Configurar MongoDB autogestionado con autenticación Kerberos en Windows

Inicie mongod.exe sin Kerberos.

Para la incorporación inicial de usuarios de Kerberos, inicie mongod.exe sin soporte para Kerberos.

Si un usuario Kerberos ya está en MongoDB y tiene los privilegios requeridos para crear un usuario, puede mongod.exe iniciar con soporte Kerberos.

Incluye configuraciones adicionales según corresponda para tu implementación.

Conéctate a mongod.

Conecte mongosh a la instancia de mongod.exe. Si mongod.exe tiene --auth habilitado, asegúrate de conectarte con los privilegios necesarios para crear un usuario.

Agrega los principales de Kerberos a MongoDB.

Agregue un principal de Kerberos, <username>@<KERBEROS REALM>, a MongoDB en la base de datos $external. Especifica el realm de Kerberos en TODAS LETRAS MAYÚSCULAS. La base de datos $external permite a mongod.exe consultar una fuente externa (por ejemplo, Kerberos) para autenticar. Para especificar los privilegios del usuario, asigna roles al usuario.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

El siguiente ejemplo añade el principal Kerberos reportingapp@EXAMPLE.NET con acceso de sólo lectura a la base de datos records:

use $external
db.createUser(
   {
     user: "reportingapp@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

Añada otros responsables según sea necesario. Para cada usuario que desee autenticar usando Kerberos, debe crear un usuario correspondiente en MongoDB. Para obtener más información sobre cómo crear y gestionar usuarios, consulta Comandos de gestión de usuarios.

Inicia mongod.exe con compatibilidad para Kerberos.

Debe iniciar mongod.exe como la cuenta de entidad de servicio.

Para iniciar mongod.exe con soporte de Kerberos, establezca el parámetro mongod.exe authenticationMechanisms en GSSAPI:

mongod.exe --setParameter authenticationMechanisms=GSSAPI <additional mongod.exe options>

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

Por ejemplo, lo siguiente inicia una instancia autónoma mongod.exe con soporte para Kerberos:

mongod.exe --auth --setParameter authenticationMechanisms=GSSAPI --bind_ip localhost,<hostname(s)|ip address(es)>

Conectar el shell mongosh.exe con mongod.exe y autenticarse.

Conecta el cliente shell mongosh como el principal de Kerberos application@EXAMPLE.NET.

Puedes conectarte y autenticarte desde la línea de comandos.

Utilizando cmd.exe:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase=$external --username reportingapp@EXAMPLE.NET

Utilizando Windows PowerShell:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username reportingapp@EXAMPLE.NET  

Si se está conectando a un sistema cuyo nombre de host coincide con el nombre de Kerberos, asegúrate de especificar el nombre de dominio completo (FQDN) para la opción --host, en lugar de una dirección IP o un nombre de host no calificado.

Si te conectas a un sistema cuyo nombre de host no coincide con el nombre de Kerberos, primero conecta el mongosh shell a mongod.exe, y luego desde el mongosh shell, utiliza el método db.auth() para autenticarte en la base de datos $external.

use $external
db.auth( { mechanism: "GSSAPI", user: "reportingapp@EXAMPLE.NET" } )