/ /

クライアント接続の保護

Docs Home

/ /

Kubernetes 演算子のコントローラー

データベースリソースの配置

クライアント接続の保護

単一クラスター LDAP 認証の構成

MongoDB Enterpriseは以下をサポートします。

LDAP（Lightweight Directory Access Protocol）サービスへの認証リクエストをプロキシする。
LDAP サーバーへの簡易バインディングと SASL バインディング。 MongoDB Enterprise は、 saslauthdまたはオペレーティングシステムライブラリを介して LDAP サーバーにバインドできます。

To learn more, see the LDAP Proxy Authentication and LDAP Authorization sections in the MongoDB Server documentation.

Kubernetes Operator を使用して、MongoDB 配置に接続するクライアントアプリケーションを認証するための LDAP を構成できます。このガイドでは、クライアントアプリケーションから MongoDB 配置への LDAP 認証を構成する方法について説明します。

注意

Kubernetes クラスターでは MongoDB のスタンドアロンインスタンスを保護することはできません。

Considerations

CustomResourceDefinitions で LDAP を構成するには、 Kubernetes Operator MongoDBリソース仕様のspec.security.authentication.ldap の下のパラメーターとMongoDB Agent に固有のその他のセキュリティ LDAP 設定を使用します。このセクションの手順では、必要な設定について説明し、LDAP 構成の例を示します。
セキュリティを向上させるには、TLS 暗号化されたレプリカセットまたは TLS 暗号化されたシャーディングされたクラスターを配置することを検討してください。TLS による暗号化は任意です。デフォルトでは、LDAP トラフィックは平文で送信されます。これは、ユーザー名とパスワードがネットワークの脅威にさらされることを意味します。Microsoft Active Directory などの多くの現代のディレクトリサービスでは、暗号化された接続が必要です。Kubernetes 演算子 MongoDB` 配置での認証リクエストを暗号化するために、`LDAP` オーバー `TLS` の使用を検討してください。

一般的な前提条件

MongoDB 配置の LDAP 認証を構成する前に、次のタスクを完了してください。

MongoDB Enterprise データベースリソースを配置することを確認します。 MongoDB Community データベースは LDAP 認証をサポートしていません。
レプリカセットを配置するか、 LDAP で保護するクライアント認証を持つシャーディングされたクラスターを配置します。

レプリカセットの LDAP クライアント認証の構成

Copy the sample replica set resource.

Change the settings of this YAML file to match your desired replica set configuration.

1 ---
2 apiVersion: mongodb.com/v1
3 kind: MongoDB
4 metadata:
5   name: <my-replica-set>
6 spec:
7   members: 3
8   version: "8.0.0"
9   opsManager:
10     configMapRef:
11             # Must match metadata.name in ConfigMap file
12       name: <configMap.metadata.name>
13   credentials: <mycredentials>
14   type: ReplicaSet
15   persistent: true

16   security:
17     tls:
18       ca: <custom-ca>
19     certsSecretPrefix: <prefix>
20 ...

コピーした例セクションを既存のレプリカセットリソースに貼り付けます。

任意のテキストエディターを開き、spec セクションのリソースファイルの末尾にオブジェクト仕様を貼り付けます。

レプリカセットリソースの LDAP 設定を構成します。

配置でLDAPを有効にするには、Kubernetes オブジェクトで次の設定を構成します。

キー	の種類と必要性	説明	例
`spec.security` `.authentication.enabled`	ブール値、必須	LDAP 認証を有効にするには、を`true`に設定します。	`true`
`spec.security` `.authentication.ldap.bindQueryUser`	string, required	LDAP サーバーに接続するときに MongoDB がバインドする LDAP 識別名を指定します。	`cn=admin,dc=example,dc=org`
`spec.security` `.authentication.ldap.bindQueryPasswordSecretRef`	string, required	LDAPサーバーに接続するときにMongoDBがバインドする LDAP バインド識別名のパスワードを含むシークレットの名前を指定します。	`<secret-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.name`	string、任意	ConfigMap を追加する配置の TLS 証明書に署名するために使用したカスタム CA を保存するの名前。	`<configmap-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.key`	string、任意	LDAP サーバーの TLS 証明書を検証する CA を保存するフィールド名を追加します。	`<configmap-key>`
`spec.security` `.authentication.ldap.servers`	文字列の配列、必須	1 つ以上の LDAP サーバーの`hostname:port`の組み合わせのリストを指定します。各サーバーには、個別の行を使用します。	`<example.com:636>`
`spec.security` `.authentication.ldap.transportSecurity`	string、任意	LDAPS（ TLS経由の LDAP ）を使用するには、を`tls`に設定します。 LDAP サーバーが TLS を受け入れていない場合は、を空白のままにします。この設定を使用するには、データベースリソースを配置するときに TLS を有効にする必要があります。	`tls`
`spec.security` `.authentication.ldap.userToDNMapping`	string, required	Specify the mapping that maps the username provided to `mongod` or `mongos` for authentication to an LDAP Distinguished Name (DN). 詳しくは、 security.ldap.userToDNMappingを参照してください。 MongoDB Server ドキュメントの「およびLDAP クエリテンプレート」。	`<match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org">`
`spec.security` `.authentication.modes`	string, required	LDAP による認証を有効にするには、を`LDAP`に設定します。	`LDAP`

