Autenticar mediante Active Directory autogestionado con LDAP nativo

Configurar TLS/SSL para el servidor que ejecuta MongoDB

Para conectarse al servidor AD (AD) a través de TLS/SSL, el mongod o mongos requieren acceso al certificado de la Autoridad de Certificación (CA) del servidor AD.

En Linux, especifica los certificados CA del servidor AD a través de la opción TLS_CACERT o TLS_CACERTDIR en el archivo ldap.conf.

El gestor de paquetes de la plataforma crea el archivo ldap.conf al instalar la dependencia libldap de MongoDB Enterprise. Para obtener documentación completa sobre el archivo de configuración o las opciones referenciadas, consulte ldap.conf.

En Microsoft Windows, cargue los certificados de la autoridad de certificación (CA) del servidor AD con la herramienta de administración de credenciales de la plataforma. La herramienta de administración de credenciales exacta depende de la versión de Windows. Para usarla, consulte la documentación correspondiente a su versión de Windows.

Si mongod o mongos no pueden acceder a los archivos CA de AD, no podrán crear conexiones TLS/SSL al servidor de Active Directory.

Opcionalmente, configure security.ldap.transportSecurity en none para deshabilitar TLS/SSL.

Conéctese al servidor de MongoDB.

Conéctese al servidor de MongoDB usando mongosh usando las opciones --host y --port.

mongosh --host <hostname> --port <port>

Si tu servidor de MongoDB actualmente aplica la autenticación, debes autenticarte en la admin base de datos como un usuario con privilegios de gestión de roles, como los proporcionados por userAdmin o userAdminAnyDatabase. Incluye el --authenticationMechanism adecuado para el mecanismo de autenticación configurado del servidor de MongoDB.

mongosh --host <hostname> --port <port> --username <user> --password <pass> --authenticationDatabase="admin" --authenticationMechanism="<mechanism>"

Crea el rol administrativo de usuario.

Para gestionar usuarios de MongoDB usando AD, es necesario crear al menos un rol en la base de datos admin que pueda crear y gestionar roles, como los que proporciona userAdmin o userAdminAnyDatabase.

El nombre del rol debe coincidir exactamente con el nombre distintivo de un grupo de AD. El grupo debe tener al menos un usuario de AD como miembro.

Dado los grupos disponibles de Active Directory, la siguiente operación:

• Crea un rol para el grupo AD CN=dba,CN=Users,DC=example,DC=com, y

• Le asigna el rol en userAdminAnyDatabase la admin base de datos.

var admin = db.getSiblingDB("admin")
admin.createRole(
   {
     role: "CN=dba,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [ "userAdminAnyDatabase" ]
   }
)

También puede otorgar el rol userAdmin para cada base de datos sobre la que el usuario deba tener privilegios administrativos de usuario. Estos roles proporcionan los privilegios necesarios para la creación y gestión de roles.

Crea un archivo de configuración de MongoDB.

Un archivo de configuración de MongoDB es un archivo de texto en YAML con la extensión de archivo .conf.

• Si va a actualizar una implementación existente de MongoDB, copie el archivo de configuración actual y trabaje a partir de esa copia.

• (Solo Linux) Si se trata de una nueva implementación y utilizó el gestor de paquetes de su plataforma para instalar MongoDB Enterprise, la instalación incluye el /etc/mongod.conf archivo de configuración predeterminado. Use dicho archivo o haga una copia para trabajar con él.

• Si no existe un archivo de ese tipo, cree un archivo vacío con la extensión .conf y trabaje a partir de ese nuevo archivo de configuración.

Configurá MongoDB para conectarse a Active Directory.

En el archivo de configuración de MongoDB, configura security.ldap.servers como el host y el puerto del servidor AD. Si la infraestructura de AD incluye varios servidores AD para la replicación, especifica el host y el puerto de los servidores como una lista delimitada por comas en security.ldap.servers.

También debes habilitar la autenticación LDAP configurando security.authorization en enabled y setParameter authenticationMechanisms en PLAIN

security:
  authorization: "enabled"
  ldap:
    servers: "activedirectory.example.net"
setParameter:
  authenticationMechanisms: 'PLAIN'

MongoDB debe vincularse al servidor AD para realizar consultas. De forma predeterminada, MongoDB utiliza el mecanismo de autenticación simple para vincularse al servidor AD.

Como alternativa, puede configurar los siguientes ajustes en el archivo de configuración para vincularse al servidor AD SASL mediante:

• Configura security.ldap.bind.method a sasl

• security.ldap.bind.saslMechanisms, especificando una string de mecanismos SASL separados por comas que el servidor AD admite.

Este tutorial utiliza el mecanismo de autenticación LDAP predeterminado simple.

Configura la plantilla de query LDAP para la autorización.

En el archivo de configuración de MongoDB, configure security.ldap.authz.queryTemplate en una RFC4516 plantilla de URL de query LDAP con formato.

En la plantilla, puedes usar:

• {USER} marcador de posición para sustituir el nombre de usuario autenticado en la URL de consulta LDAP.

• {PROVIDED_USER} marcador de posición para sustituir el nombre de usuario suministrado, es decir, antes de la autenticación o la transformación LDAP, en la query LDAP.

security:
  ldap:
    authz:
      queryTemplate:
        "DC=example,DC=com??sub?(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={USER}))"

MongoDB asigna cada grupo devuelto del nombre distinguido a un rol en la admin base de datos. Para cada grupo mapeado nombre distinguido, si existe un rol en la base de datos admin cuyo nombre coincida exactamente con el nombre distinguido, MongoDB otorga al usuario los roles y privilegios asignados a ese rol.

La regla de correspondencia LDAP_MATCHING_RULE_IN_CHAIN requiere proporcionar el nombre distinguido completo del usuario autenticado. Si los usuarios se autentican usando un formato de nombre de usuario diferente, como su user principal name, debes transformar los nombres de usuario entrantes en DNs usando security.ldap.userToDNMapping.

Opcional: transformar los nombres de usuario entrantes para la autenticación a través de Active Directory,

Si tus usuarios se autentican con un nombre de usuario que no es un nombre distinguido de LDAP completo, es posible que debas transformar el nombre de usuario para apoyar la autenticación o autorización de LDAP. MongoDB utiliza el nombre de usuario transformado tanto para la autenticación como para la autorización.

En el archivo de configuración de MongoDB, configura userToDNMapping para transformar el nombre de usuario proporcionado por el usuario que se está autenticando en un nombre distinguido AD para habilitar el queryTemplate.

security:
  ldap:
    userToDNMapping:
      '[
         {
            match : "(.+)",
            ldapQuery: "DC=example,DC=com??sub?(userPrincipalName={0})"
         }
    ]'

Debes modificar la configuración de muestra proporcionada para que coincida con tu implementación. Por ejemplo, la nombre distinguido base ldapQuery debe coincidir con la nombre distinguido base que contiene tus entidades de usuario. Pueden ser necesarias otras modificaciones para admitir la implementación de AD.

DC=example,DC=com??sub?(userPrincipalName=alice@ENGINEERING.EXAMPLE.COM)

Configura las query credenciales.

MongoDB requiere credenciales para realizar consultas en el servidor AD.

Configura los siguientes ajustes en el archivo de configuración:

• security.ldap.bind.queryUser, especificando el usuario de Active Directory que mongod o mongos se vinculan para ejecutar queries en el AD servidor.

• security.ldap.bind.queryPassword, especificando la contraseña para el queryUser especificado.

security:
  ldap:
    bind:
      queryUser: "mongodbadmin@dba.example.com"
      queryPassword: "secret123"

En los servidores de MongoDB en Windows, puedes configurar security.ldap.bind.useOSDefaults en true para usar las credenciales del sistema operativo en lugar de queryUser y queryPassword.

