엔터프라이즈 인증 메커니즘

예시

이 예시에서는 다음 자리 표시자를 사용하여 인증 메커니즘을 지정합니다.

• Kerberos principal: Kerberos 주체입니다. 샘플 사용자 이름은 myuser@KERBEROS.EXAMPLE.COM 입니다.

• password: Kerberos 사용자의 비밀번호입니다. 또한 keytab 파일에 비밀번호를 저장하여 코드에 비밀번호가 노출되는 것을 방지할 수 있습니다.

• connection uri: 사용자의 연결 문자열 URI입니다.

다음 코드에서는 Credential 구조체를 정의하여 Kerberos에 인증하고 인증 기본 설정을 사용하여 클라이언트를 만드는 방법을 보여 줍니다.

credential := options.Credential{
        AuthMechanism: "GSSAPI",
        Username:      "<Kerberos principal>",
        Password:      "<password>",
        PasswordSet:   true,
}
uri := "<connection uri>"
clientOpts := options.Client().ApplyURI(uri).SetAuth(credential)
client, err := mongo.Connect(clientOpts)

인증 키를 keytab 파일에 저장하는 경우 Credential 구조체의 암호 또는 PasswordSet 필드를 정의할 필요가 없습니다. kinit 바이너리를 사용하여 Kerberos 주체를 인증하기 위한 자격 증명 캐시를 초기화할 수 있습니다. kinit 바이너리에 대해 자세히 알아보려면 Oracle 설명서를 참조하세요.

다음 명령은 샘플 사용자 이름에 대한 자격 증명 캐시를 호출하는 방법을 보여줍니다.

kinit myuser@KERBEROS.EXAMPLE.COM

또는 URL로 인코딩된 Kerberos 주체, 암호 및 MongoDB 서버의 내 네트워크 주소인 hostname를 지정하는 연결 문자열 URI를 사용하여 인증할 수 있습니다.

uri := "mongodb://<Kerberos principal>:<password>@<hostname>/?authMechanism=GSSAPI"

사용자 지정 SERVICE_NAME 및 필드 설정 SERVICE_REALM

Credential 구조체의 AuthMechanismProperties 필드를 사용하여 인증 메커니즘으로 추가 속성을 지정할 수 있습니다. Kerberos의 기본 서비스 이름은 "mongodb"입니다. 다음 코드는 Credential 구조체를 정의할 때 SERVICE_NAME 및 SERVICE_REALM 필드에 사용자 지정 값을 설정하는 방법을 보여줍니다.

credential := options.Credential{
        AuthMechanism: "GSSAPI",
        Username:      "<Kerberos principal>",
        Password:      "<password>",
        AuthMechanismProperties: map[string]string{
                "SERVICE_REALM": "<Kerberos service realm>",
                "SERVICE_NAME":  "<service name>",
        },
}

추가 속성은 인증 속성에 대한 서버 매뉴얼 항목을 참조하십시오.

예시

이 예시에서는 다음 자리 표시자를 사용하여 인증 메커니즘을 지정합니다.

• LDAP username: LDAP 사용자 이름

• password: LDAP 비밀번호

• connection uri: 연결 문자열 URI

다음 코드에서는 Credential 구조체를 정의하여 LDAP에 인증하고 인증 기본 설정을 사용하여 클라이언트를 만드는 방법을 보여 줍니다.

credential := options.Credential{
        AuthMechanism: "PLAIN",
        Username:      "<LDAP username>",
        Password:      "<password>",
     }
uri := "<connection uri>"
clientOpts := options.Client().ApplyURI(uri).SetAuth(credential)
client, err := mongo.Connect(clientOpts)

또는 연결 문자열 URI를 사용하여 인증할 수 있으며, LDAP 사용자 이름, 암호 및 hostname, MongoDB 서버의 네트워크 주소를 지정할 수 있습니다.

uri := "mongodb://<LDAP username>:<password>@<hostname>/?authMechanism=PLAIN"

Azure IMDS

애플리케이션 이 Azure VM에서 실행되거나 Azure 인스턴스 메타데이터 서비스 를 사용하는 경우 (IMDS)를 사용하는 경우 고 (Go) 드라이버의 내장 Azure 지원 을 사용하여 MongoDB 에 인증할 수 있습니다.

다음과 같은 방법으로 Azure IMDS용 OIDC를 구성할 수 있습니다.

• 클라이언트 를 생성할 때 Credential 구조체를 생성하고 이를 SetAuth() 메서드에 전달합니다.

• 연결 string에 매개변수를 설정합니다.

props := map[string]string{
       "ENVIRONMENT":    "azure",
       "TOKEN_RESOURCE": "<audience>",
}

uri := "mongodb://<hostname>:<port>"
props := map[string]string{
	"ENVIRONMENT":    "azure",
	"TOKEN_RESOURCE": "<audience>",
}
opts := options.Client().ApplyURI(uri)
opts.SetAuth(
	options.Credential{
		Username:                "<Azure client ID or application ID>",
		AuthMechanism:           "MONGODB-OIDC",
		AuthMechanismProperties: props,
	},
)
client, err := mongo.Connect(opts)
if err != nil {
	panic(err)
}

uri := "mongodb://<hostname>:<port>/?" +
     "username=<Azure client ID or application ID>" +
     "&authMechanism=MONGODB-OIDC" +
     "&authMechanismProperties=ENVIRONMENT:azure,TOKEN_RESOURCE:<percent-encoded audience>"
client, err := mongo.Connect(options.Client().ApplyURI(uri))
if err != nil {
  panic(err)
}

GCP IMDS

애플리케이션 이 Google Compute Engine VM에서 실행되거나 GCP 인스턴스 메타데이터 서비스 를 사용하는 경우 , 고 (Go) 드라이버의 내장 GCP 지원 을 사용하여 MongoDB 에 인증할 수 있습니다.

