Habilitar autenticação x.509 para seu projeto do Ops Manager

O Ops Manager permite configurar os mecanismos de autenticação que todos os clientes, incluindo os agentes do Ops Manager, usam para se conectar aos MongoDB deployments. Você pode habilitar vários mecanismo de autenticação para cada um dos seu projeto, mas deve escolher apenas um mecanismo para o agente.

O MongoDB permite autenticação de cliente e certificado de membro x.509 para uso com uma conexão TLS/SSL segura. A autenticação x.509 permite que usuários e outros membros se autentiquem em servidores com certificados, em vez de com um nome de usuário e senha.

Pré-requisitos

Importante

Uma descrição completa da Segurança da camada de transporte, infraestrutura de chave pública, certificados X.509 e autoridades de certificação excede o escopo deste tutorial. Este tutorial pressupõe o conhecimento prévio do TLS e o acesso a certificados X.509 válidos.

Procedimentos

Esses procedimentos descrevem como configurar e habilitar a autenticação x.509 ao usar a Automação. Se o Ops Manager não managed seus agente, você deverá configurá-los manualmente para usar a autenticação x.509.

Observação

Para saber mais, consulte Configurar o MongoDB Agent para autenticação X.509.

Preparar uma implantação existente para a autenticação do certificado x.509

Importante

O uso da autenticação de certificado de cliente x.509 requer TLS. Se o MongoDB Ops Manager gerencia uma ou mais implantações existentes, o TLS deve ser habilitado em cada processo na implantação do MongoDB antes de habilitar a autenticação x.509.

Observação

Se o TLS já estiver habilitado, você pode pular este procedimento.

Navegue até a Clusters caixa de visualização do seu sistema.

Se ainda não estiver exibido, selecione a organização que contém o projeto desejado no menu Organizations na barra de navegação.
Se ainda não estiver exibido, selecione o projeto desejado no menu Projects na barra de navegação.
Se ainda não estiver exibido, clique em Deployment na barra lateral.

Clique na visualização Clusters.

Na linha listando o processo, clique Modify em .

Expanda a Advanced Configuration Options seção.

Defina as opções de inicialização do TLS.

Clique em Add Option para adicionar cada uma das seguintes opções:

Opção	Obrigatório	Valor
`tlsMode`	Obrigatório	Selecione `requireTLS`.
`tlsCertificateKeyFile`	Obrigatório	Forneça o caminho absoluto para o certificado do servidor.
`tlsCertificateKeyFilePassword`	Obrigatório	Forneça a senha do arquivo de chave PEM se você o tiver criptografado. IMPORTANTE: se a chave privada criptografada do arquivo de certificado `.pem` estiver no formato PKCS #8, ela deverá usar operações de criptografia PBES2. O MongoDB Agent não suporta o PKCS #8 com outras operações de criptografia.
`tlsFIPSMode`	Opcional	Selecione `true` se quiser habilitar o modo FIPS.

Após adicionar cada opção, clique em Add.
Após adicionar as opções exigidas, clique em Save.

Clique em Save.

Clique Review & Deploy em para rever as suas alterações.

Clique em Confirm & Deploy para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.

Configurar um sistema existente para autenticação de certificado de membro x.509

Observação

Este procedimento é opcional. Ele permite que os membros de um conjunto de réplicas ou cluster fragmentado também usem certificados x.509 para autenticar uns aos outros. Se não estiver configurado, o conjunto de réplicas e os membros do cluster fragmentado ainda poderão se autenticar uns com os outros usando a autenticação keyFile .

Aviso

Este procedimento é irreversível

Se você habilitar a autenticação do certificado de membro x.509 para qualquer implantação em um projeto, não poderá desabilitar a autenticação do certificado de membro x.509 para a implantação nem desabilitar a autenticação do cliente x.509 no nível do projeto.

Habilitar a autenticação de certificado de membro x.509 para uma implantação em um projeto não habilita ou exige a autenticação de certificado de membro x.509 para outras implantações no projeto. Opcionalmente, você pode habilitar uma à outra implantação no projeto para usar a autenticação do certificado de membro x.509.

