/ /

データベースリソースの配置

Docs Home

管理

Kubernetes 演算子のコントローラー

データベースリソースの配置

Docs Home

管理

Kubernetes 演算子のコントローラー

データベースリソースの配置

単一クラスター LDAP 認証の構成

MongoDB Enterpriseは以下をサポートします。

LDAP（Lightweight Directory Access Protocol）サービスへの認証リクエストをプロキシする。
LDAP サーバーへの簡易バインディングと SASL バインディング。 MongoDB Enterprise は、 saslauthdまたはオペレーティングシステムライブラリを介して LDAP サーバーにバインドできます。

詳細については、MongoDB Server ドキュメントの「 LDAP プロキシ認証」および「 LDAP 認証」セクションを参照してください。

Kubernetes Operator を使用して、MongoDB 配置に接続するクライアントアプリケーションを認証するための LDAP を構成できます。このガイドでは、クライアントアプリケーションから MongoDB 配置への LDAP 認証を構成する方法について説明します。

注意

Kubernetes クラスターでは MongoDB のスタンドアロンインスタンスを保護することはできません。

Considerations

To configure LDAP in CustomResourceDefinitions, use the parameters under the spec.security.authentication.ldap and other security LDAP settings specific to the MongoDB Agent, from the Kubernetes Operator MongoDB resource specification. The procedures in this section describe the required settings and provide examples of LDAP configuration.
To improve security, consider deploying a TLS-encrypted replica set or a TLS-encrypted sharded cluster. Encryption with TLS is optional. By default, LDAP traffic is sent as plain text. This means that username and password are exposed to network threats. Many modern directory services, such as Microsoft Active Directory, require encrypted connections. Consider using LDAP over TLS to encrypt authentication requests in your Kubernetes Operator MongoDB deployments.

一般的な前提条件

MongoDB 配置の LDAP 認証を構成する前に、次のタスクを完了してください。

MongoDB Enterprise データベースリソースを配置することを確認します。 MongoDB Community データベースは LDAP 認証をサポートしていません。
レプリカセットを配置するか、 LDAP で保護するクライアント認証を持つシャーディングされたクラスターを配置します。

レプリカセットの LDAP クライアント認証の構成

Copy the sample replica set resource.

このYAMLファイルの設定を、必要なレプリカセット構成に合わせて変更します。

1 ---
2 apiVersion: mongodb.com/v1
3 kind: MongoDB
4 metadata:
5   name: <my-replica-set>
6 spec:
7   members: 3
8   version: "8.0.0"
9   opsManager:
10     configMapRef:
11             # Must match metadata.name in ConfigMap file
12       name: <configMap.metadata.name>
13   credentials: <mycredentials>
14   type: ReplicaSet
15   persistent: true

16   security:
17     tls:
18       ca: <custom-ca>
19     certsSecretPrefix: <prefix>
20 ...

コピーした例セクションを既存のレプリカセットリソースに貼り付けます。

Open your preferred text editor and paste the object specification at the end of your resource file in the spec section.

レプリカセットリソースの LDAP 設定を構成します。

配置でLDAPを有効にするには、Kubernetes オブジェクトで次の設定を構成します。

キー	の種類と必要性	説明	例
`spec.security` `.authentication.enabled`	ブール値、必須	LDAP 認証を有効にするには、を`true`に設定します。	`true`
`spec.security` `.authentication.ldap.bindQueryUser`	string, required	LDAP サーバーに接続するときに MongoDB がバインドする LDAP 識別名を指定します。	`cn=admin,dc=example,dc=org`
`spec.security` `.authentication.ldap.bindQueryPasswordSecretRef`	string, required	シークレットの名前を指定するこれには、LDAP サーバーに接続するときに MongoDB がバインドする LDAP バインド識別名のパスワードが含まれます。	`<secret-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.name`	string、任意	ConfigMap を追加する配置の TLS 証明書に署名するために使用したカスタム CA を保存するの名前。	`<configmap-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.key`	string、任意	LDAP サーバーの TLS 証明書を検証する CA を保存するフィールド名を追加します。	`<configmap-key>`
`spec.security` `.authentication.ldap.servers`	文字列の配列、必須	1 つ以上の LDAP サーバーの`hostname:port`の組み合わせのリストを指定します。各サーバーには、個別の行を使用します。	`<example.com:636>`
`spec.security` `.authentication.ldap.transportSecurity`	string、任意	LDAPS（ TLS経由の LDAP ）を使用するには、を`tls`に設定します。 LDAP サーバーが TLS を受け入れていない場合は、を空白のままにします。この設定を使用するには、データベースリソースを配置するときに TLS を有効にする必要があります。	`tls`
`spec.security` `.authentication.ldap.userToDNMapping`	string, required	Specify the mapping that maps the username provided to `mongod` or `mongos` for authentication to an LDAP Distinguished Name (DN). To learn more, see `security.ldap.userToDNMapping` and LDAP Query Templates in the MongoDB Server documentation.	`<match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org">`
`spec.security` `.authentication.modes`	string, required	LDAP による認証を有効にするには、を`LDAP`に設定します。	`LDAP`

