MongoDB Enterprise es compatible con Kerberos. Kerberos es un protocolo de autenticación de red. El MongoDB Agent puede autenticarse en instancias de MongoDB que ejecuten Kerberos.
Requisitos previos
Configura la KDC para emitir tickets con un tiempo de vida mínimo de cuatro horas
Los tickets de Kerberos pueden autenticar a los usuarios durante un tiempo limitado. Debes configurar el Centro de Distribución de Claves (KDC) de Kerberos para emitir tickets que sean válidos por cuatro horas o más. El agente de MongoDB renueva el ticket periódicamente. El servicio KDC proporciona tickets de sesión y claves de sesión temporales a los usuarios y hosts.
Agregar Kerberos como mecanismo de autenticación para la implementación
El MongoDB Agent interactúa con las bases de datos de MongoDB en tu implementación como lo haría un usuario de MongoDB. Como resultado, debe configurar su implementación de MongoDB y el MongoDB Agent para admitir la autenticación.
Puedes especificar los mecanismos de autenticación de la implementación cuando añadas la implementación, o puedes editar la configuración de una implementación existente. Como mínimo, la implementación debe habilitar el mecanismo de autenticación que desea que utilice el MongoDB Agent. El agente de MongoDB puede utilizar cualquier mecanismo de autenticacióncompatible.
Para los fines de este tutorial, asegúrate de lo siguiente:
Tu implementación admite la autenticación de Kerberos y
El agente de MongoDB utiliza autenticación Kerberos.
Para aprender cómo habilitar la autenticación Kerberos, consulte Habilitar la autenticación Kerberos para su proyecto Cloud Manager.
Configure el MongoDB Agent host para usar Kerberos
Se deben instalar dos archivos relacionados con Kerberos en cualquier host que ejecute supervisión o copia de seguridad:
Cree o configure el archivo de configuración 5de Kerberos krb.conf.
PlataformaRuta por defectonotasLinux
/etc/krb5.confWindows
%WINDIR%\krb5.iniEsta es la ruta predeterminada para implementaciones de Kerberos que no se basan en Active Directory. Consulte la documentación de la implementación de Kerberos para su versión de Windows para averiguar dónde se almacena el archivo de configuración de Kerberos.
En sistemas Linux: asegúrese de que el binario kinit se encuentre
/usr/bin/kiniten.kinitobtiene o renueva un ticket de concesión de tickets Kerberos, que autentica al Agente mediante Kerberos.
Procedimientos
Crea un principal de usuario de Kerberos para el MongoDB Agent
Cree o elija un Nombre Principal de Usuario de Kerberos (UPN) para el MongoDB Agent.
Un UPN está formateado en dos partes para que el servicio pueda ser identificado de manera única en todo el realm Kerberos:
Componente | Descripción |
|---|---|
Nombre del servicio | El nombre de un servicio que un host proporciona al realm de Kerberos, como |
Kerberos realm | Un conjunto de hosts y servicios administrados que comparten la misma base de datos de Kerberos. Según la convención de nomenclatura de Kerberos, el |
Ejemplo
En un realm Kerberos establecido como EXAMPLE.COM, el MongoDB Agent establecería su UPN en: mongodb-agent@EXAMPLE.COM
Genere un archivo keytab para el UPN de Kerberos del Agente de MongoDB.
Genere un archivo keytab (*.keytab) para el MongoDB Agent UPN y cópielo al host que ejecuta el MongoDB Agent. Asegúrese de que el usuario del sistema operativo que ejecuta el MongoDB Agent sea el mismo usuario del sistema operativo que posee el archivo keytab.
Crear un usuario y asignar roles para el UPN de MongoDB Agent
Seleccione su tipo de implementación para ver los pasos adecuados.