Autentica usando SASL y LDAP autogestionados con OpenLDAP

Especifica el mecanismo.

En los sistemas que configuran saslauthd con el archivo /etc/sysconfig/saslauthd, como Red Hat Enterprise Linux, Fedora, CentOS, y Amazon Linux AMI, configura el mecanismo MECH en ldap:

MECH=ldap

En sistemas que configuran saslauthd con el archivo /etc/default/saslauthd, como Ubuntu, configura la opción MECHANISMS en ldap:

MECHANISMS="ldap"

Ajuste el comportamiento de almacenamiento en caché.

En ciertas distribuciones de Linux, saslauthd arranca con el almacenamiento en caché de credenciales de autenticación habilitado. Hasta que se reinicie o hasta que caduque la caché, saslauthd no contactará con el servidor LDAP para volver a autenticar a los usuarios en su caché de autenticación. Esto permite que saslauthd autentique exitosamente a los usuarios en su caché, incluso si el servidor LDAP está caído o si las credenciales de los usuarios en caché han sido revocadas.

Para configurar el tiempo de expiración (en segundos) de la caché de autenticación, se puede consultar Opción -t de saslauthd.

Configura las opciones de LDAP con OpenLDAP.

Si el archivo saslauthd.conf no existe, créalo. El archivo saslauthd.conf suele residir en la carpeta /etc. Si especificas una ruta de archivo diferente, consulta la opción -O de saslauthd.

Para conectarse a un servidor OpenLDAP, actualice el archivo saslauthd.conf con las siguientes opciones de configuración:

ldap_servers: <ldap uri>
ldap_search_base: <search base>
ldap_filter: <filter>

El ldap_servers especifica la uri del servidor LDAP utilizado para la autenticación. En general, para OpenLDAP instalado en la máquina local, puedes especificar el valor ldap://localhost:389 o, si usas LDAP sobre TLS/SSL, puedes especificar el valor ldaps://localhost:636.

El ldap_search_base especifica el nombre distintivo al que se refiere la búsqueda. La búsqueda incluye la base o los objetos debajo.

El ldap_filter especifica el filtro de búsqueda.

Los valores de estas opciones de configuración deben corresponder a los valores específicos de tu prueba. Por ejemplo, para filtrar por correo electrónico, especifica ldap_filter: (mail=%n) en su lugar.

ldap_servers: ldaps://ad.example.net
ldap_search_base: ou=Users,dc=example,dc=com
ldap_filter: (uid=%u)

Prueba la configuración de saslauthd.

Utiliza la utilidad testsaslauthd para probar la configuración saslauthd. Por ejemplo:

testsaslauthd -u testuser -p testpassword -f /var/run/saslauthd/mux

• 0: OK "Success" indica autenticación exitosa.

• 0: NO "authentication failed" indica un error de nombre de usuario, contraseña o configuración.

Modifica la ruta del archivo con respecto a la ubicación del directorio saslauthd en el sistema operativo host.

Agregue un usuario a MongoDB para la autenticación.

Agrega el usuario a la base de datos $external en MongoDB. Para especificar los privilegios del usuario, asigne roles al usuario.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

Por ejemplo, lo siguiente agrega un usuario con acceso de solo lectura a la base de datos records.

db.getSiblingDB("$external").createUser(
    {
      user : <username>,
      roles: [ { role: "read", db: "records" } ]
    }
)

Agrega actores principales adicionales según sea necesario. Para obtener más información sobre la creación y gestión de usuarios, consulta Comandos de gestión de usuarios.

Configurar el servidor de MongoDB.

Para configurar el servidor MongoDB para utilizar la instancia saslauthd para la autenticación proxy, incluya las siguientes opciones al iniciar mongod:

• --auth opción de línea de comandos o security.authorization configuración,

• el conjunto de parámetros authenticationMechanisms está configurado en PLAIN y

• saslauthdPath parámetro establecido a la ruta al zócalo de dominio Unix de la instancia saslauthd.

  Importante

  El directorio principal del archivo de socket de dominio Unix saslauthd especificado para security.sasl.saslauthdSocketPath o --setParameter saslauthdPath debe conceder permisos de lectura y ejecución (r-x) para:

  • El usuario comienza el mongod o mongos, o

  • Un grupo al que pertenece ese usuario.

  El mongod o mongos no pueden autenticarse correctamente a través de saslauthd sin el permiso especificado en el directorio saslauthd y su contenido.

Si utilizas la opción authorization para aplicar la autenticación, necesitarás privilegios para crear un usuario.

mongod --auth --setParameter saslauthdPath=/<some>/<path>/saslauthd/mux --setParameter authenticationMechanisms=PLAIN

O si utiliza un archivo de configuración en formato YAML, especifique la siguiente configuración en el archivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: /<some>/<path>/saslauthd/mux
   authenticationMechanisms: PLAIN

O, si utilizas el formato de archivo de configuración anterior:

auth=true
setParameter=saslauthdPath=/<some>/<path>/saslauthd/mux
setParameter=authenticationMechanisms=PLAIN

mongod --auth --setParameter saslauthdPath="" --setParameter authenticationMechanisms=PLAIN

O si utiliza un archivo de configuración en formato YAML, especifique la siguiente configuración en el archivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: ""
   authenticationMechanisms: PLAIN

O, si utilizas el formato de archivo de configuración anterior:

auth=true
setParameter=saslauthdPath=""
setParameter=authenticationMechanisms=PLAIN

Incluye opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a la implementación o si los miembros de la implementación se ejecutan en diferentes hosts, se debe especificar la configuración net.bindIp.

Autenticar al usuario en mongosh.

Puede autenticarse desde la línea de comandos durante la conexión o conectarse primero y luego autenticarse mediante el método db.auth().

mongosh --host <host> --authenticationMechanism PLAIN --authenticationDatabase '$external' -u <user> -p

db.getSiblingDB("$external").auth(
   {
     mechanism: "PLAIN",
     user: <username>,
     pwd:  passwordPrompt() // or cleartext password
   }
)

El servidor reenvía la contraseña en texto sin formato. En general, utiliza solo en un canal de confianza (VPN, TLS/SSL, red cableada confiable). Ver Consideraciones.