AWS IAM 認証

MongoDB $ Client 認証情報

最初に、ドライバーは、接続 URI または $uriOptions 配列パラメータの一部として、MongoDB\Client コンストラクターにAmazon Web Servicesの認証情報を渡しているかどうかを確認します。 認証情報をMongoDB\Clientに渡すには、次の接続オプションを設定します。

• username: 認証するAmazon Web Services IAM アクセスキーID 。 接続 URI に含める前に、この値をパーセント エンコードします。

• password: Amazon Web Services IAM シークレット アクセス キー。 接続 URI に含める前に、この値をパーセント エンコードします。

• authMechanism: 'MONGODB-AWS'に設定します。

これらのオプションは、オプション配列を MongoDB\Client コンストラクターに渡す方法と、接続 URI のパラメーターを使用する方法の 2 通りがあります。対応するコードを表示するには、MongoDB\Client タブまたは Connection URIタブを選択します。

$uriOptions = [
    'username' => '<AWS IAM access key ID>',
    'password' => '<AWS IAM secret access key>',
    'authMechanism' => 'MONGODB-AWS',
];
$client = new MongoDB\Client(
    'mongodb://<hostname>:<port>',
    $uriOptions,
);

$uri = 'mongodb://<AWS IAM access key ID>:<AWS IAM secret access key>@<hostname>:<port>/?authMechanism=MONGODB-AWS';
$client = new MongoDB\Client($uri);

環境変数

MongoDB\Clientオブジェクトを構築するときにユーザー名とパスワードを指定しない場合、ドライバーは次の環境変数からAmazon Web Servicesの認証情報を検索しようとします。

• AWS_ACCESS_KEY_ID

• AWS_SECRET_ACCESS_KEY

• AWS_SESSION_TOKEN

これらの環境変数を使用してアプリケーションを認証 するには、まず認証に必要なAmazon Web Services IAM 値に設定します。 次のコード例に示すように、 shellで export コマンドを実行することも、 .envファイルに変数を追加することもできます。

export AWS_ACCESS_KEY_ID=<AWS IAM access key ID>
export AWS_SECRET_ACCESS_KEY=<AWS IAM secret access key>
export AWS_SESSION_TOKEN=<AWS session token>

AWS_ACCESS_KEY_ID=<AWS IAM access key ID>
AWS_SECRET_ACCESS_KEY=<AWS IAM secret access key>
AWS_SESSION_TOKEN=<AWS session token>

これらの環境変数を設定したら、 authMechanism接続オプションを'MONGODB-AWS'に設定します。

$client = new MongoDB\Client(
    'mongodb://<hostname>:<port>',
    ['authMechanism' => 'MONGODB-AWS'],
);

$uri = 'mongodb://<hostname>:<port>/?authMechanism=MONGODB-AWS';
$client = new MongoDB\Client($uri);

AssumeRoleWithWebIdentity requests

アプリケーションが OpenID Connect（OIDC） IdPから EKS クラスターのユーザーを認証する場合、ドライバーは AssumeRoleWithWebIdentityリクエストを実行して、アプリケーションの一時的なAmazon Web Services認証情報の OIDC トークンを交換できます。

リクエストによって返された一時的なAWS IAM 認証情報を使用して認証するには、AssumeRoleWithWebIdentity AWS設定ファイルが環境に存在し、正しく構成されていることを確認します。 AWS構成ファイル の作成および構成方法については、 AWSドキュメントにある「 構成 」を参照してください。

AssumeRoleWithWebIdentityリクエストの環境を構成したら、 authMechanism接続オプションを'MONGODB-AWS'に設定します。 authMechanismオプションを設定する例については、このページのauthMechanism の例を参照してください。

ECS Metadata

アプリケーションが Elastic Container Service（ECS）コンテナで実行されている場合、ドライバーは ECS エンドポイントから一時的なAmazon Web Servicesの認証情報を自動的に検索できます。 そのためには、 AWS_CONTAINER_CREDENTIALS_RELATIVE_URIという環境変数で ECS エンドポイントの URI を指定します。 この変数は、次の例に示すように、export shellコマンドを実行中するか、.envファイルに追加することで設定できます。

export AWS_CONTAINER_CREDENTIALS_RELATIVE_URI=<URI of the ECS endpoint>

AWS_CONTAINER_CREDENTIALS_RELATIVE_URI=<URI of the ECS endpoint>

環境変数を設定したら、 authMechanism接続オプションを'MONGODB-AWS'に設定します。 authMechanismオプションを設定する例については、このページのauthMechanism の例を参照してください。

EC 2インスタンス メタデータ

Amazon Web Servicesドライバーは、Amazon Elastic Cloud compute（EC2 ）インスタンスから一時的な の認証情報を自動的に取得できます。EC 2インスタンス内から一時認証情報を使用するには、 authMechanism接続オプションを'MONGODB-AWS'に設定します。 authMechanismオプションを設定する例については、このページのauthMechanism の例を参照してください。