Configurar MongoDB autogestionado con autenticación Kerberos en Windows

Inicie mongod.exe sin Kerberos.

Para la incorporación inicial de usuarios de Kerberos, inicie mongod.exe sin soporte de Kerberos.

Si un usuario Kerberos ya está en MongoDB y tiene los privilegios necesarios para crear un usuario, puede iniciar con soporte mongod.exe Kerberos.

Incluye configuraciones adicionales según corresponda para tu implementación.

Conéctate a mongod.

Conecte mongosh a la instancia de mongod.exe. Si mongod.exe tiene --auth habilitado, asegúrate de conectarte con los privilegios necesarios para crear un usuario.

Agregar principal(es) Kerberos a MongoDB.

Agregue un principal de Kerberos, <username>@<KERBEROS REALM>, a MongoDB en la base de datos $external. Especifica el realm de Kerberos en TODAS LETRAS MAYÚSCULAS. La base de datos $external permite a mongod.exe consultar una fuente externa (por ejemplo, Kerberos) para autenticar. Para especificar los privilegios del usuario, asigna roles al usuario.

Para usar sesiones de cliente y garantías de coherencia causal con usuarios de autenticación $external (usuarios Kerberos, LDAP o X.509), los nombres de usuario no pueden superar los 10k bytes.

El siguiente ejemplo añade el principal Kerberos reportingapp@EXAMPLE.NET con acceso de sólo lectura a la base de datos records:

use $external
db.createUser(
   {
     user: "reportingapp@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

Añada otros responsables según sea necesario. Para cada usuario que desee autenticar usando Kerberos, debe crear un usuario correspondiente en MongoDB. Para obtener más información sobre cómo crear y gestionar usuarios, consulta Comandos de gestión de usuarios.

Inicia mongod.exe con compatibilidad para Kerberos.

Debe iniciar como cuenta mongod.exeprincipal del servicio.

Para iniciar mongod.exe con soporte de Kerberos, establezca el parámetro mongod.exe authenticationMechanisms en GSSAPI:

mongod.exe --setParameter authenticationMechanisms=GSSAPI <additional mongod.exe options>

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

Por ejemplo, lo siguiente inicia una instancia autónoma mongod.exe con soporte para Kerberos:

mongod.exe --auth --setParameter authenticationMechanisms=GSSAPI --bind_ip localhost,<hostname(s)|ip address(es)>

Conecte mongosh.exe el shell a mongod.exe y autentíquese.

Conecte el mongosh cliente de shell como principal application@EXAMPLE.NET Kerberos.

Puedes conectarte y autenticarte desde la línea de comandos.

Usando cmd.exe:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase=$external --username reportingapp@EXAMPLE.NET

Usando Windows PowerShell:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username reportingapp@EXAMPLE.NET  

Si se está conectando a un sistema cuyo nombre de host coincide con el nombre de Kerberos, asegúrate de especificar el nombre de dominio completo (FQDN) para la opción --host, en lugar de una dirección IP o un nombre de host no calificado.

Si te conectas a un sistema cuyo nombre de host no coincide con el nombre de Kerberos, primero conecta el mongosh shell a mongod.exe, y luego desde el mongosh shell, utiliza el método db.auth() para autenticarte en la base de datos $external.

use $external
db.auth( { mechanism: "GSSAPI", user: "reportingapp@EXAMPLE.NET" } )