認証メカニズム

Overview

このガイドでは、MongoDB Community Edition で利用可能な認証メカニズムの使用方法を説明します。 MongoDB に接続するときに、認証メカニズムを使用してドライバーとサーバーの間で信頼を確立できます。

このガイドでは、次の認証メカニズムについて説明します。

• SCRAM ベースのメカニズム

• MONGODB-AWS メカニズム

• MONGODB-X 509メカニズム

特定の認証メカニズムを選択するには、接続string Credentialのオプションまたは {0 構造体で、メカニズム、認証情報、およびその他の必要情報を指定します。

このガイドでは、例を使用して、 Credential構造体で認証を構成する方法を説明します。

認証のための接続 オプションの詳細については、サーバーstring マニュアルの「 接続string URI 形式 」ガイドの「 認証オプション 」 セクションを参照してください。

SCRAM ベースのメカニズム

SCRAM（Salted Challenge Response Authentication Mechanism） とは、サーバーへの認証にユーザー名とパスワードを使用する認証メカニズムのグループを指します。

MongoDB は次の SCRAM ベースの認証メカニズムをサポートしています。

• SCRAM-SHA- 256 : SHA-256アルゴリズムで暗号化されたデータベースのユーザー名とパスワードを使用する認証メカニズム

• SCRAM-SHA- 1 : SHA-1アルゴリズムで暗号化されたデータベースのユーザー名とパスワードを使用する認証メカニズム

let uri = "<connection string>";
let mut client_options = ClientOptions::parse_async(uri).await?;
let default_cred = Credential::builder()
    .username("<db_username>".to_string())
    .password("<db_password>".to_string())
    .source("<db>".to_string())
    .build();
client_options.credential = Some(default_cred);
let client = Client::with_options(client_options)?;

let uri = "<connection string>";
let mut client_options = ClientOptions::parse_async(uri).await?;
let scram_sha_256_cred = Credential::builder()
    .username("<db_username>".to_string())
    .password("<db_password>".to_string())
    .mechanism(AuthMechanism::ScramSha256)
    .source("<db>".to_string())
    .build();
client_options.credential = Some(scram_sha_256_cred);
let client = Client::with_options(client_options)?;

let uri = "<connection string>";
let mut client_options = ClientOptions::parse_async(uri).await?;
let scram_sha_1_cred = Credential::builder()
    .username("<db_username>".to_string())
    .password("<db_password>".to_string())
    .mechanism(AuthMechanism::ScramSha1)
    .source("<db>".to_string())
    .build();
client_options.credential = Some(scram_sha_1_cred);
let client = Client::with_options(client_options)?;

MONGODB-AWS メカニズム

MONGODB-AWS 認証メカニズムは、Amazon Web Services Identity and Access Management（AWS IAM）認証情報を使用してユーザーを認証します。

この認証メカニズムを使用するには、プロジェクトのCargo.tomlファイルでmongodb依存関係にaws-auth機能フラグを追加する必要があります。 以下は、 MONGODB-AWS認証メカニズムを有効にするためにmongodb依存関係機能リストに含める必要があるものの例を示しています。

[dependencies.mongodb]
version = "3.1.0"
features = [ "aws-auth", ... ]

ドライバーは、認証情報が見つかった最初のソースからのみ認証情報を取得します。 ドライバーは、次の順序で次のソースから認証情報を確認します。

1. Credential 構造体または接続string 。

2. 環境変数。

3. Web ID トークン ファイル

4. AWS_CONTAINER_CREDENTIALS_RELATIVE_URI 環境変数で指定されたAmazon Web Services ECS エンドポイント。

5. Amazon Web Services EC2 エンドポイント。 詳しくは、「 タスクの IAM ロールAmazon Web Services 」を 参照してください。 （ のドキュメント）。

たとえば、Amazon Web Services 接続 でstring の認証情報を指定した場合、ドライバーはそれらの認証情報を使用し、環境変数で指定した認証情報をすべて無視します。

対応する方法で IAM 認証情報を設定する方法を示すコードサンプルについては、以下の {0 Credential Struct、 、 タブから選択します。Environment VariablesWeb Identity Token FileAmazon Web Services

1
let uri = "<connection string>";
2
let mut client_options = ClientOptions::parse_async(uri).await?;
3
4
let aws_cred = Credential::builder()
5
    .username("<access key ID>".to_string())
6
    .password("<secret access key>".to_string())
7
    .source("<db>".to_string())
8
    .mechanism(AuthMechanism::MongoDbAws)
9
    .mechanism_properties(doc!("AWS_SESSION_TOKEN": "<session token>"))
10
    .build();
11
12
client_options.credential = Some(aws_cred);
13
let client = Client::with_options(client_options)?;

export AWS_ACCESS_KEY_ID=<access key ID>
export AWS_SECRET_ACCESS_KEY=<secret access key>
export AWS_SESSION_TOKEN=<session token>

let uri = "<connection string>";
let mut client_options = ClientOptions::parse_async(uri).await?;
let aws_cred = Credential::builder().mechanism(AuthMechanism::MongoDbAws).build();
client_options.credential = Some(aws_cred);
let client = Client::with_options(client_options)?;

export AWS_WEB_IDENTITY_TOKEN_FILE=<absolute path to OIDC token file>

let uri = "<connection string>";
let mut client_options = ClientOptions::parse_async(uri).await?;
let aws_cred = Credential::builder().mechanism(AuthMechanism::MongoDbAws).build();
client_options.credential = Some(aws_cred);
let client = Client::with_options(client_options)?;

MONGODB-X 509メカニズム

MONGODB-X509認証メカニズムでは、X. 509証明書とともにトランスポート レベル セキュリティ（TLS）を使用して、クライアント証明書の相対的識別名（RDN）によって識別されるユーザーを認証します。

この認証メカニズムを指定すると、サーバーは次のファイルを読み取って接続を認証します。

• TLS 接続を行う際に信頼する 1 つ以上の証明書機関を含む認証局（CA）ファイル

• 証明書鍵ファイル。クライアント証明書の秘密キーを参照します

MONGODB-X509認証メカニズムを指定するには、 Credential構造体のmechanismフィールドをAuthMechanism::MongoDbX509に設定します。 この例では、次のプレースホルダーを使用して認証メカニズムを指定します。

• path to CA certificate: CA ファイルのファイルパス

• path to private client key: 証明書鍵ファイルのファイルパス

• db: ユーザーに関連付けられた認証データベース

次のコードは、 接続stringで証明書を参照し、MONGODB-X509 認証メカニズムを指定して、 MongoDBに接続する方法を示しています。

let uri = format!(
    "mongodb://<hostname>:<port>/?tlsCAFile={tlsCAFile}&tlsCertificateKeyFile={tlsCertificateKeyFile}",
    tlsCAFile = "<path to CA certificate>",
    tlsCertificateKeyFile = "<path to private client key>"
);
let mut client_options = ClientOptions::parse_async(uri).await?;
let x509_cred = Credential::builder().mechanism(AuthMechanism::MongoDbAws).build();
client_options.credential = Some(x509_cred);
let client = Client::with_options(client_options)?;

詳細情報

MongoDB への認証の詳細については、サーバー マニュアルの認証を参照してください。

MongoDB 配置のユーザー管理の詳細については、サーバー マニュアルの「ユーザー」を参照してください。