平台	默认路径	注意
Linux	`/etc/krb5.conf`
Windows	`%WINDIR%\krb5.ini`	这是非基于 Active 目录的 Kerberos 实施的默认路径。请参阅适用于您的 Windows 版本的 Kerberos 实施文档，了解 Kerberos 配置文件的存储位置。

在Linux系统上：确保 kinit 二进制文件位于 /usr/bin/kinit。kinit 获取或续订Kerberos票证授予票证，以使用Kerberos对代理进行身份验证。

步骤

为 MongoDB 助手创建 Kerberos 用户主体

KerberosMongoDB Agent为MongoDB 助手创建或选择Kerberos用户主体名称 (UPN)。

UPN的格式分为两部分，因此可以在 Kerberos 域中唯一标识服务：

组件	说明
服务名称	托管向Kerberos 域提供的一项服务的名称，例如`pop` 、 `snmp`或`ftp` 。重要 MongoDB Ops Manager 6.0.0 弃用SNMP警报。 MongoDB Ops Manager 7.0.0 将不包含SNMP警报。要学习；了解有关其他警报选项的更多信息，请参阅第三方服务集成。
Kerberos Realm	共享同一 Kerberos 数据库的一组托管主机和服务。根据 Kerberos 命名规则， `<KERBEROS_REALM>`必须位于所有`UPPERCASE`中。

例子

在设置为EXAMPLE.COM的 Kerberos 域中，MongoDB Agent 会将其UPN设置为： mongodb-agent@EXAMPLE.COM

`keytab`Kerberos为MongoDB 助手的Kerberos UPN 生成MongoDB Agent 文件。

为MongoDB 助手UPN 生成 keytab文件()，并将其复制到运行MongoDB *.keytab助手的托管。确保运行MongoDB 助手的系统用户与拥有 keytab文件的系统用户相同。

为 MongoDB 助手 UPN 创建用户并分配角色

当自动化被激活时，Ops Manager 管理 MongoDB Agent 身份验证。

要为 MongoDB Agent 身份验证配置 Kerberos，请参阅为 Ops Manager 项目启用 Kerberos 身份验证。

为创建Kerberos UPN MongoDB AgentMongoDBMongoDB Agent后，在部署上创建与的 UPN 相对应的用户并授予权限。

在何处创建MongoDB用户取决于您是否使用LDAP授权。

如果在部署中使用LDAP授权，则必须在MongoDB服务器上为创建LDAP用户和LDAPMongoDB AgentLDAP群组。创建LDAP用户和群组后，将LDAP群组映射到部署的admin数据库中的MongoDB角色。

警告

使用LDAP授权时，请勿在$external数据库中创建任何MongoDB用户。如果$external数据库中存在MongoDB用户并且已启用LDAP授权，则MongoDB 3.4及更高版本不会启动。

对于代表MongoDB 的MongoDB Agent 用户：

在LDAPLDAP 服务器上创建一个以的MongoDB Agent UPN 命名的新用户。
LDAP创建名称与MongoDB Agent 角色匹配的群组。
在 admin数据库中创建具有适当权限的MongoDB Agent角色。
注意
激活自动化后，自动化会自动为MongoDB Agent用户创建角色以进行LDAP身份验证。
将LDAP用户分配到LDAP群组。

提示

要学习；了解如何：	看
创建LDAP用户	LDAP实施的文档。
创建LDAP群组	LDAP实施的文档。
为MongoDB Agent分配适当的角色	MongoDB Agent所需的访问权限。
映射LDAP群组和MongoDB角色	MongoDB手册中 LDAP授权页面的 LDAP角色部分。
在没有自动化的情况下配置LDAP 授权MongoDB Ops Manager	MongoDB手册中的LDAP授权页面。

如果您不使用LDAP授权，则必须将MongoDB Agent的UPN作为用户添加到MongoDB部署的 $external数据库中。如果没有LDAP授权， MongoDB会使用$external数据库根据Kerberos对用户进行身份验证。

注意

要查找 MongoDB 助手的适当角色，请参阅MongoDB Agent MongoDB Agent的访问权限。

从mongosh中，发出以下命令以创建MongoDB用户：

db.getSiblingDB("$external").createUser(
  {
    user : "<Kerberos Principal>",
    roles : [
      { role : "clusterAdmin", db : "admin" },
      { role : "readWriteAnyDatabase", db : "admin" },
      { role : "userAdminAnyDatabase", db : "admin" },
      { role : "dbAdminAnyDatabase", db : "admin" },
      { role : "backup", db : "admin" },
      { role : "restore", db : "admin" }
    ]
  }
)

后退

LDAP

来年

x.509

先决条件

配置 KDC 以颁发具有最短四小时生命周期的票证

添加 Kerberos 作为部署的身份验证机制

配置 MongoDB Agent 主机以使用 Kerberos

步骤

为 MongoDB 助手创建 Kerberos 用户主体

KerberosMongoDB Agent为MongoDB 助手创建或选择Kerberos用户主体名称 (UPN)。

重要

例子

keytabKerberos为MongoDB 助手的Kerberos UPN 生成MongoDB Agent 文件。

为 MongoDB 助手 UPN 创建用户并分配角色

警告

注意

提示

注意

`keytab`Kerberos为MongoDB 助手的Kerberos UPN 生成MongoDB Agent 文件。