管理MongoDB Ops Manager项目的LDAP身份验证

注意

Starting with MongoDB 8.0, LDAP authentication and authorization is deprecated. The feature remains available and supported in Ops Manager and continues to operate without changes. LDAP will be removed in a future release.

有关详细信息，请参阅 LDAP 弃用。

Ops Manager 允许您配置所有客户端（包括 Ops Manager 代理）用于连接到 MongoDB 部署的身份验证机制。您可以为每个项目启用多种身份验证机制，但必须为代理仅选择一种机制。

MongoDB Enterprise 支持通过轻型目录访问协议 (LDAP) 服务转发身份验证请求。

LDAP 仅适用于 MongoDB Enterprise 版本。如果现有部署在 MongoDB Community 版本上运行，则必须将其升级到 MongoDB Enterprise ，然后才能为 Ops Manager 项目启用LDAP 。

Considerations

MongoDB Enterprise 支持通过saslauthd和操作系统库以简单 SASL 方式绑定到轻量级目录访问协议 (LDAP) 服务器：

MongoDB Enterprise for Linux可以通过 saslauthd 或通过操作系统库绑定到LDAP服务器。
MongoDB Enterprise for Windows可以通过操作系统库绑定到LDAP服务器。

要了解如何设置 LDAP 和 SASL，请参阅 MongoDB 手册中的LDAP 代理身份验证和LDAP 授权部分。

步骤

本文程序介绍如何：

在使用“自动化”时配置并启用 LDAP 身份验证。
在 MongoDB Ops Manager 中轮换 LDAP 密码，以便之后您也可以在 LDAP 服务器上轮换 LDAP 密码，然后开始在 MongoDB Ops Manager 中无缝使用新密码。

如果 Ops Manager 不管理监控或备份，您必须手动将其配置为使用 LDAP。要配置 LDAP，请参阅为 LDAP 配置 MongoDB Agent。

Security Settings导航至部署的对话框。

如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。
如果尚未出现，请单击侧边栏中的 Deployment（部署）。

单击 Security 标签页。
单击 Settings 标签页。
执行以下操作之一：
- 如果这是您第一次为此项目配置 TLS、身份验证或授权设置，请单击 Get Started。
- 如果已经为此项目配置 TLS 身份验证或授权设置，请单击 Edit。

可选：指定 TLS 设置。

字段	操作
MongoDB 部署传输层安全 (TLS)	将此滑块切换至 ON（开启）。
TLS CA 文件路径	TLS 证书颁发机构文件是 `.pem` 格式的证书文件，其中包含来自证书颁发机构的根证书链。MongoDB Agent 使用相同的证书颁发机构文件连接到部署中的每个项目。 `.pem` 证书文件的加密私钥必须采用 PKCS #1 格式。MongoDB 助手不支持PKCS #8格式。在运行 MongoDB 进程的每个主机上键入 TLS 证书颁发机构文件的文件路径：在第一个框中键入所有 Linux 主机上的文件路径。在第二个框中键入所有 Windows 主机上的文件路径。这将为项目中的 MongoDB 进程启用`net.tls.CAFile`设置。单击 Validate（验证）测试部署中每个主机在您指定的路径上是否都有 TLS 证书颁发机构。
集群 TLS CA 文件路径	包含来自证书授权机构的根证书链的 `.pem` 文件，用于验证建立连接的客户端提供的证书。使用相对或绝对路径指定 `.pem` 文件的文件名。`net.tls.clusterCAFile` 要求设置 `net.tls.CAFile`。如果不指定`net.tls.clusterCAFile` ，集群将使用`net.tls.CAFile`选项中指定的`.pem`文件。 `net.tls.clusterCAFile` 允许您使用单独的证书颁发机构来验证 TLS 握手的客户端到服务器和服务器到客户端部分。
客户端证书模式	选择在连接到启用 TLS 的 MongoDB 部署时客户端应用程序或 MongoDB 助手是否必须提供 TLS 证书。每个 MongoDB 部署都会在这些客户端主机尝试连接时检查来自这些客户端主机的证书。如果选择要求客户端提供 TLS 证书，请确保它们有效。接受的值为： `Optional` — 连接到 MongoDB 部署时，每个客户端都可以提供有效的 TLS 证书。如果您未将`mongodtlsMode` 设置为，MongoDB 代理可能会使用 TLS`None` 证书。 `Required` 此项目中的每个 MongoDB 部署都从 TLS 加密的网络连接开始。所有代理都必须使用 TLS 连接到任何 MongoDB 部署。

警告

建议将 TLS（安全传输层）/SSL（安全套接层）与 LDAP（轻量级目录访问协议）结合使用

默认情况下，LDAP 流量以明文形式发送。这意味着，凭证（用户名和密码）会暴露于基本的网络威胁，如网络窪探和重放攻击。使用 LDAPS (基于 TLS 的 LDAP) 对身份验证进行加密。许多现代目录服务，例如 Active Directory，都需要加密连接。

选择身份验证机制。

在 MongoDB Deployment Authentication Mechanism 部分，选择 LDAP。
选择适当的LDAP身份验证类型。
重要
- 如果您使用 LDAP 授权，则必须选择Native LDAP Authentication 。
- 如果您不使用 LDAP 授权，则必须将用户添加到 MongoDB 部署中的$external数据库。有关示例，请参阅LDAP 身份验证。

配置 LDAP 授权设置。（可选）

重要

只要首先启用LDAP授权，您就可以使用LDAP、 Kerberos或 X.509 证书对用户进行身份验证，而不需要 $external数据库中的本地用户文档。当此类用户成功进行身份验证时， MongoDB会对LDAP服务器执行查询以检索该LDAP用户拥有的所有群组，并将这些群组转换为等效的MongoDB角色。

应用这些更改时， MongoDB进程会以滚动方式重新启动。

如果您在上一步中选择了Saslauthd ，请跳过此步骤。

如果选择了Native LDAP Authentication ，请完成以下步骤：

提供以下值：

设置	值
服务器 URL	指定一个或多个 LDAP 服务器的`hostname:port`组合。
transportSecurity	选择`TLS`加密 LDAP 查询。如果您不需要加密 LDAP 查询，请选择`None` 。
超时（毫秒）	指定身份验证请求在超时之前应等待的时间。
绑定方法	选择`SASL`或`Simple` 。重要提示：如果您选择`Simple`绑定方法，请从Transport Security中选择`TLS` ，因为`Simple`绑定方法以纯文本形式传递密码。
SASL 机制	指定 MongoDB 在 LDAP 服务器中使用哪种 SASL 身份验证服务。
查询用户（LDAP 绑定标识名）	指定连接到 LDAP 服务器时 MongoDB 绑定到的 LDAP 标识名。
查询密码（LDAP 绑定标识名）	指定连接到 LDAP 服务器时 MongoDB 绑定的密码。
新查询密码（LDAP绑定 DN）	（可选）。如果您想轮换 LDAP 密码，请使用此字段。指定 MongoDB 在连接到 LDAP 服务器时将绑定的新密码。在此字段中指定新密码，可以顺利轮换查询密码。重要提示：在LDAP服务器端轮换密码后，将 New Query Password字段的内容移到 Query Password字段中，并将 New Query Password字段留空。
LDAP 用户缓存失效间隔	指定 MongoDB 等待刷新 LDAP 用户缓存的时间。默认为`30`秒。
用户到标识名的映射	指定 JSON 文档数组，这些文档提供 MongoDB 对经过身份验证的 MongoDB 用户名执行的有序转换。然后，MongoDB 将转换后的用户名与 LDAP DN 进行匹配。
验证 LDAP 服务器配置	选择`ON`验证 LDAP 服务器配置，或选择`OFF`跳过验证。如果为`ON`且配置无效，则 MongoDB 部署将不会启动。

在LDAP Authorization部分中，输入以下字段的值：

设置	值
LDAP Authorization	切换到ON以启用 LDAP 授权。
Authorization Query Template	为 LDAP 查询 URL 指定模板，以检索 LDAP 用户的 LDAP 群组列表。
User to Distinguished Name Mapping	指定 JSON 文档数组，这些文档提供 MongoDB 对经过身份验证的 MongoDB 用户名执行的有序转换。然后，MongoDB 将转换后的用户名与 LDAP DN 进行匹配。

配置助手以使用LDAP 连接到MongoDB 部署。

注意

记住

Ops Manager 限制代理在每个部署中只能使用一种机制。

从Agent Auth Mechanism部分选择LDAP选项。

为 MongoDB 助手提供档案：

设置	值
MongoDB Agent Username	输入LDAP用户名。
MongoDB Agent Password	输入助手的LDAP用户名密码。
MongoDB Agent LDAP Group 标识名	如果已启用 LDAP 授权，请输入 MongoDB Agent 用户所属群组的标识名。