Atlas Data Federation身份验证方法

Amazon Web Services IAM 身份验证（联合数据库实例）

Overview

您可以使用 AWS IAM 用户或角色对数据库用户进行身份验证，以便其能够访问 Atlas 集群，无需管理密码。使用 AWS IAM 可以减少身份验证机制的数量和需要管理的密钥数量。Atlas 不会通过网络接收您的身份验证密钥，并且驱动程序也不会保存此密钥。

为您的使用案例选择适当的身份验证方法：

• IAM 角色：AWS 服务（EC2、 Lambda、ECS）或联合用户担任的角色。对于在 AWS 计算资源上运行的工作负载，我们建议您使用 IAM 角色进行应用程序和工作负载访问权限。

• IAM 用户：需要直接访问权限数据库的个人 AWS 用户。此选项可能适合使用特定用户凭证运行的应用程序。对于开发者和管理员等人类用户，我们建议您将 Workforce Identity Federation 与 OIDC 结合使用，以获得与身份提供程序直接 SSO 的体验。

使用Amazon Web Services IAM 角色设置身份验证

您可以设立Amazon Web Services IAM 角色，对Amazon Web Services Atlas集群的 计算类型进行身份验证。

对于 AWS Lambda 和 HTTP（ECS 和 EC2），驱动程序自动从环境变量读取。对于 AWS EKS，您必须手动分配 IAM 角色。

本页介绍了 AWS Lambda、AWS ECS 和 AWS EKS 如何使用 AWS IAM 角色进行连接。

http://169.254.170.2${AWS_CONTAINER_CREDENTIALS_RELATIVE_URI}

http://169.254.169.254/latest/meta-data/iam/security-credentials/

向Amazon Web Services IAM 角色授予数据库访问权限

要向 AWS IAM 角色授予数据库访问权限，请完成 AWS IAM 的“配置数据库用户” 部分中描述的步骤。有关使用 Atlas CLI、Atlas 管理 API 或 Atlas 用户界面授予数据库访问权限的更多信息，请参阅 配置数据库用户。

使用Atlas Amazon Web ServicesIAM 连接到 集群

要使用 连接到具有 AWS IAM 凭证的mongosh Atlas，请提供 指定 MONGODB-AWS 身份验证机制的连接字符串 。此连接字符串格式适用于所有 AWS IAM 身份验证机制。

使用 AWS IAM 身份验证与 mongosh 连接 Atlas 需要 shell 版本 v0.9.0 或更高版本。

请考虑以下内容：

• 使用 AWS IAM 凭证，将访问密钥 ID 作为用户名，将密钥作为密码。

• authSource查询参数是 $external，URL编码为 %24external。

• authMechanism 查询参数是 MONGODB-AWS。

  例子

  mongosh "mongodb+srv://<atlas-host-name>/test?authSource=%24external&authMechanism=MONGODB-AWS" --username <access-key-id> --password <secret-key>

X509 身份验证（联合数据库实例）

X.509 证书允许数据库用户访问权限其项目中的集群。请注意，数据库用户与Atlas用户不同。数据库用户可以访问权限MongoDB数据库，而Atlas用户可以访问权限Atlas应用程序本身。

X.509 证书可以是以下类型之一：

• 自管理证书。对于自管理证书，您必须提供证书颁发机构 (CA) 并为数据库用户生成自己的证书。有关在项目中设置自我管理证书的更多详细信息，请参阅配置项目以使用公钥基础设施。

• Atlas 托管证书。通过 Atlas 托管的证书， Atlas还可以管理您的 CA 并为您的数据库用户生成证书。您无需使用 Atlas 托管证书处理任何其他 CA 配置。

atlas security customerCerts create [options]

CN=Jane Doe,O=MongoDB,C=US