配置传输层安全 (TLS)

Overview

在本指南中，您可以学习；了解如何使用传输层安全 (TLS)协议来保护与MongoDB 部署的连接。

为连接启用TLS 时， Scala驾驶员会执行以下操作：

• 使用 TLS 连接到 MongoDB 部署

• 验证部署的证书

要学习；了解如何为 TLS 配置MongoDB 部署，请参阅MongoDB Server手册中的 TLS 配置指南。

启用 TLS

您可以通过以下方式为MongoDB 部署的连接启用TLS：

• 创建 MongoClientSettings实例时使用 SslSettings.Builder 类中的 enabled() 方法

• 在连接 URI 中设置 tls 参数

选择 MongoClientSettings 或 Connection URI标签页，查看启用 TLS 的相应代码：

val tlsUri = "mongodb://localhost:27017/"
val tlsSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(tlsUri))
    .applyToSslSettings(builder => builder.enabled(true))
    .build()
val tlsClient1 = MongoClient(tlsSettings)

val tlsClient2 = MongoClient("mongodb://localhost:27017/?tls=true")

配置证书

发起 TLS 请求的Scala应用程序需要访问权限加密证书，以证明应用程序的身份并验证与Scala应用程序交互的其他应用程序。您可以通过以下方式在应用程序中配置对这些证书的访问权限：

• 使用Java虚拟机（JVM）信任存储和Java虚拟机（JVM）密钥存储

• 使用特定于客户端的信任存储和密钥存储

keytool -importcert -trustcacerts -file <path to certificate authority file>
      -keystore <path to trust store> -storepass <trust store password>

禁用主机名验证

默认情况下，驾驶员确保服务器的 TLS 证书中包含的主机名与构造 MongoClient 时提供的主机名匹配。您可以通过以下方式禁用主机名验证：

• 创建 MongoClientSettings实例时使用 SslSettings.Builder 类中的 invalidHostNameAllowed() 方法

• 在连接 URI 中设置 tlsAllowInvalidHostnames 参数

选择 MongoClientSettings 或 Connection URI标签页，查看禁用主机名验证的相应代码：

val invalidHostUri = "mongodb://localhost:27017/"
val invalidHostSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(invalidHostUri))
    .applyToSslSettings(builder => builder
        .enabled(true)
        .invalidHostNameAllowed(true)
    )
    .build()
val invalidHostClient1 = MongoClient(invalidHostSettings)

val invalidHostClient2 = MongoClient("mongodb://localhost:27017/?tls=true&tlsAllowInvalidHostnames=true")

限制与 TLS 1.2 的连接

要将应用程序限制为仅使用 TLS 1.2协议，请将jdk.tls.client.protocols系统属性设置为"TLSv1.2" 。

使用 SSLContext 自定义配置

如果您的 TLS 配置需要自定义，您可以设立MongoClient对象的 sslContext属性。将 SSLContext对象传递给 applyToSslSettings()区块中的 context() 方法构建器，如以下代码所示：

val sslContext = SSLContext.getDefault()
val contextSettings = MongoClientSettings.builder()
    .applyToSslSettings(builder => builder
        .enabled(true)
        .context(sslContext)
    )
    .build()
val mongoClient = MongoClient(contextSettings);

有关SSLContext 类的更多信息，请参阅 SSL 上下文的 API 文档。

在线证书状态协议 (OCSP)

OCSP 是用于检查 X.509 证书是否已被撤销的标准。证书颁发机构 (CA) 可以在到期时间之前将 X.509 证书添加到证书吊销列表 (CRL)，以使该证书失效。当客户端在 TLS 握手期间发送 X.509 证书时，CA 的吊销服务器会检查 CRL 并返回 good、revoked 或 unknown 状态。

该驱动程序支持以下 OCSP 变体：

• 客户端驱动的 OCSP

• OCSP 装订 (Stapling)

以下部分描述了这些变体，并展示了如何为您的应用程序启用它们。

API 文档

有关本指南中讨论的任何类型的更多信息，请参阅以下API文档：

• ConnectionString

• MongoClientSettings