MongoDB Enterprise はKerberos をサポートしています。Kerberos は、 ネットワーク認証プロトコルです。MongoDB Agent は、Kerberos を実行するMongoDBインスタンスに対して認証できます。
前提条件
最小有効期間が 4 時間のチケットを発行するための KDC の構成
Kerberos チケットは期間限定でユーザーを認証できます。 4 時間以上有効なチケットを発行するには、 Kerberos キーディストリビューションセンター（KDC） を設定する必要があります。 MongoDB Agent はチケットを定期的に更新します。 KDC サービスは、ユーザーとホストにセッション チケットと一時的なセッション キーを提供します。
配置用認証メカニズムとして Kerberos を追加
MongoDB Agent は、MongoDB ユーザーと同様に、配置内の MongoDB データベースを操作します。 そのため、認証をサポートするように MongoDB 配置と MongoDB Agent を構成する必要があります。
配置を追加するときに配置の認証メカニズムを指定することも、既存の配置の設定を編集することもできます。 少なくとも、MongoDB Agent が使用する認証メカニズムを配置で有効にする必要があります。 MongoDB Agent は、サポートされている任意の認証メカニズムを使用できます。
このチュートリアルでは、次のことを確認する必要があります。
配置が Kerberos 認証をサポートしている
MongoDB Agent は Kerberos 認証を使用します。
Kerberos 認証を有効にする方法については、「 Cloud Manager プロジェクトで Kerberos 認証を有効にする 」を参照してください。
Kerberos を使用するように MongoDB Agent ホストを構成する
モニタリングまたはバックアップを実行中のホストに、Kerberos 関連のファイルを 2 つインストールする必要があります。
5krb.conf Kerberos構成ファイルを作成または構成します。
プラットフォームデフォルト パスノートLinux
/etc/krb5.confWindows
%WINDIR%\krb5.iniこれは、非アクティブ ディレクトリ ベースの Kerberos 実装のデフォルト パスです。 Kerberos 構成ファイルが保存されている場所を確認するには、Windows のバージョンの Kerberos 実装のドキュメントを参照してください。
Linuxシステムで: キー バイナリが
/usr/bin/kinitに配置されていることを確認してください。kinitは、Kerberos を使用してエージェントを認証する Kerberos チケット発行チケットを取得または更新します。
手順
MongoDB Agent の Kerberos ユーザー プリンシパルを作成する
MongoDB Agent の Kerberos ユーザー プリンシパル名（ UPN ）を作成または選択します。
UPN は 2 つの部分に形式設定されるため、Kerberos邦土全体でサービスを一意に識別できます。
コンポーネント | 説明 |
|---|---|
サービス名 | ホストが Kerberos レルムに提供している 1 つのサービスの名前（ |
Kerberos realm | 同じ Kerberos データベースを共有する管理対象ホストとサービスのセット。 Kerberos の命名規則により、 |
例
に設定されている Kerberos邦土では、EXAMPLE.COM MongoDB Agent は UPN を次のように設定します:mongodb-agent@EXAMPLE.COM
MongoDB Agentkeytab の Kerberos UPN 用の ファイルを生成します。
MongoDB Agent UPN 用のキータブファイル（*.keytab ）を生成し、 MongoDB Agent を実行するホストにコピーします。 MongoDB Agent を実行するオペレーティングシステムユーザーが、keytab ファイルを所有するオペレーティングシステムユーザーと同じであることを確認します。
MongoDB Agent UPN のユーザーの作成とロールの割り当て
適切な手順を表示するには、配置タイプを選択してください。