Ops Manager le permite configurar los mecanismos de autenticación que todos los clientes, incluidos los agentes de Ops Manager, utilizan para conectarse a sus implementaciones de MongoDB. Puede habilitar varios mecanismos de autenticación para cada proyecto, pero debe elegir solo uno para los agentes.
MongoDB Enterprise admite el envío de solicitudes de autenticación a un servicio de Protocolo ligero de acceso a directorios (LDAP).
LDAP Solo está disponible en compilaciones de MongoDB Enterprise. Si tiene implementaciones ejecutándose en una compilación de MongoDB Community, debe actualícelos a MongoDB Enterprise antes de poder habilitar LDAP para su proyecto Ops Manager.
Considerations
MongoDB Enterprise admite enlaces simples y SASL a servidores de Protocolo ligero de acceso a directorios (LDAP) a través de saslauthd y bibliotecas del sistema operativo:
MongoDB Enterprise para Linux puede vincularse a un servidor LDAP a través de
saslauthdo, a partir de MongoDB 3.4, a través de las bibliotecas del sistema operativo.A partir de la versión 3.4 de MongoDB, MongoDB Enterprise para Windows puede vincularse a un servidor LDAP a través de las bibliotecas del sistema operativo.
Las secciones "Autenticación de proxy LDAP" y "Autorización LDAP" del manual de MongoDB ofrecen más información sobre LDAP y MongoDB. La configuración de LDAP y SASL queda fuera del alcance de este documento.
Procedimiento
Este procedimiento describe cómo configurar y habilitar la autenticación LDAP al usar Automation. Si Ops Manager no administra la supervisión ni la copia de seguridad, debe configurarlas manualmente para que las usen. LDAP. Para configurar LDAP, consulte Configurar el agente MongoDB para LDAP.
Nota
Si desea restablecer la configuración de autenticación y TLS para su proyecto, primero deje de administrar cualquier implementación de MongoDB que Ops Manager administre en su proyecto.
Navegar hasta el Security Settings diálogo para su implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haga clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realice una de las siguientes acciones:
Si es la primera vez que configura TLS, autenticación o autorización para este proyecto, haga clic Get Started en.
Si ya ha configurado la autenticación TLS o las configuraciones de autorización para este proyecto, haga clic Edit en.
Opcional: especifique la configuración de TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Cambie este control deslizante a ON. | ||||
Ruta de archivo CA TLS | El archivo de la autoridad de certificación TLS es un archivo de certificado con formato que contiene la cadena de certificados raíz de la autoridad de certificación. El agente de MongoDB utiliza este mismo archivo de autoridad de certificación para conectarse a todos los elementos de su implementación. La clave privada cifrada para el Escriba la ruta del archivo de la autoridad de certificación TLS en cada host que ejecute un proceso MongoDB:
Esto habilita la configuración para los procesos MongoDB en el Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Modo de certificado de cliente | Seleccione si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a implementaciones de MongoDB con TLS habilitado. Cada implementación de MongoDB comprueba si estos hosts cliente tienen certificados al intentar conectarse. Si decide requerir los certificados TLS del cliente, asegúrese de que sean válidos. Los valores aceptados son:
|
Advertencia
Se recomienda utilizar TLS (Seguridad de la capa de transporte)/SSL (Capa de sockets seguros) con LDAP (Protocolo ligero de acceso a directorios)
De forma predeterminada, el tráficoLDAP se envía como texto sin formato. Esto significa que las credenciales (nombre de usuario y contraseña) están expuestas a amenazas básicas de red, como rastreadores y repeticiones. Utilice LDAPS (LDAP sobre TLS/SSL) para cifrar la autenticación. Muchos servicios de directorio modernos, como Active Directory, requieren conexiones cifradas.
Elija el mecanismo de autenticación.
En la sección MongoDB Agent Connections to Deployment, seleccione LDAP.
Seleccione el tipo apropiado de autenticación LDAP.
Importante
Si está utilizando la autorización LDAP, debe seleccionar Native LDAP Authentication.