結果の構成は、次の例のようになります。

security:
 authentication:
   enabled: true
   # Enabled LDAP Authentication Mode
   modes:
     - "LDAP"
     - "SCRAM"
     # LDAP related configuration
   ldap:
   # Specify the hostname:port combination of one or
   # more LDAP servers
     servers:
       - "ldap1.example.com:636"
       - "ldap2.example.com:636"
   # Set to "tls" to use LDAP over TLS. Leave blank if
   # the LDAP server doesn't accept TLS. You must enable TLS when you deploy the database resource to use this setting.
   transportSecurity: "tls"
   # If TLS is enabled, add a reference to a ConfigMap that
   # contains a CA certificate that validates the LDAP server's
   # TLS certificate.
   caConfigMapRef:
     name: "<configmap-name>"
     key: "<configmap-entry-key>"
   # Specify the LDAP Distinguished Name to which
   # MongoDB binds when connecting to the LDAP server
   bindQueryUser: "cn=admin,dc=example,dc=org"
   # Specify the password with which MongoDB binds
   # when connecting to an LDAP server. This is a
   # reference to a Secret Kubernetes Object containing
   # one "password" key.
   bindQueryPasswordSecretRef:
     name: "<secret-name>"

LDAP 設定の完全なリストについては、 Kubernetes Operator MongoDB リソース仕様のセキュリティ設定を参照してください。また、LDAP 対応の Kubernetes Operator ユーザー配置で MongoDB Agent ユーザーのspec.security.authentication.agents.automationUserName設定も参照してください。

MongoDB Agent の LDAP 設定を構成します。

Kubernetes Operator MongoDB リソース仕様から、エージェントに固有のセキュリティ設定を使用して MongoDB リソースを更新します。結果の構成は、次の例のようになります。

security:
  authentication:
    agents:
      automationPasswordSecretRef:
        key: automationConfigPassword
        name: automation-config-password
      automationUserName: mms-automation-agent
      clientCertificateSecretRef:
        name: agent-client-cert
      mode: LDAP
    enabled: true
    ldap:
      bindQueryPasswordSecretRef:
        name: bind-query-password
      bindQueryUser: cn=admin,dc=example,dc=org
      servers:
        - openldap.namespace.svc.cluster.local:389
      userToDNMapping: '[{match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org"}]'
    modes:
      - LDAP
      - SCRAM
    requireClientTLSAuthentication: false

Save your replica set config file.

Apply your changes to your replica set deployment.

レプリカセットを更新するには、次の Kubernetes コマンドを呼び出します。

kubectl apply -f <replica-set-conf>.yaml

配置のステータスを追跡します。

MongoDBリソースのステータスを確認するには、次のコマンドを使用します。

kubectl get mdb <resource-name> -o yaml -w

-w （監視）フラグが設定されている場合、構成が変更されると、ステータスフェーズがRunning状態に達するまで出力が直ちに更新されます。リソース配置ステータスの詳細については、「 Kubernetes 演算子のトラブルシューティング」を参照してください。

シャーディングされたクラスターの LDAP クライアント認証の構成

Copy the sample sharded cluster resource.

Change the settings of this YAML file to match your desired sharded cluster configuration.

1 ---
2 apiVersion: mongodb.com/v1
3 kind: MongoDB
4 metadata:
5   name: <my-sharded-cluster>
6 spec:
7   shardCount: 2
8   mongodsPerShardCount: 3
9   mongosCount: 2
10   configServerCount: 3
11   version: "8.0.0"
12   opsManager:
13     configMapRef:
14       name: <configMap.metadata.name>
15             # Must match metadata.name in ConfigMap file
16   credentials: <mycredentials>
17   type: ShardedCluster
18   persistent: true

19   security:
20     tls:
21       ca: <custom-ca>
22     certsSecretPrefix: <prefix>
23 ...

Paste the copied example section into your existing sharded cluster resource.

任意のテキストエディターを開き、spec セクションのリソースファイルの末尾にオブジェクト仕様を貼り付けます。

シャーディングされたシャーディングされたクラスターリソースの LDAP 設定を構成します。

配置でLDAPを有効にするには、Kubernetes オブジェクトで次の設定を構成します。

キー	の種類と必要性	説明	例
`spec.security` `.authentication.enabled`	ブール値、必須	LDAP 認証を有効にするには、を`true`に設定します。	`true`
`spec.security` `.authentication.ldap.bindQueryUser`	string, required	LDAP サーバーに接続するときに MongoDB がバインドする LDAP 識別名を指定します。	`cn=admin,dc=example,dc=org`
`spec.security` `.authentication.ldap.bindQueryPasswordSecretRef`	string, required	LDAPサーバーに接続するときにMongoDBがバインドする LDAP バインド識別名のパスワードを含むシークレットの名前を指定します。	`<secret-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.name`	string、任意	ConfigMap を追加する配置の TLS 証明書に署名するために使用したカスタム CA を保存するの名前。	`<configmap-name>`
`spec.security` `.authentication.ldap.caConfigMapRef.key`	string、任意	LDAP サーバーの TLS 証明書を検証する CA を保存するフィールド名を追加します。	`<configmap-key>`
`spec.security` `.authentication.ldap.servers`	文字列の配列、必須	1 つ以上の LDAP サーバーの`hostname:port`の組み合わせのリストを指定します。各サーバーには、個別の行を使用します。	`<example.com:636>`
`spec.security` `.authentication.ldap.transportSecurity`	string、任意	LDAPS（ TLS経由の LDAP ）を使用するには、を`tls`に設定します。 LDAP サーバーが TLS を受け入れていない場合は、を空白のままにします。この設定を使用するには、データベースリソースを配置するときに TLS を有効にする必要があります。	`tls`
`spec.security` `.authentication.ldap.userToDNMapping`	string, required	Specify the mapping that maps the username provided to `mongod` or `mongos` for authentication to an LDAP Distinguished Name (DN). 詳しくは、 security.ldap.userToDNMappingを参照してください。 MongoDB Server ドキュメントの「およびLDAP クエリテンプレート」。	`<match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org">`
`spec.security` `.authentication.modes`	string, required	LDAP による認証を有効にするには、を`LDAP`に設定します。	`LDAP`

結果の構成は、次の例のようになります。

security:
 authentication:
   enabled: true
   # Enabled LDAP Authentication Mode
   modes:
     - "LDAP"
     - "SCRAM"
     # LDAP related configuration
   ldap:
   # Specify the hostname:port combination of one or
   # more LDAP servers
     servers:
       - "ldap1.example.com:636"
       - "ldap2.example.com:636"
   # Set to "tls" to use LDAP over TLS. Leave blank if
   # the LDAP server doesn't accept TLS. You must enable TLS when you deploy the database resource to use this setting.
   transportSecurity: "tls"
   # If TLS is enabled, add a reference to a ConfigMap that
   # contains a CA certificate that validates the LDAP server's
   # TLS certificate.
   caConfigMapRef:
     name: "<configmap-name>"
     key: "<configmap-entry-key>"
   # Specify the LDAP Distinguished Name to which
   # MongoDB binds when connecting to the LDAP server
   bindQueryUser: "cn=admin,dc=example,dc=org"
   # Specify the password with which MongoDB binds
   # when connecting to an LDAP server. This is a
   # reference to a Secret Kubernetes Object containing
   # one "password" key.
   bindQueryPasswordSecretRef:
     name: "<secret-name>"

MongoDB Agent の LDAP 設定を構成します。

security:
  authentication:
    agents:
      automationPasswordSecretRef:
        key: automationConfigPassword
        name: automation-config-password
      automationUserName: mms-automation-agent
      clientCertificateSecretRef:
        name: agent-client-cert
      mode: LDAP
    enabled: true
    ldap:
      bindQueryPasswordSecretRef:
        name: bind-query-password
      bindQueryUser: cn=admin,dc=example,dc=org
      servers:
        - openldap.namespace.svc.cluster.local:389
      userToDNMapping: '[{match: "(.+)",substitution: "uid={0},ou=groups,dc=example,dc=org"}]'
    modes:
      - LDAP
      - SCRAM
    requireClientTLSAuthentication: false

Save your sharded cluster config file.

Apply your changes to your sharded cluster deployment.

次の Kubernetes コマンドを呼び出して、シャーディングされたクラスターを更新します。

kubectl apply -f <sharded-cluster-conf>.yaml

配置のステータスを追跡します。

MongoDBリソースのステータスを確認するには、次のコマンドを使用します。

kubectl get mdb <resource-name> -o yaml -w

1	---
2	apiVersion: mongodb.com/v1
3	kind: MongoDB
4	metadata:
5	name: <my-replica-set>
6	spec:
7	members: 3
8	version: "8.0.0"
9	opsManager:
10	configMapRef:
11	# Must match metadata.name in ConfigMap file
12	name: <configMap.metadata.name>
13	credentials: <mycredentials>
14	type: ReplicaSet
15	persistent: true

16	security:
17	tls:
18	ca: <custom-ca>
19	certsSecretPrefix: <prefix>
20	...