MongoDB Enterprise支持Kerberos。Kerberos 是一种网络身份验证协议。MongoDB 助手可以对运行Kerberos 的MongoDB实例进行身份验证。
先决条件
配置 KDC 以颁发具有最短四小时生命周期的票证
Kerberos票证可以在有限的时间内对用户进行身份验证。您必须配置Kerberos密钥分发中心 (KDC)，以颁发有效期为四小时或更长时间的票证。MongoDB 助手会定期更新票证。 KDC 服务向用户和主机提供会话票证和临时会话密钥。
添加 Kerberos 作为部署的身份验证机制
MongoDB Agent与部署中的MongoDB数据库交互，就像MongoDB用户一样。因此，您必须配置 MongoDB 部署和 MongoDB Agent 以支持身份验证。
您可以在添加部署时指定部署的身份验证机制，也可以编辑现有部署的设置。 部署必须至少启用您希望 MongoDB 助手使用的身份验证机制。 MongoDB 助手可以使用任何受支持的身份验证机制。
就本教程而言，您必须确保满足以下条件：
您的部署支持 Kerberos 身份验证和
MongoDB Agent 使用 Kerberos 身份验证。
要了解如何启用 Kerberos 身份验证，请参阅为 Cloud Manager 项目启用 Kerberos 身份验证。
配置 MongoDB Agent 主机以使用 Kerberos
必须在任何运行监控或备份的主机上安装两个与 Kerberos 相关的文件：
创建或配置 5krb.conf Kerberos配置文件。
平台默认路径注意Linux
/etc/krb5.confWindows
%WINDIR%\krb5.ini这是非基于 Active 目录 的 Kerberos 实施的默认路径。请参阅适用于您的 Windows 版本的 Kerberos 实施文档，了解 Kerberos 配置文件的存储位置。
On Linux systems: ensure kinit binary is located at
/usr/bin/kinit.kinitobtains or renews a Kerberos ticket-granting ticket, which authenticates the Agent using Kerberos.
步骤
为 MongoDB 助手创建 Kerberos 用户主体
为MongoDB Agent创建或选择Kerberos用户主体名称 (UPN)。
UPN的格式分为两部分，因此可以在 Kerberos 域 中唯一标识服务：
组件 | 说明 |
|---|---|
服务名称 | 主机向 Kerberos 域 提供的一项服务的名称，例如 |
Kerberos Realm | 共享同一 Kerberos 数据库的一组托管主机和服务。 根据 Kerberos 命名规则， |
例子
In a Kerberos realm set as EXAMPLE.COM, the MongoDB Agent would set its UPN to: mongodb-agent@EXAMPLE.COM
为MongoDB Agent的Kerberos UPN 生成 keytab文件。
Generate a keytab file (*.keytab) for the MongoDB Agent UPN and copy it to the host that runs the MongoDB Agent. Ensure that the operating system user that runs the MongoDB Agent is the same operating system user that owns the keytab file.
为 MongoDB 助手 UPN 创建用户并分配角色
选择部署类型以查看相应步骤。