Importante

Se você configurou o MongoDB Agent PEM e definiu security.clusterAuthMode: para x509, um aviso de que Client connecting with server's own TLS certificate será exibido nos arquivos de log do mongod , indicando que o cliente está se conectando com o certificado TLS do próprio servidor.

Esse é o comportamento esperado, porque o MongoDB Agent se conecta ao Ops Manager usando a configuração de autorização interna. Nenhuma ação é necessária.

Navegue até a Clusters caixa de visualização do seu sistema.

Se ainda não estiver exibido, selecione a organização que contém o projeto desejado no menu Organizations na barra de navegação.
Se ainda não estiver exibido, selecione o projeto desejado no menu Projects na barra de navegação.
Se ainda não estiver exibido, clique em Deployment na barra lateral.

Clique na visualização Clusters.

Na linha listando o processo, clique Modify em .

Expanda a Advanced Configuration Options seção.

Defina as opções de inicialização do x.509.

Clique em Add Option para adicionar cada opção.
Opção
Valor
clusterAuthMode
Selecione x509.
clusterFile
Forneça o caminho para o arquivo da chave PEM do nó.
Após cada opção, clique em Add.

Clique em Save.

Clique Review & Deploy em para rever as suas alterações.

Clique em Confirm & Deploy para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.

Depois de configurar as opções de TLS para cada processo implantado, você pode prosseguir para habilitar a autenticação x.509 para seu projeto do Ops Manager.

Habilitar autenticação de certificado de cliente x.509 para seu projeto do Ops Manager

Navegue até a caixa de diálogo Security Settings para sua implantação.

Se ainda não estiver exibido, selecione a organização que contém o projeto desejado no menu Organizations na barra de navegação.
Se ainda não estiver exibido, selecione o projeto desejado no menu Projects na barra de navegação.
Se ainda não estiver exibido, clique em Deployment na barra lateral.

Clique na aba Security.
Clique na aba Settings.
Realize uma das seguintes ações:
- Se esta é a primeira vez que você define as configurações de TLS, autenticação ou autorização para esse projeto, clique em Get Started.
- Se você já tiver configurado a autenticação TLS ou as definições de autorização para esse projeto, clique em Edit.

Especifique as Configurações do TLS.

Campo	em ação
MongoDB Deployment Transport Layer Security (TLS)	Alterne este controle deslizante para ON.
Caminho do arquivo TLS CA	O arquivo da autoridade de certificação TLS é um arquivo de certificado no formato `.pem` que contém a cadeia de certificados raiz da autoridade de certificação. O MongoDB Agent usa esse mesmo arquivo de autoridade de certificação para se conectar a cada item em seu sistema. A chave privada criptografada para o arquivo de certificado do `.pem` deve estar no formato PKCS #1. O MongoDB Agent não é compatível com o formato PKCS #8. Digite o caminho do arquivo para o arquivo da autoridade de certificação TLS em cada host que executa um processo do MongoDB: Digite o caminho do arquivo em todos os hosts Linux na primeira caixa. Digite o caminho do arquivo em todos os hosts do Windows na segunda caixa. Isto habilita a configuração do `net.tls.CAFile` para os processos do MongoDB no projeto. Clique em Validate para testar se cada host na sua implantação tem uma autoridade de certificado TLS nos caminhos especificados.
Caminho do arquivo TLS CA do cluster	O arquivo `.pem` que contém a sequência de certificados raiz da autoridade de certificação usada para validar o certificado apresentado por um cliente que estabelece uma conexão. Especifique o nome do arquivo `.pem` usando caminhos relativos ou absolutos. `net.tls.clusterCAFile` requer que `net.tls.CAFile` esteja definido. Se você não especificar `net.tls.clusterCAFile`, o cluster usará o arquivo `.pem` especificado na opção `net.tls.CAFile` . `net.tls.clusterCAFile` permite que você use Autoridades de Certificação separadas para verificar as partes cliente-para-servidor e servidor-para-cliente do handshake TLS.
Modo de certificado de cliente	Selecione se os aplicativos do cliente ou os MongoDB Agents devem apresentar um certificado TLS ao se conectar a uma implantação MongoDB habilitada para TLS. Cada implantação do MongoDB verifica se há certificados desses hosts clientes quando eles tentam se conectar. Se você optar por exigir os certificados TLS do cliente, verifique se eles são válidos. Os valores aceitos são: `Optional` — Cada cliente pode apresentar um certificado TLS válido ao conectar a implantações do MongoDB. Os agentes do MongoDB podem usar certificados TLS se você não definir `mongod` `tlsMode` como `None`. `Required` — Toda implantação do MongoDB neste projeto começa com conexões de rede criptografadas por TLS. Todos os agentes devem usar o TLS para se conectar a qualquer implantação do MongoDB.