結果の構成は、次の例のようになります。

security:
 authentication:
   enabled: true
   # Enabled LDAP Authentication Mode
   modes:
     - "LDAP"
     - "SCRAM"
     # LDAP related configuration
   ldap:
   # Specify the hostname:port combination of one or
   # more LDAP servers
     servers:
       - "ldap1.example.com:636"
       - "ldap2.example.com:636"
   # Set to "tls" to use LDAP over TLS. Leave blank if
   # the LDAP server doesn't accept TLS. You must enable TLS when you deploy the database resource to use this setting.
   transportSecurity: "tls"
   # If TLS is enabled, add a reference to a ConfigMap that
   # contains a CA certificate that validates the LDAP server's
   # TLS certificate.
   caConfigMapRef:
     name: "<configmap-name>"
     key: "<configmap-entry-key>"
   # Specify the LDAP Distinguished Name to which
   # MongoDB binds when connecting to the LDAP server
   bindQueryUser: "cn=admin,dc=example,dc=org"
   # Specify the password with which MongoDB binds
   # when connecting to an LDAP server. This is a
   # reference to a Secret Kubernetes Object containing
   # one "password" key.
   bindQueryPasswordSecretRef:
     name: "<secret-name>"

LDAP 設定の完全なリストについては、 Kubernetes Operator MongoDB リソース仕様のセキュリティ設定を参照してください。また、LDAP 対応の Kubernetes Operator ユーザー配置で MongoDB Agent ユーザーのspec.security.authentication.agents.automationUserName設定も参照してください。

MongoDB Agent の LDAP 設定を構成します。

Kubernetes Operator MongoDB リソース仕様から、エージェントに固有のセキュリティ設定を使用して MongoDB リソースを更新します。結果の構成は、次の例のようになります。

security:
  authentication:
    agents:
      automationPasswordSecretRef:
        key: automationConfigPassword
        name: automation-config-password
      automationUserName: mms-automation-agent
      clientCertificateSecretRef:
        name: agent-client-cert
      mode: LDAP
    enabled: true
    ldap:
      bindQueryPasswordSecretRef:
        name: bind-query-password
      bindQueryUser: cn=admin,dc=example,dc=org
      servers:
        - openldap.namespace.svc.cluster.local:389
      userToDNMapping: '[{match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org"}]'
    modes:
      - LDAP
      - SCRAM
    requireClientTLSAuthentication: false

Save your replica set config file.

Apply your changes to your replica set deployment.

レプリカセットを更新するには、次の Kubernetes コマンドを呼び出します。

kubectl apply -f <replica-set-conf>.yaml

配置のステータスを追跡します。

MongoDBリソースのステータスを確認するには、次のコマンドを使用します。

kubectl get mdb <resource-name> -o yaml -w

-w （監視）フラグが設定されている場合、構成が変更されると、ステータスフェーズがRunning状態に達するまで出力が直ちに更新されます。リソース配置ステータスの詳細については、「 Kubernetes 演算子のトラブルシューティング」を参照してください。

シャーディングされたクラスターの LDAP クライアント認証の構成

サンプルシャーディングされたクラスターリソースをコピーします。

このYAMLファイルの設定を、シャーディングされたクラスターの構成に合わせて変更します。

1 ---
2 apiVersion: mongodb.com/v1
3 kind: MongoDB
4 metadata:
5   name: <my-sharded-cluster>
6 spec:
7   shardCount: 2
8   mongodsPerShardCount: 3
9   mongosCount: 2
10   configServerCount: 3
11   version: "8.0.0"
12   opsManager:
13     configMapRef:
14       name: <configMap.metadata.name>
15             # Must match metadata.name in ConfigMap file
16   credentials: <mycredentials>
17   type: ShardedCluster
18   persistent: true

19   security:
20     tls:
21       ca: <custom-ca>
22     certsSecretPrefix: <prefix>
23 ...

Paste the copied example section into your existing sharded cluster resource.

Open your preferred text editor and paste the object specification at the end of your resource file in the spec section.

