Overview
Ops Manager le permite configurar los mecanismos de autenticación que todos los clientes, incluidos los agentes de Ops Manager, utilizan para conectarse a sus implementaciones de MongoDB. Puede habilitar varios mecanismos de autenticación para cada proyecto, pero debe elegir solo uno para los agentes.
MongoDB Enterprise admite la autenticación mediante un servicio Kerberos. Kerberos es un protocolo de autenticación estándar en la industria para grandes sistemas cliente-servidor.
Importante
La configuración de una implementación de Kerberos queda fuera del alcance de este documento. Este tutorial presupone que ha configurado una entidad de seguridad Kerberos para cada agente y que dispone de un archivo keytab válido para cada agente.
Para autenticar MongoDB con Kerberos, debe:
Tener una implementación de Kerberos configurada correctamente,
Configurar los principales de servicio Kerberos para MongoDB y
Agregue los principales de usuario Kerberos para los agentes.
La sección Autenticación Kerberos del Manual de MongoDB proporciona más detalles sobre el uso de MongoDB con Kerberos.
Considerations
Kerberos (GSSAPI) Solo está disponible en compilaciones de MongoDB Enterprise. Si tiene implementaciones ejecutándose en una compilación de MongoDB Community, debe actualícelos a MongoDB Enterprise antes de poder habilitar Kerberos (GSSAPI) para su proyecto Ops Manager.
Este tutorial describe cómo habilitar Kerberos para uno de sus proyectos de Ops Manager y cómo configurar sus agentes de Ops Manager para conectarse a su implementación habilitada para Kerberos.
Nota
Si desea restablecer la configuración de autenticación y TLS para su proyecto, primero deje de administrar cualquier implementación de MongoDB que Ops Manager administre en su proyecto.
Procedimientos
Estos procedimientos describen cómo configurar y habilitar la autenticación Kerberos al usar Automation. Si Ops Manager no administra la supervisión ni las copias de seguridad, deberá configurarlas manualmente para que se autentiquen con Kerberos.
Consulte Configurar el agente MongoDB para Kerberos para obtener instrucciones.
Configurar una implementación de Linux existente para la autenticación basada en Kerberos
Si usa Ops Manager para administrar implementaciones existentes en Linux en su proyecto, todas las implementaciones de MongoDB en el proyecto deben estar configuradas para la autenticación Kerberos antes de poder habilitar la autenticación Kerberos para su proyecto.
Navegar hasta el Clusters Vista para su implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haga clic en Deployment en la barra lateral.
Haga clic en la vista Clusters.
Establezca la kerberosKeytab opción.
Si kerberosKeytab aún no está configurado:
Haga clic en Add Option.
Ampliar la lista Select a Startup Option.
Busque y seleccione la opción kerberosKeytab, luego haga clic en Add.
En la columna kerberosKeytab, proporcione la ruta absoluta al archivo keytab.
Haga clic en Save.
Cuando haya configurado las opciones de Kerberos para cada implementación, puede proceder a habilitar Kerberos para su proyecto de Ops Manager.
Habilite Kerberos para su proyecto de Ops Manager
Navegue hasta el Security Settings cuadro de diálogo para su implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haga clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realice una de las siguientes acciones:
Si es la primera vez que configura Para configurarTLS, autenticación o autorización para este proyecto, haga clic Get Started en.
Si ya ha configurado la autenticación TLS o las configuraciones de autorización para este proyecto, haga clic Edit en.
Opcional: especifique la configuración de TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Cambie este control deslizante a ON. | ||||
Ruta de archivo CA TLS | El archivo de la autoridad de certificación TLS es un archivo de certificado con formato que contiene la cadena de certificados raíz de la autoridad de certificación. El agente de MongoDB utiliza este mismo archivo de autoridad de certificación para conectarse a todos los elementos de su implementación. La clave privada cifrada para el Escriba la ruta del archivo de la autoridad de certificación TLS en cada host que ejecute un proceso MongoDB:
Esto habilita la configuración para los procesos MongoDB en el Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Ruta del archivo CA TLS del clúster | El archivo Si no especifica, el clúster utiliza
| ||||
Modo de certificado de cliente | Seleccione si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a implementaciones de MongoDB con TLS habilitado. Cada implementación de MongoDB comprueba si estos hosts cliente tienen certificados al intentar conectarse. Si decide requerir los certificados TLS del cliente, asegúrese de que sean válidos. Los valores aceptados son:
|
No se requiere TLS para su uso con la autenticación Kerberos (GSSAPI).
Elija el mecanismo de autenticación.
En la sección MongoDB Deployment Authentication Mechanism, seleccione Kerberos (GSSAPI).
Ingrese el nombre de su servicio SASL.
SASL Service Name es el nombre principal del servicio Kerberos para mongod o mongos.
Importante
Si no utiliza la autorización LDAP, debe agregar usuarios a la $external base de datos en su implementación de MongoDB. Para ver un ejemplo, consulte Autenticación Kerberos.
Configurar los ajustes de autorización LDAP.
Importante
A partir de MongoDB 3.4, puede autenticar usuarios mediante certificados LDAP, Kerberos y X.509 sin necesidad de documentos de usuario locales en la base de datos $external, siempre que habilite primero la autorización LDAP. Cuando un usuario se autentica correctamente, MongoDB realiza una consulta al servidor LDAP para recuperar todos los grupos que posee y los transforma en sus roles equivalentes de MongoDB.
Omita este paso si no desea habilitar la autorización LDAP.
Introduzca valores para los siguientes campos:
ConfiguraciónValorLDAP Authorization
Cambie a ON para habilitar la autorización LDAP.
Authorization Query Template
Especifique una plantilla para una URL de consulta LDAP para recuperar una lista de grupos LDAP para un usuario LDAP.
Configura Kerberos (GSSAPI) para los agentes.
Puedes habilitar más de un mecanismo de autenticación para tu implementación de MongoDB, pero los agentes de Ops Manager solo pueden usar un mecanismo de autenticación. Selecciona Kerberos (GSSAPI) para conectarte a tu implementación de MongoDB.
Seleccione la opción Kerberos (GSSAPI) de la sección Agent Auth Mechanism.
Proporcione credenciales para el agente MongoDB:
Si utiliza Linux, configure:
ConfiguraciónValorMongoDB Agent Kerberos Principal
El principal de Kerberos.
MongoDB Agent Keytab Path
La ruta de la clave del agente.
Si utiliza Windows, configure:
ConfiguraciónValorMongoDB Agent Username
El nombre de usuario de Active Directory.
MongoDB Agent Password
La contraseña de Active Directory.
Domain
El nombre NetBIOS de un dominio en los Servicios de Dominio de Active Directory. Debe estar en mayúsculas.
Crear roles de MongoDB para grupos LDAP (opcional).
Después de habilitar la autorización LDAP, debe crear roles MongoDB personalizados para cada grupo LDAP que haya especificado para la autorización LDAP.