使用 x. 509 证书进行自管理 MongoDB 的成员身份验证

证书要求

用于验证分片集群或副本集成员资格的成员证书（ net.tls.clusterFile ，如果已指定，则为net.tls.certificateKeyFile ）必须具有以下属性：

• 必须由一个证书颁发机构 (CA) 颁发所有 x.分片集群或副本集节点的509证书。

• 在成员证书的subject中找到的标识名 ( DN ) 必须为以下至少一个属性指定非空值：

  • 组织 (O)

  • 组织单位 (OU)

  • 域组件 (DC)

• 组织属性（ O ）、组织单位属性（ OU ）和域组件（ DC ）必须与net.tls.clusterFile和net.tls.certificateKeyFile证书中的属性相匹配，其他集群成员（或tlsX509ClusterAuthDNOverride值，如果已设置）。

  要匹配，证书必须匹配这些属性的所有规范，甚至是这些属性的非规范。 属性的顺序并不重要。

  在以下示例中，两个DN包含O和OU的匹配规范以及DC属性的非规范。

  CN=host1,OU=Dept1,O=MongoDB,ST=NY,C=US
  C=US, ST=CA, O=MongoDB, OU=Dept1, CN=host2

  但是，以下两个DN包含不匹配的OU属性，因为一个 包含两个OU规范，而另一个仅包含一个规范。

  CN=host1,OU=Dept1,OU=Sales,O=MongoDB
  CN=host2,OU=Dept1,O=MongoDB

• 在多集群部署中，每个集群必须使用不同的 X. 509成员证书。 每个证书的O 、 OU和DC标识名 (DN) 字段必须具有唯一值。

  如果两个集群的证书具有相同 DN 值，则一个集群上的受感染服务器可以作为另一个集群的成员进行身份验证。

• 公用名 ( CN ) 或主题备用名称 ( SAN ) 条目之一必须与其他集群成员的服务器主机名匹配。 从 MongoDB 4.2 开始，在比较SAN时，MongoDB 可以比较 DNS 名称或 IP 地址。 在以前的版本中，MongoDB 仅比较 DNS 名称。

  例如，集群的证书可能具有以下主题：

  subject= CN=<myhostname1>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname2>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname3>,OU=Dept1,O=MongoDB,ST=NY,C=US

• 如果用作 certificateKeyFile 的证书包含 extendedKeyUsage，则该值必须同时包含 clientAuth（“TLS Web 客户端身份验证”）和 serverAuth（“TLS Web 服务器身份验证”）。

  extendedKeyUsage = clientAuth, serverAuth

• 如果用作 clusterFile 的证书包含 extendedKeyUsage，则该值必须包含 clientAuth。

  extendedKeyUsage = clientAuth

• x.509 证书不能过期。

  如果显示的 x.509 证书在 mongod/mongos 主机系统时间后的 30 天内过期，则 mongod / mongos 会在连接时记录警告。

使用命令行选项 (tls)

mongod --replSet <name> --tlsMode requireTLS --clusterAuthMode x509 --tlsClusterFile <path to membership certificate and key PEM file> --tlsCertificateKeyFile <path to TLS/SSL certificate and key file> --sslCAFile <path to root CA file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to its TLS/SSL certificate and key file>
      CAFile: <path to root CA PEM file to verify received certificate>
      clusterFile: <path to its certificate key file for membership authentication>
   bindIp: localhost,<hostname(s)|ip address(es)>

如需了解更多信息，请参阅为 TLS/SSL 配置 mongod 和 mongos。

使用命令行选项 (ssl)

mongod --replSet <name> --sslMode requireSSL --clusterAuthMode x509 --sslClusterFile <path to membership certificate and key PEM file> --sslPEMKeyFile <path to TLS/SSL certificate and key PEM file> --sslCAFile <path to root CA PEM file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   ssl:
      mode: requireSSL
      PEMKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>
      clusterFile: <path to x.509 membership certificate and key PEM file>
   bindIp: localhost,<hostname(s)|ip address(es)>

如需了解更多信息，请参阅为 TLS/SSL 配置 mongod 和 mongos。