LDAP 代理身份验证

连接池

从 4.2.0 版开始，在连接到 LDAP 服务器进行身份验证/授权时，默认情况下，MongoDB：

• 如果在以下平台上运行，则使用连接池化：

  • 在 Windows 平台上或

  • 在 Linux 上运行，其中 MongoDB Enterprise 二进制文件链接到libldap_r。

• 如果在以下平台上运行，则不使用连接池化：

  • 在 Linux 上，其中 MongoDB Enterprise 二进制文件链接到libldap。

如需更改连接池行为，请更新 ldapUseConnectionPool 参数。

saslauthd 和目录权限

libldap 和 libldap_r

对于与 libldap 链接的 MongoDB 4.2 企业版二进制文件（例如在 RHEL 上运行时），对 libldap 的访问是同步进行的，会产生一些性能/延迟成本。

对于链接到 libldap_r MongoDB 4.2 Enterprise 二进制文件，与早期 MongoDB 版本相比，行为没有变化。

管理 MongoDB 服务器上的 LDAP 用户

用户管理要求管理 LDAP 服务器和 MongoDB 服务器上的用户。对于通过 LDAP 进行身份验证的每个用户，MongoDB 要求 $external 数据库中的用户名与身份验证用户名完全匹配。如果对 LDAP 服务器上的用户进行更改，则可能需要对相应的 MongoDB $external 用户进行更改。

要对$external身份验证用户（Kerberos、LDAP 或 x.509 用户）使用客户端会话和因果一致性保证，用户名不能大于 10k 字节。

要管理 MongoDB 服务器上的用户，您必须作为 LDAP 用户进行身份验证。该用户的相应 MongoDB $external 用户具有 $external 数据库的用户管理特权，例如 userAdmin 提供的特权。

管理现有的非 LDAP 用户

如果现有的用户没有位于 $external 数据库中，您必须满足每个用户的以下要求以确保持续进行访问：

• 用户在 LDAP 服务器上有相应的用户对象

• $external 数据库中存在具有同等角色和权限的用户

如果您想继续允许不在 $external 数据库上的用户访问，则必须配置 setParameter authenticationMechanisms，纳入适当的 SCRAM-SHA-1 和/或 SCRAM-SHA-256。用户在进行身份验证时必须指定 --authenticationMechanism SCRAM-SHA-1 或 SCRAM-SHA-256。

在副本集上部署 LDAP 身份验证

对于副本集，先在从节点和仲裁节点上配置 LDAP 身份验证，然后再配置主节点。这也适用于分片副本集或配置服务器副本集。每次配置一个副本集节点，以保持大多数节点的写入可用性。

在分片集群上部署 LDAP 身份验证

在分片集群中，必须在配置服务器上配置 LDAP 身份验证，并为集群级用户配置每个 mongos 身份验证。您可以选择在每个分片上为分片本地用户配置 LDAP 授权。

考虑因素

• Linux MongoDB 服务器支持通过 saslauthd 守护进程绑定到 LDAP 服务器。

• 在客户端和服务器之间以及 saslauthd 和 LDAP 服务器之间使用安全加密或可信连接。LDAP 服务器使用 SASL PLAIN 机制，以明文形式发送和接收数据。您应该只使用可信通道，如 VPN、使用 TLS/SSL 加密的连接或可信有线网络。

配置

要将 MongoDB 服务器配置为通过 saslauthd 绑定到 LDAP 服务器，请使用以下命令行选项或以下配置文件设置启动 mongod：

您需要使用适合 LDAP 服务器的参数创建或更新 saslauthd.conf 文件。记录 saslauthd.conf 超出本文档的范围。

以下教程初步介绍了如何配置 saslauthd.conf 以与两种流行的 LDAP 服务配合使用：

• 将 SASL 和 LDAP 与 OpenLDAP 结合使用进行身份验证

• 通过 ActiveDirectory 使用 SASL 和 LDAP 进行身份验证

请参阅 saslauthd 以及特定 LDAP 服务的文档以获得指导。