mongodb - MongoDB 中未启用 x.509 身份验证

Question

我正在尝试在 MongoDB 中启用 x.509 身份验证。我能够使用 ssl 支持进行编译，并且能够使用 ca 签名的客户端证书连接到数据库。然而，看起来由同一个 CA 签署的所有证书都可以连接到数据库，而不管 $external 数据库中设置的用户名。这是预期的行为吗？我认为 mongodb 会拒绝来自未在 $external 数据库中注册的证书的连接。

在我的配置文件中，我定义了以下内容。

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: blah
    PEMKeyPassword: blah
    CAFile: blah
security:
  authorization: enabled

Answer 1

这符合预期。

任何拥有由您启动 mongo 的根 CA 签名的证书的人都可以连接到数据库。但是，当您授权并采取行动(例如，查询集合)时，将根据 $external 数据库检查提供的证书，以查看客户端是否有权采取该行动。

db.getSiblingDB("$external").auth({ mechanism: "MONGODB-X509", user: "CN=MyCommonName,OU=MyOrgUnit,O=MyOrg,ST=Washington,C=US"})