Overview
Ops Manager te permite configurar los Mecanismos de Autenticación que todos los clientes, incluidos los Agentes de Ops Manager, utilizan para conectarse a tus implementaciones de MongoDB. Puedes habilitar varios mecanismos de autenticación para cada uno de tus proyectos, pero debes elegir solo un mecanismo para los Agentes.
MongoDB Enterprise admite la autenticación mediante un servicio Kerberos. Kerberos es un protocolo de autenticación estándar de la industria usado en grandes sistemas cliente/servidor.
Importante
La configuración e implementación de un despliegue de Kerberos está fuera del alcance de este documento. Este tutorial asume que has configurado un principal de Kerberos para cada Agente y que tienes un archivo keytab válido para cada Agente.
Para autenticar MongoDB con Kerberos, debes:
Tener una implementación de Kerberos debidamente configurada,
Configura los principales de servicio Kerberos para MongoDB, y
Añade los principales de usuario de Kerberos para los Agentes.
La sección Autenticación de Kerberos del Manual de MongoDB ofrece más detalles sobre el uso de MongoDB con Kerberos.
Considerations
Kerberos (GSSAPI) solo está disponible en las versiones Enterprise de MongoDB. Si tiene implementaciones existentes ejecutándose en una versión de la Community de MongoDB, debe actualizarlas a MongoDB Enterprise antes de poder habilitar Kerberos (GSSAPI) para su proyecto de Ops Manager.
Este tutorial describe cómo habilitar Kerberos para uno de sus proyectos de Ops Manager y cómo configurar sus agentes de Ops Manager para conectarse a su implementación habilitada para Kerberos.
IMPORTANTE: Para restablecer la autenticación y la configuración de TLS de su proyecto, primero deje de gestionar las implementaciones de MongoDB que MongoDB Ops Manager gestiona en su proyecto.
Procedimientos
Estos procedimientos describen cómo configurar y habilitar la autenticación de Kerberos al usar automatización. Si Ops Manager no gestiona su supervisión o copias de seguridad, debe configurarlos manualmente para que se autentiquen con Kerberos.
Consulta Configura el MongoDB Agent para Kerberos para obtener instrucciones.
Configura una implementación existente de Linux para la autenticación basada en Kerberos
Si usas Ops Manager para gestionar implementaciones existentes en Linux en tu proyecto, todas las implementaciones de MongoDB en el proyecto deben estar configuradas para la autenticación Kerberos antes de que puedas habilitar la autenticación Kerberos para tu proyecto.
Navega a la vista Clusters de tu implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haz clic en Deployment en la barra lateral.
- Haz clic en la vista Clusters.
Establece la opción kerberosKeytab.
Si kerberosKeytab aún no está configurado:
Haga clic en Add Option.
Expande la lista Select a Startup Option.
Busca y selecciona la opción kerberosKeytab, luego haz clic en Add.
En la columna kerberosKeytab, proporciona la ruta absoluta al archivo keytab.
Haga clic en Save.
Cuando haya configurado las opciones de Kerberos para cada implementación, puede proceder a habilitar Kerberos para su proyecto de Ops Manager.
Habilitar Kerberos para su proyecto de Ops Manager
Navegue al cuadro de diálogo Security Settings para su implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realiza una de las siguientes acciones:
Si es la primera vez que configura los ajustes de TLS, autenticación o autorización para este proyecto, haga clic en Get Started.
Si ya ha configurado la autenticación TLS o los ajustes de autorización para este proyecto, haga clic en Edit.
Opcional: Especifica los ajustes de TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Active este control deslizante para ON. | ||||
Ruta del archivo CA de TLS | El archivo de la Autoridad de Certificación TLS es un archivo de certificado con formato La clave privada cifrada para el archivo de certificado Escriba la ruta del archivo hasta el archivo de la Autoridad Certificadora TLS en cada host que ejecute un proceso de MongoDB:
Esto habilita la opción Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Ruta del archivo CA TLS del clúster | El archivo Si no especificas el
| ||||
Modo de certificado de cliente | Seleciona si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a una implementación de MongoDB habilitada para TLS. Cada implementación de MongoDB verifica los certificados de estos hosts clientes cuando intentan conectarse. Si opta por exigir los certificados TLS del cliente, asegúrese de que sean válidos. Los valores aceptados son:
|
TLS no es obligatorio para utilizar la autenticación Kerberos (GSSAPI).
Elige el mecanismo de autenticación.
En la sección MongoDB Deployment Authentication Mechanism, seleccione Kerberos (GSSAPI).
Introduzca su Nombre del SASL Service.
El SASL Service Name es el Nombre Principal del Servicio Kerberos para
mongodomongos.
Importante
Si no estás utilizando autorización LDAP, debes agregar usuarios a la base de datos $external en tu implementación de MongoDB. Para ver un ejemplo, consulta Autenticación de Kerberos.
Configura los ajustes de autorizacion LDAP.
Importante
Puedes autenticar usuarios mediante certificados LDAP, Kerberos y X.509 sin necesidad de tener documentos de usuario locales en la base de datos $external, siempre que primero habilites la autorización LDAP. Cuando un usuario se autentica correctamente, MongoDB realiza una consulta al servidor LDAP para recuperar todos los grupos a los que pertenece ese usuario y los transforma en sus roles equivalentes de MongoDB.
Omite este paso si no deseas activar la autorizacion LDAP.
Ingresa los valores para los siguientes campos:
ConfiguraciónValorLDAP Authorization
Cambia a ON para habilitar la autorización LDAP.
Authorization Query Template
Especifica una plantilla para una URL de query LDAP para recuperar una lista de grupos LDAP para un usuario LDAP.
Configura Kerberos (GSSAPI) para los agentes.
Puedes habilitar más de un mecanismo de autenticación para tu implementación de MongoDB, pero los agentes de Ops Manager solo pueden usar un mecanismo de autenticación. Selecciona Kerberos (GSSAPI) para conectarte a tu implementación de MongoDB.
Selecciona la opción Kerberos (GSSAPI) de la sección Agent Auth Mechanism.
Proporcione las credenciales para el agente MongoDB:
Si utiliza Linux, configure:
ConfiguraciónValorMongoDB Agent Kerberos Principal
El principal de Kerberos.
MongoDB Agent Keytab Path
La ruta para el Keytab del agente.
Si utiliza Windows, configure:
ConfiguraciónValorMongoDB Agent Username
El nombre del usuario de Active Directory.
MongoDB Agent Password
La contraseña de Active Directory.
Domain
El nombre NetBIOS de un dominio en Active Directory Domain Services. Debe estar en mayúsculas.
Haga clic en Save Settings.
Nota
Mientras guardas la configuración con una nueva contraseña, MongoDB intenta ambas contraseñas. Después de completar este procedimiento, puedes cambiar la contraseña en tu servidor LDAP. Después de rotar la contraseña en el lado del servidor LDAP, mueve el contenido del campo New Query Password al campo Query Password y deja vacío el campo New Query Password.
Crear roles de MongoDB para grupos LDAP. (opcional)
Después de activar la autorización LDAP, debe crear roles personalizados de MongoDB para cada Grupo LDAP que haya especificado para la autorización LDAP.