使用 Kerberos 身份验证和 Active Directory 授权来配置 MongoDB

为运行 MongoDB 的服务器配置 TLS/SSL。

要通过 TLS/SSL 连接到AD (AD) 服务器， mongod或mongos需要访问AD服务器的证书颁发机构 (CA) 证书。

在 Linux 上，通过ldap.conf文件中的TLS_CACERT或TLS_CACERTDIR选项指定AD服务器的 CA 证书。

平台的软件包管理器在安装 MongoDB Enterprise 的 依赖项时会创建ldap.conflibldap 文件。有关配置文件或引用选项的完整文档，请参阅 ldap.conf 。

在 Microsoft Windows上，使用平台的档案管理工具加载AD服务器的证书颁发机构 (CA) 证书。 确切的档案管理工具取决于Windows版本。 要使用该工具，请参阅适用于您的Windows版本的文档。

如果mongod或mongos无法访问AD CA 文件，则他们无法创建与 Active Directory 服务器的 TLS/SSL 连接。

（可选）将security.ldap.transportSecurity设置为none以禁用 TLS/SSL。

（仅限 Windows）将服务主体名称分配给 MongoDB Windows 服务。

对于在 Windows 操作系统上运行的 MongoDB 服务器，必须使用 setspn.exe 将服务主体名称 (SPN) 分配给运行 MongoDB 服务的帐户。

setspn.exe -S <service>/<fully qualified domain name> <service account name>

setspn.exe -S mongodb/mongodbserver.example.com mongodb_dev@example.com

（仅限 Linux）为 MongoDB Server 创建密钥表文件。

对于在 Linux 平台上运行的 MongoDB 服务器，必须确保该服务器具有特定于该服务器上运行的 MongoDB 实例的密钥表文件的副本。

您必须授予运行 MongoDB 服务的 Linux 用户对 keytab 文件的读取权限。记下密钥表文件位置的完整路径。

连接到 MongoDB Server。

使用 和mongosh --host--port选项，使用 连接到 MongoDB 服务器。

mongosh --host <hostname> --port <port>

如果您的 MongoDB 服务器当前强制执行身份验证，则您必须以具有角色管理特权（例如userAdmin或userAdminAnyDatabase提供的特权）的用户身份在admin数据库中进行身份验证。包括适用于 MongoDB Server 配置的身份验证机制的相应--authenticationMechanism 。

mongosh --host <hostname> --port <port> --username <user> --password <pass> --authenticationDatabase="admin" --authenticationMechanism="<mechanism>"

创建用户管理角色。

要托管ADMongoDB 用户，您需要在可以创建和托管角色的admin数据库上创建至少一个角色，例如userAdmin或userAdminAnyDatabase提供的角色。

角色的名称必须与AD群组的标识名完全匹配。 该群组必须至少有一个AD用户作为成员。

给定可用的Active Directory 群组，执行以下操作：

• 创建以AD群组CN=dba,CN=Users,DC=example,DC=com命名的角色，以及

• 为其分配admin数据库上的userAdminAnyDatabase角色。

var admin = db.getSiblingDB("admin")
admin.createRole(
   {
     role: "CN=dba,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [ "userAdminAnyDatabase" ]
   }
)

您也可以为用户应具有用户管理特权的每个数据库授予userAdmin角色。这些角色提供角色创建和管理所需的特权。

创建 MongoDB 配置文件。

MongoDB配置文件是纯文本 YAML 文件，文件扩展名为.conf 。

• 如果要升级现有的 MongoDB 部署，请复制当前配置文件并从该副本开始工作。

• （仅限 Linux）如果这是新部署，并且您使用平台的软件包管理器安装 MongoDB Enterprise，则安装包括/etc/mongod.conf默认配置文件。使用该默认配置文件，或复制该文件以供使用。

• 如果不存在此类文件，则创建一个扩展名为.conf的空文件，并使用该新配置文件。

配置 MongoDB 以连接到 Active Directory。

在 MongoDB 配置文件中，将security.ldap.servers设置为AD Server 的主机和端口。 如果您的AD基础架构包含多个用于复制的AD服务器，请将服务器的主机和端口指定为security.ldap.servers的逗号分隔列表。

security:
  ldap:
    servers: "activedirectory.example.net"

MongoDB 必须绑定到AD服务器才能执行查询。 默认情况下，MongoDB 使用简单身份验证机制将自身绑定到AD服务器。

或者，您可以在配置文件中配置以下设置，以使用SASL绑定到AD服务器：

• 将security.ldap.bind.method设置为sasl

• security.ldap.bind.saslMechanisms ，指定AD服务器支持的一串以逗号分隔的 SASL 机制。

本教程使用默认的simple LDAP 身份验证机制。

为 Kerberos 身份验证配置 MongoDB。

在 MongoDB 配置文件中，将security.authorization设置为enabled ，并将setParameter authenticationMechanisms设置为GSSAPI

要通过 Kerberos 启用身份验证，请在配置文件中包含以下内容：

security:
  authorization: "enabled"
setParameter:
  authenticationMechanisms: "GSSAPI"

配置 LDAP 查询模板以进行授权。

在 MongoDB 配置文件中，将security.ldap.authz.queryTemplate 设置为 RFC4516 格式化 LDAP 查询 URL 模板。

在模板中，您可以使用以下任一项：

• {USER} 占位符，用于将经过身份验证的用户名替换到 LDAP 查询 URL 中。

• {PROVIDED_USER} 占位符可在 LDAP 查询中替换为提供的用户名（即在身份验证或 LDAP 转换之前）。 （从版本 4.2 开始可用）

设计查询模板以检索用户的群组。

security:
  ldap:
    authz:
      queryTemplate:
        "DC=example,DC=com??sub?(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={USER}))"

