Configurar Kerberos e autorização do Active Directory

Configure TLS/SSL para o servidor que executa o MongoDB.

To connect to the AD (AD) server via TLS/SSL, the mongod or mongos require access to the AD server's Certificate Authority (CA) certificate.

On Linux, specify the AD server's CA certificates via the TLS_CACERT or TLS_CACERTDIR option in the ldap.conf file.

O gerenciador de pacotes da sua plataforma cria o arquivo ldap.conf ao instalar a dependência libldap do MongoDB Enterprise. Para obter a documentação completa do arquivo de configuração ou das opções indicadas, consulte ldap.conf.

No Microsoft Windows, carregue os certificados de Autoridade de Certificação (CA) do servidor AD com a ferramenta de gerenciamento de credenciais da plataforma. A ferramenta exata de gerenciamento de credenciais depende da versão do Windows . Para usar a ferramenta, consulte a documentação referente à sua versão do Windows.

Se mongod ou mongos não puderem acessar os arquivos AD CA, não poderão criar conexões TLS/SSL com o servidor Active Directory.

Opcional: defina security.ldap.transportSecurity como none para desabilitar TLS/SSL.

(Somente Windows) Atribua o nome principal de serviço ao serviço MongoDB no Windows.

Para servidores MongoDB em execução no sistema operacional Windows, você deve usar setspn.exe para atribuir o nome principal de serviço (SPN) à conta que executa o serviço MongoDB.

setspn.exe -S <service>/<fully qualified domain name> <service account name>

setspn.exe -S mongodb/mongodbserver.example.com mongodb_dev@example.com

(Somente Linux) Crie um arquivo keytab para o servidor MongoDB.

Para servidores MongoDB em execução na plataforma Linux, você deve garantir que o servidor tenha uma cópia do arquivo keytab específico para a instância do MongoDB em execução nesse servidor.

Você deve conceder ao usuário Linux que está executando o serviço MongoDB permissões de leitura no arquivo keytab. Anote o caminho completo do local do arquivo keytab.

Conecte-se ao servidor MongoDB.

Connect to the MongoDB server using mongosh using the --host and --port options.

mongosh --host <hostname> --port <port>

If your MongoDB server currently enforces authentication, you must authenticate to the admin database as a user with role management privileges, such as those provided by userAdmin or userAdminAnyDatabase. Include the appropriate --authenticationMechanism for the MongoDB server's configured authentication mechanism.

mongosh --host <hostname> --port <port> --username <user> --password <pass> --authenticationDatabase="admin" --authenticationMechanism="<mechanism>"

Criar função administrativa de usuário.

To manage MongoDB users using AD, you need to create at least one role on the admin database that can create and manage roles, such as those provided by userAdmin or userAdminAnyDatabase.

O nome da função deve corresponder exatamente ao Nome Distinto de um grupo do AD. O grupo deve ter pelo menos um usuário do AD como membro.

Considerando os grupos disponíveis do Active Directory, a seguinte operação:

• Creates a role named for the AD group CN=dba,CN=Users,DC=example,DC=com, and

• Atribui a ele a função userAdminAnyDatabase no banco de dados admin.

var admin = db.getSiblingDB("admin")
admin.createRole(
   {
     role: "CN=dba,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [ "userAdminAnyDatabase" ]
   }
)

Outra opção é conceder a função userAdmin para cada banco de dados no qual o usuário deva ter privilégios administrativos de usuário. Essas funções fornecem os privilégios necessários para a criação e o gerenciamento de funções.

Crie um arquivo de configuração do MongoDB.

Um arquivo de configuração do MongoDB é um arquivo YAML de texto simples com a extensão de arquivo .conf.

• Se você estiver atualizando uma implantação do MongoDB, copie o arquivo de configuração atual e trabalhe a partir dessa cópia.

• (Somente Linux) Se essa for uma nova implantação e você tiver usado o gerenciador de pacotes da sua plataforma para instalar o MongoDB Enterprise, a instalação conterá o arquivo de configuração padrão /etc/mongod.conf. Use esse arquivo de configuração padrão ou faça uma cópia desse arquivo para trabalhar.

