使用 x. 509 证书进行自管理 MongoDB 的成员身份验证

证书要求

使用成员证书验证分片集群或副本集的成员资格。 成员证书存储在net.tls.clusterFile和net.tls.certificateKeyFile中。 成员证书要求：

• 必须由一个证书颁发机构 (CA) 同时向分片集群或副本集成员颁发所有 x.509 证书。

• x.509 证书不能过期。

  注意

  如果显示的 x.509 证书在 mongod/mongos 主机系统时间后的 30 天内过期，则 mongod / mongos 会在连接时记录警告。

• 在成员证书的subject中找到的标识名 ( DN ) 必须为以下至少一个属性指定非空值：

  • 组织 (O)

  • 组织单位 (OU)

  • 域组件 (DC)

• 在多集群部署中，每个集群必须使用不同的 X. 509成员证书。 每个证书的O 、 OU和DC标识名 (DN) 字段必须具有唯一值。

  如果两个集群的证书具有相同 DN 值，则一个集群上的受感染服务器可以作为另一个集群的成员进行身份验证。

• 每个集群成员证书必须在其net.tls.clusterFile和net.tls.certificateKeyFile证书中具有相同的O 、 OU和DC 。 这也适用于tlsX509ClusterAuthDNOverride值（如果已设置）。 属性顺序并不重要。

  以下是一个示例。 下面的两个DN具有匹配的O和OU规范，并且未指定DC 。

  CN=host1,OU=Dept1,O=MongoDB,ST=NY,C=US
  C=US, ST=CA, O=MongoDB, OU=Dept1, CN=host2

  以下示例不正确，因为DN不匹配。 一个DN有两个OU规范，另一个 OU 只有一个规范。

  CN=host1,OU=Dept1,OU=Sales,O=MongoDB
  CN=host2,OU=Dept1,O=MongoDB

• 公用名 ( CN ) 或主题备用名称 ( SAN ) 条目之一必须与其他集群成员的服务器主机名匹配。 从 MongoDB 4.2 开始，在比较SAN时，MongoDB 可以比较 DNS 名称或 IP 地址。 在以前的版本中，MongoDB 仅比较 DNS 名称。

  例如，集群的证书可以包含以下subject ：

  subject= CN=<myhostname1>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname2>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname3>,OU=Dept1,O=MongoDB,ST=NY,C=US

• 如果用作 certificateKeyFile 的证书包含 extendedKeyUsage，则该值必须同时包含 clientAuth（“TLS Web 客户端身份验证”）和 serverAuth（“TLS Web 服务器身份验证”）。

  extendedKeyUsage = clientAuth, serverAuth

• 如果用作 clusterFile 的证书包含 extendedKeyUsage，则该值必须包含 clientAuth。

  extendedKeyUsage = clientAuth

使用命令行选项 (tls)

mongod --replSet <name> --tlsMode requireTLS --clusterAuthMode x509 --tlsClusterFile <path to membership certificate and key PEM file> --tlsCertificateKeyFile <path to TLS/SSL certificate and key file> --sslCAFile <path to root CA file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   tls:
      mode: requireTLS
      certificateKeyFile: <path to its TLS/SSL certificate and key file>
      CAFile: <path to root CA PEM file to verify received certificate>
      clusterFile: <path to its certificate key file for membership authentication>
   bindIp: localhost,<hostname(s)|ip address(es)>

如需了解更多信息，请参阅为 TLS/SSL 配置 mongod 和 mongos。

使用命令行选项 (ssl)

mongod --replSet <name> --sslMode requireSSL --clusterAuthMode x509 --sslClusterFile <path to membership certificate and key PEM file> --sslPEMKeyFile <path to TLS/SSL certificate and key PEM file> --sslCAFile <path to root CA PEM file> --bind_ip localhost,<hostname(s)|ip address(es)>

security:
   clusterAuthMode: x509
net:
   ssl:
      mode: requireSSL
      PEMKeyFile: <path to TLS/SSL certificate and key PEM file>
      CAFile: <path to root CA PEM file>
      clusterFile: <path to x.509 membership certificate and key PEM file>
   bindIp: localhost,<hostname(s)|ip address(es)>

如需了解更多信息，请参阅为 TLS/SSL 配置 mongod 和 mongos。