Autenticación Kerberos (GSSAPI)

Overview

El mecanismo de autenticación de la API de Servicios de Seguridad Genéricos (GSSAPI) le permite autenticarse en un servicio Kerberos especificando su nombre principal de Kerberos.

Nota

Terminología

La página utiliza GSSAPI para referirse al mecanismo de autenticación y Kerberos para referirse al protocolo o servicio subyacente. El controlador se autentica mediante el mecanismo SASL GSSAPI RFC-,4752 que se basa en el protocolo Kerberos.

Especificar autenticación Kerberos

Las siguientes secciones contienen ejemplos de código que utilizan los siguientes valores de marcador de posición:

<username>: Su nombre principal codificado en URL, como por ejemplo "username%40REALM.ME"
<hostname>: La dirección de red de su implementación de MongoDB, accesible por su cliente
<port>: El número de puerto de su implementación de MongoDB

Seleccione la pestaña Connection String o la MongoCredential a continuación para obtener instrucciones y un código de muestra sobre cómo especificar este mecanismo de autenticación:

El siguiente ejemplo se autentica con GSSAPI utilizando una cadena de conexión:

MongoClient mongoClient = MongoClients
    .create("<username>@<hostname>:<port>/?authSource=$external&authMechanism=GSSAPI");

Para especificar el mecanismo de autenticación GSSAPI utilizando la clase MongoCredential, llame al método createGSSAPICredential(), como se muestra en el siguiente ejemplo:

MongoCredential credential = MongoCredential.createGSSAPICredential("<username>");
MongoClient mongoClient = MongoClients.create(
    MongoClientSettings.builder()
        .applyToClusterSettings(builder ->
                builder.hosts(Arrays.asList(new ServerAddress("<hostname>", <port>))))
        .credential(credential)
        .build());

Adquirir un ticket Kerberos

Para obtener un ticket Kerberos, las bibliotecas Java de GSSAPI requieren que especifique el dominio y las propiedades del sistema JVM del Centro de Distribución de Claves (KDC). El siguiente ejemplo muestra cómo configurar estas propiedades:

java.security.krb5.realm=MYREALM.ME
java.security.krb5.kdc=mykdc.myrealm.me

Establecer propiedades adicionales

Es posible que deba especificar una o más de las siguientes propiedades adicionales del mecanismo de autenticación, según la configuración de Kerberos:

SERVICE_NAME
CANONICALIZE_HOST_NAME
JAVA_SUBJECT
JAVA_SASL_CLIENT_PROPERTIES
JAVA_SUBJECT_PROVIDER

Seleccione la pestaña Connection String o la MongoCredential a continuación para obtener instrucciones y un código de muestra sobre cómo especificar estas propiedades:

Para especificar las propiedades adicionales de GSSAPI, incluya la propiedad en la cadena de conexión como un parámetro URL en formato <PROPERTY_NAME>:<value>.

El siguiente ejemplo se autentica en GSSAPI y especifica la propiedad SERVICE_NAME:

MongoClient mongoClient = MongoClients
    .create("<username>@<hostname>:<port>/?authSource=$external&authMechanism=GSSAPI&authMechanismProperties=SERVICE_NAME:myService");

Importante

Solo puedes especificar las siguientes propiedades de GSSAPI en una instancia de MongoCredential:

JAVA_SUBJECT
JAVA_SASL_CLIENT_PROPERTIES
JAVA_SUBJECT_PROVIDER

Selecciona la pestaña MongoCredential para aprender a especificar estas propiedades.

Para especificar las propiedades adicionales de GSSAPI, llama al método withMechanismProperty() en tu instancia MongoCredential y pasa el nombre de la propiedad y el valor como parámetros. Utilizar las constantes de nombres de propiedades definidas en la clase MongoCredential:

El siguiente ejemplo se autentica en GSSAPI y especifica la constante SERVICE_NAME_KEY:

MongoCredential credential = MongoCredential
    .createGSSAPICredential("<username>");
credential = credential
    .withMechanismProperty(MongoCredential.SERVICE_NAME_KEY, "<myService>");

La propiedad JAVA_SUBJECT_KEY requiere un objeto javax.security.auth.Subject. Para recuperar un Subject, primero debe autenticarse a través del Servicio de autenticación y autorización de Java (JAAS) mediante un LoginContext. El siguiente ejemplo muestra esta configuración:

LoginContext loginContext = new LoginContext(<LoginModule implementation from JAAS config>);
loginContext.login();
Subject subject = loginContext.getSubject();
MongoCredential credential = MongoCredential
    .createGSSAPICredential("<username>");
credential = credential
    .withMechanismProperty(MongoCredential.JAVA_SUBJECT_KEY, subject);

Configurar el almacenamiento en caché de tickets

Por defecto, el driver Java Reactive Streams almacena en caché los tickets de Kerberos mediante la instancia MongoClient que los creó. Si su implementación crea y destruye con frecuencia instancias de MongoClient, puede mejorar el rendimiento cambiando el comportamiento predeterminado de almacenamiento en caché de tickets de Kerberos para que se almacene en caché por proceso.

Importante

Debe utilizar la clase MongoCredential para cambiar el comportamiento de almacenamiento en caché por defecto, ya que el mecanismo de autenticación de la cadena de conexión no admite la propiedad del mecanismo JAVA_SUBJECT_PROVIDER.

Para almacenar en caché los tickets de Kerberos por proceso, especifique la JAVA_SUBJECT_PROVIDER propiedad del mecanismo y proporcione un KerberosSubjectProvider en su MongoCredential instancia, como se muestra en el siguiente ejemplo:

/* All MongoClient instances sharing this instance of KerberosSubjectProvider
will share a Kerberos ticket cache */
String myLoginContext = "myContext";
MongoCredential credential = MongoCredential
    .createGSSAPICredential("<username>");
/* Login context defaults to "com.sun.security.jgss.krb5.initiate"
if unspecified in KerberosSubjectProvider */
credential = credential
    .withMechanismProperty(MongoCredential.JAVA_SUBJECT_PROVIDER_KEY,
        new KerberosSubjectProvider(myLoginContext));

Nota

En Windows, la JRE de Oracle utiliza la Autoridad de Seguridad Local (LSA) en lugar de la Interfaz del Proveedor de Soporte de Seguridad (SSPI) en su implementación de GSSAPI. Esto limita la interoperabilidad con Windows Active Directory y las implementaciones de inicio de sesión único. Para obtener más información, consulte los siguientes recursos:

Información Adicional

Para obtener más información sobre la autenticación en MongoDB, consulta Autenticación en el manual del servidor de MongoDB.

Para obtener más información sobre cómo crear un objeto MongoClient mediante el driver Java Reactive Streams, consulte la guía Conectarse a MongoDB.

Documentación de la API

Para obtener más información sobre las clases y métodos mencionados en esta guía, consulta la siguiente documentación API:

Volver

LDAP (PLAIN)

autenticación de empresa