• Se esse arquivo não existir, crie um arquivo vazio com a extensão .conf e trabalhe a partir desse novo arquivo de configuração.

Configure o MongoDB para se conectar ao Active Directory.

In the MongoDB configuration file, set security.ldap.servers to the host and port of the AD server. If your AD infrastructure includes multiple AD servers for the purpose of replication, specify the host and port of the servers as a comma-delimited list to security.ldap.servers.

security:
  ldap:
    servers: "activedirectory.example.net"

MongoDB deve se vincular ao servidor AD para realizar query. Por padrão, o MongoDB usa o mecanismo de autenticação simples para se vincular ao servidor AD .

Alternatively, you can configure the following settings in the configuration file to bind to the AD server using SASL:

• Defina security.ldap.bind.method como sasl

• security.ldap.bind.saslMechanisms , especificando uma string de mecanismos SASL separados por vírgula que o servidor AD suporta.

Este tutorial utiliza o mecanismo de autenticação LDAP simple padrão.

Configure o MongoDB para autenticação no Kerberos.

No arquivo de configuração do MongoDB, defina security.authorization como enabled e setParameter authenticationMechanisms como GSSAPI

Para habilitar a autenticação via Kerberos, inclua o seguinte no arquivo de configuração:

security:
  authorization: "enabled"
setParameter:
  authenticationMechanisms: "GSSAPI"

Configure o modelo de consulta LDAP para autorização.

No arquivo de configuração do MongoDB , defina security.ldap.authz.queryTemplate como um modelo de URL de query LDAP formatado 4516 em RFC.

No modelo, você pode usar:

• {USER} espaço reservado para substituir o nome de usuário autenticado na URL de consulta do LDAP.

• {PROVIDED_USER} espaço reservado para substituir o nome de usuário fornecido, ou seja, antes da autenticação ou transformação LDAP, na query LDAP.

Crie o modelo de query para recuperar os grupos do usuário.

security:
  ldap:
    authz:
      queryTemplate:
        "DC=example,DC=com??sub?(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={USER}))"

MongoDB maps each returned group DN to a role on the admin database. For each mapped group DN, if there is an existing role on the admin database whose name exactly matches the DN, MongoDB grants the user the roles and privileges assigned to that role.

The matching rule LDAP_MATCHING_RULE_IN_CHAIN requires providing the full DN of the authenticating user. Since Kerberos requires authenticating with a user's userPrincipalName, you must transform the incoming usernames into DNs using security.ldap.userToDNMapping. The next step provides guidance on transforming incoming usernames to support the queryTemplate.

Transforme os nomes de usuário recebidos para autenticação via Active Directory.

In the MongoDB configuration file, set userToDNMapping to transform the authenticating user's provided username into an AD DN to support the queryTemplate.

security:
  ldap:
    userToDNMapping:
      '[
         {
            match : "(.+)",
            ldapQuery: "DC=example,DC=com??sub?(userPrincipalName={0})"
         }
    ]'

Você deve modificar a configuração de amostra fornecida para corresponder à sua implantação. Por exemplo, o DN base ldapQuery deve corresponder ao DN base que contém suas entidades de usuário. Outras modificações podem ser necessárias para dar suporte à implantação do AD.

DC=example,DC=com??sub?(userPrincipalName=alice@ENGINEERING.EXAMPLE.COM)

Configurar credenciais de query.

MongoDB requires credentials for performing queries on the AD server.

Defina as seguintes configurações no arquivo de configuração:

• security.ldap.bind.queryUser, especificando o usuário Kerberos ao qual mongod ou mongos se vincula para realizar consultas no servidor AD.

• security.ldap.bind.queryPassword, especificando a senha para o queryUser especificado.

security:
  ldap:
    bind:
      queryUser: "mongodbadmin@dba.example.com"
      queryPassword: "secret123"

On Windows MongoDB servers, you can set security.ldap.bind.useOSDefaults to true to use the credentials of the OS user instead of queryUser and queryPassword.

