Amazon Web Services身份和访问管理

代码占位符

本页上的代码示例使用以下占位符：

• <hostname>： MongoDB Atlas部署的网络解决

• <AWS IAM access key ID>：您的Amazon Web Services访问密钥ID

• <AWS IAM secret access key>：您的Amazon Web Services秘密访问权限密钥

• <AWS session token>：您的Amazon Web Services会话令牌

要使用本页上的代码示例，请将这些占位符替换为您自己的值。

MongoClient 凭证

首先， PyMongo检查您是否将Amazon Web Services凭证作为命名参数或连接字符串的一部分传递给 MongoClient 构造函数。 要将您的凭证传递给 MongoClient，设立以下连接选项：

• username：要进行身份验证的Amazon Web Services IAM访问权限密钥ID 。 在将其包含在连接字符串中之前，对该值进行百分比编码。

• password： Amazon Web Services IAM 秘密访问权限密钥。 在将其包含在连接字符串中之前，对该值进行百分比编码。

• authMechanism：设置为"MONGODB-AWS" 。

您可以通过两种方式设置这些选项：将参数传递给 MongoClient 构造函数，或通过连接string中的参数。

client = pymongo.MongoClient("mongodb+srv://<hostname>",
                             username="<AWS IAM access key ID>",
                             password="<AWS IAM secret access key>",
                             authMechanism="MONGODB-AWS")

uri = ("mongodb+srv://<percent-encoded AWS IAM access key ID>:"
       "<percent-encoded AWS IAM secret access key>"
       "@<hostname>/?"
       "&authMechanism=MONGODB-AWS")
client = pymongo.MongoClient(uri)

环境变量

如果在构造 MongoClient 对象时未提供用户名和密码， PyMongo尝试从以下环境变量中检索Amazon Web Services档案：

• AWS_ACCESS_KEY_ID

• AWS_SECRET_ACCESS_KEY

• AWS_SESSION_TOKEN

要使用这些环境变量对应用程序进行身份验证，请先将它们设置为身份验证所需的Amazon Web Services IAM 值，如以下代码示例所示：

export AWS_ACCESS_KEY_ID=<AWS IAM access key ID>
export AWS_SECRET_ACCESS_KEY=<AWS IAM secret access key>
export AWS_SESSION_TOKEN=<AWS session token>

设置这些环境变量后，将authMechanism连接选项设置为"MONGODB-AWS" 。 您可以通过两种方式设置此选项：将参数传递给 MongoClient 构造函数，或通过连接string中的参数。

client = pymongo.MongoClient("mongodb+srv://<hostname>",
                             authMechanism="MONGODB-AWS")

uri = "mongodb+srv://<hostname>/?&authMechanism=MONGODB-AWS"
client = pymongo.MongoClient(uri)

共享凭证文件

如果PyMongo在上述环境变量中没有找到Amazon Web Services档案，它会尝试从共享档案文件中读取这些档案。

要使用共享凭证文件对应用程序进行身份验证，请确保该文件在您的环境中存在并且配置正确。 要了解如何创建共享凭证文件，请参阅 3凭证 在 Boto 文档和 配置 中 在Amazon Web Services 文档中。

创建共享凭证文件后，将authMechanism连接选项设置为"MONGODB-AWS" 。 您可以通过两种方式设置此选项：将参数传递给 MongoClient 构造函数，或通过连接string中的参数。

client = pymongo.MongoClient("mongodb+srv://<hostname>",
                             authMechanism="MONGODB-AWS")

uri = "mongodb+srv://<hostname>/?&authMechanism=MONGODB-AWS"
client = pymongo.MongoClient(uri)

Amazon Web Services配置文件

如果PyMongo在共享凭证文件中没有找到凭证，它会尝试从Amazon Web Services配置文件中读取凭证。

要使用Amazon Web Services配置文件对应用程序进行身份验证，请确保该文件存在于您的环境中并且配置正确。 要了解如何创建Amazon Web Services 配置文件，请参阅 3凭证 在 Boto 文档和 配置 中 在Amazon Web Services 文档中。

创建配置文件后，将authMechanism连接选项设置为"MONGODB-AWS" 。 您可以通过两种方式设置此选项：将参数传递给 MongoClient 构造函数，或通过连接string中的参数。

client = pymongo.MongoClient("mongodb+srv://<hostname>",
                             authMechanism="MONGODB-AWS")

uri = "mongodb+srv://<hostname>/?&authMechanism=MONGODB-AWS"
client = pymongo.MongoClient(uri)

AssumeRole 请求

Amazon Web ServicesAmazon Web Services您可以指示PyMongo AssumeRole向Amazon Web Services STS 端点发出 请求，而不是将 凭证存储在 配置文件中。此请求会返回应用程序可用于身份验证的临时凭证。

要使用 AssumeRole 请求返回的临时Amazon Web Services IAM 凭证进行身份验证，请确保您的环境中存在Amazon Web Services配置文件并且已正确配置。 要了解如何创建和配置Amazon Web Services 配置文件，请参阅 3凭证 在 Boto 文档和 配置 中 在Amazon Web Services 文档中。

创建配置文件后，设置以下连接选项：

• username：由 AssumeRole请求返回的用于进行身份验证的Amazon Web Services IAM访问权限密钥ID 。 在将其包含在连接字符串中之前，对该值进行百分比编码。

• password：AssumeRole请求返回的Amazon Web Services IAM 秘密访问权限密钥。 在将其包含在连接字符串中之前，对该值进行百分比编码。

• authMechanismProperties：设置为 AWS_SESSION_TOKEN: 和 AssumeRole请求返回的Amazon Web Services会话令牌。

• authMechanism：设置为"MONGODB-AWS" 。

您可以通过两种方式设置这些选项：将参数传递给 MongoClient 构造函数，或通过连接string中的参数。

client = pymongo.MongoClient("mongodb+srv://@<hostname>",
                             username="<AWS IAM access key ID>",
                             password="<AWS IAM secret access key>",
                             authMechanismProperties="AWS_SESSION_TOKEN:<AWS session token>",
                             authMechanism="MONGODB-AWS")

uri = ("mongodb+srv://<percent-encoded AWS IAM access key ID>:"
       "<percent-encoded AWS IAM secret access key>"
       "@<hostname>/?"
       "authMechanismProperties=AWS_SESSION_TOKEN:<AWS session token>"
       "&authMechanism=MONGODB-AWS")
client = pymongo.MongoClient(uri)

有关使用 AssumeRole 请求对应用程序进行身份验证的更多信息，请参阅以下Amazon Web Services文档：

• 临时Amazon Web Services IAM 凭证

• Amazon Web Services安全令牌服务

• 承担角色

AssumeRoleWithWebIdentity

如果您的应用程序对来自 OpenID Connect (OIDC) 身份提供程序的 EKS 集群的用户进行身份验证， PyMongo可以发出 AssumeRoleWithWebIdentity 请求，将 OIDC 令牌交换为应用程序的临时Amazon Web Services凭证。

要使用 AssumeRoleWithWebIdentity 请求返回的临时Amazon Web Services IAM 凭证进行身份验证，请确保您的环境中存在Amazon Web Services配置文件并且已正确配置。 要了解如何创建和配置Amazon Web Services 配置文件，请参阅 3凭证 在 Boto 文档和 配置 中 在Amazon Web Services 文档中。

为AssumeRoleWithWebIdentity请求配置环境后，将authMechanism连接选项设置为"MONGODB-AWS" 。 您可以通过两种方式设置此选项：将参数传递给 MongoClient 构造函数，或通过连接string中的参数。

client = pymongo.MongoClient("mongodb+srv://<hostname>",
                             authMechanism="MONGODB-AWS")

uri = "mongodb+srv://<hostname>/?&authMechanism=MONGODB-AWS"
client = pymongo.MongoClient(uri)

有关使用 AssumeRoleWithWebIdentity 请求对应用程序进行身份验证的更多信息，请参阅以下Amazon Web Services文档：

• 从 OpenID Connect 身份提供者对集群用户进行身份验证

• AssumeRoleWithWebIdentity

ECS 容器或 EC 2实例

如果您的应用程序在弹性容器服务 (ECS) 容器中的Amazon Elastic Cloud Compute (EC2) 实例中运行， PyMongo可以自动从 ECS 端点检索临时Amazon Web Services凭证。

要使用 EC 2实例中的临时档案，请将authMechanism连接选项设置为"MONGODB-AWS" 。 您可以通过两种方式设置此选项：将参数传递给 MongoClient 构造函数，或通过连接string中的参数。

client = pymongo.MongoClient("mongodb+srv://<hostname>",
                             authMechanism="MONGODB-AWS")

uri = "mongodb+srv://<hostname>/?&authMechanism=MONGODB-AWS"
client = pymongo.MongoClient(uri)