Linux で Kerberos 認証を使用して MongoDB を構成する

mongodKerberos なしで を起動します。

Kerberos ユーザーを初めて追加する場合は、Kerberos サポートなしでmongodを開始します。

Kerberos ユーザーがすでに MongoDB に存在し、 ユーザーの作成に必要な特権 がある場合は、Kerberos サポート付きでmongodを起動できます。

配置に応じて、追加の設定を含めます。

mongod に接続します。

Connect mongosh to the mongod instance. If mongod has --auth enabled, ensure you connect with the privileges required to create a user.

MongoDB に Kerberos プリンシパルを追加しました。

Kerberos プリンシパル（ <username>@<KERBEROS REALM>または<username>/<instance>@<KERBEROS REALM>を$externalデータベースの MongoDB に追加します。 すべて大文字で Kerberos レルムを指定します。 $externalデータベースでは、 mongodが外部ソース（例: Kerberos）を使用して認証します。 ユーザーの特権を指定するには、ユーザーにロールを割り当てます。

$external認証ユーザー（Kerberos、LDAP、または X.509 ユーザー）でクライアント セッションと因果整合性の保証を使用するには、ユーザー名を 10 k バイトより大きくすることはできません。

次の例では、 recordsデータベースへの読み取り専用アクセス権を持つ Kerberos プリンシパルapplication/reporting@EXAMPLE.NETを追加します。

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

必要に応じて、追加のプリンシパルを追加します。 Kerberos を使用して認証するすべてのユーザーごとに、MongoDB で対応するユーザーを作成する必要があります。 ユーザーの作成と管理の詳細については、「ユーザー管理コマンド 」を参照してください。

Kerberos サポートで mongod を起動します。

Kerberos サポートでmongodを起動するには、次の形式で環境変数KRB5_KTNAMEをキータブ ファイルのパスに設定し、 mongodパラメータauthenticationMechanismsをGSSAPIに設定します。

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

たとえば、次の例では、Kerberos をサポートするスタンドアロンのmongodインスタンスが起動されます。

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

mongodとキータブ ファイルへのパスが異なる場合があります。 キータブ ファイルにアクセスできるのは、 mongodプロセスの所有者のみである必要があります。

公式の.deb または.rpm パッケージを使用すると、KRB5_KTNAME 環境設定ファイルで を設定できます。詳細については、 KRB5 _KTNAME を参照してください。

mongosh を mongod に接続し、認証します。

Connect mongosh client as the Kerberos principal application/reporting@EXAMPLE.NET. Before connecting, you must have used Kerberos's kinit program to get credentials for application/reporting@EXAMPLE.NET.

コマンドラインから接続と認証を行うことができます。

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

Kerberos 名と一致するホスト名を持つシステムに接続する場合は、IP アドレスや修飾されていないホスト名ではなく、 --hostオプションに完全修飾ドメイン名（FQDN）を指定していることを確認してください。

If you are connecting to a system whose hostname does not match the Kerberos name, first connect mongosh to the mongod, and then from mongosh, use the db.auth() method to authenticate in the $external database.

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )