配置传输层安全性（TLS）

概述

在本指南中，您可以学习如何使用TLS 协议来确保您与MongoDB部署的连接安全。

当您为连接启用TLS时，C++驱动会执行以下操作

• 使用TLS连接到MongoDB部署

• 验证部署的证书

• 确保证书已验证部署

有关如何配置MongoDB部署的TLS的说明，请参阅MongoDB服务器手册中的TLS配置指南。

启用TLS

要为连接到您的MongoDB实例启用TLS，请在连接字符串中将tls连接选项设置为true，如下例所示

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");

指定CA文件

在TLS握手过程中，MongoDB部署向您的应用程序展示证书密钥文件以建立其身份。通常，部署的证书已由知名的CA签名，您的应用程序依赖于此CA来验证证书。

然而，在测试期间，您可能想充当自己的CA。在这种情况下，您必须指示C++驱动使用您的CA证书，而不是由其他CA签名的证书。

为此，指定包含根证书链的.pem文件的路径。您可以通过两种方式完成此操作：通过在mongocxx::options::tls对象上设置属性，或通过在连接字符串中使用tlsCAFile参数。

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/file.pem");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.ca_dir("/path/to/search/");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

检查证书吊销

当X.509证书不再可信时——例如，如果其私钥已被泄露——CA会吊销该证书。C++驱动程序提供了两种方法来检查服务器的证书是否已被吊销。

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.crl_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

提供客户端证书

某些MongoDB部署要求每个连接的应用程序都提供客户端证书以证明其身份。为了指定C++驱动程序提供的客户端证书，请指定包含您的证书和私钥的.pem文件的路径。

您可以通过以下两种方式完成此操作：通过在mongocxx::options::tls对象上设置属性，或者通过在您的连接字符串中使用tlsCertificateKeyFile参数。

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem");

$ cat key.pem cert.pem > combined.pem

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
tls_options.pem_password("<password>");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem&tlsCertificateKeyFilePassword=<password>");

允许不安全的TLS

当启用TLS时，C++驱动程序会自动验证服务器提供的证书。在测试代码时，您可以禁用此验证。这被称为不安全TLS。

当不安全TLS启用时，驱动程序只要求服务器提供一个X.509证书。即使以下任何一项为真，驱动程序也接受证书

• 服务器的主机名与证书上的主题名（或主题备用名）不匹配。

• 证书已过期或尚未生效。

• 证书链中没有受信任的根证书。

• 证书用途对服务器识别无效。

要启用不安全TLS，将连接字符串中的tlsInsecure连接选项设置为true，如下面的代码示例所示

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true");

要仅禁用证书验证，将tlsAllowInvalidCertificates选项设置为true，并将tlsInsecure选项设置为false（或省略它）

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.allow_invalid_certificates(true);
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true");

要仅禁用主机名验证，将tlsAllowInvalidHostnames选项设置为true，并将tlsInsecure选项设置为false（或省略它）

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true");

API文档

有关为C++驱动程序配置TLS的更多信息，请参阅以下API文档

• mongocxx::client

• mongocxx::uri

• mongocxx::instance

• mongocxx::options::client

• mongocxx::options::tls