x를 사용합니다. 자체 관리형 배포서버에서 클라이언트를 인증하기 위한 509 인증서

x.509 인증으로 배포하기

mongod --tlsMode requireTLS \
    --tlsCertificateKeyFile <path to TLS/SSL certificate and key PEM file> \
    --tlsCAFile <path to root CA PEM file> --bind_ip <hostnames>

net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>

복제 세트 또는 분할 클러스터에 대한 x.509 인증을 설정하려면 자체 관리형 MongoDB를 사용한 멤버십 인증을 위해 x.509 인증서 사용을 참조하세요.

x를 추가합니다.509 subject 사용자로서의인증서

클라이언트 인증서를 사용하여 인증하려면 먼저 클라이언트 인증서의 subject 값을 MongoDB 사용자로 $external 데이터베이스에 추가해야 합니다. 각각의 고유한 x.509 클라이언트 인증서는 단일 MongoDB 사용자에 해당합니다. 단일 클라이언트 인증서를 사용하여 둘 이상의 MongoDB 사용자를 인증할 수 없습니다.

1. 다음 명령을 사용하여 클라이언트 인증서에서 RFC2253 형식의 subject를 가져올 수 있습니다.

   openssl x509 -in <pathToClientPEM> -inform PEM -subject -nameopt RFC2253

   이 명령은 subject 문자열과 인증서를 반환합니다.

   subject= CN=myName,OU=myOrgUnit,O=myOrg,L=myLocality,ST=myState,C=myCountry
   -----BEGIN CERTIFICATE-----
   # ...
   -----END CERTIFICATE-----

2. subject의 RFC2253 규격 값을 사용자로 추가합니다. 필요에 따라 공백을 생략합니다.

   다음 예시는 사용자를 추가하고 해당 사용자에게 test 데이터베이스에서 readWrite 역할과 userAdminAnyDatabase 역할을 부여합니다.

   db.getSiblingDB("$external").runCommand(
     {
       createUser: "CN=myName,OU=myOrgUnit,O=myOrg,L=myLocality,ST=myState,C=myCountry",
       roles: [
            { role: "readWrite", db: "test" },
            { role: "userAdminAnyDatabase", db: "admin" }
       ],
       writeConcern: { w: "majority" , wtimeout: 5000 }
     }
   )

   역할이 있는 사용자를 추가하는 방법에 대한 자세한 내용은 자체 관리형 배포서버에서 사용자 및 역할 관리를 참조하세요.

x.509 인증서로 인증하기

x.509 클라이언트 인증서 주체를 해당 MongoDB 사용자로 추가한 후 클라이언트 인증서로 인증할 수 있습니다.

mongosh --tls --tlsCertificateKeyFile <path to client PEM file> \
    --tlsCAFile <path to root CA PEM file> \
    --authenticationDatabase '$external' \
    --authenticationMechanism MONGODB-X509