Configura MongoDB autogestionado con la autenticación Kerberos en Linux

Inicie mongod sin Kerberos.

Para la incorporación inicial de usuarios de Kerberos, inicie mongod sin soporte de Kerberos.

Si un usuario Kerberos ya está en MongoDB y tiene los privilegios necesarios para crear un usuario, puede iniciar con soporte mongod Kerberos.

Incluye configuraciones adicionales según corresponda para tu implementación.

Conéctate a mongod.

Conecte mongosh a la instancia de mongod. Si mongod tiene --auth habilitado, asegúrate de conectarte con los privilegios necesarios para crear un usuario.

Agregar principal(es) Kerberos a MongoDB.

Agregue un principal de Kerberos, <username>@<KERBEROS REALM> o <username>/<instance>@<KERBEROS REALM>, a MongoDB en la base de datos $external. Especifique el realm de Kerberos en mayúsculas. La $external base de datos permite que mongod consulte una fuente externa (por ejemplo, Kerberos) para autenticar. Para especificar los privilegios del usuario, asigna roles al usuario.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

El siguiente ejemplo añade el principal Kerberos application/reporting@EXAMPLE.NET con acceso de sólo lectura a la base de datos records:

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

Añada otros responsables según sea necesario. Para cada usuario que desee autenticar usando Kerberos, debe crear un usuario correspondiente en MongoDB. Para obtener más información sobre cómo crear y gestionar usuarios, consulta Comandos de gestión de usuarios.

Inicia mongod con compatibilidad para Kerberos.

Para iniciar mongod con soporte de Kerberos, establece la variable ambiental KRB5_KTNAME en la ruta del archivo keytab y el parámetro mongod authenticationMechanisms a GSSAPI en el siguiente formato:

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

Por ejemplo, lo siguiente inicia una instancia autónoma mongod con soporte para Kerberos:

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

La ruta a su archivo mongod y a su archivo keytab puede ser diferente. El archivo keytab solo debe ser accesible para el propietario del mongod proceso.

Con los paquetes oficiales .deb o .rpm, puedes configurar el KRB5_KTNAME en un archivo de configuración de entorno. Consulte KRB5_KTNAME para más detalles.

Conecta mongosh a mongod y autentícalo.

Conecta el cliente mongosh como el principal Kerberos application/reporting@EXAMPLE.NET. Antes de conectarse, debe haber utilizado el programa kinit de Kerberos para obtener credenciales para application/reporting@EXAMPLE.NET.

Puedes conectarte y autenticarte desde la línea de comandos.

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

Si se está conectando a un sistema cuyo nombre de host coincide con el nombre de Kerberos, asegúrate de especificar el nombre de dominio completo (FQDN) para la opción --host, en lugar de una dirección IP o un nombre de host no calificado.

Si se conecta a un sistema cuyo nombre de host no coincide con el nombre de Kerberos, primero conectemongoshamongody luego, desdemongosh, utilice el métododb.auth()para autenticarse en la base de datos $external.

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )