Habilitar TLS em uma conexão

Visão geral

Neste guia, você verá como se conectar a instâncias do MongoDB com o protocolo de segurança TLS.

Para configurar sua conexão para usar TLS, habilite a opção TLS e forneça seus certificados para validação.

Habilitar TLS

Você pode habilitar o TLS em uma conexão com sua instância MongoDB das seguintes maneiras:

• Definindo a opção tls como true no seu objeto MongoClientOptions

• Definindo a opção tls para true em sua connection string

const client = new MongoClient(uri, { tls: true });

const uri = "mongodb://<hostname>:<port>?tls=true";
const client = new MongoClient(uri, myClientSettings);

Além da opção de cliente tls, o driver proporciona mais opções para configurar o TLS em sua conexão. Para fins de teste, você pode definir as opções tlsAllowInvalidHostnames, tlsAllowInvalidCertificates e tlsInsecure do cliente.

Definir a opção tlsAllowInvalidHostnames como true desabilita a verificação do nome do host, e definir o tlsAllowInvalidCertificates como true desabilita a validação do certificado. Definir a opção tlsInsecure como true desabilita a validação tanto do certificado quanto do nome do host.

Para obter uma lista completa das opções de cliente , consulteOpções de conexão .

Configurar certificados

Para iniciar com êxito uma solicitação de TLS, um aplicativo deve provar sua identidade fazendo referência a certificados criptográficos. Para se conectar ao MongoDB com TLS, seus certificados devem estar armazenados como arquivos PEM.

A lista abaixo descreve os componentes necessários para estabelecer uma conexão com o TLS:

Certificados de referência em um cliente

Você deve fazer referência aos seus certificados em seu objeto MongoClientOptions para que o servidor possa validá-los antes que o cliente se conecte. Você pode fazer referência a seus certificados das seguintes maneiras:

• Crie um objeto SecureContext para armazenar certificados (Recomendado)

• Forneça strings de caminho de arquivo que apontam para seus certificados

• Criar objetos Buffer para armazenar certificados

// Create a SecureContext object
const secureContext = tls.createSecureContext({
  ca: fs.readFileSync(`<path to CA certificate>`),
  cert: fs.readFileSync(`<path to public client certificate>`),
  key: fs.readFileSync(`<path to private client key>`),
});
// Pass the SecureContext as a client option
const client = new MongoClient(uri, { tls: true, secureContext });

// Pass filepaths as client options
const client = new MongoClient(uri, {
  tls: true,
  tlsCAFile: `<path to CA certificate>`,
  tlsCertificateKeyFile: `<path to private client key>`,
});

// Read file contents
const ca = fs.readFileSync(`<path to CA certificate>`);
const cert = fs.readFileSync(`<path to public client certificate>`);
const key = fs.readFileSync(`<path to private client key>`);
// Pass Buffers as client options
const client = new MongoClient(uri, { tls: true, ca, cert, key });

Exemplo de SecureContext

Esse exemplo mostra como criar um objeto SecureContext e uma instância MongoClient que inclui opções TLS. O exemplo se conecta ao MongoDB e executa uma query de localização:

import { MongoClient } from "mongodb";
import * as fs from "fs";
import * as tls from "tls";
// Replace the uri string with your connection string.
const uri = "<connection uri>";
// Replace the filepaths with your certificate filepaths.
const secureContext = tls.createSecureContext({
  ca: fs.readFileSync(`<path to CA certificate>`),
  cert: fs.readFileSync(`<path to public client certificate>`),
  key: fs.readFileSync(`<path to private client key>`),
});
// Create a client with the secureContext option
const client = new MongoClient(uri, { tls: true, secureContext });
async function run() {
  try {
    const db = client.db("myDB");
    const myColl = db.collection("myColl");
    const doc = await myColl.findOne({});
    console.log(doc);
  } finally {
    await client.close();
  }
}
run().catch(console.dir);

Informações adicionais

Para obter mais informações sobre como habilitar o TLS em uma conexão, consulte a seguinte documentação de manual do servidor:

• TLS/SSL (Criptografia de transporte)

• Configuração TLS/SSL para clientes