Configure o MongoDB com autenticação Kerberos no Linux

Comece mongod sem Kerberos.

Para a adição inicial de usuários Kerberos, inicie o mongod sem suporte Kerberos.

Se um usuário Kerberos já estiver no MongoDB e tiver os privilégios exigidos para criar um usuário, você poderá iniciar o mongod com suporte Kerberos.

Inclua configurações adicionais conforme apropriado para seu sistema.

Conecte-se a mongod.

Conecte mongosh à instância mongod. Se mongod tiver --auth ativado, verifique se você se conecta com os privilégios necessários para criar um usuário.

Adicione Kerberos Principal(s) ao MongoDB.

Adicione um principal Kerberos, <username>@<KERBEROS REALM> ou <username>/<instance>@<KERBEROS REALM>, ao MongoDB no banco de dados do $external. Especifique o domínio Kerberos em todas as letras maiúsculas. O banco de dados do $external permite ao mongod executar queries de uma origem externa (por exemplo, Kerberos) para autenticar. Para especificar os privilégios do usuário, atribua funções ao usuário.

Para usar Client Sessions e Causal Consistency Guarantees com usuários de autenticação $external (usuários Kerberos, LDAP ou x.509), os nomes de usuário não podem ter mais de 10k bytes.

O seguinte exemplo adiciona o principal application/reporting@EXAMPLE.NET Kerberos com acesso somente leitura ao banco de dados records:

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

Adicione entidades adicionais conforme necessário. Para cada usuário que você deseja autenticar usando Kerberos, você deve criar um usuário correspondente no MongoDB. Para obter mais informações sobre como criar e gerenciar usuários, consulte Comandos de gerenciamento de usuários.

Comece mongod o com suporte ao Kerberos.

Para iniciar com suporte a Kerberos, defina a variável de mongod ambiente KRB5_KTNAME para o caminho do arquivo keytab e o mongod parâmetro authenticationMechanisms para GSSAPI da seguinte forma:

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implantação ou se os membros da implantação forem executados em hosts diferentes, especifique o --bind_ip.

Por exemplo, o seguinte inicia uma instância do mongod independente com suporte Kerberos:

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

O caminho para o mongod bem como o arquivo keytab pode ser diferente. O arquivo keytab deve estar acessível apenas ao proprietário do processo mongod.

Com os pacotes oficiais do .deb ou .rpm, você pode definir o KRB5_KTNAME em um arquivo de configurações de ambiente. Consulte KRB5_KTNAME para obter detalhes.

Connect mongosh to mongod and authenticate.

Conecte o cliente mongosh como o principal do Kerberos application/reporting@EXAMPLE.NET. Antes de conectar, é necessário ter usado o programa kinit do Kerberos para obter as credenciais de application/reporting@EXAMPLE.NET.

Você pode conectar e autenticar a partir da linha de comando.

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

Se você estiver conectando a um sistema cujo nome de host corresponda ao nome Kerberos, especifique o nome de domínio totalmente qualificado (FQDN) para a opção --host, em vez de um endereço IP ou nome de host não qualificado.

Se estiver se conectando a um sistema cujo nome de host não corresponda ao nome do Kerberos, primeiro conecte mongosh ao mongod e, em seguida, no mongosh, use o método db.auth() para se autenticar no banco de dados $external.

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )