Activez le chiffrement SSL pour sécuriser les connexions réseau au niveau de la couche de transport. Une fois le protocole SSL activé, installez le certificat d'autorité de certification (CA) SSL sur votre application afin de garantir des communications chiffrées.
Prérequis
L'instance doit être une instance de jeu de réplicas ou un cluster fragmenté utilisant des disques cloud.
Remarques d'utilisation
Vous ne pouvez télécharger le certificat CA SSL que depuis la console ApsaraDB for MongoDB.
-
Le chiffrement SSL augmente l'utilisation du CPU. N'activez le protocole SSL que lorsque cela est nécessaire, par exemple pour les connexions via un endpoint public.
RemarqueLes connexions via un réseau interne sont généralement sécurisées et ne nécessitent pas de chiffrement.
Après avoir activé le protocole SSL, si vous modifiez ou ajoutez un endpoint d'instance (tel qu'un endpoint de nœud ou un endpoint public), le nouvel endpoint ne prend pas en charge les connexions SSL. Pour activer le protocole SSL sur le nouvel endpoint, mettez à jour le certificat du serveur.
-
Par défaut, l'instance prend en charge les connexions SSL et non-SSL. Activez l'obligation SSL pour n'autoriser que les connexions SSL.
RemarqueL'obligation SSL nécessite la version 7.0 (noyau 8.0.13 ou ultérieur) ou la version 8.0 (noyau 9.0.5 ou ultérieur).
Impacts
L'activation, la désactivation ou la mise à jour du protocole SSL déclenche un redémarrage de l'instance. Effectuez ces opérations pendant les heures creuses et assurez-vous que votre application prend en charge la reconnexion automatique.
Chaque nœud redémarre séquentiellement, ce qui entraîne une déconnexion transitoire d'environ 30 secondes par nœud. Les instances contenant plus de 10 000 collections peuvent subir des déconnexions plus longues.
Activer le chiffrement SSL
L'activation du protocole SSL redémarre l'instance. Chaque nœud subit une déconnexion transitoire d'environ 30 secondes. Planifiez cette opération en conséquence et assurez-vous que votre application prend en charge la reconnexion automatique.
Accédez à la page Instances de jeu de réplicas ou Instances de cluster fragmenté. Dans la barre de navigation supérieure, sélectionnez un groupe de ressources et une région, puis cliquez sur l'ID de l'instance cible.
Dans le volet de navigation de gauche, choisissez .
Activez l'interrupteur situé à côté de SSL Status.
-
Dans la boîte de dialogue Enable SSL, choisissez d'activer ou non l'option Forced SSL.
Si vous activez l'obligation SSL, l'instance rejette les connexions non-SSL.
RemarqueL'obligation SSL est disponible uniquement pour les instances utilisant des disques cloud et exécutant la version 7.0 ou 8.0, et répondant aux exigences de version de noyau suivantes :
Version 7.0 : La version du noyau doit être 8.0.13 ou ultérieure.
Version 8.0 : La version du noyau doit être 9.0.5 ou ultérieure.
Cliquez sur OK.
L'état de l'instance passe à Modifying SSL. Lorsque l'état SSL devient Enabled et que l'état de l'instance revient à Running, le chiffrement SSL est activé.
Télécharger le certificat CA SSL
Accédez à la page Instances de jeu de réplicas ou Instances de cluster fragmenté. Dans la barre de navigation supérieure, sélectionnez un groupe de ressources et une région, puis cliquez sur l'ID de l'instance cible.
Dans le volet de navigation de gauche, choisissez .
Cliquez sur Download Certificate pour enregistrer le certificat CA SSL sur votre ordinateur.
Utilisez le certificat CA SSL téléchargé pour chiffrer les connexions à la base de données. Connectez-vous à une instance via SSL à l'aide du shell mongo.
Autres opérations
Mettre à jour le certificat du serveur
Le certificat du serveur est valide pendant un an. Les certificats expirés empêchent les clients d'établir des connexions chiffrées. Alibaba Cloud vous notifie par SMS, e-mail et via le Message Center avant l'expiration, et renouvelle automatiquement le certificat durant une fenêtre de maintenance. Personnalisez la fenêtre de maintenance via l'option Schedule Event dans les événements planifiés.
Après le renouvellement automatique, les clients peuvent se connecter sans avoir besoin de retélécharger ou de reconfigurer le certificat CA. Pendant la mise à jour, l'instance ApsaraDB for MongoDB redémarre, ce qui provoque une déconnexion transitoire d'environ 30 secondes par nœud. Personnalisez l'heure de la mise à jour via un événement planifié et assurez-vous que votre application prend en charge la reconnexion automatique.
Accédez à la page Instances de jeu de réplicas. Dans la barre de navigation supérieure, sélectionnez un groupe de ressources et une région, puis cliquez sur l'ID de l'instance cible.
Dans le volet de navigation de gauche, choisissez .
Cliquez sur Update Certificate.
Dans la boîte de dialogue Update SSL, cliquez sur OK.
L'état de l'instance passe à Modifying SSL. Lorsque l'état revient à Running, le certificat du serveur a été mis à jour avec succès.
Désactiver le chiffrement SSL
La désactivation du protocole SSL redémarre l'instance ApsaraDB for MongoDB. Chaque nœud subit une déconnexion transitoire d'environ 30 secondes. Planifiez cette opération pendant les heures creuses et assurez-vous que votre application prend en charge la reconnexion automatique.
Accédez à la page Instances de jeu de réplicas. Dans la barre de navigation supérieure, sélectionnez un groupe de ressources et une région, puis cliquez sur l'ID de l'instance cible.
Dans le volet de navigation de gauche, choisissez .
Désactivez l'interrupteur situé à côté de SSL Status.
Dans la boîte de dialogue Disable SSL, cliquez sur OK.
L'état de l'instance passe à Modifying SSL. Lorsque l'état revient à Running, le chiffrement SSL est désactivé.
Référence API
|
API |
Description |
|
Interroge les paramètres SSL d'une instance ApsaraDB for MongoDB. |
|
|
Modifie la configuration SSL d'une instance ApsaraDB for MongoDB. |