Configurar el agente MongoDB para Kerberos

Configurar KDC para emitir tickets con una duración mínima de cuatro horas

Los tickets de Kerberos pueden autenticar a los usuarios durante un tiempo limitado. Debes configurar el Centro de Distribución de Claves (KDC) de Kerberos para emitir tickets que sean válidos por cuatro horas o más. El agente de MongoDB renueva el ticket periódicamente. El El servicio KDC proporciona tickets de sesión y claves de sesión temporales a usuarios y hosts.

Agregar Kerberos como mecanismo de autenticación para la implementación

El MongoDB Agent interactúa con las bases de datos de MongoDB en tu implementación como lo haría un usuario de MongoDB. Como resultado, debe configurar su implementación de MongoDB y el MongoDB Agent para admitir la autenticación.

Puedes especificar los mecanismos de autenticación de la implementación cuando agregar la implementación, o puedes editar la configuración para una implementación existente. Como mínimo, la implementación debe habilitar el mecanismo de autenticación que desea que utilice el MongoDB Agent. El agente de MongoDB puede utilizar cualquier mecanismo de autenticacióncompatible.

Para los fines de este tutorial, asegúrate de lo siguiente:

• Su implementación admite la autenticación Kerberos y

• El agente de MongoDB utiliza autenticación Kerberos.

Para aprender cómo habilitar la autenticación Kerberos, consulte Habilitar la autenticación Kerberos para su proyecto Cloud Manager.

Configure el MongoDB Agent host para usar Kerberos

Se deben instalar dos archivos relacionados con Kerberos en cualquier host que ejecute supervisión o copia de seguridad:

• Cree o configure el archivo de configuración Kerberos5 krb.conf.

  Plataforma	Ruta por defecto	notas
  Linux	/etc/krb5.conf
  Windows	%WINDIR%\krb5.ini	Esta es la ruta predeterminada para implementaciones de Kerberos que no se basan en Active Directory. Consulte la documentación de la implementación de Kerberos para su versión de Windows para averiguar dónde se almacena el archivo de configuración de Kerberos.

• En sistemas Linux: asegúrese de que el binario de kinit esté ubicado en /usr/bin/kinit. kinit obtiene o renueva un ticket de concesión de tickets de Kerberos, que autentica al Agente mediante Kerberos.

Crea un principal de usuario de Kerberos para el MongoDB Agent

Crear un usuario y asignar roles para el UPN de MongoDB Agent

db.getSiblingDB("$external").createUser(
  {
    user : "<Kerberos Principal>",
    roles : [
      { role : "clusterAdmin", db : "admin" },
      { role : "readWriteAnyDatabase", db : "admin" },
      { role : "userAdminAnyDatabase", db : "admin" },
      { role : "dbAdminAnyDatabase", db : "admin" },
      { role : "backup", db : "admin" },
      { role : "restore", db : "admin" }
    ]
  }
)