启用和配置 TLS

Overview

在本指南中，您可以了解如何使用TLS 协议保护与 MongoDB 部署的连接。 TLS 是一种加密协议，可保护应用程序与 MongoDB 之间的通信。 要将连接配置为使用 TLS，请启用 TLS 选项并在创建客户端时提供证书以进行验证。

本指南包括以下部分：

• 启用 TLS描述了在连接上启用TLS 的方法

• 配置证书描述配置 TLS 所需的证书

• 客户端中的参考证书提供了一个示例，说明如何创建 TlsOptions结构来配置 TLS 选项

• 附加信息提供了本指南中提到的类型和方法的资源和 API 文档链接

启用 TLS

您可以通过以下方式之一在与 MongoDB 实例的连接上启用 TLS：

• 在连接字符串中将 tls 选项设置为 true

• 将ClientOptions实例的tls字段设置为具有空TlsOptions结构的Tls::Enabled变体，并使用这些选项实例化Client

从以下 Connection String和ClientOptions标签页中选择，查看相应的代码示例：

let uri = "mongodb://<hostname>:<port>?tls=true"
let client = Client::with_uri_str(uri).await?;

let uri = "<connection string>"
let mut client_options = ClientOptions::parse(uri).await?;
let tls_opts = TlsOptions::builder().build();
client_options.tls = Some(Tls::Enabled(tls_opts));
let client = Client::with_options(client_options)?;

有关客户端选项的完整列表，请参阅连接选项指南。

配置证书

要成功发起 TLS 请求，您的应用程序必须提供加密证书来证明其身份。 应用程序的证书必须存储为隐私增强邮件 (PEM) 文件，以便在连接到 MongoDB 部署时启用 TLS。 PEM 文件格式是加密证书的container格式。

以下列表描述了客户端为建立启用 TLS 的连接而必须提供的组件：

客户端中的参考证书

您必须在TlsOptions结构中引用证书，以便服务器可以在客户端连接之前验证证书。

必须首先将证书文件路径转换为 PathBuf 类型，因此您必须从 std::path 模块导入此类型。然后，调用 TlsOptions 结构体的构建器函数，将 ca_file_path 和 cert_key_file_path 字段设置为证书文件路径。

在TlsOptions实例中，您可以设置可选字段来配置连接上的 TLS。 出于测试目的，您可以设置allow_invalid_certificates和allow_invalid_hostnames字段。

将 allow_invalid_certificates 选项设置为 true 会禁用主机名验证，而将 allow_invalid_hostnames 设置为 true 会禁用证书验证。

use std::path::PathBuf;
use mongodb::{ options::{ ClientOptions, TlsOptions, Tls }, Client };
#[tokio::main]
async fn main() -> mongodb::error::Result<()> {
    let uri = "<connection string>";
    let mut client_options = ClientOptions::parse(uri).await?;
    let ca_file = PathBuf::from(r"<path to CA certificate>");
    let key_file = PathBuf::from(r"<path to client certificate>");
    let tls_opts = TlsOptions::builder().ca_file_path(ca_file).cert_key_file_path(key_file).build();
    client_options.tls = Some(Tls::Enabled(tls_opts));
    let _client = Client::with_options(client_options)?;
    Ok(())
}

更多信息

要了解有关在连接上启用 TLS 的更多信息，请参阅以下服务器手册文档：

• TLS/SSL（传输加密）

• 客户端的 TLS/SSL 配置