Autenticação de interface SQL

A interface SQL oferece suporte a vários mecanismos de autenticação para se conectar à sua implantação do MongoDB. Esta página inclui métodos de autenticação compatíveis, compatibilidade de componentes e disponibilidade de implantação para cluster dedicado do Atlas, instância do banco de dados federado do Atlas e implantações autogerenciadas do MongoDB Enterprise.

Matriz de suporte de autenticação

A tabela a seguir mostra quais mecanismos de autenticação são suportados por cada componente da Interface SQL:

Componente	SCRAM	X.509	LDAP	GSSAPI	AWS IAM	OIDC
Construtor de esquema SQL MongoDB	Sim	Sim	Sim	Sim	Sim	Sim
Driver do ODBC	Sim	Sim	Sim	Sim	Sim	Sim
Driver do JDBC	Sim	Sim	Sim	Sim	Sim	Sim
Desktop Power BI	Sim	Sim	Sim	Sim	Sim	Sim
Gateway de BI	Sim	No	No	No	No	No
Tableau Desktop	Sim	Sim	Sim	Sim	Sim	Sim
Tableau servidor	Sim	Sim	No	No	No	No
Tableau Cloud	Sim	No	No	No	No	No

Observação

Nem todas as ferramentas de BI de terceiros suportam essas opções de autenticação, mesmo que sejam suportadas nos drivers do MongoDB. Teste os recursos que você deseja usar para confirmar se eles funcionam com sua ferramenta de BI específica.

Matriz de compatibilidade de implantação

A tabela a seguir mostra quais mecanismos de autenticação estão disponíveis para cada tipo de implantação do MongoDB :

Mecanismo de autenticação	Cluster dedicado	Instância do banco de dados federado	MongoDB Enterprise
SCRAM	Sim	Sim	Sim
X.509	Sim	Sim	Sim
LDAP	Sim	No	Sim
Kerberos (GSSAPI)	No	No	Sim
AWS IAM	Sim	Sim	No
OIDC	Sim	Sim	Sim

Importante

A partir do MongoDB 8.0, A autenticação e autorização LDAP estão obsoletas. O LDAP permanece disponível e continua a operar sem alterações durante todo o MongoDB 8, mas uma futura versão principal o remove. Considere migrar para OIDC ou outro mecanismo de autenticação compatível. Para obter mais informações, consulte LDAP Descontinuação.

Configuração do driver JDBC

O driver MongoDB JDBC suporta todos os mecanismos de autenticação que o MongoDB suporta. Para saber mais, consulte Mecanismos de autenticação. Se você configurar, o driver também suporta conexões TLS/SSL. Para saber mais, consulte Configuração TLS/SSL.

As seções a seguir descrevem as propriedades de conexão que configuram X.509, Kerberos (GSSAPI) e autenticação OIDC para o driver JDBC. Estas propriedades aplicam-se tanto ao Atlas quanto às implantações autogerenciadas do MongoDB Enterprise.

Autenticação X.509

O driver JDBC do MongoDB suporta autenticação de certificado de cliente X.509. As seguintes propriedades controlam como o driver configura o certificado do cliente e a confiança da CA:

Propriedade	Propósito
`x509pempath`	Caminho para um arquivo PEM que contém o certificado do cliente e a chave privada. Necessário para chaves PKCS #1 e PKCS #8 não criptografadas ou criptografadas.
`tlscafile`	Opcional. Caminho para um arquivo PEM que contém um ou mais certificados X.509 confiáveis. Quando configurado, o driver aceita apenas certificados assinados por essas CAs.
`password`	Serve a um propósito diferente dependendo se você definir `x509pempath`. Quando você define `x509pempath`, `password` é a frase secreta para o arquivo PEM criptografado. Quando você não define `x509pempath`, `password` pode conter conteúdo PEM bruto que consiste em um certificado não criptografado e uma chave privada, ou um objeto JSON do formulário `{"pem": "...", "passphrase": "..."}` para dados PEM criptografados.

Considere o seguinte comportamento ao configurar a autenticação X.509:

Se você definir x509pempath, ele terá precedência sobre qualquer conteúdo PEM na propriedade password.
Se não definir tlscafile, o driver utilizará o repositório de confiança da JVM padrão.
O conteúdo PEM deve conter tanto o certificado do cliente quanto sua chave privada correspondente, seja fornecido por meio de x509pempath ou na propriedade password.

Autenticação Kerberos (GSSAPI)

O driver MongoDB JDBC suporta GSSAPI para autenticação baseada em Kerberos. Este mecanismo exige que você configure as configurações do Kerberos e do JAAS fora do driver. As seguintes propriedades controlam como o driver usa essa configuração:

Propriedade	Descrição
`jaasconfigpath`	Caminho para um arquivo de configuração JAAS, como `jaas.config`. Se você não definir esta propriedade, o driver usará a configuração padrão do JVM JAAS.
`gssapilogincontextname`	Especifica o nome do contexto de login definido na configuração JAAS.
`gssapiserverauth`	Quando definido como `true`, habilita a autenticação de servidor durante a negociação SASL.
`gssnativemode`	Controla se o driver usa bibliotecas GSSAPI nativas. Aceita `true` ou `false`.

Autenticação OIDC

O driver MongoDB JDBC distingue entre fluxos OIDC iniciados por humanos e automatizados por máquinas com base nas propriedades do mecanismo de autenticação que você define:

Fluxo humano: O comportamento padrão. Requer interação do usuário por meio de um login no navegador.
Fluxo da máquina: Usado em ambientes automatizados, como GCP carga de trabalho Identity, Azure gerenciado Identity e Kubernetes. Para habilitar o fluxo da máquina, defina os parâmetros ENVIRONMENT e TOKEN_RESOURCE.

Considerações de segurança

Ao configurar a autenticação para a interface SQL, considere as seguintes práticas recomendadas de segurança:

Use mecanismos de autenticação fortes: Prefira X.509, OIDC, ou Kerberos em vez de autenticação baseada em senha sempre que possível.
Habilitar criptografia TLS: sempre use o TLS para proteger credenciais e dados em trânsito.
Siga o princípio do privilégio mínimo: conceda aos usuários apenas as permissões mínimas necessárias para suas tarefas.
Armazenamento seguro de credenciais: Nunca codifique credenciais em connection strings. Use variáveis de ambiente, arquivos de credenciais ou sistemas seguros de gerenciamento de credenciais.
Rotação regular de credenciais: implemente a rotação regular de senhas e certificados.
Monitorar eventos de autenticação: ative o registro de auditar para rastrear tentativas e falhas de autenticação.

Próximos passos

Voltar

Conectar e fazer query

Errors