シャーディングされたシャーディングされたクラスターリソースの LDAP 設定を構成します。

配置でLDAPを有効にするには、Kubernetes オブジェクトで次の設定を構成します。

キー	の種類と必要性	説明	例
`spec.security` `.authentication.enabled`	ブール値、必須	LDAP 認証を有効にするには、を`true`に設定します。	`true`
`spec.security` `.authentication.ldap.bindQueryUser`	string, required	LDAP サーバーに接続するときに MongoDB がバインドする LDAP 識別名を指定します。	`cn=admin,dc=example,dc=org`
`spec.security` `.authentication.ldap.bindQueryPasswordSecretRef`	string, required	シークレットの名前を指定するこれには、LDAP サーバーに接続するときに MongoDB がバインドする LDAP バインド識別名のパスワードが含まれます。	`<secret-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.name`	string、任意	ConfigMap を追加する配置の TLS 証明書に署名するために使用したカスタム CA を保存するの名前。	`<configmap-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.key`	string、任意	LDAP サーバーの TLS 証明書を検証する CA を保存するフィールド名を追加します。	`<configmap-key>`
`spec.security` `.authentication.ldap.servers`	文字列の配列、必須	1 つ以上の LDAP サーバーの`hostname:port`の組み合わせのリストを指定します。各サーバーには、個別の行を使用します。	`<example.com:636>`
`spec.security` `.authentication.ldap.transportSecurity`	string、任意	LDAPS（ TLS経由の LDAP ）を使用するには、を`tls`に設定します。 LDAP サーバーが TLS を受け入れていない場合は、を空白のままにします。この設定を使用するには、データベースリソースを配置するときに TLS を有効にする必要があります。	`tls`
`spec.security` `.authentication.ldap.userToDNMapping`	string, required	Specify the mapping that maps the username provided to `mongod` or `mongos` for authentication to an LDAP Distinguished Name (DN). To learn more, see `security.ldap.userToDNMapping` and LDAP Query Templates in the MongoDB Server documentation.	`<match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org">`
`spec.security` `.authentication.modes`	string, required	LDAP による認証を有効にするには、を`LDAP`に設定します。	`LDAP`

結果の構成は、次の例のようになります。

security:
 authentication:
   enabled: true
   # Enabled LDAP Authentication Mode
   modes:
     - "LDAP"
     - "SCRAM"
     # LDAP related configuration
   ldap:
   # Specify the hostname:port combination of one or
   # more LDAP servers
     servers:
       - "ldap1.example.com:636"
       - "ldap2.example.com:636"
   # Set to "tls" to use LDAP over TLS. Leave blank if
   # the LDAP server doesn't accept TLS. You must enable TLS when you deploy the database resource to use this setting.
   transportSecurity: "tls"
   # If TLS is enabled, add a reference to a ConfigMap that
   # contains a CA certificate that validates the LDAP server's
   # TLS certificate.
   caConfigMapRef:
     name: "<configmap-name>"
     key: "<configmap-entry-key>"
   # Specify the LDAP Distinguished Name to which
   # MongoDB binds when connecting to the LDAP server
   bindQueryUser: "cn=admin,dc=example,dc=org"
   # Specify the password with which MongoDB binds
   # when connecting to an LDAP server. This is a
   # reference to a Secret Kubernetes Object containing
   # one "password" key.
   bindQueryPasswordSecretRef:
     name: "<secret-name>"

MongoDB Agent の LDAP 設定を構成します。

security:
  authentication:
    agents:
      automationPasswordSecretRef:
        key: automationConfigPassword
        name: automation-config-password
      automationUserName: mms-automation-agent
      clientCertificateSecretRef:
        name: agent-client-cert
      mode: LDAP
    enabled: true
    ldap:
      bindQueryPasswordSecretRef:
        name: bind-query-password
      bindQueryUser: cn=admin,dc=example,dc=org
      servers:
        - openldap.namespace.svc.cluster.local:389
      userToDNMapping: '[{match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org"}]'
    modes:
      - LDAP
      - SCRAM
    requireClientTLSAuthentication: false

Save your sharded cluster config file.

Apply your changes to your sharded cluster deployment.

次の Kubernetes コマンドを呼び出して、シャーディングされたクラスターを更新します。

kubectl apply -f <sharded-cluster-conf>.yaml

配置のステータスを追跡します。

MongoDBリソースのステータスを確認するには、次のコマンドを使用します。

kubectl get mdb <resource-name> -o yaml -w

1	---
2	apiVersion: mongodb.com/v1
3	kind: MongoDB
4	metadata:
5	name: <my-replica-set>
6	spec:
7	members: 3
8	version: "8.0.0"
9	opsManager:
10	configMapRef:
11	# Must match metadata.name in ConfigMap file
12	name: <configMap.metadata.name>
13	credentials: <mycredentials>
14	type: ReplicaSet
15	persistent: true

16	security:
17	tls:
18	ca: <custom-ca>
19	certsSecretPrefix: <prefix>
20	...