内部/成员身份验证

密钥要求

密钥的长度必须介于 6 到 1,024 个字符之间，且只能包含 base64 集合中的字符。MongoDB 去除空白字符（例如x0d、x09 和 x20），方便跨平台使用。因此，以下操作会生成相同的密钥：

echo -e "mysecretkey" > key1
echo -e "my secret key" > key1
echo -e "my secret key\n" > key2
echo -e "my    secret    key" > key3
echo -e "my\r\nsecret\r\nkey\r\n" > key4

Keyfile 格式

用于内部成员身份验证的密钥文件使用 YAML 格式，以允许密钥文件中包含多个密钥。 YAML 格式接受以下任一项：

• 单个密钥字符串（与早期版本相同）

• 键字符串序列

YAML 格式与使用文本文件格式的现有单密钥文件兼容。

例如，

在文件中指定多个密钥的功能支持在不停机的情况下对密钥进行滚动升级。请参阅副本集轮换密钥和分片集群轮换密钥。

部署的所有 mongod 和 mongos 实例必须共享至少一个公用密钥。

在 UNIX 系统上，密钥文件不得具有群组或全局权限。在 Windows 系统中，不检查密钥文件权限。

您必须在托管副本集或分片集群成员的每台服务器上存储密钥文件。

密钥文件的 MongoDB 配置

要指定密钥文件，请使用 security.keyFile 设置或 --keyFile 命令行选项。

有关密钥文件内部身份验证的示例，请参阅将副本集更新为密钥文件身份验证。

成员证书要求

使用成员证书来验证分片集群或副本集的成员资格。成员证书文件路径用 net.tls.clusterFile 和 net.tls.certificateKeyFile 选项配置。成员具有以下配置要求：

• 集群成员配置必须为至少一个用于身份验证的属性指定非空值。默认情况下，MongoDB 接受：

  • 组织 (O)

  • 组织单位 (OU)

  • 域组件 (DC)

  您可以通过设置 net.tls.clusterAuthX509.extensionValue 来指定用于身份验证的替代属性。

• 集群成员配置必须包含相同的 net.tls.clusterAuthX509.attributes 并使用匹配值。属性顺序不重要。以下示例设置 O 和 OU，但不设置 DC：

  net:
    tls:
      clusterAuthX509:
        attributes: O=MongoDB, OU=MongoDB Server

证书具有以下要求：

• 必须由一个证书颁发机构 (CA) 同时向分片集群或副本集成员颁发所有 x.509 证书。

• 至少一个主题备用名称 (SAN) 条目必须与其他集群成员使用的服务器主机名匹配。比较 SAN时，MongoDB 可以比较 DNS 名称或 IP 地址。

  如果您不指定subjectAltName ，MongoDB 会改为比较公用名 (CN)。但是，根据 RFC ，CN 的这种用法已被弃用2818

• 如果用作 certificateKeyFile 的证书包含 extendedKeyUsage，则该值必须同时包含 clientAuth（“TLS Web 客户端身份验证”）和 serverAuth（“TLS Web 服务器身份验证”）。

  extendedKeyUsage = clientAuth, serverAuth

• 如果用作 clusterFile 的证书包含 extendedKeyUsage，则该值必须包含 clientAuth。

  extendedKeyUsage = clientAuth

MongoDB 配置

您可以使用 TLS 在副本集（每个mongod 实例）或分片集群（每个 mongod 和 mongos 实例）的每个节点之间进行内部身份验证。

要使用 TLS 进行内部身份验证，请使用以下设置：

• security.clusterAuthMode 或 --clusterAuthMode 设置为 x509

• net.tls.clusterFile 或 --tlsClusterFile

mongod和mongos实例使用其证书密钥文件向客户端证明其身份，但证书密钥文件也可用于成员身份验证。如果不指定集群文件，成员将使用其证书密钥文件进行成员身份验证。使用net.tls.certificateKeyFile或--tlsCertificateKeyFile指定证书密钥文件。

要将证书密钥文件同时用于客户端身份验证和成员资格身份验证，证书必须满足以下任一条件：

• 省略 extendedKeyUsage 或

• 指定 extendedKeyUsage = serverAuth, clientAuth