O queryUser deve ter permissão para executar todas as consultas LDAP em nome do MongoDB.

Opcional: adicione definições de configuração adicionais.

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implantação ou se os membros da implantação forem executados em hosts diferentes, especifique a configuração net.bindIp.

Inicie o servidor MongoDB com autenticação Kerberos e autorização do Active Directory.

Inicie o servidor do MongoDB com a opção --config, especificando o caminho para o arquivo de configuração criado durante esse procedimento. Se o servidor do MongoDB estiver em execução no momento, faça as devidas preparações para interromper o servidor.

Linux MongoDB Servers

No Linux, você deve especificar a variável ambiental KRB5_KTNAME, especificando o caminho para o arquivo keytab para o servidor MongoDB.

env KRB5_KTNAME <path-to-keytab> mongod --config <path-to-config-file>

Microsoft Windows MongoDB Servers

No Windows, você deve iniciar o servidor MongoDB como a conta principal de serviço, conforme configurado anteriormente no procedimento:

mongod.exe --config <path-to-config-file>

Conecte-se ao servidor MongoDB.

Conecte-se ao servidor do MongoDB, autenticando-se como um usuário cuja associação de grupo direta ou transitiva corresponda a uma função do MongoDB no banco de dados admin com userAdmin, userAdminAnyDatabase ou uma função personalizada com privilégio equivalentes.

Use mongosh to authenticate to the MongoDB server, set the following options:

• --host com o nome de host do servidor MongoDB

• --port com a porta do servidor MongoDB

• --username para o usuário userPrincipalName

• --password to the user's password (or omit to have mongosh prompt for the password)

• --authenticationMechanism para "GSSAPI"

• --authenticationDatabase para "$external"

mongosh --username sam@DBA.EXAMPLE.COM --password  --authenticationMechanisms="GSSAPI" --authenticationDatabase "$external" --host <hostname> --port <port>

Windows MongoDB deployments must use mongo.exe instead of mongosh.

Considerando os usuários do Active Directory configurados, o usuário se autentica com sucesso e recebe as devidas permissões.

Crie roles para mapear grupos AD retornados.

For each group on the AD server you wish to use for MongoDB authorization, you must create a matching role on the MongoDB server's admin database.

db.getSiblingDB("admin").createRole(
   {
     role: "CN=PrimaryApplication,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "readWrite", db: "PrimaryApplication" }
     ]
   }
)

Opcional: faça a transição dos usuários existentes do $external para o servidor Active Directory.

Se estiver atualizando uma instalação existente com usuários configurados no banco de banco de dados do $external , você deverá atender os seguintes requisitos para cada usuário para garantir o acesso após configurar o MongoDB para autenticação Kerberos e autorização do AD :

• O usuário tem um objeto de usuário correspondente no servidor AD .

• O usuário tem associação nos grupos apropriados no servidor AD .

• O MongoDB contém as funções no banco de dados admin nomeadas para os grupos AD do usuário, de forma que o usuário autorizado mantenha seus privilégios.

{
  user : "joe@ANALYTICS.EXAMPLE.COM",
  roles: [
    { role : "read", db : "web_analytics" },
    { role : "read", db : "PrimaryApplication" }
  ]
}

db.getSiblingDB("admin").createRole(
   {
     role: "CN=marketing,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "read", db: "web_analytics" }
       { role: "read", db: "PrimaryApplication" }
     ]
   }
)

Se você quiser continuar permitindo que usuários em bancos de dados que não são $external acessem o MongoDB, insira o mecanismo de autenticação SCRAM (por exemplo, SCRAM-SHA-1 e/ou SCRAM-SHA-256) na opção de configuração setParameter authenticationMechanisms.

setParameter:
  authenticationMechanisms: "GSSAPI,SCRAM-SHA-1,SCRAM-SHA-256"

Como alternativa, faça a transição de usuários não$external para o AD seguindo o procedimento acima.