Escolha o mecanismo de autenticação.

Na seção MongoDB Deployment Authentication Mechanism, selecione X.509 Client Certificate (MONGODB-X509).

Importante

Se você não estiver utilizando a autorização LDAP, você deverá adicionar usuários ao banco de dados do $external em seu sistema MongoDB. Para um exemplo, consulte x.509 Autenticação do Certificado de Cliente.

Defina as configurações de autorização LDAP.

Importante

Você pode autenticar usuários usando certificados LDAP, Kerberos e X.509 sem exigir documentos de usuário locais no banco de dados $external, desde que você habilite a autorização LDAP primeiro. Quando esse usuário é autenticado com sucesso, o MongoDB executa uma query no servidor LDAP para recuperar todos os grupos que esse usuário LDAP possui e transforma esses grupos em suas funções equivalentes no MongoDB.

Pule esta etapa se não quiser habilitar a autorização LDAP.

Insira valores para os seguintes campos:

Contexto	Valor
LDAP Authorization	Alterne para ON para habilitar a autorização LDAP.
Authorization Query Template	Especifique um modelo para um URL de query LDAP para recuperar uma lista de grupos LDAP para um usuário LDAP.

Configure X.509 Client Certificate (MONGODB-X509) para os agentes.

Você pode habilitar mais de um mecanismo de autenticação para a implantação do MongoDB, mas os agentes do Ops Manager só podem usar um mecanismo de autenticação. Selecione X.509 Client Certificate (MONGODB-X509) para se conectar ao MongoDB deployment.

Selecione a opção X.509 Client Certificate (MONGODB-X509) na seção Agent Auth Mechanism .

Forneça credenciais para o MongoDB Agent:

Contexto	Valor
MongoDB Agent Username	Insira o nome diferenciado LDAPv3 derivado do arquivo de chave PEM do agente.
MongoDB Agent Certificate File	Forneça o caminho e o nome do arquivo da chave PEM do agente no servidor na linha do sistema operacional apropriado.
MongoDB Agent Certificate Password	Forneça a senha do arquivo da chave PEM se ele tiver sido criptografado.

Clique em Save Settings.

Observação

Enquanto você salva as configurações com uma nova senha, o MongoDB tenta ambas as senhas. Após concluir este procedimento, você poderá alterar a senha em seu servidor LDAP. Depois de girar a senha no lado do servidor LDAP, mova o conteúdo do campo New Query Password para o campo Query Password e deixe o campo New Query Password vazio.

Clique Review & Deploy em para rever as suas alterações.

Clique em Confirm & Deploy para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.

Crie roles MongoDB para grupos LDAP. (Opcional)

Depois de habilitar a autorização LDAP, você precisa criar roles personalizadas do MongoDB para cada grupo LDAP especificado para a autorização LDAP.

Voltar

Volume de trabalho (aplicativos)

Gerenciar usuários e funções

Opção	Valor
`clusterAuthMode`	Selecione `x509`.
`clusterFile`	Forneça o caminho para o arquivo da chave PEM do nó.