Windows で Kerberos 認証を使用して自己管理型 MongoDB を構成する

mongod.exeKerberos なしで を起動します。

Kerberos ユーザーを初めて追加する場合は、Kerberos サポートなしでmongod.exeを開始します。

Kerberos ユーザーがすでに MongoDB に存在し、 ユーザーの作成に必要な特権 がある場合は、Kerberos サポート付きでmongod.exeを起動できます。

配置に応じて、追加の設定を含めます。

mongodに接続します。

mongoshをmongod.exeインスタンスに接続します。 mongod.exeで--authが有効になっている場合は、ユーザーの作成に必要な特権で接続していることを確認してください。

MongoDB に Kerberos プリンシパルを追加しました。

Kerberos プリンシパル<username>@<KERBEROS REALM>を$externalデータベースの MongoDB に追加します。 ALL UPPERCSEで Kerberos レルムを指定します。 $externalデータベースでは、 mongod.exeが外部ソース（例: Kerberos）を使用して認証します。 ユーザーの特権を指定するには、ユーザーにロールを割り当てます。

$external認証ユーザー（Kerberos、LDAP、または x.509 ユーザー）でクライアント セッションと因果整合性の保証を使用するには、ユーザー名を 10k バイトより大きくすることはできません。

次の例では、 recordsデータベースへの読み取り専用アクセス権を持つ Kerberos プリンシパルreportingapp@EXAMPLE.NETを追加します。

use $external
db.createUser(
   {
     user: "reportingapp@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

必要に応じて、追加のプリンシパルを追加します。 Kerberos を使用して認証するすべてのユーザーごとに、MongoDB で対応するユーザーを作成する必要があります。 ユーザーの作成と管理の詳細については、「ユーザー管理コマンド 」を参照してください。

mongod.exeKerberos サポートで を起動します。

mongod.exeサービス プリンシパル アカウント として を開始する必要があります。

Kerberos サポートでmongod.exeを起動するには、 mongod.exeパラメータauthenticationMechanismsをGSSAPIに設定します。

mongod.exe --setParameter authenticationMechanisms=GSSAPI <additional mongod.exe options>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

たとえば、次の例では、Kerberos をサポートするスタンドアロンのmongod.exeインスタンスが起動されます。

mongod.exe --auth --setParameter authenticationMechanisms=GSSAPI --bind_ip localhost,<hostname(s)|ip address(es)>

mongosh.exeshellmongod.exeシェルを に接続し、認証します。

mongoshshellシェルクライアントをKerberos Kerberosapplication@EXAMPLE.NET プリンシパル として接続します。

コマンドラインから接続と認証を行うことができます。

cmd.exe を使用:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase=$external --username reportingapp@EXAMPLE.NET

Windows PowerShell を使用:

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username reportingapp@EXAMPLE.NET  

Kerberos 名と一致するホスト名を持つシステムに接続する場合は、IP アドレスや修飾されていないホスト名ではなく、 --hostオプションに完全修飾ドメイン名（FQDN）を指定していることを確認してください。

Kerberos Kerberos名と一致しないシステムに接続する場合は、まずmongoshshell mongod.exemongoshshelldb.auth()シェルを に接続し、次に シェルから、$external メソッドを使用して で認証します。データベース。

use $external
db.auth( { mechanism: "GSSAPI", user: "reportingapp@EXAMPLE.NET" } )