Linux 에서 Kerberos 인증을 사용하여 자체 관리형 MongoDB 구성

mongod Kerberos 없이 을(를) 시작합니다.

Kerberos 사용자를 처음 추가하려면 Kerberos 지원 없이 mongod를 시작합니다.

Kerberos 사용자가 이미 MongoDB에 있고 사용자 생성에 필요한 권한이 있는 경우, Kerberos 지원으로 mongod를 시작할 수 있습니다.

배포에 적합한 추가 설정을 포함하세요.

에 mongod 연결합니다.

mongosh 를 mongod 인스턴스에 연결합니다. mongod에 --auth가 활성화되어 있는 경우 사용자를 만드는 데 필요한 권한으로 연결해야 합니다.

MongoDB에 Kerberos 주체를 추가합니다.

Kerberos 주체(<username>@<KERBEROS REALM> 또는 <username>/<instance>@<KERBEROS REALM>)를 $external 데이터베이스의 MongoDB에 추가합니다. 대문자만을 사용해 Kerberos 영역을 지정합니다. $external 데이터베이스를 통해 mongod가 외부 소스(예: Kerberos)를 사용하여 인증할 수 있습니다. 사용자의 권한을 지정하려면 사용자에게 역할을 할당합니다.

$external 인증 사용자(Kerberos, LDAP 또는 x.509 사용자)와 함께 클라이언트 세션 및 인과적 일관성 보장 을 사용하려면 사용자 이름이 10k 바이트를 초과할 수 없습니다.

다음 예에서는 records 데이터베이스에 대한 읽기 전용 액세스 권한이 있는 Kerberos 주체 application/reporting@EXAMPLE.NET을 추가합니다.

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

필요에 따라 주체를 추가합니다. Kerberos를 사용하여 인증하려는 모든 사용자에 대해 MongoDB에서 해당 사용자를 생성해야 합니다. 사용자 생성 및 관리에 대한 자세한 내용은 사용자 관리 명령을 참조하세요.

mongod Kerberos 지원 으로 를 시작합니다.

Kerberos 지원으로 mongod를 시작하려면 다음 형식으로 환경 변수 KRB5_KTNAME을 키탭 파일의 경로로 설정하고 mongod 매개 변수 authenticationMechanisms을 GSSAPI로 설정합니다:

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

구성에 필요한 추가 옵션을 포함합니다. 예를 들어 원격 클라이언트를 배포에 연결하거나 배포 구성원이 다른 호스트에서 실행되도록 하려면 --bind_ip 를 지정합니다.

예를 들어 다음은 Kerberos를 지원하는 독립형 mongod 인스턴스를 시작합니다:

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

mongod의 경로와 키탭 파일의 경로가 다를 수 있습니다. 키탭 파일은 mongod 프로세스의 소유자만 액세스할 수 있어야 합니다.

공식 .deb 또는 .rpm 패키지를 사용하면 환경 설정 파일에서 KRB5_KTNAME을 설정할 수 있습니다. 자세한 내용은 KRB5_KTNAME을 참조하세요.

mongosh mongod 를 에 연결하고 인증합니다.

mongosh 클라이언트를 Kerberos 주체 application/reporting@EXAMPLE.NET로 연결합니다. 연결하기 전에 Kerberos의 kinit 프로그램을 사용하여 application/reporting@EXAMPLE.NET에 대한 자격 증명을 얻어야 합니다.

명령줄에서 연결하고 인증할 수 있습니다.

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

호스트 이름이 Kerberos 이름과 일치하는 시스템에 연결하는 경우 --host 옵션에 IP 주소나 정규화되지 않은 호스트 이름 대신 FQDN(정규화된 도메인 이름)을 지정해야 합니다.

호스트 이름이 Kerberos 이름과 일치하지 않는 시스템에 연결하는 경우, 먼저 mongosh를 mongod에 연결한 다음 mongosh에서 나온 db.auth() 메서드를 사용하여 $external 데이터베이스에서 인증합니다.

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )