Configurar el agente MongoDB para Kerberos

Configurar KDC para emitir tickets con una duración mínima de cuatro horas

Los tickets Kerberos pueden autenticar usuarios por tiempo limitado. Debe configurar el Centro de Distribución de Claves Kerberos (KDC) para emitir tickets con una validez de cuatro horas o más. El Agente de MongoDB renueva el ticket periódicamente. El servicioKDC proporciona tickets de sesión y claves de sesión temporales a usuarios y hosts.

Agregar Kerberos como mecanismo de autenticación para la implementación

El Agente de MongoDB interactúa con las bases de datos de MongoDB en su implementación como lo haría un usuario de MongoDB. Por lo tanto, debe configurar su implementación de MongoDB y el Agente de MongoDB para que admitan la autenticación.

Puede especificar los mecanismos de autenticación de la implementación cuando Puede agregar la implementación o editar la configuración de una implementación existente. Como mínimo, la implementación debe habilitar el mecanismo de autenticación que desea que utilice el Agente de MongoDB. El Agente de MongoDB puede usar cualquier mecanismo de autenticación compatible.

Para los fines de este tutorial, debes asegurarte de lo siguiente:

• Su implementación admite la autenticación Kerberos y

• El agente MongoDB utiliza la autenticación Kerberos.

Para saber cómo habilitar la autenticación Kerberos, consulte Habilitar la autenticación Kerberos para su proyecto de Ops Manager.

Configurar el host del agente MongoDB para usar Kerberos

Se deben instalar dos archivos relacionados con Kerberos en cualquier host que ejecute Monitoring o Backup:

• Cree o configure el archivo de configuración Kerberos5 krb.conf.

  Plataforma	Ruta predeterminada	notas
  Linux	/etc/krb5.conf
  Windows	%WINDIR%\krb5.ini	Esta es la ruta predeterminada para las implementaciones de Kerberos que no se basan en Active Directory. Consulte la documentación de su implementación de Kerberos para su versión de Windows para saber dónde se almacena el archivo de configuración de Kerberos.

• En sistemas Linux: asegúrese de que el binario kinit esté ubicado /usr/bin/kinit en. kinit obtiene o renueva un ticket de concesión de tickets Kerberos, que autentica al Agente mediante Kerberos.

Crear un usuario principal de Kerberos para el agente de MongoDB

Crear un usuario y asignar roles para el UPN del agente MongoDB

db.getSiblingDB("$external").createUser(
  {
    user : "<Kerberos Principal>",
    roles : [
      { role : "clusterAdmin", db : "admin" },
      { role : "readWriteAnyDatabase", db : "admin" },
      { role : "userAdminAnyDatabase", db : "admin" },
      { role : "dbAdminAnyDatabase", db : "admin" },
      { role : "backup", db : "admin" },
      { role : "restore", db : "admin" }
    ]
  }
)