Configura MongoDB autogestionado con la autenticación Kerberos en Linux

Iniciar mongod sin Kerberos.

Para la incorporación inicial de usuarios de Kerberos, inicie mongod sin soporte de Kerberos.

Si un usuario Kerberos ya está en MongoDB y tiene los privilegios necesarios para crear un usuario, puede iniciar con soporte mongod Kerberos.

Incluya configuraciones adicionales según corresponda a su implementación.

Conectarse mongod a.

Conectemongosha la instanciamongod. Simongodtiene--authhabilitado, asegúrese de conectarse con los privilegios necesarios para crear un usuario.

Agregar principal(es) Kerberos a MongoDB.

Agregue un principal Kerberos, o, <username>@<KERBEROS REALM> <username>/<instance>@<KERBEROS REALM>a MongoDB en la $external base de datos. Especifique el dominio Kerberos en mayúsculas. La $external base de datos permite que consulte una fuente externa (p. ej.,mongod Kerberos) para autenticarse. Para especificar los privilegios del usuario, asígnele roles.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

El siguiente ejemplo agrega el principal Kerberos application/reporting@EXAMPLE.NET con acceso de solo lectura a la base de datos records:

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

Añada otros responsables según sea necesario. Para cada usuario que desee autenticar usando Kerberos, debe crear un usuario correspondiente en MongoDB. Para obtener más información sobre cómo crear y gestionar usuarios, consulta Comandos de gestión de usuarios.

mongod Comience con soporte Kerberos.

Para iniciar con soporte de Kerberos, establezca la variable mongod ambiental KRB5_KTNAME en la ruta del archivo keytab y el mongod parámetro authenticationMechanisms en GSSAPI en el siguiente formato:

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

Por ejemplo, lo siguiente inicia una instancia independiente con soporte mongod Kerberos:

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

La ruta a su archivo mongod y a su archivo keytab puede ser diferente. El archivo keytab solo debe ser accesible para el propietario del mongod proceso.

Con los .deb .rpm paquetes oficiales o, puedes configurar KRB5_KTNAME en un archivo de configuración del entorno.Consulta KRB5_KTNAME para obtener más información.

Conectar mongosh a mongod y autentificarse.

Conéctese al cliente como principal mongosh de application/reporting@EXAMPLE.NET Kerberos. Antes de conectarse, debe haber usado el programa de Kerberos kinit para obtener las credenciales application/reporting@EXAMPLE.NET de.

Puedes conectarte y autenticarte desde la línea de comandos.

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

Si se conecta a un sistema cuyo nombre de host coincide con el nombre Kerberos, asegúrese de especificar el nombre de dominio completo (FQDN) para la opción --host, en lugar de una dirección IP o un nombre de host no calificado.

Si se conecta a un sistema cuyo nombre de host no coincide con el nombre de Kerberos, primero conectemongoshamongody luego, desdemongosh, utilice el métododb.auth()para autenticarse en la base de datos $external.

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )