자체 관리형 MongoDB의 멤버십 인증에 x.509 인증서 사용

인증서 요구 사항

샤드 클러스터 또는 복제본 세트(net.tls.clusterFile, 지정된 경우 및 net.tls.certificateKeyFile)에 대한 멤버십을 확인하는 데 사용하는 멤버 인증서에는 다음과 같은 속성이 있어야 합니다.

• 단일 인증 기관(CA)이 모든 x를 발급해야 합니다. 샤드 클러스터 또는 복제본 세트의 멤버에 대한 509 인증서.

• 회원 인증서의 subject 에 있는 고유 이름(DN)은 다음 속성 중 하나 이상 에 대해 비어 있지 않은 값을 지정해야 합니다.

  • 조직 (O)

  • 조직 단위 (OU)

  • 도메인 구성 요소 (DC)

• 조직 속성(O), 조직 단위 속성(OU) 및 도메인 구성 요소(DC)는 net.tls.clusterFile 및 net.tls.certificateKeyFile 인증서의 속성과 일치해야 합니다. 다른 클러스터 멤버(또는 tlsX509ClusterAuthDNOverride 값(설정된 경우)).

  일치시키려면 인증서가 이러한 속성의 모든 사양과 일치해야 하며, 심지어 이러한 속성의 비사양도 일치해야 합니다. 속성의 순서는 중요하지 않습니다.

  다음 예에서 두 DN 에는 O OU 에 대해 일치하는 사양과 DC 속성의 비사양이 포함되어 있습니다.

  CN=host1,OU=Dept1,O=MongoDB,ST=NY,C=US
  C=US, ST=CA, O=MongoDB, OU=Dept1, CN=host2

  그러나 다음 두 개의 DN 에는 OU 사양이 2개 포함되어 있고 다른 하나는 사양이 1개이므로 OU 속성에 대한 불일치가 포함되어 있습니다.

  CN=host1,OU=Dept1,OU=Sales,O=MongoDB
  CN=host2,OU=Dept1,O=MongoDB

• 멀티 클러스터 배포에서는 각 클러스터가 서로 다른 X.509 멤버 인증서를 사용해야 합니다. 각 인증서는 O, OU 및 DC DN(고유 이름) 필드에 고유한 값을 가져야 합니다.

  두 클러스터에 DN 값이 동일한 인증서가 있는 경우 한 클러스터의 손상된 서버가 다른 클러스터의 구성원으로 인증할 수 있습니다.

• 일반 이름(CN) 또는 주체 대체 이름(SAN) 항목 중 하나는 다른 클러스터 멤버의 서버 호스트 이름과 일치해야 합니다. MongoDB 4.2부터 SAN를 비교할 때 MongoDB는 DNS 이름 또는 IP 주소 중 하나를 비교할 수 있습니다. 이전 버전에서는 MongoDB가 DNS 이름만 비교했습니다.

  예를 들어 클러스터의 인증서에는 다음과 같은 주체가 있을 수 있습니다.

  subject= CN=<myhostname1>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname2>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname3>,OU=Dept1,O=MongoDB,ST=NY,C=US

• certificateKeyFile로 사용되는 인증서에 extendedKeyUsage이 포함되어 있는 경우 clientAuth ("TLS 웹 클라이언트 인증")와 serverAuth ("TLS 웹 서버 인증")을 모두 포함해야 합니다.

  extendedKeyUsage = clientAuth, serverAuth

• clusterFile로 사용된 인증서에 extendedKeyUsage가 포함되어 있다면, 그 값은 반드시 clientAuth를 포함해야 합니다.

  extendedKeyUsage = clientAuth

• x.509 인증서는 만료되지 않아야 합니다.

  mongod/mongos는 제시된 x.509 인증서가 mongod/mongos 호스트 시스템 시간으로부터 30일 이내에 만료되는 경우 연결 시 경고를 기록합니다.

명령줄 옵션 사용(tls)

mongod --replSet <name> --tlsMode requireTLS --clusterAuthMode x509 --tlsClusterFile <path to membership certificate and key PEM file> --tlsCertificateKeyFile <path to TLS/SSL certificate and key file> --sslCAFile <path to root CA file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to its TLS/SSL certificate and key file>
      CAFile: <path to root CA PEM file to verify received certificate>
      clusterFile: <path to its certificate key file for membership authentication>
   bindIp: localhost,<hostname(s)|ip address(es)>

자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성을 참조하세요.

명령줄 옵션 사용(ssl)

mongod --replSet <name> --sslMode requireSSL --clusterAuthMode x509 --sslClusterFile <path to membership certificate and key PEM file> --sslPEMKeyFile <path to TLS/SSL certificate and key PEM file> --sslCAFile <path to root CA PEM file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   ssl:
      mode: requireSSL
      PEMKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>
      clusterFile: <path to x.509 membership certificate and key PEM file>
   bindIp: localhost,<hostname(s)|ip address(es)>

자세한 내용은 TLS/SSL을 위한 mongod 및 mongos 구성을 참조하세요.