Autentique usando SASL y LDAP autogestionados con Active Directory

Especificar el mecanismo.

En los sistemas que configuran saslauthd con el archivo /etc/sysconfig/saslauthd, como Red Hat Enterprise Linux, Fedora, CentOS, y Amazon Linux AMI, configura el mecanismo MECH en ldap:

MECH=ldap

En los sistemas que configuran saslauthd con el archivo /etc/default/saslauthd, como Ubuntu, configure la opción MECHANISMS en ldap:

MECHANISMS="ldap"

Ajustar el comportamiento del almacenamiento en caché.

En ciertas distribuciones de Linux, saslauthd comienza con el almacenamiento en caché de las credenciales de autenticación habilitado. Hasta que se reinicie o caduque la caché, saslauthd no contactará con el servidor LDAP para volver a autenticar a los usuarios en su caché de autenticación. Esto permite saslauthd que autentique correctamente a los usuarios en su caché, incluso si el servidor LDAP está inactivo o si se revocan las credenciales de los usuarios almacenados en caché.

Para establecer el tiempo de expiración (en segundos) para el caché de autenticación, consulte la opción -tde.saslauthd

Configurar las opciones LDAP con ActiveDirectory.

Si el saslauthd.conf archivo no existe, créelo. El saslauthd.conf archivo suele residir en la /etc carpeta. Si especifica una ruta de archivo diferente, consulte la opción -O saslauthdde.

Para utilizar con ActiveDirectory, inicie saslauthd con las siguientes opciones de configuración establecidas en el archivo saslauthd.conf:

ldap_servers: <ldap uri>
ldap_use_sasl: yes
ldap_mech: DIGEST-MD5
ldap_auth_method: fastbind

Para <ldap uri>, especifique la URI del servidor LDAP. Por ejemplo, ldap_servers: ldaps://ad.example.net.

Para obtener más información sobre la saslauthd configuración de, consulte http://www.openldap.org/doc/admin24/guide.html#Configuringsaslauthd.

Pruebe la saslauthd configuración.

Utiliza la utilidad testsaslauthd para probar la configuración saslauthd. Por ejemplo:

testsaslauthd -u testuser -p testpassword -f /var/run/saslauthd/mux

• 0: OK "Success" Indica una autenticación exitosa.

• 0: NO "authentication failed" Indica un error de nombre de usuario, contraseña o configuración.

Modifique la ruta del archivo con respecto a la ubicación del directorio saslauthd en el sistema operativo host.

Agregar usuario a MongoDB para autenticación.

Agregue el usuario a la $external base de datos en MongoDB. Para especificar sus privilegios, asígnele roles.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

Por ejemplo, lo siguiente agrega un usuario con acceso de solo lectura a la base de datos records.

db.getSiblingDB("$external").createUser(
    {
      user : <username>,
      roles: [ { role: "read", db: "records" } ]
    }
)

Agregue principales adicionales según sea necesario. Para obtener más información sobre la creación y administración de usuarios, consulte Comandos de administración de usuarios.

Configurar el servidor MongoDB.

Para configurar el servidor MongoDB para utilizar la saslauthd instancia para la autenticación de proxy, incluya las siguientes opciones al mongod iniciar:

• --auth opción de línea de security.authorization comando o configuración,

• authenticationMechanisms parámetro establecido PLAIN en, y

• saslauthdPath parámetro establecido a la ruta al zócalo de dominio Unix de la instancia saslauthd.

  Importante

  El directorio principal del archivo de saslauthd socket de dominio Unix especificado en security.sasl.saslauthdSocketPath o debe --setParameter saslauthdPath otorgarr-x permisos de lectura y ejecución () para:

  • El usuario que inicia mongod mongoso, o

  • Un grupo al que pertenece ese usuario.

  El mongod o no pueden autenticarse exitosamente a través mongos de saslauthd sin el permiso especificado en el saslauthd directorio y ​​su contenido.

Si utiliza la authorization opción para aplicar la autenticación, necesitará privilegios para crear un usuario.

mongod --auth --setParameter saslauthdPath=/<some>/<path>/saslauthd/mux --setParameter authenticationMechanisms=PLAIN

O si utiliza un archivo de configuración en formato YAML, especifique las siguientes configuraciones en el archivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: /<some>/<path>/saslauthd/mux
   authenticationMechanisms: PLAIN

O, si utiliza el formato de archivo de configuración anterior:

auth=true
setParameter=saslauthdPath=/<some>/<path>/saslauthd/mux
setParameter=authenticationMechanisms=PLAIN

mongod --auth --setParameter saslauthdPath="" --setParameter authenticationMechanisms=PLAIN

O si utiliza un archivo de configuración en formato YAML, especifique las siguientes configuraciones en el archivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: ""
   authenticationMechanisms: PLAIN

O, si utiliza el formato de archivo de configuración anterior:

auth=true
setParameter=saslauthdPath=""
setParameter=authenticationMechanisms=PLAIN

Incluye opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a la implementación o si los miembros de la implementación se ejecutan en diferentes hosts, se debe especificar la configuración net.bindIp.

Autenticar al usuario en mongosh.

Puede autenticarse desde la línea de comandos durante la conexión o conectarse primero y luego autenticarse utilizando el db.auth() método.

mongosh --host <host> --authenticationMechanism PLAIN --authenticationDatabase '$external' -u <user> -p

db.getSiblingDB("$external").auth(
   {
     mechanism: "PLAIN",
     user: <username>,
     pwd:  passwordPrompt() // or cleartext password
   }
)

El servidor reenvía la contraseña en texto plano. En general, úsela solo en un canal confiable (VPN, TLS/SSL, red cableada confiable). Consulte Consideraciones.