Amazon Web Services ID とアクセス管理

コード プレースホルダー

このページのコード例では、次のプレースホルダーを使用します。

• <hostname>: MongoDBデプロイのネットワーク アドレス

• <aws-access-key-id>: Amazon Web ServicesアクセスキーID

• <aws_secret_access_key>: Amazon Web Servicesシークレット アクセスキー

• <aws_session_token>: Amazon Web Servicesセッション トークン

認証情報の明示的な提供

クライアントオプションとして、または URI を使用して、通常の（一時的ではない） IAM 認証情報を提供できます。対応する構文を確認するには、Connection String タブまたは Client Optionsタブを選択します。

client = Mongo::Client.new(
  'mongodb://<aws_access_key_id>:<aws_secret_access_key>@host/?authMechanism=MONGODB-AWS')

client = Mongo::Client.new(['<host>'],
                           auth_mech: :aws,
                           user: '<aws_access_key_id>',
                           password: '<aws_secret_access_key>')

一時的な認証情報の提供

一時的な認証情報を提供するには、クライアントオプションで、または URI を使用してセッション トークンを指定します。対応する構文を確認するには、Connection String タブまたは Client Optionsタブを選択します。

client = Mongo::Client.new(
  'mongodb://<aws_access_key_id>:<aws_secret_access_key>@host/?authMechanism=MONGODB-AWS&authMechanismProperties=AWS_SESSION_TOKEN:<<aws_session_token>>')

client = Mongo::Client.new(['<host>'],
                           auth_mech: :aws,
                           user: '<aws_access_key_id>',
                           password: '<aws_secret_access_key>',
                           auth_mech_properties: {
                             aws_session_token: '<<aws_session_token>>',
                           })

認証情報の自動取得

クライアントは、環境、または EC2 または ECSメタデータエンドポイントから認証情報を取得できます。認証情報を自動的に検索するには、 Amazon Web Services認証メカニズムを指定しますが、ユーザー名またはパスワードは指定しないでください。 対応する構文を確認するには、Connection String タブまたは Client Optionsタブを選択します。

client = Mongo::Client.new(
  'mongodb://host/?authMechanism=MONGODB-AWS')

client = Mongo::Client.new(['<hostname>'],
                           auth_mech: :aws)
)

ドライバーは、指定された順序で次のソースから認証情報を取得しようとします。

• AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN 環境変数。これらの環境変数は、公式のAmazon Web Services Ruby SDK やAmazon Web Services CLI など、さまざまな Amazon Web Amazon Web Services関連のライブラリとツールによって認識されます。 これらは、 Amazon Web Services Lambda環境で実行中ときにも定義されます。

• Amazon Web Services STS の AssumeRoleWithWebIdentityアクション。このメカニズムは、サービス アカウント トークンに関連付けられた認証情報を返します。また、次の環境変数を設定する必要があります。

  • AWS_WEB_IDENTITY_TOKEN_FILE: サービス アカウント トークンを含むファイルへのパス。

  • AWS_ROLE_ARN: 呼び出し元が想定しているロールのAmazonリソース名（ARN）。

  • AWS_ROLE_SESSION_NAME （任意）: 想定されたロール セッションの識別子。この変数が空の場合、ドライバーはランダムな識別子を生成します。

• Amazon Web Services ECSタスクメタデータエンドポイント。このエンドポイントは、コンテナに割り当てられた ECSタスクロールに関連付けられた認証情報を返します。

• Amazon Web Services EC2インスタンスのメタデータエンドポイント。このエンドポイントは、 インスタンスに割り当てられた EC2インスタンスロールに関連付けられた認証情報を返します。