Kerberos용 MongoDB Agent 구성

최소 수명이 4시간인 티켓을 발행하도록 KDC 구성

Kerberos 티켓은 제한된 시간 동안 사용자를 인증할 수 있습니다. Kerberos 키 배포 센터(KDC)를 구성 해야 합니다. 4시간 이상 유효한 티켓을 발행합니다. MongoDB Agent는 주기적으로 티켓을 갱신합니다. KDC 서비스는 사용자와 호스트에게 세션 티켓과 임시 세션 키를 제공합니다.

배포를 위한 인증 메커니즘으로 Kerberos 추가

MongoDB Agent는 MongoDB 사용자처럼 배포서버의 MongoDB 데이터베이스와 상호 작용합니다. 따라서 인증을 지원하도록 MongoDB deployment 및 MongoDB Agent를 구성해야 합니다.

가 배포서버 를추가 할 때 배포의 인증 메커니즘을 지정하거나 기존 배포서버 의 설정을 편집 할 수 있습니다. 최소한 배포서버 에서는 MongoDB Agent 가 사용하려는 인증 메커니즘 을 활성화 해야 합니다. MongoDB Agent 는 지원되는 모든 인증 메커니즘 을 사용할 수 있습니다.

이 튜토리얼을 진행하려면 다음 사항을 확인해야 합니다.

• 배포에서 Kerberos 인증을 지원하며

• MongoDB Agent는 Kerberos 인증을 사용합니다.

Kerberos 인증을 활성화하는 방법을 알아보려면 Ops Manager 프로젝트에 Kerberos 인증 활성화를 참조하세요.

Kerberos를 사용하도록 MongoDB Agent 호스트 구성

모니터링 또는 백업을 실행하는 모든 호스트에 두 개의 Kerberos 관련 파일을 설치해야 합니다.

• krb5.conf 를 만들거나 구성합니다. Kerberos 구성 파일.

  플랫폼	기본 경로	참고 사항
  Linux	/etc/krb5.conf
  Windows	%WINDIR%\krb5.ini	이 경로는 Active Directory 기반이 아닌 Kerberos 구현을 위한 기본 경로입니다. Kerberos 구성 파일이 저장되는 위치를 확인하려면 사용 중인 Windows 버전에 대한 Kerberos 구현에 대한 설명서를 참조하세요.

• Linux 시스템:kinit 확인 바이너리는 에 /usr/bin/kinit 있습니다. kinit 는 Kerberos를 사용하여 에이전트를 인증하는 Kerberos 티켓 부여 티켓을 얻거나 갱신합니다.

MongoDB Agent에 대한 Kerberos 사용자 주체 생성

MongoDB Agent UPN에 대한 사용자 생성 및 역할 할당

db.getSiblingDB("$external").createUser(
  {
    user : "<Kerberos Principal>",
    roles : [
      { role : "clusterAdmin", db : "admin" },
      { role : "readWriteAnyDatabase", db : "admin" },
      { role : "userAdminAnyDatabase", db : "admin" },
      { role : "dbAdminAnyDatabase", db : "admin" },
      { role : "backup", db : "admin" },
      { role : "restore", db : "admin" }
    ]
  }
)