Mecanismo de autenticación de AWS IAM

Overview

El MONGODB-AWS El mecanismo de autenticación utiliza credenciales de Amazon Web Services Identity and Access Management (AWS IAM) para autenticar a un usuario en MongoDB. Este mecanismo solo se puede usar al autenticarse en MongoDB Atlas.

Especificar la autenticación de MONGODB-AWS

El MONGODB-AWS mecanismo de autenticación utiliza sus credenciales de Amazon Web Services Identity and Access Management (AWS IAM) para autenticar a su usuario. Para el controlador Node.js v7.1.0 y versiones posteriores, el paquete aws4 ya no es necesario para la autenticación de AWS, por lo que no necesita instalar el aws4 paquete.

Para conectarse a una instancia de MongoDB con la autenticación MONGODB-AWS habilitada, especifique el mecanismo de autenticación MONGODB-AWS.

El controlador verifica tus credenciales en las siguientes fuentes en este orden:

1. Proveedor de credenciales personalizado (si se proporciona a MongoClient)

2. Variables de entorno disponibles a través de process.env

3. Credenciales de SSO de la caché de tokens

4. Credenciales de token de identidad web a través de AWS_WEB_IDENTITY_TOKEN_FILE

5. Credenciales compartidas y archivos de configuración .ini

6. Servicio de metadatos de instancias EC o2 ECS. Para obtener más información, consulte Roles de IAM para tareas.

export AWS_ACCESS_KEY_ID=<awsKeyId>
export AWS_SECRET_ACCESS_KEY=<awsSecretKey>
export AWS_SESSION_TOKEN=<awsSessionToken>

export AWS_STS_REGIONAL_ENDPOINTS=regional // Enables regional endpoints
export AWS_REGION=us-east-1 // Sets your AWS region

const { MongoClient } = require("mongodb");
// Remember to specify your AWS credentials in environment variables.
const clusterUrl = "<cluster_url>";
const authMechanism = "MONGODB-AWS";
let uri =
  `mongodb+srv://${clusterUrl}/?authSource=%24external&authMechanism=${authMechanism}`;
// Create a new MongoClient.
const client = new MongoClient(uri);
async function run() {
  try {
    // Establish and verify connection.
    await client.db("admin").command({ ping: 1 });
    console.log("Connected successfully to server.");
  } finally {
    // Ensure that the client closes when it finishes/errors.
    await client.close();
  }
}
run().catch(console.dir);

npm install @aws-sdk/credential-providers

export AWS_WEB_IDENTITY_TOKEN_FILE=<absolute path to file containing your OIDC token>

const { MongoClient } = require("mongodb");
// Remember to specify your AWS credentials in environment variables.
const clusterUrl = "<cluster_url>";
const authMechanism = "MONGODB-AWS";
let uri =
  `mongodb+srv://${clusterUrl}/?authSource=%24external&authMechanism=${authMechanism}`;
// Create a new MongoClient.
const client = new MongoClient(uri);
async function run() {
  try {
    // Establish and verify connection.
    await client.db("admin").command({ ping: 1 });
    console.log("Connected successfully to server.");
  } finally {
    // Ensure that the client closes when it finishes/errors.
    await client.close();
  }
}
run().catch(console.dir);

Especificar manualmente las credenciales de AWS

Al instalar la dependencia opcional aws-sdk/credential-providers, el controlador recupera las credenciales según el orden de prioridad definido por el SDK de AWS. Si tiene un archivo de credenciales o un archivo de configuración de AWS compartido, el controlador las usa de forma predeterminada.

Para especificar manualmente las credenciales de AWS que se recuperarán, puede establecer la propiedad AWS_CREDENTIAL_PROVIDER en un proveedor de credenciales definido desde el SDK de AWS. El siguiente ejemplo transfiere una cadena de proveedores desde el SDK de AWS al mecanismo de autenticación de AWS:

const { MongoClient } = require('mongodb');
const { fromNodeProviderChain } = require('@aws-sdk/credential-providers');
const client = new MongoClient('<cluster_url>?authMechanism=MONGODB-AWS', {
    authMechanismProperties: {
        AWS_CREDENTIAL_PROVIDER: fromNodeProviderChain()
    }
});

Para usar un proveedor personalizado, puede pasar cualquier función asíncrona que devuelva sus credenciales a la propiedad del mecanismo de autenticación AWS_CREDENTIAL_PROVIDER. El siguiente ejemplo muestra cómo pasar una función de proveedor personalizada que obtiene credenciales de las variables de entorno al mecanismo de autenticación de AWS:

const { MongoClient } = require('mongodb');
const client = new MongoClient('<cluster_url>?authMechanism=MONGODB-AWS', {
    authMechanismProperties: {
        AWS_CREDENTIAL_PROVIDER: async () => {
            return {
                accessKeyId: process.env.ACCESS_KEY_ID,
                secretAccessKey: process.env.SECRET_ACCESS_KEY
            }
        }
    }
});

Un proveedor de credenciales personalizado tiene prioridad sobre cualquier otra forma de autenticación.

Documentación de la API

Para obtener más información sobre cualquiera de los métodos o tipos analizados en esta página, consulte la siguiente documentación de API:

• MongoClient