Autentica usando SASL y LDAP autogestionados con OpenLDAP

Especifica el mecanismo.

En los sistemas que configuran saslauthd con el archivo /etc/sysconfig/saslauthd, como Red Hat Enterprise Linux, Fedora, CentOS, y Amazon Linux AMI, configura el mecanismo MECH en ldap:

MECH=ldap

En sistemas que configuran saslauthd con el archivo /etc/default/saslauthd, como Ubuntu, configura la opción MECHANISMS en ldap:

MECHANISMS="ldap"

Ajuste el comportamiento de almacenamiento en caché.

En ciertas distribuciones de Linux, saslauthd comienza con el almacenamiento en caché de las credenciales de autenticación habilitado. Hasta que se reinicie o caduque la caché, saslauthd no contactará con el servidor LDAP para volver a autenticar a los usuarios en su caché de autenticación. Esto permite saslauthd que autentique correctamente a los usuarios en su caché, incluso si el servidor LDAP está inactivo o si se revocan las credenciales de los usuarios almacenados en caché.

Para establecer el tiempo de expiración (en segundos) para el caché de autenticación, consulte la Opción-t saslauthd de.

Configurar las opciones LDAP con OpenLDAP.

Si el saslauthd.conf archivo no existe, créelo. El saslauthd.conf archivo suele residir en la /etc carpeta. Si especifica una ruta de archivo diferente, consulte la opción -O saslauthdde.

Para conectarse a un servidor OpenLDAP, actualice el archivo saslauthd.conf con las siguientes opciones de configuración:

ldap_servers: <ldap uri>
ldap_search_base: <search base>
ldap_filter: <filter>

El ldap_servers especifica la uri del servidor LDAP utilizado para la autenticación. En general, para OpenLDAP instalado en la máquina local, puedes especificar el valor ldap://localhost:389 o, si usas LDAP sobre TLS/SSL, puedes especificar el valor ldaps://localhost:636.

El ldap_search_base especifica el nombre distintivo al que se refiere la búsqueda. La búsqueda incluye la base o los objetos debajo.

El ldap_filter especifica el filtro de búsqueda.

Los valores de estas opciones de configuración deben corresponder a los valores específicos de tu prueba. Por ejemplo, para filtrar por correo electrónico, especifica ldap_filter: (mail=%n) en su lugar.

ldap_servers: ldaps://ad.example.net
ldap_search_base: ou=Users,dc=example,dc=com
ldap_filter: (uid=%u)

Prueba la configuración de saslauthd.

Utiliza la utilidad testsaslauthd para probar la configuración saslauthd. Por ejemplo:

testsaslauthd -u testuser -p testpassword -f /var/run/saslauthd/mux

• 0: OK "Success" Indica una autenticación exitosa.

• 0: NO "authentication failed" indica un error de nombre de usuario, contraseña o configuración.

Modifique la ruta del archivo con respecto a la ubicación del directorio saslauthd en el sistema operativo host.

Agregar usuario a MongoDB para autenticación.

Agregue el usuario a la $external base de datos en MongoDB. Para especificar sus privilegios, asígnele roles.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

Por ejemplo, lo siguiente agrega un usuario con acceso de solo lectura a la base de datos records.

db.getSiblingDB("$external").createUser(
    {
      user : <username>,
      roles: [ { role: "read", db: "records" } ]
    }
)

Agrega actores principales adicionales según sea necesario. Para obtener más información sobre la creación y gestión de usuarios, consulta Comandos de gestión de usuarios.

Configurar el servidor de MongoDB.

Para configurar el servidor MongoDB para utilizar la instancia saslauthd para la autenticación proxy, incluya las siguientes opciones al iniciar mongod:

• --auth opción de línea de security.authorization comando o configuración,

• authenticationMechanisms parámetro establecido PLAIN en, y

• saslauthdPath parámetro establecido a la ruta al zócalo de dominio Unix de la instancia saslauthd.

  Importante

  El directorio principal del archivo de socket de dominio Unix saslauthd especificado para security.sasl.saslauthdSocketPath o --setParameter saslauthdPath debe conceder permisos de lectura y ejecución (r-x) para:

  • El usuario que inicia mongod mongoso, o

  • Un grupo al que pertenece ese usuario.

  El mongod o no pueden autenticarse exitosamente a través mongos de saslauthd sin el permiso especificado en el saslauthd directorio y ​​su contenido.

Si utiliza la authorization opción para aplicar la autenticación, necesitará privilegios para crear un usuario.

mongod --auth --setParameter saslauthdPath=/<some>/<path>/saslauthd/mux --setParameter authenticationMechanisms=PLAIN

O si utiliza un archivo de configuración en formato YAML, especifique la siguiente configuración en el archivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: /<some>/<path>/saslauthd/mux
   authenticationMechanisms: PLAIN

O, si utiliza el formato de archivo de configuración anterior:

auth=true
setParameter=saslauthdPath=/<some>/<path>/saslauthd/mux
setParameter=authenticationMechanisms=PLAIN

mongod --auth --setParameter saslauthdPath="" --setParameter authenticationMechanisms=PLAIN

O si utiliza un archivo de configuración en formato YAML, especifique la siguiente configuración en el archivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: ""
   authenticationMechanisms: PLAIN

O, si utiliza el formato de archivo de configuración anterior:

auth=true
setParameter=saslauthdPath=""
setParameter=authenticationMechanisms=PLAIN

Incluye opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a la implementación o si los miembros de la implementación se ejecutan en diferentes hosts, se debe especificar la configuración net.bindIp.

Autenticar al usuario en mongosh.

Puede autenticarse desde la línea de comandos durante la conexión o conectarse primero y luego autenticarse mediante el método db.auth().

mongosh --host <host> --authenticationMechanism PLAIN --authenticationDatabase '$external' -u <user> -p

db.getSiblingDB("$external").auth(
   {
     mechanism: "PLAIN",
     user: <username>,
     pwd:  passwordPrompt() // or cleartext password
   }
)

El servidor reenvía la contraseña en texto sin formato. En general, utiliza solo en un canal de confianza (VPN, TLS/SSL, red cableada confiable). Ver Consideraciones.