客户证书要求

客户端证书必须具有以下属性：

• 证书颁发机构（CA）必须同时为客户端和服务器颁发证书。

• 客户端证书必须包含以下字段：

  keyUsage = digitalSignature
  extendedKeyUsage = clientAuth
  

• 每个唯一的MongoDB用户必须具有唯一的证书。

• 客户端X.509证书的主题，其中包含了专有名称（DN），必须区别 成员X.509证书。

  客户端证书中的组织（O），组织单位（OU）或域组件（DC）属性至少必须与net.tls.clusterFile和 net.tls.certificateKeyFile服务器证书中的属性不同 。

  如果MongoDB部署设置了tlsX509ClusterAuthDNOverride（从MongoDB 4.2开始可用），则客户端x.509证书的主题也必须与此值不同。

  警告

  
  

  如果客户端x.509证书的主题与成员x.509证书具有相同的O、OU和DC组合（如果设置了tlsX509ClusterAuthDNOverride），则会拒绝客户端连接。只有群集成员x509证书应使用相同的O、OU和DC组合，因为这将授予完全权限。

• x.509证书一定不可 过期。

  在4.4版本有改变：

  如果提供的x.509证书在mongod/mongos主机系统时间的30天内过期，mongod/mongos会在连接时记录警告。有关详细信息，请参阅x.509 Certificates Nearing Expiry Trigger Warnings。

MongoDB的用户和  $external  数据库

要使用客户端证书进行身份验证，必须首先将客户端证书中的subject的值添加MongoDB用户。每个唯一的x.509客户端证书对应于一个MongoDB用户；即，不能使用单个客户端证书对多个MongoDB用户进行身份验证。

在$external数据库中添加用户；即 认证数据库是$external数据库

验证

要使用x.509客户端证书进行连接和身份验证，请执行以下操作：

• 对于MongoDB 4.2或更高版本，请为客户端包括以下选项：
  • --tls（或不建议使用的--ssl选项）
  • --tlsCertificateKeyFile （或不建议使用的--sslPEMKeyFile选项）
  • --tlsCertificateKeyFilePassword （或不建议使用的--sslPEMKeyPassword选项）如果证书密钥文件已加密
  • --authenticationDatabase '$external'
  • --authenticationMechanism MONGODB-X509
• 对于MongoDB 4.0和更早版本，为客户端包括以下选项：
  • --ssl
  • --sslPEMKeyFile
  • --sslPEMKeyPassword如果--sslPEMKeyFile加密，则为选项。
  • --authenticationDatabase '$external'
  • --authenticationMechanism MONGODB-X509

您还可以先建立TLS / SSL连接，然后db.auth()在$external数据库中使用 它进行身份验证。

有关两种情况的示例，请参阅使用x.509证书对客户端进行身份验证 中的使用x.509证书进行身份验证（使用tls选项）部分。

成员证书要求

用于验证分片群集或副本集成员身份的成员证书（net.tls.clusterFile，如果指定，则为net.tls.certificateKeyFile）必须具有以下属性：

• 单个证书颁发机构（CA）必须为分片群集或副本集的成员颁发所有x.509证书。

  
  

  
  

• 在成员证书的主题中找到的可分辨名称（DN）必须为以下至少一个属性指定非空值：组织（O）、组织单位（OU）或域组件（DC）。

  
  

  
  

• 组织属性（O's）、组织单元属性（OU's）和域组件（DC's）必须与来自这两个域的属性匹配net.tls.clusterFile文件以及net.tls.certificateKey文件其他集群成员的证书（或tlsX509ClusterAuthDNOverride值，如果已设置）。

     要匹配，证书必须匹配这些属性的所有规范，甚至这些属性的非规范。属性的顺序并不重要。   在下面的示例中，这两个DN包含O、OU的匹配规范以及DC属性的非规范。

CN = host1，OU = Dept1，O = MongoDB，ST = NY，C = US
C = US，ST = CA，O = MongoDB，OU = Dept1，CN = host2

 以下两个DN 包含不匹配的 OU 属性，因为一个包含两个 OU 规范，另一个包含一个规范。

CN=host1,OU=Dept1,OU=Sales,O=MongoDB
CN=host2,OU=Dept1,O=MongoDB

• 通用名（CN）或主可选择名（SAN）之一必须与服务器的主机名匹配，该主机名由集群的其他成员使用。从MongoDB 4.2开始，在执行SAN比较时，MongoDB支持DNS名称或IP地址的比较。在以前的版本中，MongoDB仅支持DNS名称的比较。

  例如，群集的证书可以具有以下主题：

  subject= CN=<myhostname1>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname2>,OU=Dept1,O=MongoDB,ST=NY,C=US
  subject= CN=<myhostname3>,OU=Dept1,O=MongoDB,ST=NY,C=US
  

• 如果证书包含扩展密钥用法（extendedKeyUsage）设置，则该值必须包含clientAuth（“ TLS Web客户端身份验证”）。

  extendedKeyUsage = clientAuth
  

  您还可以使用不包含扩展密钥用法（EKU）的证书。

• x.509证书不得过期。

  在4.4版本改变：如果提供的x.509证书在mongod/mongos主机系统时间的30天内过期，mongod/mongos会在连接时记录警告。有关详细信息，请参阅x.509证书接近到期触发警告。

MongoDB成员身份验证配置

除了适用于部署的任何TLS/SSL配置之外，还包括以下配置，以便为副本集（即mongod实例）或分片集群（即mongod和mongos实例）的每个成员指定x.509进行内部身份验证：

• security.clusterAuthMode或--clusterAuthMode设置为x509
• net.tls.clusterFile或--tlsClusterFile（在MongoDB 4.2中都是新功能）

但是，如果未指定群集文件，则成员可以使用中指定的证书密钥文件net.tls.certificateKey文件或者--tlsCertificateKeyFile（都是MongoDB 4.2中新增的），用于成员身份验证。mongod（和mongos）实例使用此证书密钥文件向客户端证明其身份，但也可以用于成员身份验证。要同时用于客户端身份验证和成员身份验证，证书必须：

• 省略extendedKeyUsage或
• 指定extendedKeyUsage值

• x.509证书不得过期。

  在4.4版本改变：如果提供的x.509证书在mongod/mongos主机系统时间的30天内过期，mongod/mongos会在连接时记录警告。有关详细信息，请参阅x.509证书接近到期触发警告。