在MongoDB中未启用x.509身份验证

Question

我正在尝试在MongoDB中启用x.509身份验证。 我能够使用ssl支持进行编译，并且能够使用ca签署的客户端证书连接到数据库。 但是，无论$ external数据库中设置的用户名如何，看起来由同一CA签名的所有证书都可以连接到数据库。 这是预期的行为吗？ 我以为mongodb会拒绝未在$ external数据库中注册的证书的连接。

在我的配置文件中，我定义了以下内容。

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: blah
    PEMKeyPassword: blah
    CAFile: blah
security:
  authorization: enabled

Answer 1

这是预期的。

拥有由您启动mongo的根CA签名的证书的任何人都可以连接到数据库。 但是，当您进行身份验证并采取操作（例如，查询集合）时，将针对$ external数据库检查提供的证书，以查看客户端是否具有执行该操作的权限。

db.getSiblingDB("$external").auth({ mechanism: "MONGODB-X509", user: "CN=MyCommonName,OU=MyOrgUnit,O=MyOrg,ST=Washington,C=US"})