ActiveDirectory で自己管理型 SASL と LDAP を使用して認証

項目一覧

Considerations

構成する saslauthd
MongoDB の設定

MongoDB Enterprise provides support for proxy authentication of users. これにより、管理者は、指定された LDAP（Lightweight Directory Access Protocol）サービスへの認証リクエストをプロキシすることで、ユーザーを認証するように MongoDB クラスターを構成できます。

注意

libldapにリンクされた MongoDB 4.2 Enterprise バイナリ（RHEL で実行している場合など）の場合、 libldapへのアクセスは同期され、パフォーマンスおよびレイテンシのコストが発生します。

libldap_r にリンクされた MongoDB 4.2 Enterprise バイナリの場合、前の MongoDB バージョンから動作に変更はありません。

Considerations

警告

MongoDB Enterprise for Windows はsaslauthd経由のバインディングをサポートしていません。

Linux MongoDB サーバーは、 saslauthdデーモンを介した LDAP サーバーへのバインディングをサポートしています。
クライアントとサーバー間、およびsaslauthdと LDAP サーバー間で安全な暗号化または信頼できる接続を使用します。 LDAP サーバーはSASL PLAINメカニズムを使用して、プレーンテキストでデータを送受信します。 VPN などの信頼できるチャネル、TLS/SSL で暗号化された接続、または信頼できるワイヤネットワークのみを使用する必要があります。

構成する `saslauthd`

ユーザー認証の LDAP サポートには、 saslauthdデーモンプロセスと MongoDB サーバーを適切に構成する必要があります。

メカニズムを指定します。

Red Hat Enterprise Linux、Fedlas、CentOS、Amazon Linux AMI など、 /etc/sysconfig/saslauthdファイルを使用してsaslauthdを構成するシステムでは、メカニズムMECHをldapに設定します。

MECH=ldap

/etc/default/saslauthdファイルを使用してsaslauthdを構成するシステム（Ubuntu など）では、 MECHANISMSオプションをldapに設定します。

MECHANISMS="ldap"

キャッシュの動作を調整します。

特定の Linux ディストリビューションでは、 saslauthdは認証情報のキャッシュを有効にして起動します。が再起動されるまで、またはキャッシュの有効期限が切れるまで、 saslauthdは LDAP サーバーに接続して、認証キャッシュ内のユーザーを再認証しません。これにより、LDAP サーバーがダウンしている場合や、キャッシュされたユーザーの認証情報が取り消されている場合でも、 saslauthdはキャッシュ内のユーザーを正常に認証できます。

認証キャッシュの有効期限（秒単位）を設定するには、 -t オプション saslauthdを参照してください。の

ActiveDirectory で LDAP オプションを構成します。

saslauthd.confファイルが存在しない場合は、作成します。 saslauthd.confファイルは通常、 /etcフォルダーにあります。別のファイルパスを指定する場合は、 -O オプションを参照してくださいのsaslauthd 。

ActiveDirectory で使用するには、 saslauthd.confファイルに次の構成オプションを設定してsaslauthdを起動します。

ldap_servers: <ldap uri>
ldap_use_sasl: yes
ldap_mech: DIGEST-MD5
ldap_auth_method: fastbind

<ldap uri>には、LDAP サーバーの URI を指定します。たとえば、 ldap_servers: ldaps://ad.example.net 。

saslauthd構成の詳細については、 http://www.openldap.org/doc/admin24 /guide.html#Cconfig saslauthd を参照してください。

`saslauthd`の構成をテストします。

testsaslauthdユーティリティを使用して、 saslauthdの構成をテストします。例:

testsaslauthd -u testuser -p testpassword -f /var/run/saslauthd/mux

0: OK "Success" は、認証が成功したことを示します。
0: NO "authentication failed" は、ユーザー名、パスワード、または設定エラーを示します。

ホストオペレーティングシステム上のsaslauthdディレクトリのロケーションに応じてファイルパスを変更します。

重要

security.sasl.saslauthdSocketPathまたは--setParameter saslauthdPathに指定されたsaslauthd Unix ドメインソケットファイルの親ディレクトリには、次のいずれかの読み取りおよび実行（ r-x ）権限が付与されている必要があります。

mongodまたはmongosを起動するユーザー、または
そのユーザーが属するグループ。

mongodまたはmongosは、 saslauthdディレクトリとその内容に対する指定された権限がなければ、 saslauthd経由で正常に認証できません。

MongoDB の設定

認証用にユーザーを MongoDB に追加します。

MongoDB の$externalデータベースにユーザーを追加します。ユーザーの特権を指定するには、ユーザーにロールを割り当てます。

$external認証ユーザー（Kerberos、LDAP、または x.509 ユーザー）でクライアントセッションと因果整合性の保証を使用するには、ユーザー名を 10k バイトより大きくすることはできません。

