多CA证书场景下，FastAPI服务如何连接跨VM部署的副本集？

核心说明 #

MongoDB连接字符串本身无法直接指定多节点的专属证书文件，需结合Python驱动（PyMongo）的SSL配置参数实现。以下是具体配置方案：

1. 基础连接字符串构造 #

先搭建包含所有副本集节点的核心连接字符串：

mongodb://vm1-ip:27017,vm2-ip:27017,vm3-ip:27017/your_target_db?replicaSet=your_replica_set_name&ssl=true

2. FastAPI中两种SSL配置方案 #

方案一：合并CA证书统一配置

将3个节点的CA证书内容合并到单个combined-ca.pem文件（按顺序追加内容即可），然后通过PyMongo的初始化参数指定统一SSL配置：

from pymongo import MongoClient
from fastapi import FastAPI

app = FastAPI()

@app.on_event("startup")
async def init_db_client():
    # 需将所有节点的证书/密钥文件同步到FastAPI服务所在机器
    client = MongoClient(
        "mongodb://vm1-ip:27017,vm2-ip:27017,vm3-ip:27017/your_target_db?replicaSet=your_replica_set_name&ssl=true",
        ssl_certfile="/path/to/your-client-cert.pem",
        ssl_keyfile="/path/to/your-client-key.pem",
        ssl_ca_certs="/path/to/combined-ca.pem"
    )
    app.mongodb_client = client
    app.database = client["your_target_db"]

方案二：自定义SSL上下文加载多CA证书

如果必须保留各节点CA文件独立性，可通过创建SSL上下文加载所有CA证书，再传递给MongoClient：

import ssl
from pymongo import MongoClient
from fastapi import FastAPI

app = FastAPI()

@app.on_event("startup")
async def init_db_client():
    # 创建SSL上下文
    ssl_ctx = ssl.create_default_context(ssl.Purpose.SERVER_AUTH)
    # 依次加载所有节点的CA证书
    ssl_ctx.load_verify_locations("/path/to/vm1-ca.pem")
    ssl_ctx.load_verify_locations("/path/to/vm2-ca.pem")
    ssl_ctx.load_verify_locations("/path/to/vm3-ca.pem")
    # 加载客户端认证用的证书密钥（副本集开启客户端认证时需配置）
    ssl_ctx.load_cert_chain(certfile="/path/to/your-client-cert.pem", keyfile="/path/to/your-client-key.pem")

    client = MongoClient(
        "mongodb://vm1-ip:27017,vm2-ip:27017,vm3-ip:27017/your_target_db?replicaSet=your_replica_set_name&ssl=true",
        ssl_context=ssl_ctx
    )
    app.mongodb_client = client
    app.database = client["your_target_db"]

3. 关键注意事项 #

• 确保FastAPI服务所在机器能访问所有VM的MongoDB端口（默认27017），防火墙规则需放行对应流量。
• 若副本集启用客户端证书认证，需保证FastAPI使用的客户端证书被所有副本集节点信任。
• 证书文件需设置严格权限（如chmod 600），避免未授权访问。

内容的提问来源于stack exchange，提问作者pramod