Overview
Cloud Manager te permite configurar los mecanismos de autenticación que todos los clientes, incluidos los agentes de Cloud Manager, utilizan para conectarse a tus implementaciones de MongoDB. Puedes habilitar múltiples mecanismos de autenticación para cada uno de tus proyectos, pero debes elegir solo un mecanismo para los Agentes.
MongoDB Enterprise admite la autenticación mediante un servicio Kerberos. Kerberos es un protocolo de autenticación estándar en la industria para grandes sistemas cliente-servidor.
Importante
La configuración e implementación de un despliegue de Kerberos está fuera del alcance de este documento. Este tutorial asume que has configurado un principal de Kerberos para cada Agente y que tienes un archivo keytab válido para cada Agente.
Para autenticar MongoDB con Kerberos, debes:
Tener una implementación de Kerberos configurada correctamente,
Configura los principales de servicio Kerberos para MongoDB, y
Agregue los principales de usuario Kerberos para los agentes.
La sección Autenticación Kerberos del Manual de MongoDB proporciona más detalles sobre el uso de MongoDB con Kerberos.
Considerations
Kerberos (GSSAPI) Solo está disponible en compilaciones de MongoDB Enterprise. Si tiene implementaciones ejecutándose en una compilación de MongoDB Community, debe actualícelos a MongoDB Enterprise antes de poder habilitar Kerberos (GSSAPI) para su proyecto de Cloud Manager.
Este tutorial describe cómo habilitar Kerberos para uno de tus proyectos de Cloud Manager y cómo configurar tus Cloud Manager agentes para conectarse a tu implementación habilitada para Kerberos.
Nota
Para restablecer la autenticación y la configuración de TLS de tu proyecto, primero desadministra cualquier implementación de MongoDB que Cloud Manager administre en tu proyecto.
Procedimientos
Estos procedimientos describen cómo configurar y habilitar la autenticación Kerberos al utilizar la Automatización. Si Cloud Manager no gestiona tu supervisión ni tus copias de seguridad, debes configurarlas manualmente para autenticarse con Kerberos.
Consulte Configurar el agente MongoDB para Kerberos para obtener instrucciones.
Configurar una implementación de Linux existente para la autenticación basada en Kerberos
Si usa Cloud Manager para administrar implementaciones existentes en Linux en su proyecto, todas las implementaciones de MongoDB en el proyecto deben estar configuradas para la autenticación Kerberos antes de poder habilitar la autenticación Kerberos para su proyecto.
En MongoDB Cloud Manager, vaya a Processes página para tu proyecto.
Si aún no se muestra, seleccione la organización que contiene su proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no aparece, selecciona el proyecto deseado en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Processes en la sección Database.
Se muestra la página Procesos.
Establece la opción kerberosKeytab.
Si kerberosKeytab aún no está configurado:
Haga clic en Add Option.
Expande la lista Select a Startup Option.
Busca y selecciona la opción kerberosKeytab, luego haz clic en Add.
En la columna kerberosKeytab, proporcione la ruta absoluta al archivo keytab.
Haga clic en Save.
Cuando hayas configurado las opciones de Kerberos para cada implementación, puedes proceder a habilitar Kerberos para tu proyecto de Cloud Manager.
Active Kerberos para su Proyecto de Cloud Manager
En MongoDB Cloud Manager, ir a la página Security del proyecto.
Si aún no se muestra, seleccione la organización que contiene su proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no aparece, selecciona el proyecto deseado en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Security en la sección Database.
Se muestra la página de Seguridad.
Vaya al Security Settings cuadro de diálogo para su implementación.
Realice una de las siguientes acciones:
Si esta es la primera vez que configura TLS, autenticación o configuración de autorización para este proyecto, haz clic en Get Started.
Si ya se ha configurado la autenticación TLS, o la configuración de autorización para este proyecto, haga clic en Edit.
Especifique la configuración de TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Active este control deslizante para ON. | ||||
Ruta de archivo CA TLS | El archivo de la Autoridad Certificadora TLS es un archivo de certificado en formato La clave privada cifrada para el archivo de certificado Escriba la ruta del archivo hasta el archivo de la Autoridad Certificadora TLS en cada host que ejecute un proceso de MongoDB:
Esto habilita la configuración para los procesos MongoDB en el Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Modo de certificado de cliente | Seleccione si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a implementaciones de MongoDB con TLS habilitado. Cada implementación de MongoDB comprueba si estos hosts cliente tienen certificados al intentar conectarse. Si decide requerir los certificados TLS del cliente, asegúrese de que sean válidos. Los valores aceptados son:
|
Configura los ajustes de autorizacion LDAP.
Importante
A partir de MongoDB 3.4, puedes autenticar a los usuarios utilizando LDAP, Kerberos y certificados X.509 sin necesidad de documentos de usuario locales en la base de datos $external, siempre que habilites primero la autorización LDAP. Cuando un usuario se autentica con éxito, MongoDB realiza una query al servidor LDAP para recuperar todos los grupos a los que ese usuario LDAP pertenece y transforma esos grupos en sus roles equivalentes en MongoDB.
Omita este paso si no desea habilitar la autorización LDAP.
Ingresa los valores para los siguientes campos:
ConfiguraciónValorLDAP Authorization
Cambia a ON para habilitar la autorización LDAP.
Authorization Query Template
Especifica una plantilla para una URL de query LDAP para recuperar una lista de grupos LDAP para un usuario LDAP.
Configurar {{mechanism}} para los agentes.
Puede habilitar más de un mecanismo de autenticación para su implementación de MongoDB, pero los agentes de Cloud Manager solo pueden usar uno. Seleccione {{mecanismo}} para conectarse a su implementación de MongoDB.
Selecciona la opción {{mechanism}} en la sección Agent Auth Mechanism.
Proporcione las credenciales para el agente MongoDB:
Si utiliza Linux, configure:
ConfiguraciónValorMongoDB Agent Kerberos Principal
El principal de Kerberos.
MongoDB Agent Keytab Path
La ruta de la clave del agente.
Si utiliza Windows, configure:
ConfiguraciónValorMongoDB Agent Username
El nombre del usuario de Active Directory.
MongoDB Agent Password
La contraseña de Active Directory.
Domain
El nombre NetBIOS de un dominio en Active Directory Domain Services. Debe estar en mayúsculas.
Crear roles de MongoDB para grupos LDAP. (opcional)
Después de activar la autorización LDAP, debe crear roles personalizados de MongoDB para cada Grupo LDAP que haya especificado para la autorización LDAP.