使用Mongo Shell通過SSL加密連接數(shù)據(jù)庫(kù)
在使用Mongo Shell連接數(shù)據(jù)庫(kù)時(shí)，您可以啟用SSL（Secure Sockets Layer）加密功能提高數(shù)據(jù)鏈路的安全性。通過SSL加密功能可以在傳輸層對(duì)網(wǎng)絡(luò)連接進(jìn)行加密，在提升通信數(shù)據(jù)安全性的同時(shí)，保障數(shù)據(jù)的完整性。
前提條件
實(shí)例類型為副本集實(shí)例或云盤版分片集群實(shí)例。
說(shuō)明如果版本過低，您可以升級(jí)數(shù)據(jù)庫(kù)大版本。
實(shí)例已開啟SSL加密功能，詳情請(qǐng)參見設(shè)置SSL加密。
待連接數(shù)據(jù)庫(kù)的本地服務(wù)器或ECS實(shí)例上已安裝3.0及以上版本的Mongo Shell。安裝步驟請(qǐng)參見Install MongoDB。
待連接數(shù)據(jù)庫(kù)的本地服務(wù)器或ECS實(shí)例的IP地址已加入到MongoDB實(shí)例的白名單中，詳情請(qǐng)參見修改白名單。
注意事項(xiàng)
由于SSL加密的固有缺陷，啟用SSL加密會(huì)顯著增加CPU使用率，建議在有加密需求時(shí)才開通SSL加密（例如通過公網(wǎng)連接MongoDB實(shí)例）。
說(shuō)明內(nèi)網(wǎng)鏈路相對(duì)較安全，一般無(wú)需對(duì)鏈路加密。
實(shí)例開通SSL加密后，如果修改了實(shí)例的連接地址或申請(qǐng)了新的連接地址（包括新的節(jié)點(diǎn)連接地址和公網(wǎng)地址），新地址將無(wú)法使用SSL加密連接。如果想要新地址也使用SSL加密連接，您需要更新服務(wù)器證書。
操作步驟
本案例以Linux操作系統(tǒng)為例演示具體操作流程。
下載SSL CA證書，詳情請(qǐng)參見設(shè)置SSL加密。
將解壓后的證書文件上傳至安裝有Mongo Shell的本地服務(wù)器或ECS實(shí)例中。
說(shuō)明本案例中，將.pem證書文件上傳至本地服務(wù)器的/test/sslcafile/目錄中。
在安裝有Mongo Shell的本地服務(wù)器或ECS實(shí)例中，執(zhí)行以下命令連接MongoDB數(shù)據(jù)庫(kù)。
mongo --host <host> -u <username> -p --authenticationDatabase <database> --ssl --sslCAFile <sslCAFile_path> --sslAllowInvalidHostnames說(shuō)明<host>：Primary節(jié)點(diǎn)或Secondary節(jié)點(diǎn)的連接地址（含端口號(hào)），詳情請(qǐng)參見副本集實(shí)例連接說(shuō)明。如需通過公網(wǎng)連接數(shù)據(jù)庫(kù)，需要申請(qǐng)公網(wǎng)連接地址，詳情請(qǐng)參見申請(qǐng)公網(wǎng)連接地址。
如需通過內(nèi)網(wǎng)地址連接數(shù)據(jù)庫(kù)，需要確保ECS實(shí)例與MongoDB實(shí)例的網(wǎng)絡(luò)類型相同（如果是專有網(wǎng)絡(luò)，需要在同一VPC中）。
<username>：MongoDB實(shí)例的數(shù)據(jù)庫(kù)賬號(hào)，初始賬號(hào)為root。不建議在生產(chǎn)環(huán)境中直接使用root賬號(hào)連接數(shù)據(jù)庫(kù)。您可以根據(jù)業(yè)務(wù)需求創(chuàng)建用戶并分配權(quán)限，詳情請(qǐng)參見MongoDB數(shù)據(jù)庫(kù)賬號(hào)權(quán)限管理。<database>：鑒權(quán)數(shù)據(jù)庫(kù)名，即數(shù)據(jù)庫(kù)賬號(hào)所屬的數(shù)據(jù)庫(kù)。當(dāng)數(shù)據(jù)庫(kù)賬號(hào)為root時(shí)，對(duì)應(yīng)的數(shù)據(jù)庫(kù)為admin。<sslCAFile_path>：SSL證書文件路徑。--sslAllowInvalidHostnames：表示禁用TLS或SSL證書中的主機(jī)名驗(yàn)證，允許連接到主機(jī)名不匹配的服務(wù)器。如果SSL加密要求主機(jī)名驗(yàn)證，則不要添加該參數(shù)配置。
示例：
數(shù)據(jù)庫(kù)賬號(hào)為test，所屬數(shù)據(jù)庫(kù)為admin。
mongo --host dds-bp19f409d7512****-pub.mongodb.rds.aliyuncs.com:3717 -u test -p --authenticationDatabase admin --ssl --sslCAFile /test/sslcafile/ApsaraDB-CA-Chain.pem --sslAllowInvalidHostnames當(dāng)命令行提示
Enter password:時(shí)，請(qǐng)輸入數(shù)據(jù)庫(kù)賬號(hào)對(duì)應(yīng)的密碼并按回車鍵確認(rèn)。說(shuō)明輸入密碼時(shí)，密碼字符是不可見的。
如果忘記了root賬號(hào)的密碼，您可以通過設(shè)置密碼的方式來(lái)重置密碼。