Configure o MongoDB com autenticação Kerberos e autorização do Active Directory

Configure TLS/SSL para o servidor que executa o MongoDB.

Para se conectar ao servidor AD (AD) via TLS/SSL, o mongod ou mongos exige acesso ao certificado de autoridade de certificação (CA) do servidor AD .

No Linux, especifique os certificados CA do servidor AD por meio da opção TLS_CACERT ou TLS_CACERTDIR no arquivo ldap.conf .

O gerenciador de pacotes da sua plataforma cria o ldap.conf arquivo durante a instalação da dependência do MongoDB libldap Enterprise. Para obter a documentação completa sobre o arquivo de configuração ou as opções referenciadas, consulte ldap.conf.

No Microsoft Windows, carregue os certificados de autoridade de certificação (CA) do servidor AD com a ferramenta de gerenciamento de credenciais da plataforma. A ferramenta exata de gerenciamento de credenciais depende da versão do Windows . Para usar a ferramenta, consulte a documentação da sua versão do Windows.

Se mongod ou mongos não puderem acessar os arquivos AD CA, não poderão criar conexões TLS/SSL com o servidor Active Directory.

Opcionalmente, defina security.ldap.transportSecurity como none para desabilitar TLS/SSL.

(Somente Windows) Atribua um nome principal de serviço ao serviço MongoDB Windows.

Para servidores MongoDB em execução no sistema operacional Windows , você deve usar setspn.exe para atribuir o nome principal de serviço (SPN) à conta que executa o serviço MongoDB.

setspn.exe -S <service>/<fully qualified domain name> <service account name>

setspn.exe -S mongodb/mongodbserver.example.com mongodb_dev@example.com

(Somente Linux) Crie um arquivo keytab para o servidor MongoDB.

Para servidores MongoDB em execução na plataforma Linux, você deve garantir que o servidor tenha uma cópia do arquivo keytab específico para a instância do MongoDB em execução nesse servidor.

Você deve conceder ao usuário Linux que executa o serviço MongoDB permissões de leitura no arquivo keytab. Anote o caminho completo da localização do arquivo keytab.

Conecte-se ao servidor MongoDB.

Conecte ao servidor MongoDB utilizando o mongosh utilizando as opções --host e --port .

mongosh --host <hostname> --port <port>

Se o seu servidor MongoDB atualmente impõe autenticação, você deve autenticar no banco de dados do admin como um usuário com privilégios de gerenciamento de papel, como os fornecidos pelo userAdmin ou userAdminAnyDatabase. Inclua o --authenticationMechanism apropriado para o mecanismo de autenticação configurado do servidor MongoDB.

mongosh --host <hostname> --port <port> --username <user> --password <pass> --authenticationDatabase="admin" --authenticationMechanism="<mechanism>"

Criar função administrativa do usuário.

Para managed usuários do MongoDB usando o AD, você precisa criar pelo menos um papel no reconhecimento de data center do admin que pode criar e managed papéis, como os fornecidos pelo userAdmin ou userAdminAnyDatabase.

O nome da role deve corresponder exatamente ao nome diferenciado de um grupo do AD . O grupo deve ter pelo menos um usuário AD como membro.

Considerando os grupos do Active Directory disponíveis, a seguinte operação:

• Cria um papel nomeado para o grupo AD CN=dba,CN=Users,DC=example,DC=com e

• Atribui a ele o role userAdminAnyDatabase no banco de dados admin .

var admin = db.getSiblingDB("admin")
admin.createRole(
   {
     role: "CN=dba,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [ "userAdminAnyDatabase" ]
   }
)

Como alternativa, você pode conceder a função userAdmin para cada banco de dados no qual o usuário deve ter privilégios administrativos de usuário. Essas funções fornecem os privilégios necessários para a criação e o gerenciamento de funções.

Crie um arquivo de configuração do MongoDB.

Um arquivo de configuração do MongoDB é um arquivo YAML de texto sem formatação com a extensão de arquivo .conf .

• Se você estiver atualizando um sistema MongoDB existente, copie o arquivo de configuração atual e trabalhe a partir dessa cópia.

• (Somente Linux) Se esta for uma nova implantação e você usou o gerenciador de pacotes da sua plataforma para instalar o MongoDB Enterprise, a instalação incluirá o arquivo de configuração padrão /etc/mongod.conf . Use esse arquivo de configuração padrão ou faça uma cópia desse arquivo para trabalhar.

• Se esse arquivo não existir, crie um arquivo vazio com a extensão .conf e trabalhe a partir desse novo arquivo de configuração.

Configure o MongoDB para se conectar ao Active Directory'.

No arquivo de configuração MongoDB, defina security.ldap.servers para o host e a porta do servidor AD . Se sua infraestrutura do AD incluir vários servidores do AD para fins de replicação, especifique o host e a porta dos servidores como uma lista delimitada por vírgulas para security.ldap.servers.

security:
  ldap:
    servers: "activedirectory.example.net"

MongoDB deve se vincular ao servidor AD para realizar query. Por padrão, o MongoDB usa o mecanismo de autenticação simples para se vincular ao servidor AD .

Alternativamente, você pode definir as seguintes configurações no arquivo de configuração para vincular ao servidor AD usando SASL:

• Definir security.ldap.bind.method como sasl

• security.ldap.bind.saslMechanisms, especificando uma sequência de mecanismos SASL separados por vírgula que o servidor AD suporta.

Este tutorial usa o mecanismo de autenticação LDAP simple padrão.

Configure o MongoDB para autenticação Kerberos.

No arquivo de configuração MongoDB, defina security.authorization para enabled e setParameter authenticationMechanisms para GSSAPI

Para habilitar a autenticação via Kerberos, inclua o seguinte no arquivo de configuração:

security:
  authorization: "enabled"
setParameter:
  authenticationMechanisms: "GSSAPI"

Configure o Modelo de Query LDAP para autorização.

No arquivo de configuração MongoDB, defina security.ldap.authz.queryTemplate para um RFC4516 modelo de URL de query LDAP formatado.

No modelo, você pode usar:

• {USER} espaço reservado para substituir o nome de usuário autenticado na URL de consulta do LDAP.

• {PROVIDED_USER} espaço reservado para substituir o nome de usuário fornecido, ou seja, antes da autenticação ou transformação LDAP, na query LDAP. (Disponível a partir da versão 4,2)

Crie o modelo de query para recuperar os grupos do usuário.

security:
  ldap:
    authz:
      queryTemplate:
        "DC=example,DC=com??sub?(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={USER}))"

O MongoDB mapeia cada nome diferenciado de grupo retornado para um role no reconhecimento de data center admin . Para cada nome diferenciado de grupo mapeado, se houver uma role no admin reconhecimento de data center cujo nome corresponda exatamente ao nome diferenciado, o MongoDB concederá ao usuário as roles e os privilégio atribuídos a essa role.

A regra de correspondência LDAP_MATCHING_RULE_IN_CHAIN exige o fornecedor do nome diferenciado completo do usuário de autenticação. Como o Kerberos requer autenticação com o userPrincipalName de um usuário, você deve transformar os nomes de usuário de entrada em DNs usando o security.ldap.userToDNMapping. A próxima etapa fornece orientação sobre como transformar os nomes de usuário recebidos para oferecer suporte ao queryTemplate.

Transforme os nomes de usuário recebidos para autenticação via Active Directory.

No arquivo de configuração MongoDB, defina userToDNMapping para transformar o nome de usuário fornecido pelo usuário de autenticação em um nome diferenciado do AD para dar suporte ao queryTemplate.

security:
  ldap:
    userToDNMapping:
      '[
         {
            match : "(.+)",
            ldapQuery: "DC=example,DC=com??sub?(userPrincipalName={0})"
         }
    ]'

Você deve modificar a configuração de amostra fornecida para corresponder ao seu sistema. Por exemplo, o DN base ldapQuery deve corresponder ao DN base que contém suas entidades de usuário. Outras modificações podem ser necessárias para dar suporte à sua implantação do AD .

DC=example,DC=com??sub?(userPrincipalName=alice@ENGINEERING.EXAMPLE.COM)

Configurar credenciais de query.

O MongoDB requer credenciais para executar query no servidor AD .

Defina as seguintes configurações no arquivo de configuração:

• security.ldap.bind.queryUser, especificando o usuário Kerberos o mongod ou mongos se vincula como para executar query no servidor AD .

• security.ldap.bind.queryPassword, especificando a senha para o queryUser especificado.

security:
  ldap:
    bind:
      queryUser: "mongodbadmin@dba.example.com"
      queryPassword: "secret123"

Em servidores Windows MongoDB, você pode definir security.ldap.bind.useOSDefaults como true para usar as credenciais do usuário do sistema operacional em vez de queryUser e queryPassword.

O queryUser deve ter permissão para executar todas as queries LDAP em nome do MongoDB.

Opcional: adicione definições de configuração adicionais.

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implementação ou se os membros da implementação forem executados em hosts diferentes, especifique a configuração net.bindIp .

Inicie o servidor MongoDB com autenticação Kerberos e autorização do Active Directory.

Inicie o servidor MongoDB com a opção --config , especificando o caminho para o arquivo de configuração criado durante este procedimento. Se o servidor MongoDB estiver atualmente em execução, faça os preparos apropriados para parar o servidor.

Linux MongoDB Servers

No Linux, você deve especificar a variável de ambiente KRB5_KTNAME , especificando o caminho para o arquivo keytab do servidor MongoDB.

env KRB5_KTNAME <path-to-keytab> mongod --config <path-to-config-file>

Microsoft Windows MongoDB Servers

No Windows, você deve iniciar o MongoDB Server como a conta principal de serviço conforme configurado anteriormente no procedimento:

mongod.exe --config <path-to-config-file>

Conecte-se ao servidor MongoDB.

Conecte ao servidor MongoDB, autenticando como um usuário cuja associação de grupo direta ou transitiva corresponde a uma função MongoDB no banco de dados do admin com userAdmin, userAdminAnyDatabase ou uma função personalizada com privilégios equivalentes.

Use mongosh para autenticar no servidor MongoDB, defina as seguintes opções:

• --host com o nome de host do servidor MongoDB

• --port com a porta do servidor MongoDB

• --username para o usuário userPrincipalName

• --password para a senha do usuário (ou omita para que mongosh solicite a senha)

• --authenticationMechanism para "GSSAPI"

• --authenticationDatabase para "$external"

mongosh --username sam@DBA.EXAMPLE.COM --password  --authenticationMechanisms="GSSAPI" --authenticationDatabase "$external" --host <hostname> --port <port>

Os sistemas do Windows MongoDB devem usar mongo.exe em vez de mongosh.

Com os usuários do Active Directory configurados , o usuário autentica com êxito e recebe as permissões apropriadas.

Crie roles para mapear grupos AD retornados.

Para cada grupo no servidor AD que você deseja usar para a autorização MongoDB, você deve criar uma função correspondente no reconhecimento de data center admin do MongoDB Server.

db.getSiblingDB("admin").createRole(
   {
     role: "CN=PrimaryApplication,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "readWrite", db: "PrimaryApplication" }
     ]
   }
)

Opcional: faça a transição dos usuários existentes do $external para o servidor Active Directory.

Se atualizar uma instalação existente com usuários configurados no reconhecimento de data center do $external , você deverá atender os seguintes requisitos para cada usuário para garantir o acesso após configurar o MongoDB para autenticação Kerberos e autorização do AD :

• O usuário tem um objeto de usuário correspondente no servidor AD .

• O usuário tem associação nos grupos apropriados no servidor AD .

• O MongoDB contém as roles no banco de dados admin nomeadas para os grupos AD do usuário, de modo que o usuário autorizado mantenha seus privilégios.

{
  user : "joe@ANALYTICS.EXAMPLE.COM",
  roles: [
    { role : "read", db : "web_analytics" },
    { role : "read", db : "PrimaryApplication" }
  ]
}

db.getSiblingDB("admin").createRole(
   {
     role: "CN=marketing,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "read", db: "web_analytics" }
       { role: "read", db: "PrimaryApplication" }
     ]
   }
)

Se quiser continuar permitindo que os usuários em bancos de dados não$external acessem o MongoDB, inclua o mecanismo de autenticação SCRAM (por exemplo, SCRAM-SHA-1 e/ou SCRAM-SHA-256) na opção de configuração setParameter authenticationMechanisms .

setParameter:
  authenticationMechanisms: "GSSAPI,SCRAM-SHA-1,SCRAM-SHA-256"

Como alternativa, faça a transição de usuários não$external para o AD seguindo o procedimento acima.