配置mongod和mongos用于TLS / SSL

MongoDB 中文手册

参考 > 安全 > TLS / SSL（传输加密） > 配置mongod和mongos用于TLS / SSL

在本页面

总览
先决条件
步骤（使用net.tls设置）
步骤（使用net.ssl设置）

概述¶

本文档可帮助您配置新的MongoDB实例以支持TLS / SSL。有关将当前不使用TLS / SSL 的群集升级到使用TLS / SSL的说明，请参阅将群集升级为使用TLS / SSL 。

从版本4.0开始，MongoDB使用本机TLS / SSL OS库：

Windows	安全通道（Schannel）
Linux / BSD	的OpenSSL
macOs	安全运输

注意

从版本4.0开始，MongoDB在可用TLS 1.1+的系统上禁用对TLS 1.0加密的支持。有关更多详细信息，请参阅禁用TLS 1.0。
MongoDB的TLS / SSL加密仅允许对所有连接使用最小为128位密钥长度的强TLS / SSL密码。
MongoDB 的Linux 64位旧版x64构建不包括对TLS / SSL的支持。

前提条件¶

重要

TLS / SSL，PKI（公钥基础结构）证书和证书颁发机构的完整描述不在本文档的范围之内。该页面假定您具有TLS / SSL的先验知识以及对有效证书的访问权限。

证书颁发机构¶

对于生产用途，您的MongoDB部署应使用由单个证书颁发机构生成和签名的有效证书。您或您的组织可以生成和维护独立的证书颁发机构，也可以使用第三方TLS / SSL供应商生成的证书。获取和管理证书超出了本文档的范围。

`mongod`和`mongos`证书密钥文件¶

建立TLS / SSL连接时， mongod/ mongos向其客户端提供证书密钥文件（包含公钥证书及其关联的私钥）以建立其身份。[1]

MongoDB可以使用证书颁发机构颁发的任何有效TLS / SSL证书或自签名证书。如果您使用自签名证书，尽管将对通信通道进行加密以防止窃听连接，但是不会验证服务器身份。这使您容易受到中间人攻击。使用由受信任的证书颁发机构签名的证书将允许MongoDB驱动程序验证服务器的身份。

通常，除非信任网络，否则请避免使用自签名证书。

关于副本集和分片群集成员的证书，建议在不同的服务器上使用不同的证书。这样可以最大程度地减少私钥的暴露，并允许主机名验证。

[1]	对于FIPS模式，请确保证书符合FIPS（即，使用符合FIPS的算法），并且私钥符合PKCS＃8标准。如果需要将私钥转换为PKCS＃8格式，则可以使用多种转换工具，例如和。`openssl pkcs8`

步骤（使用`net.tls`设置）¶

注意

从4.2版开始，MongoDB提供与net.tls设置（及其相应的命令行选项）相对应的 net.ssl设置（以及相应的命令行选项）。这些net.tls设置提供与net.ssl选项相同的功能，因为MongoDB始终支持TLS 1.0和更高版本。

本节中的过程使用net.tls设置。有关使用net.ssl别名的过程，请参见过程（使用net.ssl设置）。

设置`mongod`并`mongos`使用TLS / SSL证书和密钥¶

下一节将mongod/ 配置 mongos为使用TLS / SSL连接。使用这些TLS / SSL设置， mongod/ mongos将其证书密钥文件呈现给客户端。但是， mongod/ mongos不需要客户端提供证书密钥文件来验证客户端的身份。要要求客户端的证书密钥文件，请参阅改为使用客户端证书验证来设置mongod和mongos。

注意

该过程使用net.tls设置（从MongoDB 4.2开始可用）。有关使用net.ssl设置的过程，请参阅过程（使用net.ssl设置）。

要使用TLS / SSL连接，请在 / 实例的配置文件中包括以下TLS / SSL设置：mongodmongos

PEMKeyFile（Linux / Windows / macOS）
系统SSL证书存储区（Windows / macOS）

设置	笔记
`net.tls.mode`	设为`requireTLS`。此设置将每个服务器限制为仅使用TLS / SSL加密的连接。您也可以指定值`allowTLS`或`preferTLS`设置使用的端口上混合TLS / SSL模式。有关`net.tls.mode`详细信息，请参见。
`net.tls.certificateKeyFile`	设置为包含TLS / SSL证书和密钥的文件的路径。该`mongod`/ `mongos` 实例呈现这个文件到它的客户建立了实例的身份。

例如，考虑下面的配置文件的mongod实例：

复制

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

从MongoDB 4.0开始，您可以为Windows和macOS使用系统SSL证书存储。要使用系统SSL证书存储，请指定 net.tls.certificateSelector而不是指定证书密钥文件。

设置	笔记
`net.tls.mode`	设为`requireTLS`。此设置将每个服务器限制为仅使用TLS / SSL加密的连接。您也可以指定值`allowTLS`或`preferTLS`设置使用的端口上混合TLS / SSL模式。有关`net.tls.mode`详细信息，请参见。
`net.tls.certificateSelector`	设置为属性（`subject`或 `thumbprint`）和值。此设置用于选择证书。有关`net.tls.certificateSelector`详细信息，请参见。

例如，考虑下面的配置文件的mongod实例：

复制

net:
   tls:
      mode: requireTLS
      certificateSelector: subject="<CertificateCommonName>"
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

甲mongod使用上面的配置实例只能使用TLS / SSL连接：

复制

mongod --config <path/to/configuration/file>

也就是说，客户端必须指定TLS / SSL连接。有关使用 TLS / SSL连接的更多信息，请参阅使用加密连接到MongoDB实例（tls选项）。

也可以看看

您还可以配置mongod和 mongos使用命令行选项而不是配置文件：

对于mongod见：--tlsMode; --tlsCertificateKeyFile; 和 --tlsCertificateSelector。
对于 mongos见：--tlsMode; --tlsCertificateKeyFile; 和 --tlsCertificateSelector。

设置`mongod`并`mongos`通过客户端证书验证¶

下一节将配置 mongod/ mongos使用TLS / SSL连接并执行客户端证书验证。使用以下TLS / SSL设置：

mongod/ mongos将其证书密钥文件提供给客户端以进行验证。
mongod/ mongos要求客户端提供证书密钥文件以验证客户端的身份。

注意

该过程使用net.tls设置（从MongoDB 4.2开始可用）。有关使用net.ssl设置的过程，请参阅过程（使用net.ssl设置）。

要使用TLS / SSL连接并执行客户端证书验证，请在/ 实例的配置文件中包括以下TLS / SSL设置：mongodmongos

注意

从MongoDB 4.0开始，您可以为Windows和macOS使用系统SSL证书存储。要使用系统SSL证书存储，请指定 net.ssl.certificateSelector而不是指定证书密钥文件。

设置	笔记
`net.tls.mode`	设为`requireTLS`。此设置将每个服务器限制为仅使用TLS / SSL加密的连接。您也可以指定值`allowTLS`或`preferTLS`设置使用的端口上混合TLS / SSL模式。有关`net.tls.mode`详细信息，请参见。
`net.tls.certificateKeyFile`	设置为包含TLS / SSL证书和密钥的文件的路径。该`mongod`/ `mongos` 实例呈现这个文件到它的客户建立了实例的身份。
`net.tls.CAFile`	设置为包含用于验证客户端证书的证书链的文件的路径。在`mongod`/ `mongos`实例使用该文件来验证其客户颁发证书。证书链包括根证书颁发机构的证书。

例如，考虑下面的配置文件的mongod实例：

复制

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem
      CAFile: /etc/ssl/caToValidateClientCertificates.pem
systemLog:
   destination: file
   path: "/var/log/mongodb/mongod.log"
   logAppend: true
storage:
   dbPath: "/var/lib/mongodb"
processManagement:
   fork: true
net:
   bindIp: localhost,mongodb0.example.net
   port: 27017

一个mongod使用上面的配置实例只能使用TLS / SSL连接，并要求其客户端的有效证书：

复制

mongod --config <path/to/configuration/file>

也就是说，客户端必须指定TLS / SSL连接，并将其证书密钥文件提供给实例。请参阅连接到需要客户端证书的MongoDB实例（tls选项）以获取有关使用TLS / SSL连接的更多信息。

也可以看看

您还可以配置mongod和 mongos使用命令行选项而不是配置文件：

对于mongod见--tlsMode， --tlsCertificateKeyFile和 --tlsCAFile。
对于 mongos见--tlsMode， --tlsCertificateKeyFile， --tlsCAFile。

阻止客户撤销证书¶

注意

该过程使用net.tls设置（从MongoDB 4.2开始可用）。有关使用net.ssl设置的过程，请参阅过程（使用net.ssl设置）。

为了防止具有吊销证书的客户端连接， net.tls.CRLFile请将set设置为包含吊销证书的文件。

例如：

复制

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    CRLFile: /etc/ssl/revokedCertificates.pem

提供证书中列出的证书的客户端 /etc/ssl/revokedCertificates.pem将无法连接。

也可以看看

您还可以使用命令行选项配置吊销的证书列表。

对于mongod，请参阅--tlsCRLFile。
对于mongos，请参阅--tlsCRLFile。

仅在客户出示证书时验证¶

在大多数情况下，确保客户端出示有效证书很重要。但是，如果您的客户端无法提供客户端证书或正在转换为使用证书，则您可能只想从提供证书的客户端验证证书。

注意

该过程使用net.tls设置（从MongoDB 4.2开始可用）。有关使用net.ssl设置的过程，请参阅过程（使用net.ssl设置）。

要绕过不提供证书的客户端的客户端证书验证， net.tls.allowConnectionsWithoutCertificates请将设置为true。

例如：

复制

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    allowConnectionsWithoutCertificates: true

