Ops Manager te permite configurar los Mecanismos de Autenticación que todos los clientes, incluidos los Agentes de Ops Manager, utilizan para conectarse a tus implementaciones de MongoDB. Puedes habilitar varios mecanismos de autenticación para cada uno de tus proyectos, pero debes elegir solo un mecanismo para los Agentes.
MongoDB admite la autenticación de x.509 para clientes y nodos para su utilización con una conexión TLS/SSL segura. La autenticación x.509 permite a los usuarios y a otros nodos autenticarse en servidores mediante certificados en lugar de un nombre de usuario y una contraseña.
Requisitos previos
Importante
Una descripción completa de la seguridad de la capa de transporte (TLS), la infraestructura de clave pública, los certificadosX.509 y las autoridades de certificación excede el alcance de este tutorial. Este tutorial presupone conocimientos previos de TLS y acceso a certificados X.509 válidos.
Procedimientos
Estos procedimientos describen cómo configurar y habilitar la autenticación x.509 cuando se utiliza Automatización. Si Ops Manager no gestiona tus agentes, debes configurarlos manualmente para que utilicen la autenticación x.509.
Nota
Para obtener más información, consulta Configura el MongoDB Agent para autenticación X.509.
Preparar una implementación existente para la autenticación de certificados x.509
Importante
El uso de la autenticación con certificado de cliente x.509 requiere TLS. Si Ops Manager administra una o más implementaciones existentes, TLS debe estar habilitado en cada proceso de la implementación de MongoDB antes de habilitar la autenticación x.509.
Nota
Si TLS ya está habilitado, puede omitir este procedimiento.
Navega a la vista Clusters de tu implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haz clic en Deployment en la barra lateral.
- Haz clic en la vista Clusters.
Configure las opciones de inicio de TLS.
Haga clic en Add Option para agregar cada una de las siguientes opciones:
OpciónRequeridoValorRequerido
Seleccione
requireTLS.Requerido
Proporcione la ruta absoluta al certificado del servidor.
Requerido
Opcional
Seleccione
truesi desea habilitar el modo FIPS.Después de añadir cada opción, hacer clic en Add.
Cuando hayas agregado las opciones requeridas, haz clic en Save.
Configurar una implementación existente para la autenticación con certificado de nodo x.509
Nota
Este procedimiento es opcional. Permite a los miembros de un set de réplicas o clúster usar también certificados x.509 para autenticarse entre sí. Si no está configurado, los miembros de set de réplicas y clúster aún pueden autenticarse entre sí usando autenticación keyFile.
Advertencia
Este procedimiento es irreversible
Si activas la autenticación mediante certificado x.509 de nodo para cualquier implementación en un Proyecto, no puedes desactivar la autenticación mediante certificado x.509 para la implementación ni deshabilitar la autenticación de clientes x.509 a nivel de Proyecto.
Habilitar la autenticación de certificado de nodo x.509 para una implementación en un Proyecto no habilita ni requiere la autenticación de certificado de nodo x.509 para otras implementaciones en el Proyecto. Puedes habilitar opcionalmente que cada otra implementación en el Proyecto utilice la autenticación de certificado de nodo x.509.
Importante
Si configuró el PEM del agente de MongoDB y estableció security.clusterAuthMode: en x509, se mostrará una advertencia de que Client connecting with server's own TLS certificate en los archivos de registro de mongod, indicando que el cliente se está conectando con el propio certificado TLS del servidor.
Este es el comportamiento esperado, porque el MongoDB Agent se conecta a Ops Manager usando la configuración de autorización interna. No se necesita ninguna acción.
Navega a la vista Clusters de tu implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haz clic en Deployment en la barra lateral.
- Haz clic en la vista Clusters.
Una vez que haya configurado las opciones TLS para cada proceso implementado, puede proceder a habilitar la autenticación x.509 para su proyecto de Ops Manager.