たとえば、次の例では、 recordsデータベースへの読み取り専用アクセス権を持つユーザーを追加します。

db.getSiblingDB("$external").createUser(
    {
      user : <username>,
      roles: [ { role: "read", db: "records" } ]
    }
)

必要に応じて、追加のプリンシパルを追加します。ユーザーの作成と管理の詳細については、「ユーザー管理コマンド」を参照してください。

MongoDB サーバーを設定します。

プロキシ認証にsaslauthdインスタンスを使用するように MongoDB サーバーを構成するには、 mongodの起動時に次のオプションを含めます。

--authコマンドラインオプションまたはsecurity.authorization設定
authenticationMechanismsパラメータをPLAINに設定し、かつ
saslauthdPathパラメータは、 saslauthdインスタンスの Unix ドメインソケットへのパスに設定されます。
重要
security.sasl.saslauthdSocketPathまたは--setParameter saslauthdPathに指定されたsaslauthd Unix ドメインソケットファイルの親ディレクトリには、次のいずれかの読み取りおよび実行（ r-x ）権限が付与されている必要があります。
- mongodまたはmongosを起動するユーザー、または
- そのユーザーが属するグループ。
mongodまたはmongosは、 saslauthdディレクトリとその内容に対する指定された権限がなければ、 saslauthd経由で正常に認証できません。

認証を強制するには、 authorizationオプションを使用する場合、ユーザーを作成するには特権が必要です。

`saslauthd`特定のソケットパスを使用します。

/<some>/<path>/saslauthdのソケットパスの場合は、次のコマンドラインの例のように、 saslauthdPathを/<some>/<path>/saslauthd/muxに設定します。

mongod --auth --setParameter saslauthdPath=/<some>/<path>/saslauthd/mux --setParameter authenticationMechanisms=PLAIN

構成に必要な追加オプションを含めます。たとえば、リモートクライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

または、 YAML 形式の構成ファイルを使用する場合は、ファイルに次の設定を指定します。

security:
   authorization: enabled
setParameter:
   saslauthdPath: /<some>/<path>/saslauthd/mux
   authenticationMechanisms: PLAIN

または、古い構成ファイル形式を使用している場合は、以下を実行します。

auth=true
setParameter=saslauthdPath=/<some>/<path>/saslauthd/mux
setParameter=authenticationMechanisms=PLAIN

デフォルトの Unix ドメインソケットパスを使用します。

デフォルトの Unix ドメインソケットパスを使用するには、次のコマンドラインの例のように、 saslauthdPathに空のstring "" を設定します。

mongod --auth --setParameter saslauthdPath="" --setParameter authenticationMechanisms=PLAIN

または、 YAML 形式の構成ファイルを使用する場合は、ファイルに次の設定を指定します。

security:
   authorization: enabled
setParameter:
   saslauthdPath: ""
   authenticationMechanisms: PLAIN

または、古い構成ファイル形式を使用している場合は、以下を実行します。

auth=true
setParameter=saslauthdPath=""
setParameter=authenticationMechanisms=PLAIN

構成に必要な追加オプションを含めます。たとえば、リモートクライアントを使用して配置に接続する場合や、配置ノードを異なるホスト上で実行する場合は、 net.bindIp設定を指定します。

`mongosh`でユーザーを認証します。

接続中にコマンドラインから認証することも、最初に接続してからdb.auth()メソッドを使用して認証することもできます。

mongoshで接続するときに認証するには、次のコマンドラインオプションを使用してmongoshを実行し、 <host>と<user>を置き換え、パスワードの入力を求められたら入力します。

mongosh --host <host> --authenticationMechanism PLAIN --authenticationDatabase '$external' -u <user> -p

または、認証情報を指定せずに接続し、 $externalデータベースでdb.auth()メソッドを呼び出します。 "PLAIN"mechanismフィールドに値user pwd、それぞれフィールドとフィールドにユーザーとパスワードを指定します。次の例のように、サーバーはsaslauthdに転送するためにダイジェスト化されていないパスワードを受信する必要があるため、デフォルトのdigestPassword値（ false ）を使用します。

Tip

メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、 passwordPrompt()メソッドをさまざまなユーザー認証や管理のメソッドやコマンドと組み合わせて使用すると、パスワードの入力を求めることができます。ただし、 mongo shell の以前のバージョンと同様にパスワードを直接指定することもできます。

db.getSiblingDB("$external").auth(
   {
     mechanism: "PLAIN",
     user: <username>,
     pwd:  passwordPrompt() // or cleartext password
   }
)

パスワードの入力を求められたら、入力します。

サーバーはパスワードをプレーンテキストで転送します。一般に、は信頼できるチャネル（VPN、TLS/SSL、信頼できるワイヤネットワーク）でのみ使用します。「考慮事項」を参照してください。

戻る

LDAPプロキシ

OpenLDAP の使用

注意