Gestión de identidad y acceso de AWS

Marcadores de posición de código

Los ejemplos de código de esta página utilizan los siguientes marcadores de posición:

• <hostname>:La dirección de red de su implementación de MongoDB

• <aws-access-key-id>:El ID de la clave de acceso de AWS

• <aws_secret_access_key>: La clave de acceso secreta de AWS

• <aws_session_token>:El token de sesión de AWS

Proporcionar credenciales explícitamente

Puede proporcionar credenciales de IAM regulares (no temporales) como opciones de cliente o mediante un URI. Seleccione Connection String o la pestaña Client Options para ver la sintaxis correspondiente:

client = Mongo::Client.new(
  'mongodb://<aws_access_key_id>:<aws_secret_access_key>@host/?authMechanism=MONGODB-AWS')

client = Mongo::Client.new(['<host>'],
                           auth_mech: :aws,
                           user: '<aws_access_key_id>',
                           password: '<aws_secret_access_key>')

Proporcionar credenciales temporales

Para proporcionar credenciales temporales, especifique el token de sesión en las opciones del cliente o mediante una URI. Seleccione la pestaña Connection String o Client Options para ver la sintaxis correspondiente:

client = Mongo::Client.new(
  'mongodb://<aws_access_key_id>:<aws_secret_access_key>@host/?authMechanism=MONGODB-AWS&authMechanismProperties=AWS_SESSION_TOKEN:<<aws_session_token>>')

client = Mongo::Client.new(['<host>'],
                           auth_mech: :aws,
                           user: '<aws_access_key_id>',
                           password: '<aws_secret_access_key>',
                           auth_mech_properties: {
                             aws_session_token: '<<aws_session_token>>',
                           })

Recuperación automática de credenciales

El cliente puede recuperar credenciales del entorno o de los puntos finales de metadatos de EC2 o ECS. Para recuperar credenciales automáticamente, especifique el mecanismo de autenticación de AWS, pero no especifique un nombre de usuario ni una contraseña. Seleccione la pestaña Connection String o Client Options para ver la sintaxis correspondiente:

client = Mongo::Client.new(
  'mongodb://host/?authMechanism=MONGODB-AWS')

client = Mongo::Client.new(['<hostname>'],
                           auth_mech: :aws)
)

El controlador intenta obtener credenciales de las siguientes fuentes, en el orden especificado:

• AWS_ACCESS_KEY_IDVariables de entorno AWS_SECRET_ACCESS_KEY y AWS_SESSION_TOKEN. Estas variables de entorno son reconocidas por diversas bibliotecas y herramientas relacionadas con AWS, como el SDK oficial de AWS Ruby y la CLI de AWS. También se definen al ejecutarse en un entorno de AWS Lambda.

• Acción AssumeRoleWithWebIdentity de AWS STS. Este mecanismo devuelve las credenciales asociadas al token de la cuenta de servicio y requiere que se configuren las siguientes variables de entorno:

  • AWS_WEB_IDENTITY_TOKEN_FILE: Ruta a un archivo que contiene el token de cuenta de servicio.

  • AWS_ROLE_ARN:El nombre de recurso de Amazon (ARN) del rol que asume el llamador.

  • AWS_ROLE_SESSION_NAME (opcional): Identificador de la sesión del rol asumido. Si esta variable está vacía, el controlador genera un identificador aleatorio.

• El punto de conexión de metadatos de la tarea de AWS ECS. Este punto de conexión devuelve las credenciales asociadas con el rol de tarea de ECS asignado al contenedor.

• El punto de conexión de metadatos de la instancia de AWS EC. Este punto de conexión devuelve las credenciales asociadas con el2 2 rol de instancia de EC asignado a la instancia.