Habilitar la autenticación de certificado de cliente x.509 para el proyecto de Ops Manager
Navegue al cuadro de diálogo Security Settings para su implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realiza una de las siguientes acciones:
Si es la primera vez que configura los ajustes de TLS, autenticación o autorización para este proyecto, haga clic en Get Started.
Si ya ha configurado la autenticación TLS o los ajustes de autorización para este proyecto, haga clic en Edit.
Especifique la configuración de TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Active este control deslizante para ON. | ||||
Ruta del archivo CA de TLS | El archivo de la Autoridad de Certificación TLS es un archivo de certificado en formato La clave privada cifrada para el Escriba la ruta del archivo hasta el archivo de la Autoridad Certificadora TLS en cada host que ejecute un proceso de MongoDB:
Esto habilita la opción Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Ruta del archivo CA TLS del clúster | El archivo Si no especificas el
| ||||
Modo de certificado de cliente | Seleciona si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a una implementación de MongoDB habilitada para TLS. Cada implementación de MongoDB verifica los certificados de estos hosts clientes cuando intentan conectarse. Si opta por exigir los certificados TLS del cliente, asegúrese de que sean válidos. Los valores aceptados son:
|
Elige el mecanismo de autenticación.
En la sección MongoDB Deployment Authentication Mechanism, seleccione X.509 Client Certificate (MONGODB-X509).
Importante
Si no estás utilizando autorización LDAP, debes agregar usuarios a la base de datos $external en tu implementación de MongoDB. Para un ejemplo, consultar x.4509 Autenticación de certificados de cliente.
Configura los ajustes de autorizacion LDAP.
Importante
Puedes autenticar usuarios mediante certificados LDAP, Kerberos y X.509 sin necesidad de tener documentos de usuario locales en la base de datos $external, siempre que primero habilites la autorización LDAP. Cuando un usuario se autentica correctamente, MongoDB realiza una consulta al servidor LDAP para recuperar todos los grupos a los que pertenece ese usuario y los transforma en sus roles equivalentes de MongoDB.
Omite este paso si no deseas activar la autorizacion LDAP.
Ingresa los valores para los siguientes campos:
ConfiguraciónValorLDAP Authorization
Cambia a ON para habilitar la autorización LDAP.
Authorization Query Template
Especifica una plantilla para una URL de query LDAP para recuperar una lista de grupos LDAP para un usuario LDAP.
Configura X.509 Client Certificate (MONGODB-X509) para los agentes.
Puedes habilitar más de un mecanismo de autenticación para tu implementación de MongoDB, pero los agentes de Ops Manager solo pueden usar un mecanismo de autenticación. Selecciona X.509 Client Certificate (MONGODB-X509) para conectarte a tu implementación de MongoDB.
Selecciona la opción X.509 Client Certificate (MONGODB-X509) de la sección Agent Auth Mechanism.
Proporcione las credenciales para el agente MongoDB:
ConfiguraciónValorMongoDB Agent Username
Introduce el nombre distinguido LDAPv3 derivado del archivo clave PEM del agente.
MongoDB Agent Certificate File
Proporcione la ruta y el nombre del archivo del archivo PEM Key del Agente en el servidor en la línea correspondiente al sistema operativo.
MongoDB Agent Certificate Password
Proporcione la contraseña para el archivo de clave PEM si se cifró.
Haga clic en Save Settings.
Nota
Mientras guardas la configuración con una nueva contraseña, MongoDB intenta ambas contraseñas. Después de completar este procedimiento, puedes cambiar la contraseña en tu servidor LDAP. Después de rotar la contraseña en el lado del servidor LDAP, mueve el contenido del campo New Query Password al campo Query Password y deja vacío el campo New Query Password.
Crear roles de MongoDB para grupos LDAP. (opcional)
Después de activar la autorización LDAP, debe crear roles personalizados de MongoDB para cada Grupo LDAP que haya especificado para la autorización LDAP.