O MongoDB Enterprise oferece suporte ao Kerberos. O Kerberos é um protocolo de autenticação de rede. O MongoDB Agent pode autenticar em instâncias MongoDB que executam Kerberos.
Pré-requisitos
Configure o KDC para emitir tickets com vida útil mínima de quatro horas
Os tickets Kerberos podem autenticar usuários por um tempo limitado. Você deve configurar o Centro de Distribuição de Chaves (KDC) Kerberos para emitir tíquetes válidos por quatro horas ou mais. O MongoDB Agent atualiza periodicamente o ticket. O serviço KDC fornece tickets de sessão e chaves de sessão temporárias para usuários e hosts.
Adicionar Kerberos como mecanismo de autenticação para sistema
O MongoDB Agent interage com os reconhecimento de data center MongoDB em seu sistema da mesma forma que um usuário do MongoDB faria. Como resultado, você deve configurar sua implantação do MongoDB e o MongoDB Agent para suportar a autenticação.
Você pode especificar os mecanismos de autenticação do sistema ao adicionar o sistema ou pode editar as configurações de uma implantação existente. No mínimo, o sistema deve habilitar o mecanismo de autenticação que você deseja que o MongoDB Agent use. O MongoDB Agent pode usar qualquer mecanismo de autenticação suportado.
Para os fins deste tutorial, verifique se sua implantação atende a estas condições:
Sua implantação suporta autenticação Kerberos e
O MongoDB Agent usa a autenticação Kerberos.
Para saber como habilitar a autenticação Kerberos, consulte Habilitar autenticação Kerberos para seu projeto do Ops Manager.
Configurar o host do MongoDB Agent para usar Kerberos
Os seguintes arquivos de configuração Kerberos são necessários em qualquer host que execute o Monitoramento ou o Backup:
Crie ou configure o arquivo de configuração Kerberos.conf krb.5
PlataformaCaminho padrãoNotasLinux
/etc/krb5.confWindows
%WINDIR%\krb5.iniEste é o caminho padrão para implementações do Kerberos não baseados no Active Directory. Consulte a documentação da sua implementação do Kerberos para localizar o arquivo de configuração do Kerberos para sua versão do Windows.
Em sistemas Linux, certifique-se de que o binário kinit esteja localizado
/usr/bin/kinitem.kinitobtém ou atualiza um ticket de concessão de ticket Kerberos, que autentica o Agente usando Kerberos.
Procedimentos
Criar principal de usuário Kerberos para o MongoDB agente
Crie ou escolha um Nome principal do usuário (UPN) Kerberos para o MongoDB Agent.
Um UPN é formatado em duas partes para que o serviço possa ser identificado exclusivamente em todo o Realm Kerberos:
Componente | Descrição |
|---|---|
Nome do serviço | O nome de um serviço que um host está fornecendo ao Realm Kerberos, como |
Domínio Kerberos | Um conjunto de hosts e serviços managed que compartilham o mesmo reconhecimento de data center Kerberos. De acordo com a convenção de nomenclatura Kerberos, o |
Exemplo
In a Kerberos realm set as EXAMPLE.COM, the MongoDB Agent would set its UPN to: mongodb-agent@EXAMPLE.COM
Gere um arquivo keytab para o UPN Kerberos do MongoDB Agent.
Generate a keytab file (*.keytab) for the MongoDB Agent UPN and copy it to the host that runs the MongoDB Agent. Ensure that the operating system user that runs the MongoDB Agent is the same operating system user that owns the keytab file.
Criar um usuário e atribuir roles para o UPN do MongoDB agente
Selecione seu tipo de implantação para visualizar as etapas apropriadas.