Configurar la autorización de Kerberos y Active Directory

Configura TLS/SSL para el servidor que ejecuta MongoDB.

Para conectarse al servidor AD (AD) mediante TLS/SSL, el mongod o el mongos requieren acceso al certificado de la Autoridad de Certificación (CA) del servidor AD.

En Linux, especifique los certificados CA del servidor AD mediante la opción TLS_CACERT o TLS_CACERTDIR en el archivo ldap.conf.

El gestor de paquetes de la plataforma crea el archivo ldap.conf al instalar la dependencia libldap de MongoDB Enterprise. Para obtener documentación completa sobre el archivo de configuración o las opciones referenciadas, consulte ldap.conf.

En Microsoft Windows, carga los certificados de la Autoridad de Certificación (CA) del servidor AD con la herramienta de gestión de credenciales de la plataforma. La herramienta exacta de gestión de credenciales depende de la versión de Windows. Para utilizar la herramienta, consulte la documentación para tu versión de Windows.

Si mongod o mongos no pueden acceder a los archivos de AD CA, no podrán crear conexiones TLS/SSL al servidor Active Directory.

Opcionalmente, configure security.ldap.transportSecurity en none para deshabilitar TLS/SSL.

(solo Windows) Asigna un nombre principal de servicio al servicio MongoDB en Windows.

Para los servidores de MongoDB que funcionan en el sistema operativo Windows, debe usar setspn.exe para asignar el nombre principal del servicio (SPN) a la cuenta que ejecuta el servicio de MongoDB.

setspn.exe -S <service>/<fully qualified domain name> <service account name>

setspn.exe -S mongodb/mongodbserver.example.com mongodb_dev@example.com

(Solo Linux) Crea el archivo keytab para el servidor MongoDB.

Para los servidores MongoDB que se ejecutan en la plataforma Linux, debes asegurarte de que el servidor tenga una copia del archivo keytab específico para la instancia de MongoDB que se ejecuta en ese servidor.

Debe otorgar permisos de lectura sobre el archivo keytab al usuario de Linux que ejecuta el servicio MongoDB. Toma nota de la ruta completa de la ubicación del archivo keytab.

Conéctese al servidor de MongoDB.

Conéctese al servidor de MongoDB usando mongosh usando las opciones --host y --port.

mongosh --host <hostname> --port <port>

Si tu servidor de MongoDB actualmente aplica la autenticación, debes autenticarte en la admin base de datos como un usuario con privilegios de gestión de roles, como los proporcionados por userAdmin o userAdminAnyDatabase. Incluye el --authenticationMechanism adecuado para el mecanismo de autenticación configurado del servidor de MongoDB.

mongosh --host <hostname> --port <port> --username <user> --password <pass> --authenticationDatabase="admin" --authenticationMechanism="<mechanism>"

Crea el rol administrativo de usuario.

Para administrar los usuarios de MongoDB usando AD, necesitas crear al menos un rol en la base de datos admin que pueda crear y gestionar roles, como los que proporcionan userAdmin o userAdminAnyDatabase.

El nombre del rol debe coincidir exactamente con el Nombre Distinguido de un grupo AD. El grupo debe tener al menos un usuario de AD como nodo.

Dado que se dispone de los grupos de Active Directory, la siguiente operación:

• Crea un rol nombrado para el grupo AD CN=dba,CN=Users,DC=example,DC=com, y

• Le asigna el rol userAdminAnyDatabase en la base de datos admin.

var admin = db.getSiblingDB("admin")
admin.createRole(
   {
     role: "CN=dba,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [ "userAdminAnyDatabase" ]
   }
)

También puede otorgar el rol userAdmin para cada base de datos sobre la que el usuario deba tener privilegios administrativos de usuario. Estos roles proporcionan los privilegios necesarios para la creación y gestión de roles.

Crea un archivo de configuración de MongoDB.

Un archivo de configuración de MongoDB es un archivo de texto en YAML con la extensión de archivo .conf.

• Si va a actualizar una implementación existente de MongoDB, copie el archivo de configuración actual y trabaje a partir de esa copia.

• (Solo para Linux) Si esto es una nueva implementación y se usó el gestor de paquetes de la plataforma para instalar MongoDB Enterprise, la instalación incluye el archivo de configuración por defecto /etc/mongod.conf. Utilice ese archivo de configuración por defecto o haga una copia de ese archivo para trabajar.

