합니다.

외부 사용자 캐시 플러시 사이의 대기 간격 (초) mongod 5}가 외부 사용자 캐시를 플러시한 후 MongoDB는 다음에 LDAP 권한이 있는 사용자가 작업을 실행할 때 LDAP 서버에서 권한 부여 데이터를 다시 mongod 가져옵니다.

지정된 값을 늘리면 mongod 시간이 늘어나고 LDAP 서버가 동기화되지 않을 수 있지만 LDAP 서버의 로드는 줄어듭니다. 반대로 지정된 값을 줄이면 시간 mongod 이 줄어들고 LDAP 서버의 부하가 증가하면서 LDAP 서버가 동기화되지 않을 수 있습니다.

setParameter:
   ldapUserCacheInvalidationInterval: <int>

storage.wiredTiger 옵션

storage:
   wiredTiger:
      engineConfig:
         cacheSizeGB: <number>
         journalCompressor: <string>
         directoryForIndexes: <boolean>
         maxCacheOverflowFileSizeGB: <number>
      collectionConfig:
         blockCompressor: <string>
      indexConfig:
         prefixCompression: <boolean>

storage.wiredTiger.engineConfig.cacheSizeGB

형식: float

WiredTiger가 모든 데이터에 사용하는 내부 캐시의 최대 크기를 정의합니다. 인덱스 빌드에 사용되는 메모리(maxIndexBuildMemoryUsageMegabytes 참조)는 WiredTiger 캐시 메모리와 분리되어 있습니다.

값의 범위는 0.25GB에서 10000GB까지입니다.

기본 WiredTiger 내부 캐시 크기는 다음 중 더 큽니다.

• (RAM - 1GB)의 50%

• 256 MB.

예를 들어 총 4 GB RAM이 있는 시스템에서 WiredTiger 캐시는 1.5 GB RAM(0.5 * (4 GB - 1 GB) = 1.5 GB)을 사용합니다. 반대로, 총 RAM이 1.25 GB인 시스템에서는 WiredTiger는 WiredTiger 캐시에 256 MB를 할당하는데, 이는 전체 RAM에서 1 GB(0.5 * (1.25 GB - 1 GB) = 128 MB < 256 MB)를 뺀 값의 절반 이상이기 때문입니다.

참고

컨테이너에서 실행할 때 등의 일부 인스턴스에서는 데이터베이스 메모리 제한이 총 시스템 메모리보다 낮을 수 있습니다. 이러한 인스턴스에서는 총 시스템 메모리가 아니라 이 메모리 제한이 사용 가능한 최대 RAM으로 사용됩니다.

메모리 제한을 보려면 hostInfo.system.memLimitMB 참조하세요.

WiredTiger 내부 캐시 크기를 기본값 이상으로 늘리지 마세요.

MongoDB는 WiredTiger를 통해 내부 캐시와 파일 시스템 캐시 모두를 활용합니다.

MongoDB는 파일 시스템 캐시를 통해 자동으로 WiredTiger 캐시나 다른 프로세스에서 사용되지 않는 모든 여유 메모리를 사용합니다.

참고

storage.wiredTiger.engineConfig.cacheSizeGB는 WiredTiger 내부 캐시의 크기를 제한합니다. 운영 체제는 사용 가능한 여유 메모리를 파일 시스템 캐시에 사용하여 압축된 MongoDB 데이터 파일을 메모리에 유지할 수 있습니다. 또한 운영 체제는 사용 가능한 RAM을 사용하여 파일 시스템 차단과 파일 시스템 캐시를 버퍼링합니다.

추가적인 RAM 소비를 수용하려면 WiredTiger 내부 캐시 크기를 줄여야 할 수 있습니다.

기본 WiredTiger 내부 캐시 크기 값은 머신당 단일 mongod 인스턴스가 있다고 가정합니다. 단일 머신에 여러 MongoDB 인스턴스가 포함된 경우 다른 mongod 인스턴스를 수용할 수 있도록 설정을 줄여야 합니다.

시스템에서 사용 가능한 모든 RAM에 액세스할 수 없는 컨테이너(예를 들어, lxc, cgroups, Docker 등)에서 mongod를 실행하는 경우 storage.wiredTiger.engineConfig.cacheSizeGB를 반드시 컨테이너에서 사용 가능한 RAM의 양보다 적은 값으로 설정해야 합니다. 정확한 양은 컨테이너에서 실행 중인 다른 프로세스에 따라 다릅니다. memLimitMB를 참조하세요.

storage.wiredTiger.engineConfig.journalCompressor

기본값: snappy

WiredTiger 저널 데이터를 압축하는 데 사용할 압축 유형을 지정합니다.

사용할 수 있는 압축 옵션은 다음과 같습니다.

• none

• 스내피

• zlib

• zstd

storage.wiredTiger.engineConfig.directoryForIndexes

유형: 부울

기본값: false

storage.wiredTiger.engineConfig.directoryForIndexes가 true인 경우, mongod는 데이터(예: storage.dbPath) 디렉토리 아래의 별도 하위 디렉터리에 인덱스와 컬렉션을 저장합니다 구체적으로 mongod는 index라는 하위 디렉토리에 인덱스를 저장하고 collection이라는 하위 디렉토리에 컬렉션 데이터를 저장합니다.

기호 링크를 사용하면 인덱스에 대해 다른 위치를 지정할 수 있습니다. 구체적으로, mongod 인스턴스가 실행 중이 아닌 경우 index 하위 디렉터리를 대상으로 이동하고 데이터 디렉터리 아래에 새 대상에 대한 index 라는 심볼릭 링크를 만듭니다.

storage.wiredTiger.engineConfig.zstdCompressionLevel

유형: integer

기본값: 6

zstd 압축기를 사용할 때 적용되는 압축 수준을 지정합니다.

값의 범위는 1에서 22까지입니다.

zstdCompressionLevel 에 지정된 값이 높을수록 적용되는 압축도 높아집니다.

blockCompressor가 zstd로 설정된 경우에만 적용됩니다.

(MongoDB 5.0부터 사용 가능)

storage.wiredTiger.collectionConfig.blockCompressor

기본값: snappy

컬렉션 데이터의 기본 압축을 지정합니다. 컬렉션을 만들 때 컬렉션별로 재정의할 수 있습니다.

사용할 수 있는 압축 옵션은 다음과 같습니다.

• none

• 스내피

• zlib

• zstd

storage.wiredTiger.collectionConfig.blockCompressor는 생성된 모든 컬렉션에 영향을 줍니다. 기존 MongoDB 배포에서 storage.wiredTiger.collectionConfig.blockCompressor 값을 변경하면 모든 신규 컬렉션이 지정된 압축기를 사용합니다. 기존 컬렉션은 생성 시 지정된 압축기 또는 당시의 기본 압축기를 계속 사용합니다.

storage.wiredTiger.indexConfig.prefixCompression

기본값: true

인덱스 데이터에 대한 접두사 압축 활성화하거나 비활성화합니다.

접두사 압축을 활성화하려면 storage.wiredTiger.indexConfig.prefixCompression에 true를 지정하고, 인덱스 데이터의 접두사 압축을 비활성화하려면 false를 지정합니다.

storage.wiredTiger.indexConfig.prefixCompression 설정은 생성된 모든 인덱스에 영향을 줍니다. 기존 MongoDB 배포에서 storage.wiredTiger.indexConfig.prefixCompression 값을 변경하면 모든 신규 인덱스가 접두사 압축을 사용하게 됩니다. 기존 인덱스는 영향을 받지 않습니다.

storage.inmemory 옵션

storage:
   inMemory:
      engineConfig:
         inMemorySizeGB: <number>

storage.inMemory.engineConfig.inMemorySizeGB

형식: float

기본값: 물리적 RAM의 50%(1GB 미만)

값의 범위는 256MB에서 10TB까지이며, 부동 소수점도 가능합니다.

인덱스, 가 복제본 세트, 복제본 세트 또는 샤드 클러스터 mongod 메타데이터의 일부인 경우 oplog 등을 포함하여 인메모리 스토리지 엔진 데이터에 할당할 최대 메모리 양입니다.

인메모리 스토리지 엔진은 물리적 RAM에서 1GB를 뺀 값의 50%를 사용하도록 기본 설정되어 있습니다.

참고

엔터프라이즈 기능

MongoDB Enterprise에서만 사용할 수 있습니다.