Si no utiliza la autorización LDAP, debe agregar usuarios a la
$externalbase de datos en su implementación de MongoDB. Para ver un ejemplo, consulte Autenticación LDAP.
Configurar los ajustes de autorización LDAP (opcional).
Importante
A partir de MongoDB 3.4, puede autenticar usuarios mediante certificados LDAP, Kerberos o X.509 sin necesidad de documentos de usuario locales en la base de datos $external, siempre que habilite primero la autorización LDAP. Cuando un usuario se autentica correctamente, MongoDB realiza una consulta al servidor LDAP para recuperar todos los grupos que posee y los transforma en sus roles equivalentes de MongoDB.
Los procesos de MongoDB se reinician de forma progresiva cuando se aplican estos cambios.
Omita este paso si seleccionó Saslauthd en el paso anterior.
Si seleccionó Native LDAP Authentication, complete los siguientes pasos:
Proporcione los siguientes valores:
ConfiguraciónValorServer URL
Especifique la combinación
hostname:portde uno o más servidores LDAP.Seguridad del transporte
Seleccione
TLSpara cifrar sus consultas LDAP. Si no necesita cifrarlas, seleccioneNone.Tiempo de espera (ms)
Especifica cuánto tiempo debe esperar una solicitud de autenticación antes de agotar el tiempo.
Método de enlace
Seleccione
SASLoSimple.Importante
Si elige el método de enlace
Simple, seleccioneTLSde Transport Security porque el método de enlaceSimplepasa la contraseña en texto sin formato.Mecanismos SASL
Especifique qué servicio de autenticación SASL utiliza MongoDB con el servidor LDAP.
Consulta de usuario (DN de enlace LDAP)
Especifique el nombre distinguido LDAP al que MongoDB se vincula cuando se conecta al servidor LDAP.
Query Password (LDAP Bind nombre distinguido)
Especifique la contraseña con la que MongoDB se vincula cuando se conecta a un servidor LDAP.
Intervalo (s) de invalidación de caché de usuario LDAP
Especifica el tiempo que MongoDB espera para vaciar la caché de usuarios LDAP. El valor predeterminado es
30segundos.Asignación de usuario a nombre distinguido
Especifique una matriz de documentos JSON que proporcionen las transformaciones ordenadas que MongoDB realiza en los nombres de usuario autenticados. MongoDB compara el nombre de usuario transformado con los DN LDAP.
Validate LDAP Server Config
Selecciona
ONpara validar la configuración del servidor LDAP oOFFpara omitir la validación.Si es
ONy la configuración no es válida, la implementación de MongoDB no se iniciará.En la sección LDAP Authorization, ingrese valores para los siguientes campos:
ConfiguraciónValorLDAP Authorization
Cambie a ON para habilitar la autorización LDAP.
Authorization Query Template
Especifique una plantilla para una URL de consulta LDAP para recuperar una lista de grupos LDAP para un usuario LDAP.
User to Distinguished Name Mapping
Especifique una matriz de documentos JSON que proporcionen las transformaciones ordenadas que MongoDB realiza en los nombres de usuario autenticados. MongoDB compara el nombre de usuario transformado con los DN LDAP.
Configure los agentes para usar LDAP para conectarse a su implementación de MongoDB.
Seleccione la opción LDAP de la sección Agent Auth Mechanism.
Proporcione credenciales para el agente MongoDB:
ConfiguraciónValorMongoDB Agent Username
Introduzca el nombre de usuario LDAP.
MongoDB Agent Password
Introduce la contraseña del nombre de usuario LDAP del agente.
DN del grupo LDAP del agente MongoDB
Si habilitó la Autorización LDAP, ingrese el DN del grupo del cual es miembro el usuario del Agente MongoDB.
Crear roles de MongoDB para grupos LDAP (opcional).
Después de habilitar la autorización LDAP, debe crear roles MongoDB personalizados para cada grupo LDAP que haya especificado para la autorización LDAP.