• Si no existe un archivo de ese tipo, cree un archivo vacío con la extensión .conf y trabaje a partir de ese nuevo archivo de configuración.

Configurar MongoDB para conectarse a Active Directory.

En el archivo de configuración de MongoDB, configure security.ldap.servers al host y puerto del servidor AD. Si tu infraestructura de AD incluye varios servidores de AD con fines de replicación, especifica el host y el puerto de los servidores como una lista delimitada por comas en security.ldap.servers.

security:
  ldap:
    servers: "activedirectory.example.net"

MongoDB debe vincularse al servidor AD para realizar consultas. Por defecto, MongoDB utiliza el mecanismo de autenticación sencilla para vincularse al servidor AD.

Alternativamente, puedes configurar los siguientes ajustes en el archivo de configuración para vincularse al servidor AD usando SASL:

• Configura security.ldap.bind.method a sasl

• security.ldap.bind.saslMechanisms, especificando una string de mecanismos SASL separados por comas que el servidor AD admite.

Este tutorial utiliza el mecanismo de autenticación LDAP por defecto de simple.

Configura MongoDB para la autenticación de Kerberos.

En el archivo de configuración de MongoDB, establezca security.authorization en enabled y setParameter authenticationMechanisms en GSSAPI

Para habilitar la autenticación a través de Kerberos, incluye lo siguiente en el archivo de configuración:

security:
  authorization: "enabled"
setParameter:
  authenticationMechanisms: "GSSAPI"

Configura la plantilla de query LDAP para la autorización.

En el archivo de configuración de MongoDB, configure security.ldap.authz.queryTemplate en una RFC4516 plantilla de URL de query LDAP con formato.

En la plantilla, puedes usar:

• {USER} espacio reservado para sustituir el nombre de usuario autenticado en la URL de la query LDAP.

• {PROVIDED_USER} marcador de posición para sustituir el nombre de usuario suministrado, es decir, antes de la autenticación o la transformación LDAP, en la query LDAP.

Diseñá la plantilla de query para recuperar los grupos del usuario.

security:
  ldap:
    authz:
      queryTemplate:
        "DC=example,DC=com??sub?(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={USER}))"

MongoDB asigna cada grupo devuelto nombre distinguido a un rol en la base de datos admin. Para cada grupo mapeado nombre distinguido, si existe un rol ya existente en la base de datos admin cuyo nombre coincida exactamente con el nombre distinguido, MongoDB concede al usuario los roles y privilegios asignados a ese rol.

La regla de concordancia LDAP_MATCHING_RULE_IN_CHAIN requiere proporcionar el nombre distinguido completo del usuario que se está autenticando. Dado que Kerberos requiere autenticarse con los userPrincipalName de un usuario, debes transformar los nombres de usuario entrantes en DN utilizando security.ldap.userToDNMapping. El siguiente paso proporciona orientación sobre cómo transformar los nombres de usuario entrantes para admitir el queryTemplate.

Transfiera los nombres de usuario entrantes para la autenticación a través de Active Directory.

En el archivo de configuración de MongoDB, establece userToDNMapping para convertir el nombre de usuario proporcionado por el usuario que se autentica en un nombre distinguido de AD y así soportar el queryTemplate.

security:
  ldap:
    userToDNMapping:
      '[
         {
            match : "(.+)",
            ldapQuery: "DC=example,DC=com??sub?(userPrincipalName={0})"
         }
    ]'

Debes modificar la configuración de muestra proporcionada para que coincida con tu implementación. Por ejemplo, la base nombre distinguido ldapQuery debe coincidir con la base nombre distinguido que contiene tus entidades de usuario. Pueden ser necesarias otras modificaciones para respaldar tu implementación de AD.

DC=example,DC=com??sub?(userPrincipalName=alice@ENGINEERING.EXAMPLE.COM)

Configura las query credenciales.

MongoDB requiere credenciales para realizar consultas en el servidor AD.

Configura los siguientes ajustes en el archivo de configuración:

• security.ldap.bind.queryUser, especificando el usuario de Kerberos que el mongod o mongos establecerán su vinculo para realizar consultas en el servidor AD.

• security.ldap.bind.queryPassword, especificando la contraseña para el queryUserespecificado.

security:
  ldap:
    bind:
      queryUser: "mongodbadmin@dba.example.com"
      queryPassword: "secret123"

En los servidores de MongoDB en Windows, puede configurar security.ldap.bind.useOSDefaults a true para usar las credenciales del usuario del sistema operativo en lugar de queryUser y queryPassword.

El queryUser debe tener permiso para realizar todas las queries LDAP en nombre de MongoDB.

Opcional: añade configuraciones adicionales.

Incluye opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a la implementación o si los miembros de la implementación se ejecutan en diferentes hosts, se debe especificar la configuración net.bindIp.

Inicia el servidor de MongoDB con autenticación Kerberos y autorización Active Directory.

Inicia el servidor MongoDB con la opción --config, especificando la ruta al archivo de configuración creado durante este procedimiento. Si el servidor MongoDB está actualmente en ejecución, realiza los preparativos adecuados para detener el servidor.

Linux MongoDB Servers

En Linux, debe especificar la variable de entorno KRB5_KTNAME, indicando la ruta al archivo keytab para el servidor de MongoDB.

env KRB5_KTNAME <path-to-keytab> mongod --config <path-to-config-file>

Microsoft Windows MongoDB Servers

En Windows, debes iniciar el servidor de MongoDB como la cuenta de servicio principal, tal como se configuró anteriormente en el procedimiento:

mongod.exe --config <path-to-config-file>

Conéctese al servidor de MongoDB.

Conéctate al servidor de MongoDB, autenticándote como un usuario cuya membresía directa o transitiva en un grupo corresponda a un rol de MongoDB en la base de datos admin con userAdmin, userAdminAnyDatabase o un rol personalizado con privilegios equivalentes.

Uso mongosh para autenticarse en el servidor de MongoDB, establece las siguientes opciones:

• --host con el nombre de host del servidor MongoDB

• --port con el puerto del servidor MongoDB

• --username al usuario userPrincipalName

• --password a la contraseña del usuario (o excluir para que mongosh solicite la contraseña)

• --authenticationMechanism to "GSSAPI"

• --authenticationDatabase to "$external"

mongosh --username sam@DBA.EXAMPLE.COM --password  --authenticationMechanisms="GSSAPI" --authenticationDatabase "$external" --host <hostname> --port <port>

Windows Las implementaciones de MongoDB deben usar mongo.exe en lugar de mongosh.

Dados los usuarios de Active Directory configurados, el usuario se autentica con éxito y recibe los permisos correspondientes.

Crea roles para mapear los grupos de AD devueltos.

Para cada grupo en el servidor AD que desees utilizar para la autorización de MongoDB, debes crear un rol correspondiente en la base de datos admin del servidor de MongoDB.

db.getSiblingDB("admin").createRole(
   {
     role: "CN=PrimaryApplication,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "readWrite", db: "PrimaryApplication" }
     ]
   }
)

Opcional: Transición de los usuarios existentes de $external al servidor Active Directory.

Si está actualizando una instalación existente con usuarios configurados en la base de datos $external, debe cumplir los siguientes requisitos para cada usuario para garantizar el acceso después de configurar MongoDB para la autenticación Kerberos y la autorización AD :

• El usuario tiene un objeto de usuario correspondiente en el servidor AD.

• El usuario tiene membresía en los grupos apropiados en el servidor AD.

• MongoDB contiene los roles en la base de datos admin nombrados para los grupos AD del usuario, de modo que el usuario autorizado mantiene sus privilegios.

{
  user : "joe@ANALYTICS.EXAMPLE.COM",
  roles: [
    { role : "read", db : "web_analytics" },
    { role : "read", db : "PrimaryApplication" }
  ]
}

db.getSiblingDB("admin").createRole(
   {
     role: "CN=marketing,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "read", db: "web_analytics" }
       { role: "read", db: "PrimaryApplication" }
     ]
   }
)

Si desea seguir permitiendo que los usuarios de bases de datos que no sean$external accedan a MongoDB, debe incluir el mecanismo de autenticación SCRAM (p. ej. SCRAM-SHA-1 y/o SCRAM-SHA-256) en la opción de configuración setParameter authenticationMechanisms.

setParameter:
  authenticationMechanisms: "GSSAPI,SCRAM-SHA-1,SCRAM-SHA-256"

En alternativa, haz la transición de los usuarios no-$external a AD siguiendo el procedimiento anterior.