다음과 같은 방법으로 GCP IMDS용 OIDC를 구성할 수 있습니다.

• 클라이언트 를 생성할 때 Credential 구조체를 생성하고 이를 SetAuth() 메서드에 전달합니다.

• 연결 string에 매개변수를 설정합니다.

props := map[string]string{
       "ENVIRONMENT":    "gcp",
       "TOKEN_RESOURCE": "<audience>",
}

uri := "mongodb://<hostname>:<port>"
props := map[string]string{
	"ENVIRONMENT":    "gcp",
	"TOKEN_RESOURCE": "<audience>",
}
opts := options.Client().ApplyURI(uri)
opts.SetAuth(
	options.Credential{
		AuthMechanism:           "MONGODB-OIDC",
		AuthMechanismProperties: props,
	},
)
client, err := mongo.Connect(opts)
if err != nil {
	panic(err)
}

uri := "mongodb://<hostname>:<port>/?" +
     "&authMechanism=MONGODB-OIDC" +
     "&authMechanismProperties=ENVIRONMENT:gcp,TOKEN_RESOURCE:<percent-encoded audience>"
client, err := mongo.Connect(options.Client().ApplyURI(uri))
if err != nil {
  panic(err)
}

사용자 지정 콜백

Go 운전자 는 Amazon Web Services Elastic Kubernetes Service(EKS)를 포함한 모든 플랫폼에 대한 내장 지원 을 제공하지 않습니다. 지원되지 않는 플랫폼에 대해 인증하려면 OIDC를 사용하여 인증하는 사용자 지정 콜백 함수를 정의해야 합니다. 운전자 에서 options.OIDCCallback 함수를 정의하고 이를 Credential 구조체의 OIDCMachineCallback 구조체 필드 값으로 설정하다 수 있습니다.

다음 예시 에서는 구성된 IAM OIDC 제공자 가 있는 EKS 클러스터 에 대한 사용자 지정 콜백 을 정의합니다. 액세스 토큰은 AWS_WEB_IDENTITY_TOKEN_FILE 환경 변수에 설정하다 경로에서 읽습니다.

eksCallback := func(_ context.Context,
	_ *options.OIDCArgs) (*options.OIDCCredential, error) {
	accessToken, err := os.ReadFile(
		os.Getenv("AWS_WEB_IDENTITY_TOKEN_FILE"))
	if err != nil {
		return nil, err
	}
	return &options.OIDCCredential{
		AccessToken: string(accessToken),
	}, nil
}

그런 다음 정의한 EKS 콜백 함수를 사용하는 Credential 구조체를 만들 수 있습니다.

uri := "mongodb://<hostname>:<port>"
opts := options.Client().ApplyURI(uri)
opts.SetAuth(
	options.Credential{
		AuthMechanism:       "MONGODB-OIDC",
		OIDCMachineCallback: eksCallback,
	},
)
client, err := mongo.Connect(opts)
if err != nil {
	panic(err)
}

기타 Azure 환경

애플리케이션 이 Azure Functions, ASE(App Service Environment) 또는 AKS( Azure Kubernetes Service)에서 실행되는 경우 다음을 사용할 수 있습니다. 모듈을 사용하여 인증 자격 증명 을 가져옵니다.

먼저 다음 명령을 실행 하여 azidentity 모듈을 설치합니다.

go get -u github.com/Azure/azure-sdk-for-go/sdk/azidentity

OIDCCallback 함수는 azidentity 패키지 에서 생성된 AccessToken 를 사용하는 OIDCCredential 인스턴스 를 반환해야 합니다. 액세스 토큰을 조회 하기 위한 사용자 지정 콜백 을 구현한 다음 Credential 을 생성하는 예시 는 앞의 사용자 지정 콜백 섹션을 참조하세요.

GCP GKE

애플리케이션 이 구성된 서비스 계정 으로 GCP Google Kubernetes Engine(GKE) 클러스터 에서 실행되는 경우 표준 서비스 계정 토큰 파일 위치 에서 OIDC 토큰을 읽을 수 있습니다.

먼저 OIDCCallback 함수를 정의합니다. 이 함수는 OIDC 토큰을 읽고 OIDCCredential 인스턴스 를 반환합니다.

다음 예시 에서는 gkeCallback 이라는 콜백 함수를 정의합니다. 이 함수는 표준 서비스 계정 토큰 파일 위치 에 있는 파일 에서 OIDC 토큰을 검색합니다.

gkeCallback := func(_ context.Context,
	_ *options.OIDCArgs) (*options.OIDCCredential, error) {
	accessToken, err := os.ReadFile(
		"/var/run/secrets/kubernetes.io/serviceaccount/token")
	if err != nil {
		return nil, err
	}
	return &options.OIDCCredential{
		AccessToken: string(accessToken),
	}, nil
}

그런 다음 정의한 GKE 콜백 함수를 사용하는 Credential 구조체를 만들 수 있습니다.

uri := "mongodb://<hostname>:<port>"
opts := options.Client().ApplyURI(uri)
opts.SetAuth(
	options.Credential{
		AuthMechanism:       "MONGODB-OIDC",
		OIDCMachineCallback: gkeCallback,
	},
)
client, err := mongo.Connect(opts)
if err != nil {
	panic(err)
}

API 문서

• 자격 증명 유형

• SetAuth() 메서드

• OIDCCredential 유형

• OIDCCallback 함수