x.509

客户端证书要求

客户端证书要求：

• 必须由一个证书颁发机构 (CA) 同时向客户端和服务器颁发证书。

• 每个唯一的 MongoDB 用户必须拥有唯一的证书。

• x.509 证书不能过期。

  注意

  如果提供的 x，则 mongod / mongos会记录连接警告。 509证书会在mongod/mongos主机系统时间后的30天内过期。 有关更多信息，请参阅x.509 证书即将过期trigger警告。

• 客户端证书必须包含以下字段：

  keyUsage = digitalSignature
  extendedKeyUsage = clientAuth

• 以下客户端证书属性中至少有一个必须与 net.tls.clusterFile 和 net.tls.certificateKeyFile 服务器证书中的属性不同：

  • 组织 (O)

  • 组织单位 (OU)

  • 域组件 (DC)

• 客户端 x.509 证书的 subject 包含标识名 (DN)，必须与成员 x.509 证书的 subject 不同。如果 MongoDB 部署设置了 tlsX509ClusterAuthDNOverride，则客户端 x.509 证书的主题不得与该值匹配。

  重要

  如果客户端 x.509 证书的主题与成员 x.509 证书（或 tlsX509ClusterAuthDNOverride，如果设置）的 O、OU 和 DC 属性完全匹配，则会接受该客户端连接并授予完整权限，且会在日志中显示一条警告消息。

  只有集群成员 x509 证书应使用相同的 O、OU 和 DC 属性组合。

MongoDB 用户和$external 数据库

要使用客户端证书进行身份验证，您必须先将客户端证书的 subject 作为 MongoDB 用户添加到 $external 数据库中。$external 数据库是用户的身份验证数据库。

每个唯一的 x.509 客户端证书对应一个 MongoDB 用户。您不能使用一个客户端证书验证多个 MongoDB 用户。

要对 $external 身份验证用户（Kerberos、LDAP 或 x.509 用户）使用客户端会话和因果一致性保证，用户名不能大于 10k 字节。

TLS 连接 X509 证书启动警告

从 MongoDB 5.0 开始，mongod 和 mongos 现在会在其证书不包含主题备用名称属性时，在启动阶段发出警告。

以下平台不支持通用名称验证：

• iOS 13 及更高版本

• MacOS 10.15 及更高版本

• Go 1.15 及更高版本

使用这些平台的客户端不会向使用 x.509 证书（其主机名由 CommonName 属性指定）的 MongoDB 服务器进行身份验证。

成员证书要求

使用成员证书来验证分片集群或副本集的成员资格。成员证书文件路径用 net.tls.clusterFile 和 net.tls.certificateKeyFile 选项配置。成员具有以下配置要求：

• 集群成员配置必须为至少一个用于身份验证的属性指定非空值。默认情况下，MongoDB 接受：

  • 组织 (O)

  • 组织单位 (OU)

  • 域组件 (DC)

  您可以通过设置 net.tls.clusterAuthX509.extensionValue 来指定用于身份验证的替代属性。

• 集群成员配置必须包含相同的 net.tls.clusterAuthX509.attributes 并使用匹配值。属性顺序不重要。以下示例设置 O 和 OU，但不设置 DC：

  net:
    tls:
      clusterAuthX509:
        attributes: O=MongoDB, OU=MongoDB Server

证书具有以下要求：

• 必须由一个证书颁发机构 (CA) 同时向分片集群或副本集成员颁发所有 x.509 证书。

• 至少一个主题备用名称 (SAN) 条目必须与其他集群成员使用的服务器主机名匹配。比较 SAN时，MongoDB 可以比较 DNS 名称或 IP 地址。

  如果您不指定subjectAltName ，MongoDB 会改为比较公用名 (CN)。 但是，根据 RFC ，CN 的这种用法已被弃用2818

• 如果用作 certificateKeyFile 的证书包含 extendedKeyUsage，则该值必须同时包含 clientAuth（“TLS Web 客户端身份验证”）和 serverAuth（“TLS Web 服务器身份验证”）。

  extendedKeyUsage = clientAuth, serverAuth

• 如果用作 clusterFile 的证书包含 extendedKeyUsage，则该值必须包含 clientAuth。

  extendedKeyUsage = clientAuth

用于成员资格身份验证的 MongoDB 配置

您可以使用 TLS 在副本集（每个mongod 实例）或分片集群（每个 mongod 和 mongos 实例）的每个节点之间进行内部身份验证。

要使用 TLS 进行内部身份验证，请使用以下设置：

• security.clusterAuthMode 或 --clusterAuthMode 设置为 x509

• net.tls.clusterFile 或是 --tlsClusterFile

mongod 和 mongos 实例使用证书密钥文件向客户端证明自己的身份，但证书密钥文件也可用于成员身份验证。如果不指定集群文件，成员将使用其证书密钥文件进行成员身份验证。用 net.tls.certificateKeyFile 或 --tlsCertificateKeyFile 指定证书密钥文件。

要将证书密钥文件同时用于客户端身份验证和成员资格身份验证，证书必须满足以下任一条件：

• 省略 extendedKeyUsage 或

• 指定 extendedKeyUsage = serverAuth, clientAuth