MongoDB 将每个返回的组DN映射到admin数据库上的一个角色。 对于每个映射组DN ，如果admin数据库上存在其名称与DN完全匹配的现有角色，则 MongoDB 将向该用户授予分配给该角色的角色和权限。

匹配规则LDAP_MATCHING_RULE_IN_CHAIN要求提供身份验证用户的完整标识名 。由于 Kerberos 要求使用用户的userPrincipalName 进行身份验证，因此您必须使用 将传入的用户名转换为 DN security.ldap.userToDNMapping。下一步将提供有关转换传入用户名以支持queryTemplate的指导。

转换传入的用户名，以便通过 Active Directory 进行身份验证。

在 MongoDB 配置文件中，设置userToDNMapping以将身份验证用户提供的用户名转换为AD DN，以支持queryTemplate 。

security:
  ldap:
    userToDNMapping:
      '[
         {
            match : "(.+)",
            ldapQuery: "DC=example,DC=com??sub?(userPrincipalName={0})"
         }
    ]'

您必须修改给定的示例配置以匹配您的部署。 例如， ldapQuery基本标识名必须与包含用户实体的基本标识名匹配。 可能需要进行其他修改才能支持AD部署。

DC=example,DC=com??sub?(userPrincipalName=alice@ENGINEERING.EXAMPLE.COM)

配置查询凭证。

MongoDB 需要凭据才能在AD服务器上执行查询。

在配置文件中配置以下设置：

• security.ldap.bind.queryUser ，指定mongod或mongos在AD服务器上执行查询时绑定的 Kerberos 用户。

• security.ldap.bind.queryPassword ，为指定的queryUser指定密码。

security:
  ldap:
    bind:
      queryUser: "mongodbadmin@dba.example.com"
      queryPassword: "secret123"

在Windows MongoDB 服务器上，您可以将security.ldap.bind.useOSDefaults设置为true以使用操作系统用户的档案，而不是queryUser和queryPassword 。

queryUser必须有权代表 MongoDB 执行所有 LDAP 查询。

可选：添加其他配置设置。

根据配置需要包括其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员运行在不同的主机上，请指定net.bindIp设置。

使用 Kerberos 身份验证和 Active Directory 授权启动 MongoDB Server。

使用--config选项启动 MongoDB Server，并指定在此过程中创建的配置文件的路径。如果 MongoDB Server 当前正在运行，请做好停止服务器的准备。

Linux MongoDB Servers

在 Linux 上，您必须指定KRB5_KTNAME环境变量，从而指定 MongoDB 服务器的 keytab 文件的路径。

env KRB5_KTNAME <path-to-keytab> mongod --config <path-to-config-file>

Microsoft Windows MongoDB Servers

在Windows上，您必须按照此过程前面的配置以服务主体帐户身份启动 MongoDB Server：

mongod.exe --config <path-to-config-file>

连接到 MongoDB Server。

连接到 MongoDB 服务器，以某一用户身份进行身份验证，该用户的直接或可传递群组成员身份对应于admin数据库上具有userAdmin 、 userAdminAnyDatabase的 MongoDB 角色或具有同等特权的自定义角色。

使用mongosh对 MongoDB Server 进行身份验证，设置以下选项：

• --host 为 MongoDB Server 的主机名

• --port MongoDB Server 的端口

• --username 到用户的 userPrincipalName

• --password到用户的密码（或省略以让mongosh提示输入密码）

• --authenticationMechanism to "GSSAPI"

• --authenticationDatabase to "$external"

mongosh --username sam@DBA.EXAMPLE.COM --password  --authenticationMechanisms="GSSAPI" --authenticationDatabase "$external" --host <hostname> --port <port>

Windows MongoDB 部署必须使用mongo.exe而不是mongosh 。

根据已配置的Active Directory 用户，该用户将成功进行身份验证并获得相应的权限。

创建用于映射返回的AD群组的角色。

对于AD服务器上您希望用于 MongoDB 授权的每个群组，您必须在 MongoDB 服务器的admin数据库上创建一个匹配的角色。

db.getSiblingDB("admin").createRole(
   {
     role: "CN=PrimaryApplication,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "readWrite", db: "PrimaryApplication" }
     ]
   }
)

可选：将现有用户从$external转换到 Active Directory 服务器。

如果使用在$external数据库上配置的用户升级现有安装，则必须满足每个用户的以下要求，以确保在为 Kerberos 身份验证和AD授权配置 MongoDB 后具有访问权限：

• 用户在AD服务器上有相应的用户对象。

• 用户具有AD服务器上相应群组的成员资格。

• MongoDB 包含在名为用户的AD群组的数据库admin上的角色，因此授权用户保留其权限。

{
  user : "joe@ANALYTICS.EXAMPLE.COM",
  roles: [
    { role : "read", db : "web_analytics" },
    { role : "read", db : "PrimaryApplication" }
  ]
}

db.getSiblingDB("admin").createRole(
   {
     role: "CN=marketing,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "read", db: "web_analytics" }
       { role: "read", db: "PrimaryApplication" }
     ]
   }
)

如果要继续允许非$external数据库上的用户访问 MongoDB，则必须在setParameter authenticationMechanisms配置选项中包含 SCRAM 身份验证机制（例如SCRAM-SHA-1和/或SCRAM-SHA-256 ）。

setParameter:
  authenticationMechanisms: "GSSAPI,SCRAM-SHA-1,SCRAM-SHA-256"

或者，按照上述过程将非$external用户转换到AD 。