Linux で Kerberos 認証を使用して自己管理型 MongoDB を構成する

mongodKerberos なしで を起動します。

Kerberos ユーザーを初めて追加する場合は、Kerberos サポートなしでmongodを開始します。

Kerberos ユーザーがすでに MongoDB に存在し、 ユーザーの作成に必要な特権 がある場合は、Kerberos サポート付きでmongodを起動できます。

配置に応じて、追加の設定を含めます。

mongodに接続します。

mongoshをmongodインスタンスに接続します。 mongodで--authが有効になっている場合は、ユーザーの作成に必要な特権で接続していることを確認してください。

MongoDB に Kerberos プリンシパルを追加しました。

Kerberos プリンシパル（ <username>@<KERBEROS REALM>または<username>/<instance>@<KERBEROS REALM>を$externalデータベースの MongoDB に追加します。 すべて大文字で Kerberos レルムを指定します。 $externalデータベースでは、 mongodが外部ソース（例: Kerberos）を使用して認証します。 ユーザーの特権を指定するには、ユーザーにロールを割り当てます。

$external認証ユーザー（Kerberos、LDAP、または x.509 ユーザー）でクライアント セッションと因果整合性の保証を使用するには、ユーザー名を 10k バイトより大きくすることはできません。

次の例では、 recordsデータベースへの読み取り専用アクセス権を持つ Kerberos プリンシパルapplication/reporting@EXAMPLE.NETを追加します。

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

必要に応じて、追加のプリンシパルを追加します。 Kerberos を使用して認証するすべてのユーザーごとに、MongoDB で対応するユーザーを作成する必要があります。 ユーザーの作成と管理の詳細については、「ユーザー管理コマンド 」を参照してください。

mongodKerberos サポートで を起動します。

Kerberos サポートでmongodを起動するには、次の形式で環境変数KRB5_KTNAMEをキータブ ファイルのパスに設定し、 mongodパラメータauthenticationMechanismsをGSSAPIに設定します。

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

たとえば、次の例では、Kerberos をサポートするスタンドアロンのmongodインスタンスが起動されます。

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

mongodとキータブ ファイルへのパスが異なる場合があります。 キータブ ファイルにアクセスできるのは、 mongodプロセスの所有者のみである必要があります。

公式の.debまたは.rpmパッケージを使用すると、環境設定ファイルでKRB5_KTNAMEを設定できます。 詳細については、 KRB 5 _KTNAMEを参照してください。

mongoshmongodを に接続し、認証します。

mongoshクライアントを Kerberos プリンシパルapplication/reporting@EXAMPLE.NETとして接続します。 接続する前に、Kerberos のkinitプログラムを使用してapplication/reporting@EXAMPLE.NETの認証情報を取得する必要があります。

コマンドラインから接続と認証を行うことができます。

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

Kerberos 名と一致するホスト名を持つシステムに接続する場合は、IP アドレスや修飾されていないホスト名ではなく、 --hostオプションに完全修飾ドメイン名（FQDN）を指定していることを確認してください。

Kerberos 名と一致しないシステムに接続する場合は、まずmongoshをmongodに接続し、次にmongoshから、 db.auth()メソッドを使用して$externalデータベースで認証します。

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )