認証

SCRAM

SCRAM 認証は MongoDB のデフォルトの認証メカニズムです。 MongoDB には、 SCRAM-SHA- 1 （MongoDB 3.0として使用可能）と SCRAM-SHA- 256 （MongoDB 4.0として使用可能）の 2 つの SCRAM メカニズムがあります。 認証メカニズムが指定されておらず、ユーザー認証情報が指定されている場合、ドライバーはサーバー 3.0 以降でSCRAM認証を使用しようとし、サーバーのバージョンと特定のサーバーに定義されたメカニズムに基づいて、使用するメカニズムをネゴシエートします。ユーザー（サーバー内のユーザーを設定して、 SCRAM -SHA-1 メカニズムのみ、 SCRAM -SHA-256 メカニズムのみ、またはその両方を許可することができます）。

認証メカニズムとして SCRAM-SHA-1 を明示的に指定するには、次のように、 auth_mech: :scram Ruby クライアント オプションまたはauthMechanism URI オプションの値としてSCRAM-SHA-1を使用します。

client = Mongo::Client.new([ '127.0.0.1:27017' ],
                           database: 'mydb',
                           user: 'test',
                           password: '123',
                           auth_mech: :scram )
client = Mongo::Client.new("mongodb://test:123@127.0.0.1:27017/mydb?authMechanism=SCRAM-SHA-1")

認証メカニズムとして SCRAM-SHA-256 を明示的に指定するには、次のように、 auth_mech: :scram256 Ruby クライアント オプションを使用するか、 authMechanism URI オプションの値としてSCRAM-SHA-256を使用します。

client = Mongo::Client.new([ '127.0.0.1:27017' ],
                           database: 'mydb',
                           user: 'test',
                           password: '123',
                           auth_mech: :scram256 )
client = Mongo::Client.new("mongodb://test:123@127.0.0.1:27017/mydb?authMechanism=SCRAM-SHA-256")

クライアント証明書 (X.509)

ドライバーは TLS ネゴシエート中に X.509 証明書を提示します。 MONGODB-X509 認証メカニズムは、この証明書の識別サブジェクト名から検索されたユーザー名を認証します。

この認証方法では、証明書検証機能を備えた TLS 接続を使用する必要があります。

クライアントを認証するには、有効な TLS 証明書と秘密の暗号化キーが必要です。 これらは個別のファイルに保存することも、1 つのファイルにまとめて保存することもできます（ PEM 形式）。 証明書と秘密キーが同じファイルに保存されている場合でも、クライアントに オプションとssl_cert ssl_keyオプションの両方を渡して、そのファイルへのパスを指定する必要があります。

MongoDB で X. 509認証を構成する方法の詳細については、MongoDB マニュアルの X. 509チュートリアルを参照してください。

client = Mongo::Client.new([ '127.0.0.1:27017' ],
                           auth_mech: :mongodb_x509,
                           ssl: true,
                           ssl_cert: '/path/to/client.pem',
                           ssl_key: '/path/to/client.pem',
                           ssl_ca_cert: '/path/to/ca.pem' )

Amazon Web Services

MongoDB Enterprise Edition およびサーバー バージョン 4.4 以降が必要です。

Amazon Web Services認証メカニズムは、Amazon Web Services Identity and Access Management（IAM） を使用します およびAmazon Web Services Security Token Service（STS） クライアントの ID をMongoDB サーバーに証明するため。簡単に説明すると、 Amazon Web Servicesの認証は次のように機能します。

1. クライアントはAmazon Web Services IAM 認証情報を使用して、 MongoDBサーバーに送信される署名を作成します。

2. サーバーはクライアントの署名を使用して、 Amazon Web Services STS にリクエストを送信します。

3. STS リクエストが成功すると、クライアントが使用した認証情報に対応するユーザー名（具体的には、 IAM ユーザーまたはロールの ARN）が返されます。 IAM ユーザー ARN はサーバーによって定義されたユーザーを検索するために使用され、クライアントはこのユーザーとして認証されたと見なされます。

Amazon Web Servicesの認証情報は、次の要素で構成されています。

• アクセスキー ID。

• シークレット アクセス キー。

• 任意のセッション トークン。

Amazon Web ServicesIAM 認証情報による認証 は、アクセス キーID と シークレット アクセス キーを使用します。一時的な Amazon Web ServicesIAM 認証情報による認証 は、3 つのすべてのコンポーネントを使用します。

