Configurar MongoDB autogestionado con autenticación Kerberos en Windows

Iniciar mongod.exe sin Kerberos.

Para la incorporación inicial de usuarios de Kerberos, inicie mongod.exe sin soporte de Kerberos.

Si un usuario Kerberos ya está en MongoDB y tiene los privilegios necesarios para crear un usuario, puede iniciar con soporte mongod.exe Kerberos.

Incluya configuraciones adicionales según corresponda a su implementación.

Conectarse mongod a.

Conectemongosha la instanciamongod.exe. Simongod.exetiene--authhabilitado, asegúrese de conectarse con los privilegios necesarios para crear un usuario.

Agregar principal(es) Kerberos a MongoDB.

Agregue un principal Kerberos,, <username>@<KERBEROS REALM> a MongoDB en la $external base de datos. Especifique el dominio Kerberos en MAYÚSCULAS.La $external base de datos permite a consultar una fuente externa (p. ej., Kerberos) mongod.exe para autenticarse. Para especificar los privilegios del usuario, asígnele roles.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

El siguiente ejemplo agrega el principal Kerberos reportingapp@EXAMPLE.NET con acceso de solo lectura a la base de datos records:

use $external
db.createUser(
   {
     user: "reportingapp@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

Añada otros responsables según sea necesario. Para cada usuario que desee autenticar usando Kerberos, debe crear un usuario correspondiente en MongoDB. Para obtener más información sobre cómo crear y gestionar usuarios, consulta Comandos de gestión de usuarios.

mongod.exe Comience con soporte Kerberos.

Debe iniciar como cuenta mongod.exeprincipal del servicio.

Para iniciarmongod.execon soporte de Kerberos, establezca el parámetromongod.exeauthenticationMechanismsen GSSAPI:

mongod.exe --setParameter authenticationMechanisms=GSSAPI <additional mongod.exe options>

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

Por ejemplo, lo siguiente inicia una instancia independiente con soporte mongod.exe Kerberos:

mongod.exe --auth --setParameter authenticationMechanisms=GSSAPI --bind_ip localhost,<hostname(s)|ip address(es)>

Conecte mongosh.exe el shell a mongod.exe y autentíquese.

Conecte el mongosh cliente de shell como principal application@EXAMPLE.NET Kerberos.

Puedes conectarte y autenticarte desde la línea de comandos.

Usando cmd.exe:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase=$external --username reportingapp@EXAMPLE.NET

Usando Windows PowerShell:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username reportingapp@EXAMPLE.NET  

Si se conecta a un sistema cuyo nombre de host coincide con el nombre Kerberos, asegúrese de especificar el nombre de dominio completo (FQDN) para la opción --host, en lugar de una dirección IP o un nombre de host no calificado.

Si se conecta a un sistema cuyo nombre de host no coincide con el nombre de Kerberos, primero conecte el shellmongoshamongod.exey luego, desde el shellmongosh, utilice el métododb.auth()para autenticarse en la base de datos $external.

use $external
db.auth( { mechanism: "GSSAPI", user: "reportingapp@EXAMPLE.NET" } )