Amazon Web Services身份和访问管理

代码占位符

本页上的代码示例使用以下占位符：

• <hostname>： MongoDB 部署的网络解决

• <aws-access-key-id>： Amazon Web Services访问权限密钥ID

• <aws_secret_access_key>： Amazon Web Services秘密访问权限密钥

• <aws_session_token>： Amazon Web Services会话令牌

显式提供档案

您可以提供常规（非临时）IAM凭证作为客户端选项或使用 URI。选择 Connection String 或 Client Options标签页，查看相应的语法：

client = Mongo::Client.new(
  'mongodb://<aws_access_key_id>:<aws_secret_access_key>@host/?authMechanism=MONGODB-AWS')

client = Mongo::Client.new(['<host>'],
                           auth_mech: :aws,
                           user: '<aws_access_key_id>',
                           password: '<aws_secret_access_key>')

提供临时凭证

要提供临时凭证，请在客户端选项中或使用 URI 指定会话令牌。选择 Connection String 或 Client Options标签页，查看相应的语法：

client = Mongo::Client.new(
  'mongodb://<aws_access_key_id>:<aws_secret_access_key>@host/?authMechanism=MONGODB-AWS&authMechanismProperties=AWS_SESSION_TOKEN:<<aws_session_token>>')

client = Mongo::Client.new(['<host>'],
                           auth_mech: :aws,
                           user: '<aws_access_key_id>',
                           password: '<aws_secret_access_key>',
                           auth_mech_properties: {
                             aws_session_token: '<<aws_session_token>>',
                           })

自动检索档案

客户端可以从环境或 EC2 或 ECS元数据端点检索凭证。要自动检索凭证，请指定Amazon Web Services身份验证机制，但不要指定用户名或密码。 选择 Connection String 或 Client Options标签页，查看相应的语法：

client = Mongo::Client.new(
  'mongodb://host/?authMechanism=MONGODB-AWS')

client = Mongo::Client.new(['<hostname>'],
                           auth_mech: :aws)
)

驾驶员尝试按指定顺序从以下来源获取凭证：

• AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY 和 AWS_SESSION_TOKEN 环境变量。这些环境变量可由各种与Amazon Web Services相关的库和工具识别，例如官方Amazon Web Services Ruby SDK 和Amazon Web Services CLI。 它们也是在Amazon Web Services Lambda环境中运行时定义的。

• Amazon Web Services STS AssumeRoleWithWebIdentity动作。此机制返回与服务帐户令牌关联的凭证，并需要设立以下环境变量：

  • AWS_WEB_IDENTITY_TOKEN_FILE：包含服务帐户令牌的文件的路径。

  • AWS_ROLE_ARN：调用者所担任角色的Amazon资源名称 (ARN)。

  • AWS_ROLE_SESSION_NAME （可选）：假定角色会话的标识符。如果此变量为空，驾驶员将生成一个随机标识符。

• Amazon Web Services ECS任务元数据端点。此端点返回与分配给容器的 ECS任务角色关联的凭证。

• Amazon Web Services EC2实例元数据端点。此端点返回与分配给该实例的 EC2实例角色关联的凭证。