Configurar mongod e mongos para TLS/SSL

Autoridades de certificação

Para uso em produção, seu MongoDB deployment deve usar certificados válidos gerados e assinados por uma autoridade de certificação. Você ou sua organização podem gerar e manter uma autoridade de certificação independente ou usar certificados gerados por fornecedores de TLS de terceiros. Obter e gerenciar certificados está além do escopo desta documentação.

mongod e o arquivo de chave de certificado mongos

Ao estabelecer uma conexão TLS/SSL, o mongod / mongos apresenta um arquivo de chave de certificado a seus clientes para estabelecer sua identidade. [1] O arquivo de chave de certificado contém um certificado de chave pública e sua chave privada associada, mas apenas o componente público é revelado ao cliente.

O MongoDB pode usar qualquer certificado TLS/SSL válido emitido por uma autoridade de certificação ou um certificado autoassinado. Se você usar um certificado autoassinado, embora o canal de comunicação seja criptografado para evitar a espionagem da conexão, não haverá validação da identidade do servidor. Isso deixa você vulnerável a um ataque man-in-the-middle. Usar um certificado assinado por uma autoridade certificadora confiável permitirá que drivers MongoDB verifiquem a identidade do servidor.

Em geral, evite utilizar certificados autoassinados a menos que a rede seja confiável.

Com relação aos certificados para membros de conjunto de réplicas e cluster fragmentado , é aconselhável usar certificados diferentes em servidores diferentes. Isso minimiza a exposição da chave privada e permite a validação do nome do host.

Configurar o mongod e o mongos com chave e certificado TLS/SSL

A seção a seguir configura mongod / mongos para usar conexões TLS/SSL. Com essas configurações de TLS/SSL, mongod / mongos apresenta seu arquivo de chave de certificado ao cliente. No entanto, o mongod / mongos não exige um arquivo de chave do certificado do cliente para verificar a identidade do cliente. Para exigir o arquivo de chave do certificado do cliente, consulte Configurar mongod e mongos com a validação do certificado do cliente em vez disso.

Para usar conexões TLS/SSL, inclua as seguintes configurações TLS/SSL em seu mongod / mongos arquivo de configuração das instâncias:

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

net:
   tls:
      mode: requireTLS
      certificateSelector: subject="<CertificateCommonName>"
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Uma instância mongod que usa a configuração acima só pode aceitar conexões TLS/SSL:

mongod --config <path/to/configuration/file>

Consulte Conectar-se as instâncias do MongoDB usando criptografia para obter mais informações sobre como se conectar com TLS/SSL.

Configurar mongod e mongos com validação do certificado de cliente

A seção a seguir configura mongod / mongos para usar conexões TLS/SSL e realizar a validação do certificado do cliente. Com estas configurações TLS/SSL:

• mongod / mongos apresenta seu arquivo de chave de certificado para o cliente para verificação.

• mongod / mongos requer um arquivo de chave de certificado do cliente para verificar a identidade do cliente.

Para usar conexões TLS/SSL e realizar a validação do certificado do cliente, inclua as seguintes configurações de TLS/SSL no mongod mongos arquivo de configuração da instância / :

Por exemplo, considere o seguinte arquivo de configuração para uma instância mongod:

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Uma instância mongod que usa a configuração acima só pode aceitar conexões TLS/SSL e requer um certificado válido de seus clientes:

mongod --config <path/to/configuration/file>

Os clientes devem especificar conexões TLS/SSL e apresentar seu arquivo de chave de certificado à instância. Consulte Conectar-se a instâncias do MongoDB que exigem certificados de cliente para obter mais informações sobre como se conectar com TLS/SSL.

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

Não permitir protocolos

Para evitar que os servidores MongoDB aceitem conexões de entrada que usam protocolos específicos, inclua net.tls.disabledProtocols definido como os protocolos não permitidos.

Por exemplo, a configuração a seguir impede que mongod / mongos aceite conexões recebidas que usem TLS1_0 ou TLS1_1

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

Senha do Certificado TLS/SSL

Se os arquivos de chave de certificado para mongod / mongos estiverem criptografados, inclua net.tls.certificateKeyFilePassword definido como senha.

Rotação de certificados online

A partir do MongoDB 5.0, você pode girar os seguintes arquivos de chave de certificado on-demand:

• TLS Certificates

• CRL (Certificate Revocation List) files (em plataformas Linux e Windows)

• CA (Certificate Authority) files

Para rotacionar um ou mais desses certificados:

1. Substitua o certificado ou certificados que você deseja girar no sistema de arquivos, observando as seguintes restrições:

   • Cada novo certificado deve ter o mesmo nome de arquivo e o mesmo caminho de arquivo que o certificado que está substituindo.

   • Se estiver girando um TLS Certificate criptografado, sua senha deverá ser igual à senha do certificado antigo (conforme especificado na configuração do arquivo de configuração certificateKeyFilePassword). A rotação de certificados não oferece suporte ao prompt de senha interativo.

2. Conecte mongosh à instância mongod ou mongos na qual você deseja executar a rotação de certificado.

3. Execute o comando rotateCertificates ou o método de shell do db.rotateCertificates() para rotacionar os certificados utilizados pela instância do mongod ou mongos.

Quando ocorre a rotação de certificados:

• As conexões existentes à instância mongod ou mongos não são encerradas e continuarão usando os certificados antigos.

• Todas as novas conexões usarão os novos certificados.

Arquivos de certificados incorretos, expirados, revogados ou ausentes causarão falha na rotação de certificados, mas não invalidarão a configuração TLS existente nem encerrarão o processo mongod ou mongos em execução.

Antes do MongoDB 5.0, a rotação de certificados exigia tempo de inatividade e era normalmente realizada durante janelas de manutenção.

Consulte rotateCertificates ou db.rotateCertificates() para obter considerações adicionais e instruções de uso completas.

Executar no modo FIPS

Consulte Configurar MongoDB para FIPS para obter mais detalhes.

Próximos passos

Para configurar o suporte a TLS/SSL para clientes, consulte Configuração TLS/SSL para clientes.

Configurar o mongod e o mongos com chave e certificado TLS/SSL

A seção a seguir configura mongod / mongos para usar conexões TLS/SSL. Com essas configurações de TLS/SSL, mongod / mongos apresenta seu arquivo de chave de certificado ao cliente. No entanto, o mongod / mongos não exige um arquivo de chave do certificado do cliente para verificar a identidade do cliente. Para exigir o arquivo de chave do certificado do cliente, consulte Configurar mongod e mongos com a validação do certificado do cliente em vez disso.

Para usar conexões TLS/SSL, inclua as seguintes configurações de TLS/SSL em seu arquivo de configuração da instância mongod / mongos:

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

net:
   ssl:
      mode: requireSSL
      certificateSelector: subject="<CertificateCommonName>"
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Uma instância mongod que usa a configuração acima só pode aceitar conexões TLS/SSL:

mongod --config <path/to/configuration/file>

Consulte Conectar-se as instâncias do MongoDB usando criptografia para obter mais informações sobre como se conectar com TLS/SSL.

Configurar mongod e mongos com validação do certificado de cliente

A seção a seguir configura mongod / mongos para usar conexões TLS/SSL e realizar a validação do certificado do cliente. Com estas configurações TLS/SSL:

• mongod / mongos apresenta seu arquivo de chave de certificado para o cliente para verificação.

• mongod / mongos requer um arquivo de chave de certificado do cliente para verificar a identidade do cliente.

Para usar conexões TLS/SSL, inclua as seguintes configurações de TLS/SSL em seu arquivo de configuração da instância mongod / mongos:

Por exemplo, considere o seguinte arquivo de configuração para uma instância mongod:

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

Uma instância mongod que usa a configuração acima só pode aceitar conexões TLS/SSL e requer um certificado válido de seus clientes:

mongod --config <path/to/configuration/file>

Os clientes devem especificar conexões TLS/SSL e apresentar seu arquivo de chave de certificado à instância. Consulte Conectar-se a instâncias do MongoDB que exigem certificados de cliente para obter mais informações sobre como se conectar com TLS/SSL.

net:
   ssl:
      mode: requireSSL
      PEMKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
      CRLFile: /etc/ssl/revokedCertificates.pem

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

Não permitir protocolos

Para evitar que os servidores do MongoDB aceitem conexões de entrada que usam protocolos específicos, inclua net.ssl.disabledProtocols definido como os protocolos não permitidos.

Por exemplo, a configuração a seguir impede que mongod / mongos aceite conexões recebidas que usem TLS1_0 ou TLS1_1

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

Senha do Certificado TLS/SSL

Se os arquivos de chave de certificado para mongod / mongos estiverem criptografados, inclua net.ssl.PEMKeyPassword definido como a senha.

Executar no modo FIPS

Consulte Configurar MongoDB para FIPS para obter mais detalhes.

Próximos passos

Para configurar o suporte a TLS/SSL para clientes, consulte Configuração TLS/SSL para clientes.