如何为已启用SSL的MongoDB副本集配置SSL密码套件？

嘿，别着急！MongoDB完全支持配置SSL密码套件，不管是副本集还是单实例场景都能搞定，我给你详细说说具体操作方法：

1. 通过配置文件（副本集推荐方案） #

副本集通常用配置文件管理参数更方便，找到你的mongod.conf配置文件，在net.ssl模块下添加CipherConfig参数即可：

net:
  ssl:
    mode: requireSSL  # 确保已启用SSL模式
    PEMKeyFile: /path/to/your/server-cert.pem  # 你的服务器证书路径
    CAFile: /path/to/your/ca-cert.pem  # CA证书路径
    CipherConfig: "HIGH:!aNULL:!MD5"  # 自定义密码套件规则

这里的CipherConfig值采用OpenSSL标准的密码套件格式，你可以根据安全需求调整，比如指定具体的强加密套件："ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384"。

2. 通过启动命令行参数（临时测试用） #

如果只是临时验证配置，不想修改配置文件，可以在启动mongod时直接添加--sslCipherConfig参数：

mongod --replSet rs0 --sslMode requireSSL --sslPEMKeyFile /path/to/server-cert.pem --sslCAFile /path/to/ca-cert.pem --sslCipherConfig "HIGH:!aNULL:!MD5"

3. 验证配置是否生效 #

配置完成后，你可以用openssl命令检查MongoDB服务实际使用的密码套件：

openssl s_client -connect your-mongo-node-ip:27017 -tls1_2

在命令输出里找到Cipher字段，就能确认当前使用的套件是否符合你的配置要求。

重要注意事项 #

• 版本要求：CipherConfig参数从MongoDB 3.2版本开始引入，如果你使用的是更早的版本，需要先升级到支持的版本。
• 一致性要求：副本集的所有节点必须配置相同的SSL参数（包括密码套件），否则节点间的副本同步通信会失败。
• 套件格式：密码套件字符串要遵循OpenSSL的格式规则，你可以用openssl ciphers -v命令查看所有可用的套件，再组合成符合你安全策略的列表。

内容的提问来源于stack exchange，提问作者Rilwan