El queryUser debe tener permiso para realizar todas las queries LDAP en nombre de MongoDB.

Opcional: añade configuraciones adicionales.

Agrega cualquier opción de configuración adicional necesaria para tu implementación. Por ejemplo, puedes especificar tu storage.dbPath deseado o cambiar el número net.port por defecto.

mongod y mongos se vinculan a localhost por defecto. Si los nodos de su implementación se ejecutan en distintos hosts o si desea que clientes remotos se conecten a su implementación, debe especificar el ajuste net.bindIp.

Inicie el servidor MongoDB con autenticación y autorización de Active Directory.

Inicia el servidor MongoDB con la opción --config, especificando la ruta al archivo de configuración creado durante este procedimiento. Si el servidor MongoDB está actualmente en ejecución, realiza los preparativos adecuados para detener el servidor.

mongod --config <path-to-config-file>

Windows Las implementaciones de MongoDB deben usar mongod.exe en lugar de mongod.

Conéctese al servidor de MongoDB.

Conéctate al servidor de MongoDB, autenticándote como un usuario cuya membresía directa o transitiva en un grupo corresponda a un rol de MongoDB en la base de datos admin con userAdmin, userAdminAnyDatabase o un rol personalizado con privilegios equivalentes.

Uso mongosh para autenticarse en el servidor de MongoDB, establece las siguientes opciones:

• --host con el nombre de host del servidor MongoDB

• --port con el puerto del servidor MongoDB

• --username al nombre de usuario del usuario

• --password a la contraseña del usuario

• --authenticationMechanism to 'PLAIN'

• --authenticationDatabase to '$external'

mongosh --username sam@DBA.EXAMPLE.COM --password  --authenticationMechanism 'PLAIN' --authenticationDatabase '$external' --host <hostname> --port <port>

Windows Las implementaciones de MongoDB deben usar mongo.exe en lugar de mongosh.

Dados los usuarios de Active Directory configurados, el usuario se autentica con éxito y recibe los permisos correspondientes.

Crea roles para mapear los grupos de AD devueltos.

Para cada grupo en el servidor AD que desee utilizar para la autorización de MongoDB, debe crear un rol coincidente en la admin base de datos del servidor MongoDB.

db.getSiblingDB("admin").createRole(
   {
     role: "CN=PrimaryApplication,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "readWrite", db: "PrimaryApplication" }
     ]
   }
)

Hacer la transición de los usuarios actuales de $external al servidor de ActiveDirectory

Si se actualiza una instalación existente con usuarios configurados en la base de datos $external, debe cumplir los siguientes requisitos para cada usuario a fin de garantizar el acceso después de configurar MongoDB para la autenticación y autorización AD:

• El usuario tiene un objeto de usuario correspondiente en el servidor AD.

• El usuario tiene membresía en los grupos correspondientes en el servidor AD.

• MongoDB contiene los roles en la base de datos admin nombrados para los grupos AD del usuario, de modo que el usuario autorizado conserve sus privilegios.

{
  user : "joe@ANALYTICS.EXAMPLE.COM",
  roles: [
    { role : "read", db : "web_analytics" },
    { role : "read", db : "PrimaryApplication" }
  ]
}

db.getSiblingDB("admin").createRole(
   {
     role: "CN=marketing,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "read", db: "web_analytics" }
       { role: "read", db: "PrimaryApplication" }
     ]
   }
)

Si desea seguir permitiendo que los usuarios de bases de datos que no sean$external accedan a MongoDB, debe incluir el mecanismo de autenticación SCRAM (p. ej. SCRAM-SHA-1 y/o SCRAM-SHA-256) en la opción de configuración setParameter authenticationMechanisms. Por ejemplo:

setParameter:
  authenticationMechanisms: "PLAIN,SCRAM-SHA-1,SCRAM-SHA-256"

Como alternativa, realice la transición de$external usuarios que no sean a AD siguiendo el procedimiento anterior.