Overview
AWS IAM ユーザーまたはロール を使用すると、パスワードを管理せずに Atlas クラスターへのデータベースユーザーを認証できます。 AWS IAM を使用すると、認証メカニズムの数と管理対象の秘密の数が削減されます。 Atlas はネットワーク経由で認証秘密キーを受信せず、ドライバーは秘密キーを保持しません。
ユースユースケースに適した認証方法を選択します。
IAM ロール: AWSサービス（EC2 、 Lambda 、ECS）またはフェデレーティッド ユーザーが引き受けるロール。 AWSコンピューティング リソースで実行中ワークロードには、アプリケーションとワークロードロードにアクセスするために IAM ロール を使用することをお勧めします。
IAM ユーザー:データベースに直接アクセスする必要がある個々のAWSユーザー。このオプションは、特定のユーザー認証情報で実行中アプリケーションに適しています。開発者や管理者などの人間が使用する場合は、 IdPで直接 SSO を使用するために、OIDC とともに Workforce IdP フェデレーション を使用することをお勧めします。
重要
クライアントがAWS IAMデータベース認証を使用して接続する前に、 IAM認証用に構成されたデータベースユーザーを作成する必要があります。認証にIAM Users または を使用するデータベースユーザーを作成する方法については、「IAM Roles データベースユーザーの管理 」を参照してください。
Amazon Web Services IAM ロールを使用して認証を設定する
Amazon Web ServicesIAM ロールを設定して、 クラスターへのAmazon Web Services コンピュートAtlas タイプを認証できます。
注意
Amazon Web Services IAM プリンシパルの認証は、LDAP 認証が有効になっている場合は設定できません。
Amazon Web Services IAM プリンシパルの認証が必要な場合は、Amazon Amazon Web Services IAM 認証でアクセスするクラスターを、 LDAP認証が無効になっている別のプロジェクトに移動することを検討してください。
Amazon Web Services LambdaおよびHTTP （ECS および EC2）の場合、ドライバーは 環境変数 から自動的に読み取りを行います。Amazon Web Services EKS の場合、 IAM ロールを手動で割り当てる必要があります。
このページでは、AWS Lambda、AWS ECS、AWS EKS による AWS IAM ロールを使用した接続方法について説明します。
注意
AWS コンソールで、Lambda、EC2、ECS、または EKS に IAM ロールを割り当てる必要があります。
AWS Lambda は、Lambda 関数に 実行ロールを割り当てる と、次の環境変数を通じて関数に情報を渡します。
AWS_ACCESS_KEY_IDAWS_SECRET_ACCESS_KEYAWS_SESSION_TOKEN
注意
関数内で 実行ロール を使用する場合は、これらの環境変数を手動で作成する必要はありません。
これらの環境変数について詳しくは、 Amazon Web Services Lambda環境変数の使用 を参照してください。
Amazon Web Services ECS は次の URI から資格情報を取得します。
http://169.254.170.2${AWS_CONTAINER_CREDENTIALS_RELATIVE_URI}
AWS_CONTAINER_CREDENTIALS_RELATIVE_URI は、環境変数です。詳細については、 Amazon Web Servicesドキュメントのタスクの IAM ロールを参照してください。
AWS EC2 インスタンスは、2 IAM ロールが付与されている場合、 インスタンス メタデータ サービス V から自動的に認証情報を取得します。認証情報は、次のURLから検索されます。
http://169.254.169.254/latest/meta-data/iam/security-credentials/
重要
認証を機能させるには、EC2インスタンスに IAM ロールをアタッチする必要があります。 IAM ロールには、Atlas クラスターにアクセスするために必要な権限が必要です。
EC インスタンスに IAM ロールをアタッチする方法については、2 AWSドキュメントにある「 IAM ロールを使用してインスタンスを起動する 」を参照してください。
Amazon Web Services Services ECS Fargate での認証用にAmazon Web Services IAM ロールを設定する方法については、 Amazon Amazon Web Services のドキュメントの「Amazon ECSタスク実行 IAM ロール」を参照してください。
AWS EKS の場合、まずポッドに IAM ロールを割り当てて、そのポッドで次の環境変数を設定する必要があります。
AWS_WEB_IDENTITY_TOKEN_FILE- Web ID トークン ファイルへのパスが含まれます。AWS_ROLE_ARN- クラスターへの接続に使用されるIAMロールが含まれます。
Amazon Web Services EKS の詳細については、「 Amazon EKS とは 」を参照してください。 （ Amazon Web Servicesのドキュメント）。
Amazon Web Services IAM ロールへのデータベースアクセスの付与
データベースアクセスを AWS IAM ロールに許可するには、 AWS IAM の データベースユーザーの設定 セクションで説明されている手順を完了します。Atlas CLI、 Atlas 管理API、または Atlas UIを使用してデータベースへのアクセスを許可する方法の詳細については、データベースユーザーの設定を参照してください。
IAM を使用してAtlas クラスターに接続Amazon Web Services
を使用してAmazon Web Services IAM 認証情報でmongosh に接続するにAtlas は、 MONGODB- 認証メカニズムを指定する接続 を指定しますstringAmazon Web Services 。この接続文字列形式は、すべてのAmazon Web Services IAM 認証メカニズムに適用されます。
重要
この接続文字列形式を使用する前に、 Amazon Web Services IAM ロールを使用した認証の設定で説明されている方法のいずれかを使用して認証を設定する必要があります。
mongosh で Amazon Web Services IAM 認証を使用して Atlas に接続するには、shell バージョン v0.9.0 以上が必要です。
次の点を考慮してください。
アクセス キー ID をユーザー名、秘密鍵をパスワードとして使用して、AWS IAM 認証情報を使用します。
authSourceクエリ パラメータは$externalで、%24externalとしてURL エンコードします。authMechanismクエリ パラメータはMONGODB-AWSです。例
mongosh "mongodb+srv://<atlas-host-name>/test?authSource=%24external&authMechanism=MONGODB-AWS" --username <access-key-id> --password <secret-key>