一時的な認証情報は次のアイテムで使用されます。

• STS が引き受けたロール リクエスト。

• EC2 インスタンス ロール 。

• ECS タスクのロール 。

• Amazon Web ServicesLambda環境 。

• サービス アカウントの IAM ロール 。

Ruby ドライバーでは、Ruby オプションまたは URI オプションとして通常の認証情報と一時的な認証情報の両方を明示的に提供できます。 認証情報が明示的に指定されていない場合、ドライバーは以下で説明する環境変数、および EC2 インスタンスと ECS タスクのメタデータ エンドポイントから認証情報を取得しようとします。

client = Mongo::Client.new(['mongodb.example.com'],
  auth_mech: :aws,
  user: '<AWS-ACCESS-KEY-ID>',
  password: '<AWS-SECRET-ACCESS-KEY>',
  database: 'mydb',
)

client = Mongo::Client.new(
  'mongodb://<AWS-ACCESS-KEY-ID>:<AWS-SECRET-ACCESS-KEY>@mongodb.example.com/mydb?authMechanism=MONGODB-AWS')

client = Mongo::Client.new(['mongodb.example.com'],
  auth_mech: :aws,
  user: '<AWS-ACCESS-KEY-ID>',
  password: '<AWS-SECRET-ACCESS-KEY>',
  auth_mech_properties: {
    aws_session_token: '<AWS-SESSION-TOKEN>',
  },
  database: 'mydb',
)

client = Mongo::Client.new(
  'mongodb://<AWS-ACCESS-KEY-ID>:<AWS-SECRET-ACCESS-KEY>@mongodb.example.com/mydb?authMechanism=MONGODB-AWS&authMechanismProperties=AWS_SESSION_TOKEN:<AWS-SESSION-TOKEN>')

client = Mongo::Client.new(['mongodb.example.com'],
  auth_mech: :aws,
  database: 'mydb',
)
# Using a URI:
client = Mongo::Client.new(
  'mongodb://mongodb.example.com/mydb?authMechanism=MONGODB-AWS')

LDAP （SASL PLAIN）

MongoDB Enterprise Edition が必要です。

MongoDB Enterprise Edition は LDAP 認証メカニズムをサポートしており、Lightweight Directory Access Protocol LDAP を使用して認証を委任できます サーバーのリンクと説明を追加しました。

MongoDB で LDAP 認証を構成する方法の詳細については、MongoDB マニュアルの SASL/LDAP チュートリアルを参照してください。

client = Mongo::Client.new([ '127.0.0.1:27017' ],
                           auth_mech: :plain,
                           ssl: true,
                           ssl_verify: true,
                           ssl_cert: '/path/to/client.pem',
                           ssl_ca_cert: '/path/to/ca.pem' )

Kerberos （GSSAPI）

MongoDB Enterprise Edition が必要です。

Kerberos を使用するように MongoDB サーバーを構成するには、サーバー Kerberos のドキュメントを参照してください。

Ruby MongoDB ドライバーで Kerberos 認証メカニズムを使用するには、Kerberos 認証を実装する追加のライブラリが必要です - mongo_kerberos - をインストールしてロードする必要があります。そのためには をGemfileに追加します。

gem 'mongo', '~> 2'
gem 'mongo_kerberos', '~> 2'

... をアプリケーション コードに追加します。

require 'mongo'
require 'mongo_kerberos'

MRIで Kerberos 認証を使用する場合、パスワードはドライバー構成で指定されず、ドライバーによって MongoDB サーバーに送信されません。 代わりに、ドライバーの外部で Kerberos セッションを確立する必要があります。このセッションは、ドライバーがサーバーにユーザーの身元を証明するために使用されます。 このセッションを確立するには、ホスト システムが Kerberos 認証用に構成されている必要があります。 Kerberos のドキュメント を参照してください 詳細については、またはオペレーティング システムのドキュメントを参照してください。kill ユーティリティ を使用する Kerberos セッションを確立します。

JRubyで Kerberos 認証を使用する場合、MRI に対して上記で説明したプロセスを使用して、Kerberos セッションはドライバーの外部で確立されることがあります。あるいは、クライアント構成を使用してドライバーに直接パスワードを提供することも、 java.security.auth.login.configシステム プロパティに保存されている構成を介してキータブ ファイルへのパスを提供することもできます。 さらに、Java ランタイム環境は Kerberos 用に構成されている必要があります。 MongoDB Java ドライバー Kerberos のドキュメント を参照してください 詳しくは、 を参照してください。

# Authenticate as appuser@MYREALM:
client = Mongo::Client.new("mongodb://appuser%40MYREALM@myserver.mycompany.com:27017/mydb?authMechanism=GSSAPI")
# Authenticate as myapp/appuser@MYREALM:
client = Mongo::Client.new("mongodb://myapp%2Fappuser%40MYREALM@myserver.mycompany.com:27017/mydb?authMechanism=GSSAPI")
# Authenticate using Ruby options:
client = Mongo::Client.new(['myserver.mycompany.com:27017'],
                           auth_mech: :gssapi,
                           user: 'myapp/appuser@MYREALM')

MONGODB-CR

非推奨: MONGODB-CR メカニズムは、 MongoDB 3.6以降非推奨となり、 MongoDB 4.0として削除されました。 代わりにSCRAM 認証を使用してください。

MONGODB-CR は、MongoDB バージョン 2.6 までのデフォルトの認証メカニズムでした。

このメカニズムは、認証情報を使用して明示的に設定できます。

client = Mongo::Client.new([ '127.0.0.1:27017' ],
                           database: 'mydb',
                           user: 'test',
                           password: '123',
                           auth_mech: :mongodb_cr )