一mongod/ mongos使用这些设置运行允许从连接：

没有证书的客户端。
出示有效证书的客户端。

注意

如果客户端出示证书，则该证书必须是有效的证书。

所有连接（包括未提供证书的连接）均使用TLS / SSL加密。

有关客户端 TLS / SSL连接的更多信息，请参见客户端的TLS / SSL配置。

也可以看看

您还可以使用命令行选项进行配置：

对于mongod，请参阅 --tlsAllowConnectionsWithoutCertificates。
对于mongos，请参阅 --tlsAllowConnectionsWithoutCertificates。

禁止协议¶

注意

该过程使用net.tls设置（从MongoDB 4.2开始可用）。有关使用net.ssl设置的过程，请参阅过程（使用net.ssl设置）。

为防止MongoDB服务器接受使用特定协议的传入连接，net.tls.disabledProtocols请将set设置为不允许的协议。

例如，以下配置阻止 mongod/ mongos接受使用TLS1_0或的传入连接TLS1_1

复制

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/caToValidateClientCertificates.pem
    disabledProtocols: TLS1_0,TLS1_1

也可以看看

您还可以使用命令行选项进行配置：

对于mongod，请参阅--tlsDisabledProtocols。
对于mongos，请参阅--tlsDisabledProtocols。

TLS / SSL证书密码短语¶

如果证书密钥文件 mongod/ mongos加密，sinclude net.tls.certificateKeyFilePassword设置为密码。

小费

从MongoDB 4.2开始，为了避免以明文形式指定密码短语，可以在配置文件中使用扩展值。

也可以看看

您还可以使用命令行选项进行配置：

对于mongod，请参阅--tlsCertificateKeyFilePassword。
对于mongos，请参阅--tlsCertificateKeyFilePassword。

在FIPS模式下运行¶

注意

兼容FIPS的TLS / SSL仅在MongoDB Enterprise中可用。有关更多信息，请参阅为FIPS配置MongoDB。

有关更多详细信息，请参阅为FIPS配置MongoDB。

下一步¶

要为客户端配置TLS / SSL支持，请参阅客户端的 TLS / SSL配置。

也可以看看

使用x.509证书对客户端进行身份验证

步骤（使用`net.ssl`设置）¶

注意

本节中的过程使用net.ssl设置。有关使用net.tls别名的过程，请参见过程（使用net.tls设置）。

设置`mongod`并`mongos`使用TLS / SSL证书和密钥¶

要使用TLS / SSL连接，请在mongod/ mongos实例的配置文件中包括以下TLS / SSL设置：

PEMKeyFile（Linux / Windows / macOS）
系统SSL证书存储区（Windows / macOS）

设置	笔记
`net.ssl.mode`	设为`requireSSL`。此设置将每个服务器限制为仅使用TLS / SSL加密的连接。您也可以指定`allowSSL`或`preferSSL` 使用TLS / SSL混合模式。有关`net.ssl.mode`详细信息，请参见。
`net.ssl.PEMKeyFile`	设置为`.pem`包含TLS / SSL证书和密钥的文件。该`mongod`/ `mongos`实例呈现这个文件到它的客户建立了实例的身份。如果密钥已加密，请指定密码短语（`net.ssl.PEMKeyPassword`）。

例如，考虑下面的配置文件的mongod实例：

复制

net ：
ssl ：模式：requireSSL PEMKeyFile ：/etc/ssl/mongodb.pem systemLog ：目标：文件路径：“ /var/log/mongodb/mongod.log” logAppend ：真正的存储：dbPath ：“ / var / lib / mongodb “ processManagement ：fork ：true net ：bindIp ：localhost，mongodb0.example.net 端口：27017

MongoDB 中文手册

配置mongod和mongos用于TLS / SSL

概述¶

前提条件¶

证书颁发机构¶

mongod和mongos证书密钥文件¶

步骤（使用net.tls设置）¶

设置mongod并mongos使用TLS / SSL证书和密钥¶

设置mongod并mongos通过客户端证书验证¶

阻止客户撤销证书¶

仅在客户出示证书时验证¶

禁止协议¶

TLS / SSL证书密码短语¶

在FIPS模式下运行¶

下一步¶

步骤（使用net.ssl设置）¶

设置mongod并mongos使用TLS / SSL证书和密钥¶

`mongod`和`mongos`证书密钥文件¶

步骤（使用`net.tls`设置）¶

设置`mongod`并`mongos`使用TLS / SSL证书和密钥¶

设置`mongod`并`mongos`通过客户端证书验证¶

步骤（使用`net.ssl`设置）¶

设置`mongod`并`mongos`使用TLS / SSL证书和密钥¶